Common Criteria - Ortak Kriterler

BT Ürünleri Güvenlik Seviyesi Belegelendirme

Bölüm 1: Bilgi Teknolojisi (BT) Güvenliği İçin Değerlendirme Kriterleri
Bölüm 1: Giriş ve Genel Model,
Bölüm 2: Güvenlik Fonksiyonel Bileşenleri (SFR: Security Functional Requirements), FAU, FCS, FCO, FDP, FIA, FMT, FPR, FPT, FRU, FTA, FPT güvenlik fonksiyonları
Bölüm 3: Güvenlik Garanti Gereksinimleri (SAR: Security Assurance Requirements), ASE, ALC, ADV, AGD, ATE, AVA sınıfları,

ISO/IEC 18045: Güvenlik teknikleri

Bilgi teknolojisi güvenliği değerlendirmesi için metodoloji anlatılır. Ayrıca, üretici firmalara,
TOE: Target of Evaluation-Değerlendirme Hedefi seçimi,
ST: Security Target-Güvenlik Hedefi ve diğer ürün dokümanları ve değerlendirme kanıtlarının yazımı ve belgelendirmeye hazırlık konusunda kılavuzluk yapılır.

CC - EAL Seviyeler (EALs)

7 Seviyede (EAL-Evaluation Assurance Level) Bilişim ürünleri güvenliğini amaçlayan uluslar arası bir standarttır. Ürünün tasarımına, kaynak koduna kadar inceleme yapar, Açıklık analizi ve sızma testleri ile ürünün güvenlik denetimlerini gerçekleştirir. Sertifikalar 27 ülkede geçerlidir. Türkiye nin verdiği sertifikalar da uluslar arası geçerlidir.

İlgili bağlantılar

• - www.commoncriteriaportal.org
• - OKTEM - Ortak Kriterler Test Merkezi

Bilgi Teknolojisi Süreç Değerlendirme

Yazılım Süreçi İyileştirme, Yetenek Ve Olgunluk Belirleme

Uluslararası geçerli yazılım süreç kalite ve olgunluk seviyesi belirleme standardı SPICE - ISO/IEC 15504 ve sertifikasıdır. SPICE sertifikalarında INTACS SPICE Baş Tetkikçisinin (Competent Assessor) de imzası olduğundan, uluslararası geçerli olmaktadır.

Yazılım Süreçleri İyileştirme, ISO/IEC 12207 Yazılım Yaşam Döngüsü Ana, Destekleyen ve Organizasyonel Süreçleri, SPICE 5 adet Yetenek ve Olgunluk seviyeleri, Proses Referans Model ve Proses Değerlendirme Modeli anlatılır. Ayrıca, ISO/IEC 15504

Bölüm 1: Kavramlar ve Tanımlar,
Bölüm 2 ve Bölüm 3: Bir değerlendirmenin uygulanması için rehber,
Bölüm 4: Süreç iyileştirme ve süreç yeterlilik tespiti için kılavuzluk,
Bölüm 5: Süreç değerlendirme modeli için örnek,
Bölüm 6: Yaşam döngüsü süreci değerlendirme modeli için örnek ve
Bölüm 7: Kuruluş tecrübesinin değerlendirilmesi anlatılır.

SPICE 5 Olgunluk Seviyesi

Firmanın SPICE Olgunluk Seviyesi 1, 2 veya 3'e nasıl çıkabileceği, sistemi nasıl kurup, işletip, belgelendirme tetkiğine hazır olacağı anlatılır. Ek olarak SPICE ve CMMI benzer ve farklılıkları da eğitim kapsamındadır.

Bilgi Güvenliği Yönetim Sistemi (BGYS)

Bilgi Güvenliği yönetim sistemleri, 27002: Bilgi güvenliği kontrolleri için uygulama prensipleri anlatılır. BGYS kapsamının, politikasının belirlenip, tanımlanması, ekip oluşturulması ve stratejinin belirlenmesi, bilgi varlıklarının saptanması, bilgi varlıklarının değerinin belirlenmesi, risk belirlenmesi, kontrollerden istenen güvence derecesinin belirlenmesi, kontrol hedeflerinin ve kontrollerin saptanması, dokümantasyonun hazırlanması, prosedürlerin ve dokümanların uygulamaya alınması, iç denetimler, yönetimin gözden geçirilmesi, belgelendirme için başvuru ve hazırlık süreci ile planla, uygula, kontrol Et, önlem al (PUKÖ) döngüsünün uygulanması anlatılır.

Bilgi güvenliğinde; bilginin gizliliği, bütünlüğü ve kullanılabilirliği; rekabet gücünü, nakit akışını, karlılığı, yasal yükümlülükleri ve ticari imajı korumak ve sürdürmek için gereklidir. BGYS, kurumun vizyonuna bağlı olarak ihtiyaçlarını ve iş süreçlerini güven içinde yürütmesi için güvenlik dökümanlarının hazırlanması, uygulanması ve yürütülmesini sağlar,gerekli denetimleri yapar ve raporlar üretir.

Bilgi Teknolojileri Hizmet Yönetimi (BTHY)

ISO 20000 standart serisi 2 standarttan oluşmaktadır. ISO 20000-1 ve ISO 20000-2 standartlarıdır. Belgelendirme faaliyetleri ISO 20000-1 standardına göre yapılmakta olup ISO 20000-2 Standardı ise kılavuz standarttır.

- Hizmet yönetim politikası hazırlanması,
- Hizmet yönetim planlaması,
- Hizmet seviye yönetimi yapısının kurulması,
- Hizmet süreklilik ve erişilebilirlik yapısının kurulması,
- BT finansal yönetim yapısının kurulması,
- Kapasite yönetimi yapısının kurulması,
- Bilgi güvenliği yönetimi yapısının kurulması,
- Tedarikçi yönetimi yapısının kurulması,
- Olay yönetimi yapısının kurulması,
- Problem yönetimi yapısının kurulması,
- Konfigürasyon yönetimi yapısının kurulması,
- Değişim yönetimi yapısının kurulması,
- Sürüm yönetimi yapısının kurulması,
- İç tetkik,
- Yönetim gözden geçirmesi,
- Belgelendirmeye hazırlık anlatılır.

Kriptolama Modülleri İçin Güvenlik ve Test Gereksinimleri

ISO/IEC 19790, bilgi teknolojisi sistemlerinde yer alan ve kritik verilerin güvenliğini sağlayan kripto modülleri için güvenlik gereklerini belirleyen bir standarttır. Kripto modüllerinin ISO/IEC 19790 standardına uygunluğunu test etmek için ISO/IEC 24759 standardı test metodolojisi olarak hazırlanmıştır. Sertifikasyon, lisanslı laboratuvarlar eşliğinde testler yapıldıktan sonra sonuçlanır.

4 adet Güvenlik Seviyesi (SL) bulunmaktadır.

ISO/IEC 17025: Deney ve kalibrasyon laboratuvarlarının yeterliliği için genel şartlar.

ISO/IEC 17065: Uygunluk değerlendirmesi - Ürün, proses ve hizmet belgelendirmesi yapan kuruluşlar için şartlar.

ISO/IEC 17021: Uygunluk değerlendirmesi - Yönetim sistemlerinin tetkikini ve belgelendirmesini sağlayan kuruluşlar için şartlar Bölüm 1: Gereksinimler

ISO/IEC 17024: Uygunluk değerlendirmesi - Personel belgelendirmesi yapan kuruluşlar için genel şartlar

ISO/IEC 17020: Uygunluk değerlendirmesi - Çeşitli tiplerdeki muayene kuruluşlarının işletimi için şartlar.

İnsan Sistem Etkileşiminin Ergonomisi

Bölüm 151: Dünya Geneli Arayüzleri Kılavuzu. Bu standart, web kullanıcı ara birimlerinin insan merkezli tasarımlarını geliştirmek, Kullanılabilirlik için rehberlik yapar. Ara yüzlerin tasarım aşamasında, tasarım süreci içerisinde veya sonrasında kullanıcının tasarıma yaklaşımını, nasıl kullandığını ve ne tür sorunlarla karşılaştığı hakkında bilgi sahibi olunarak tasarım geliştirilebilmektedir. Sertifikasyon, lisanslı laboratuvarlar eşliğinde testler yapıldıktan sonra sonuçlanır.

Bilgi Güvenliği Yönetim Sistemi (BGYS)

Yazılım Mühendisliği – Yazılım Ürünü Kalite Gereksinimleri Ve Değerlendirmesi (SQuaRE) – Kullanıma hazır yazılım ürünü (RUSP) kalitesi için gereksinimler ve test talimatları.

Yazılımların temel ve kritik fonksiyonları sorgulayarak düzgün çalışan programlar sunmayı amaçlar. Ürün geliştirme süreçleri ile ilgilenmeyen bu standart ticari olarak kullanıma hazır ürünlerin üretici tarafından ürün tanıtmalığı ve kullanım kılavuzlarında iddia edilen fonksiyonların uygun şekilde çalışıp çalışmadığının kontrol edilmesini sağlar. Sertifikasyon, lisanslı laboratuvarlar eşliğinde testler yapıldıktan sonra sonuçlanır.

Güvenli Yazılım Geliştirme Değerlendirme

Web İçeriği Erişilebilirlik Klavuzları

Web sayfalarının Erişilebilirlik denetimlerini yapar. ISO/IEC 40500-WCAG-Web Content Accessibility Guidelines (W3C) klavuzlarına uygun olarak, lisanslı laboratuvarlarda testler yapıldıktan sonra sertifikasyon gerçekleşir.

Elektronik Belge Yönetim Sistemi (EBYS)

EBYS için sistem gereksinimleri, EBYS için gerekli belge yönetim teknikleri ve uygulamaları,
Elektronik belgelerin yönetilebilmesi için gereksinimler, Elektronik ortamda üretilmemiş belgelerin yönetim fonksiyonlarının elektronik ortamda yürütülebilmesi için gereksinimler,
Elektronik belgelerde bulunması gereken diplomatik özellikler,
Elektronik belgelerin hukuki geçerliliklerinin sağlanması için alınması gereken önlemler,
Güvenli elektronik imza ve mühür sistemlerinin uygulanması için gerekli sistem alt yapısının tanımlanması,
EBYS test ve belgelendirme denetimine hazırlık, ilgili performans, fonksiyonel ve güvenlik test dokümanlarının hazırlanması konuları anlatılır.

T.C Başbakanlık Devlet Arşivleri Genel Müdürlüğü tarafından Kamu Kurumlarının uyması zorunlu olarak TS 13298 Elektronik Belge Yönetim standardı geliştirilmiştir. Sertifikasyon, lisanslı yazılım laboratuvarlarında fonksiyonel, performans ve güvenlik testleri yapıldıktan sonra sonuçlanır.

Temel Seviye Güvenlik Değerlendirme

Basit, hızlı ve etkin bir güvenlik değerlendirmesini hedefleyen bir güvenlik değerlendirme programıdır. Değerlendirmenin iki temel hedefi vardır; Ürünün güvenlik spesifikasyonuna uygunluğunu tespit etmek ve ürün tarafından sunulan güvenlik fonksiyonlarının etkinliğini belirlemek.

Pardus Göç Uzmanı ve Firması Değerlendirmesi

Açık Kaynak Kodlu İşletim Sistemi-Pardus a göre Kişi ve firmaların belgelendirme standardıdır.

Sızma Testi Uzmanı ve Firması Değerlendirme

Bilişim güvenlik testlerini yapan sızma testi uzmanlarının ve firmalarının belgelendirme standardıdır. TS 13638: İdari kriterler, TS 13668: Teknik Kriterleri içerir. Kişiler 4 seviyede, firmalar 3 seviyede belgelendirilir.

Kişisel Verilerin Korunması Kanunu

Saha Güvenlik Değerlendirmeleri

Bilişim teknolojileri ürünlerinin güvenliğinde öne çıkan huşulardan biri de geliştirildikleri ortamın güvenliğidir. Ürünün geliştirildiği ortamın güvenliği ise Saha Güvenlik Belgelendirmesi programı ile güvence altına alınır. Bu belgelendirme ile Ortak Kriterler (Common Criteria-CC) belgelendirmesindeki ALC sınıfı ile ilişkili gereksinimlerinin belirli bir geliştirme ortamı tarafından karşılandığını doğrulamak için TOE’den bağımsız CC belgelendirmesidir.