Mô hình đánh giá an toàn thông tin của Pháp

01:00 | 07/12/2013 | TIÊU CHUẨN - CHẤT LƯỢNG

Mô hình đánh giá ATTT của Pháp được điều hành bởi Cơ quan có thẩm quyền cấp chứng nhận (Direction Centrale de la Sécurité des Systèmes d'Information - DCSSI).

Mô hình đánh giá an toàn thông tin của Pháp

Cơ quan có thẩm quyền cấp chứng nhận – DCSSI:

DCSSI là cơ quan có thẩm quyền cấp chứng nhận, cơ quan này điều hành hoạt động kiểm định sản phẩm bảo vệ thông tin quốc gia và bảo vệ thông tin của Bộ Quốc phòng. Hàng năm cơ quan này có trách nhiệm báo cáo các hoạt động của quá trình kiểm định cho Ủy ban quản lý.

Cơ quan có thẩm quyền kiểm định (Centres d'évaluation de la sécurité des technologies de l'information – CESTI):

- CESTI của DCSSI có thẩm quyền kiểm định sản phẩm dùng trong chính phủ.

- Các CESTI có thẩm quyền kiểm định sản phẩm dùng trong kinh tế xã hội. Một CESTI muốn trở thành cơ quan có thẩm quyền kiểm định phải có hai điều kiện sau đây:

Phải được COFRAC (Comité français d'accréditation) công nhận năng lực kỹ thuật nói chung

Được DCSSI cấp phép kiểm định sản phẩm an toàn thông tin. Việc cấp phép dựa vào kết quả thẩm định năng lực kiểm định sản phẩm an toàn thông tin do Bộ Quốc phòng và Bộ Công nghiệp thực hiện. Việc thẩm định năng lực kiểm định sản phẩm an toàn thông tin dựa theo tiêu chuẩn AFNOR EN45001 (Association Française de Normalisation Européenne Norme 45001) .

Cơ quan công nhận – COFRAC: Năng lực kỹ thuật nói chung của các cơ quan kiểm định được công nhận bởi cơ quan có thẩm quyền công nhận của Pháp COFRAC.

Quy trình kiểm định sản phẩm

1. Giai đoạn 1: chuẩn bị kiểm định

Xin kiểm định: Nhà phát triển sản phẩm khi có nhu cầu kiểm định sẽ liên hệ Nhà bảo trợ để được hướng dẫn thủ tục, lập hồ sơ kiểm định, cùng các tài liệu có liên quan.

Hoàn thành hồ sơ giao nộp để xin kiểm định: Nhà bảo trợ phối hợp với nhà phát triển gửi hồ sơ xin kiểm định cho CESTI và nộp đơn xin kiểm định cho DCSSI. Nhà bảo trợ cung cấp các thiết bị phục vụ cho quá trình kiểm định sản phẩm. CESTI có nhiệm vụ kiểm tra hồ sơ xin kiểm định bao gồm: sản phẩm, tài liệu đặc tả TOE, thiết kế TOE, ST, PP, tài liệu test, phân tích điểm yếu, hướng dẫn sử dụng,... Khi hồ sơ đã hợp lệ thì CESTI sẽ đệ trình lên DCSSI. DCSSI sẽ kiểm tra và phê chuẩn đơn xin kiểm định của Nhà bảo trợ.

Xây dựng hợp đồng và ký hợp đồng: CESTI tiến hành lập hợp đồng kiểm định. Nhà bảo trợ sẽ xem xét hợp đồng kiểm định và đề nghị sửa đổi (nếu có). Nếu cả 3 bên: Nhà bảo trợ, CESTI, DCSSI đều đồng ý thông qua Bản hợp đồng kiểm định thì DCSSI sẽ tổ chức một buổi ký hợp đồng kiểm định có sự tham gia của cả 3 bên.

2. Giai đoạn 2- thực hiện kiểm định:

Nhà bảo trợ sẽ tổ chức phiên họp nhằm giúp cho CESTI hiểu biết về hồ sơ xin kiểm định cũng như hiểu biết về sản phẩm đang trong kiểm định.

Lập kế hoạch kiểm định: CESTI thành lập các đội kiểm định và xây dựng dự kiến kế hoạch kiểm định sản phẩm sau đó đệ trình lên cơ quan cấp chứng nhận DCSSI.

Phê chuẩn kế hoạch kiểm định: DCSSI cùng với nhà bảo trợ và CESTI thảo luận và thông qua kế hoạch kiểm định cuối cùng. Sau đó DCSSI sẽ thành lập một đội giám sát quá trình kiểm định và viết báo cáo giám sát.

Yêu cầu bổ sung thông tin: Đội kiểm định kiểm tra hồ sơ sản phẩm và tiến hành kiểm tra an toàn của môi trường phát triển bằng cách yêu cầu được thăm môi trường phát triển sản phẩm của bên phát triển trong thời gian kiểm định hoặc yêu cầu bố sung các tài liệu còn thiếu trong khi kiểm định hoặc đề nghị nhà phát triển giải quyết các vấn đề phát sinh trong khi kiểm định. Nếu phía phát triển không đáp ứng các yêu cầu của CESTI thì DCSSI quyết định dừng việc kiểm định.

Thực hiện kiểm định: Các đội kiểm định thực hiện kiểm định và viết báo cáo kỹ thuật kiểm định đối với sản phẩm xin kiểm định.

Nhóm giám sát độc lập hoàn toàn với các đội kiểm định trong quá trình giám sát và viết báo cáo giám sát.

3. Giai đoạn 3- cấp chứng nhận & hoàn thành:

Khi kiểm định xong, CESTI sẽ xem xét kết quả kiểm định, nếu kết quả kiểm định không đạt theo mức yêu cầu của Nhà bảo trợ, DCSSI ra quyết định dừng việc cấp chứng nhận cho sản phẩm, đồng thời gửi báo cáo kiểm định kỹ thuật, hồ sơ gốc và sản phẩm cho nhà bảo trợ.

Nếu kết quả kiểm định đạt theo mức yêu cầu kiểm định của nhà bảo trợ, CESTI sẽ gửi Báo cáo kỹ thuật kiểm định (ETR) cùng bản sao sản phẩm và các tài liệu có liên quan lên DCSSI đồng thời nhóm giám sát cũng sẽ gửi Báo cáo giám sát lên DCSSI. Căn cứ vào báo cáo kỹ thuật kiểm định và giám sát DCSSI sẽ tiến hành cấp chứng nhận cho sản phẩm.

‹ › ×

Tin liên quan

Sớm hoàn thành Bộ chỉ số đánh giá an toàn thông tin đối với các bộ, ngành và địa phương

23:00 | 16/01/2018

Đó là chỉ đạo của Phó Thủ tướng Vũ Đức Đam đối với Bộ Thông tin và Truyền thông và các cơ quan liên quan, tại phiên họp toàn thể Ủy ban Quốc gia về ứng dụng CNTT, diễn ra ngày 27/12/2017.

Tin cùng chuyên mục

Mô hình đánh giá an toàn thông tin của Đức

05:00 | 06/12/2013

Mô hình đánh giá ATTT của Đức có tên gọi BSI 7149, được điều hành bởi Cơ quan an toàn thông tin liên bang BSI (Bundesamt für Sicherheit in der Informationstechnik - Tiếng Anh: Federal Office for Information Security). BSI 7149 phân ra làm 2 nhánh rõ ràng cho 2 lĩnh vực là sản phẩm dùng cho khu vực chính phủ và sản phẩm dùng cho kinh tế - xã hội.

Áp dụng các chuẩn của W3C và OASIS trong xác thực và bảo mật web

05:00 | 05/01/2010

Cùng với sự ra đời và phát triển của Internet, web đã ra đời và ngày càng phát triển, khẳng định vị trí và vai trò của nó trong đời sống thông tin toàn cầu hiện nay. Nhiều quốc gia, tổ chức, cá nhân đã sử dụng web như một công cụ truyền tải, khai thác thông tin hiệu quả ở bất cứ đâu có kết nối Internet, tại bất kỳ thời điểm nào. Điều này giúp tiết kiệm thời gian, chi phí và nhân lực.

Ứng cử viên cho chuẩn Hash mới vào năm 2012

06:00 | 06/01/2009

Tổ chức NIST (National Institute of Standards and Technology) đang tiến hành cuộc thi tìm kiếm ứng viên thay thế cho chuẩn hash phổ biến hiện nay - SHA (FIPS 180-2) - đối tượng bị tấn công ngày càng nghiêm trọng. Tiêu chuẩn hàm hash mới, được lựa chọn vào năm 2012, được đặt tên là SHA-3. Như vậy, sau 10 năm, SHA-2 sẽ được thay thế bằng một tiêu chuẩn mới.

Tiêu chuẩn Quốc gia Việt Nam về Tem thời gian

05:00 | 06/07/2008

Trong nhiều trường hợp, người ta lại cần bằng chứng để chứng minh rằng một tài liệu được kiến tạo sau một thời điểm nào đó hoặc trong một khoảng thời gian xác định. Bằng chứng gắn liền với mốc thời gian đó có thể được gọi là “tem thời gian”.