ГОСТ Р 41495-3, это национальный стандарт Российской Федерации, являющийся официальной версией международного стандарта ISO/IEC 15408-3 (Common Criteria — Общие критерии). Он составляет третью часть серии стандартов «Информационная технология. Методы обеспечения безопасности. Критерии оценки защищенности информационных технологий».

Полное официальное наименование

Согласно реестру национальных стандартов Росстандарта, полное наименование документа звучит следующим образом:

ГОСТ Р ИСО/МЭК 15408-3-2018 (ГОСТ Р 41495-3)
«Информационная технология. Методы обеспечения безопасности. Критерии оценки защищенности информационных технологий. Часть 3: Компоненты обеспечения доверия».

Примечание: В более ранних редакциях (например, ГОСТ Р 41495-3-2008) наименование могло не содержать префикса «ИСО/МЭК», однако суть документа оставалась неизменной. Текущая действующая редакция приведена выше.

Общая характеристика и цель стандарта

Данный стандарт определяет компоненты обеспечения доверия (assurance components) — набор мер, применяемых в процессе разработки, оценки и эксплуатации информационных технологий (ИТ) для установления доверия к тому, что они соответствуют своим заявленным функциональным требованиям безопасности.

• Статус: Действующий национальный стандарт РФ.
• Международная база: IDT (идентичный) ISO/IEC 15408-3:2008 (с поправками).
• Дата введения: (постановление Росстандарта от № 1015-ст).
• Организация-разработчик: ФГУП «ВНИИНС» (Всероссийский научно-исследовательский институт нормализации и стандартизации) / Технический комитет ТК 438 «Информационная технология. Защита информации».

Место в серии ГОСТ Р 41495 (ISO/IEC 15408)

Стандарт является неразрывой частью фреймворка Common Criteria (CC). Серия состоит из следующих частей:

1. ГОСТ Р 41495-2 (Часть 2): Функциональные компоненты безопасности. Содержит каталог функциональных требований к безопасности (SFR), таких как контроль доступа, криптография, идентификация и аутентификация и т.д.
2. ГОСТ Р 41495-3 (Часть 3): Компоненты обеспечения доверия. Описывает, как разрабатывать, тестировать, поставлять и эксплуатировать продукт, чтобы в нем можно было быть уверенным (документация, тестирование, управление конфигурацией, анализ уязвимостей и др.).
3. ГОСТ Р 41495-4 (Часть 4): Фреймворк для спецификации методов и действий оценки (RAME). Методология проведения оценки.

Ключевая идея: Если Часть 2 отвечает на вопрос «Что должен делать продукт?», то Часть 3 отвечает на вопрос «Насколько достоверно мы можем верить, что он это делает?».

Структура стандарта: Классы и семейства компонентов обеспечения доверия

ГОСТ Р 41495-3 структурирует компоненты обеспечения доверия в 7 классов. Каждый класс содержит семейства компонентов, которые, в свою очередь, детализируются на уровни (уровни обеспечения доверия).

Класс ADV: Разработка (Development)

Требования к документации, описывающей архитектуру и реализацию TOE (объекта оценки).

• ADV_ARC: Архитектура безопасности (Security Architecture).
• ADV_FSP: Функциональная спецификация (Functional Specification).
• ADV_TDS: Базовое проектирование (Basic Design) / Детальное проектирование.
• ADV_IMP: Реализация (Implementation), представление исходного кода.
• ADV_INT: Целостность реализации TSF (TSF Internals).
• ADV_SPM: Формальное моделирование политики безопасности (Security Policy Modeling).

Класс AGD: Руководство по эксплуатации (Guidance Documents)

Требования к документам для пользователей и администраторов.

• AGD_OPE: Руководство оператора/пользователя (Operational User Guidance).
• AGD_PRE: Руководство по подготовке к эксплуатации (Preparative Procedures).

Класс ALC: Жизненный цикл поддержки (Life-cycle Support)

Меры по управлению разработкой, поставкой и обслуживанием.

• ALC_CMC: Управление конфигурацией (CM Capabilities).
• ALC_CMS: Область управления конфигурацией (CM Scope).
• ALC_DEL: Процедуры поставки (Delivery).
• ALC_DVS: Безопасность разработки (Development Security).
• ALC_FLR: Исправление дефектов (Flaw Remediation).
• ALC_LCD: Определение жизненного цикла (Life-cycle Definition).
• ALC_TAT: Инструменты и методы разработки (Tools and Techniques).

Класс ASE: Оценка спецификации безопасности (Security Target Evaluation)

Требования к документу ST (Security Target), главному документу заказчика/разработчика.

• ASE_CCL: Соответствие требованиям (Conformance Claims).
• ASE_ECD: Расширенное определение компонентов (Extended Components Definition).
• ASE_OBJ: Цели безопасности (Security Objectives).
• ASE_REQ: Требования к безопасности (Security Requirements).
• ASE_SPD: Определение проблемы безопасности (Security Problem Definition).
• ASE_TSS: Сводное описание TOE (TOE Summary Specification).

Класс ATE: Тестирование (Tests)

Требования к тестированию функционала безопасности.

• ATE_COV: Покрытие тестами (Coverage).
• ATE_DPT: Глубина тестирования (Depth).
• ATE_FUN: Функциональное тестирование (Functional Tests).
• ATE_IND: Независимое тестирование (Independent Testing).

Класс AVA: Анализ уязвимостей (Vulnerability Assessment)

Поиск и оценка потенциальных уязвимостей.

• AVA_VAN: Анализ уязвимостей (Vulnerability Analysis).

Уровни обеспечения доверия (EAL — Evaluation Assurance Levels)

ГОСТ Р 41495-3 определяет 7 упакованных уровней обеспечения доверия (EAL1 – EAL7). Каждый уровень представляет собой набор компонентов обеспечения доверия из классов выше, выбранных таким образом, чтобы обеспечить баланс между стоимостью/сроком оценки и степенью доверия.

Ключевые понятия, определенные в стандарте

TOE (Target of Evaluation) — Объект оценки

ИТ-продукт или система, подвергаемая оценке соответствия требованиям безопасности.

ST (Security Target) — Цель безопасности

Документ, описывающий свойства безопасности TOE, требования к нему (SFR и SAR) и обоснование их достаточности.

PP (Protection Profile), Профиль защиты

Документ, определяющий требования к безопасности для класса продуктов (независимо от конкретной реализации), разработанный пользователем или сообществом.

SFR (Security Functional Requirements) — Функциональные требования к безопасности

Требования из Части 2 (ГОСТ Р 41495-2), описывающие функции безопасности (шифрование, аудит, контроль доступа).

SAR (Security Assurance Requirements) — Требования к обеспечению доверия

Требования из Части 3 (ГОСТ Р 41495-3), описывающие меры по разработке и оценке (документация, тесты, анализ уязвимостей).

Процесс оценки соответствия (связь с Частью 4)

Хотя ГОСТ Р 41495-3 определяет что* требуется (компоненты SAR), процесс проведения оценки регламентируется ГОСТ Р 41495-4 (ISO/IEC 15408-4 / CEM — Common Evaluation Methodology).

Основные этапы оценки по компонентам Части 3:

1. Подготовка: Анализ ST (ASE), планирование оценки.
2. Анализ разработки (ADV): Проверка архитектуры, спецификаций, исходного кода на соответствие SFR.
3. Анализ документации (AGD): Проверка полноты и корректности руководств пользователя и администратора.
4. Анализ жизненного цикла (ALC): Аудит процессов разработки, управления конфигурацией, безопасности цепочки поставок.
5. Тестирование (ATE): Проведение функционального тестирования, измерение покрытия, независимое повторное тестирование лабораторией.
6. Анализ уязвимостей (AVA): Поиск публично известных уязвимостей, фаззинг, анализ исходного кода на предмет скрытых каналов и бэкдоров.
7. Формирование отчета (ETR): Evaluation Technical Report — технический отчет о результатах оценки.

Применение в Российской Федерации

ГОСТ Р 41495-3 является обязательной базой для:

• Системы сертификации ФСТЭК России: При сертификации средств защиты информации (СЗИ) и доверенных подсистем по схемам, требующим соответствия Общим критериям (например, классы высшего уровня доверия).
• Системы сертификации ФСБ России: При сертификации средств криптографической защиты информации (СКЗИ), где требуется подтверждение реализации алгоритмов и протоколов.
• Гостайна (Государственная система обеспечения единства измерений): В части метрологического обеспечения ИТ-средств.
• Международное признание (CCRA): Сертификаты, выданные на базе оценки по ГОСТ Р 41495 (EAL1–EAL2), взаимно признаются странами-участницами CCRA (Common Criteria Recognition Arrangement). Для EAL3+ требуются двусторонние соглашения.

Отличия от предыдущих редакций (2008 vs 2018)

Актуализация 2018 года (принятие ISO/IEC 15408-3:2008 с поправками 2011, 2014 гг.) принесла следующие изменения:

• Уточнены определения компонентов ALC_FLR (исправление дефектов) и ALC_TAT (инструменты разработки) с учетом современных практик DevOps и CI/CD.
• Расширены требования к AVA_VAN (анализ уязвимостей) с учетом современных векторов атак (side-channel, fault injection, supply chain attacks).
• Скорректированы критерии оценки ADV_IMP (представление реализации) для поддержки формальных методов верификации кода.
• Гармонизация терминологии с ГОСТ Р ИСО/МЭК 27000 (управление ИБ) и ГОСТ Р 41495-4 (методология оценки).

ГОСТ Р 41495-3 («Часть 3: Компоненты обеспечения доверия») является фундаментальным документом для построения доказательной базы защищенности информационных технологий. Он переводит абстрактное понятие «доверие» на язык конкретных инженерных артефактов: спецификаций, исходного кода, тестовых протоколов, отчетов об анализе уязвимостей и процедур управления конфигурацией.

Понимание структуры классов (ADV, AGD, ALC, ASE, ATE, AVA) и иерархии уровней EAL необходимо разработчикам СЗИ/СКЗИ, аудиторам аккредитованных лабораторий, экспертам ФСТЭК/ФСБ и заказчикам защищенных ИТ-систем для корректного формирования требований (ST/PP), планирования ресурсов на сертификацию и интерпретации результатов оценки.

Данная статья носит справочный характер. Для официального использования необходимо обращаться к тексту стандарта, размещенному в информационно-технической документации Росстандарта (https://protect;gost.ru) или на портале «Нормативные документы» (https://docs.cntd.ru).