Agenda. Kort om CC. Utvecklingen nu och framöver. Hur använda CC vid upphandling? CSEC roll CCRA. Internationellt Sverige. Konkurrens på lika villkor

Transkript

1 - Kravställning på IT-säkerhetsprodukter Försvarets Materielverk/CSEC 2005 Document ID Issue 0.1 Cybersäkerhet SESAM Dag Ströman Verksamhetschef FMV/CSEC 1

2 Agenda Kort om CC CSEC roll CCRA Utvecklingen nu och framöver Internationellt Sverige Hur använda CC vid upphandling? Konkurrens på lika villkor 2

3 Att ställa krav på IT-säkerhet innebär att 1. Definera tillgångar, hot, angripare och riskvillighet 2. Ange krav på säkerhetsfunktioner 3. Ange krav på tillit (assurans) Säkerhetskrav = krav på funktion och assurans 3

4 Standarden Common Criteria Del 1 Introduktion och grundläggande modell Del 2 Katalog med funktionella säkerhetskrav Del 3 Katalog med assuranskrav CEM - Common Evaluation Methodology - Granskningsregler 4

5 Viktiga begrepp Protection Profile Köparens dokument Security Target Säljarens dokument Certifikat kvitto på att kraven klaras 5

6 EAL Evaluation Assurance Level Potentiella hot från: Arbete i konstruktion och granskning EAL7 EAL6 EAL5 Fientligt sinnad konstruktör Främmande makt Kvalificerad programmerare EAL4 EAL3 EAL2 EAL1 Hacker eller programmerare Erfaren användare Intresserad användare Nyfiken användare 6

7 CSECs roll Utvecklare Evalueringsföretag Certifieringsorgan Tillhandahåller produkt och dokumentation Analyserar dokumentation och testar produkten gentemot ställda krav CSEC granskar och övervakar evalueringsföretaget och utfärdar ett certifikat 7

8 Cerifikatet beskriver Angriparen Hotbild Säkerhetsfunktioner Säkerhetsarkitektur Evalueringsnivå Driftsättning Krav på omgivning 8

9 CCRA Common Criteria Recognition Arrangement Långvarigt samarbete mellan försvars- och infosäkmyndigheter USA, Storbritannien, Tyskland, Frankrike, Holland, Australien, Kanada m fl. Certifikat ges ut i 15 länder erkänns i 26 länder 9

10 Utvecklingen nu och framöver Internationellt Sverige om PP Protection Profile 10

11 Utvecklingen internationellt Fokus på PP Svensk beteckning: Skyddsprofil EAL-nivå mindre central, istället preciserad granskning i PP CCRA liten grupp med hög tillit transparens inom överenskomna områden generellt lägre nivå ( EAL2 ) Internationell samverkan pågår först PP USB andra gemensamma PP på gång Exempel på PP commoncriteriaportal.org 321 PP 11

12 NIAP National Information Assurance Partnership 12

13 Utvecklingen i Sverige FMV:s första PP-upphandling pågår Datasluss MSB driver flera PP-projekt, i samverkan med flera myndigheter Smart telefon Hårddiskkrypto VPN-lösning USB-minne PP USB under certifiering Kan väntas bli underlag för upphandling 13

14 14

15 PP Protection Profile Kan ett dokument certifieras??? Jovisst! Kontroll av stringens och logik tydlig produktbeskrivning hot och miljö säk.krav säk.funktioner + assurans Köparens dokument Skrivs ofta för bred användargrupp Gemensam hotbild och miljökrav 15

16 Utdrag ur LOU (OBS - nedkortad text) 12 kap. Tilldelning av kontrakt 1 En upphandlande myndighet skall anta antingen 1. det anbud som är det ekonomiskt mest fördelaktiga för den upphandlande myndigheten, eller 2. det anbud som innehåller det lägsta priset. Vid bedömningen skall myndigheten ta hänsyn till olika kriterier såsom driftkostnader, kostnadseffektivitet, kvalitet, funktionella och tekniska egenskaper, service och tekniskt stöd. 16

17 Konkurrens på lika villkor Upphandling med LOU Lägsta pris och otydliga säkerhetskrav leverantör med ingen eller billig säkerhet gynnas Ekonomiskt mest fördelaktiga och tydliga säkerhetskrav leverantör som uppfyller ställda krav gynnas Det offentliga den största kunden stor påverkan! 17

18 Hur använda CC vid upphandling? Använd Common Criteria-portalen Finns redan PP som som motsvarar era krav/behov? Ange att produkter som certifierats enligt PP ges fördel vid upphandling. Om inte: Överväg att ta fram en egen PP. Finns redan certifierade produkter som motsvarar behoven? Ställ krav på CC-certifikat, EAL-nivå och funktionalitet och inbjud företagen till upphandlingen. Finns ej certifierade produkter som motsvarar behoven? Kräv att leverantören minst tillhandahåller en Security Target, vilken granskats inom CCRA. Överväg dessutom: Ge fördel vid upphandling till den produkt som är på väg att certifieras och som minst har EAL-nivå som motsvarar kraven. 18

19 Varför Common Criteria!? En allt viktigare referens i branschen! Sverige Globalt En fungerande metod för kravställning! Bidrar till konkurrens på lika villkor Mer arbete behövs framöver - mer internationell samverkan gemensamma PP förtydliga hur granskning ska ske hur bygga säkra system av säkra komponenter? 19

20 Tack för ordet! - Frågor? Martin Bergling dag.stroman@fmv.se 20