Orange Book & ITSEC 에 대한 비교분석 및 평가

소개글

Orange Book & ITSEC 에 대한 비교분석 및 평가에 대한 보고서 자료입니다.

본문내용

시의 취약성 분석 : 개발 중의 취약성을 분석하고 이에 대한 대처가 적절한지를 분석　
5. 사용의 용이성 : 시스템의 관리자 혹은 사용자가 시스템이 안전하다고 믿을지라도
시스템이 안전하지 않게　구성되거나 사용될 수 있는지의 여부를 조사
6. 운영 중의 취약성 분석 : 운영 중에 발견된 취약성이 시스템의 보안을 얼마나 위협하는지를 평가
정확성 기준은 요구사항, 구조설계, 상세설계, 구현, 형상관리, 프로그래밍 언어 및 컴파일러, 개발자 보안, 운영문서, 배달절차 및 구성 그리고 시동 및 운영에 대한 요구사항과 같은 구현된 보안기능의 신뢰성을 소프트웨어 공학적인 측면에서 평가하고자 하는 것이다.
3) 등급별 상세내역
ITSEC의 등급은 E1(최저), E2, E3, E4, E5 및 E6(최고)의 6등급으로 나누어진다. E0 등급도 있지만, 이는 부적합 판정을 의미한다. 또한, 위에서 기술된 효용성 보증을 하나라도 만족하지 못하면 E0 등급 판정을 받게 된다. 등급에 관한 설명은 아래 두 개의 그림으로 대신하겠다.
위의 그림은 개발과정에 대한 정확성 요구사항이 등급에 따라 변동하는 것을 보인 것이다.
위의 그림은 개발환경에 대한 요구사항이 등급에 따라 추가되는 것을 보이고 있는 것이다.
* TCSEC와 ITSEC의 차이점
- US 방위 설립에 의해 발전된 TCSEC는 Security Policy(보안 정책), Accountability(책임성), Assurance(보증), Documentation(문서)로 해서 각 등급별 요구사항을 세분화하고 있다. 하지만 이와는 달리, ITSEC는 어떤 기준, 즉, 효용성과 정확성이라는 표준을 따르고 있다. 또한, ITSEC은 특정한 보장 수준을 성공하기 위하여 특별한 기술적인 특징들을 포함하기 위해 평가된 목표를 요구하지는 않는다. 예를 들면, ITSEC 목표는 비밀성 또는 가용성을 제공하지 않고, 권한과 무결성을 제공하는 것이다. 주어진 목표의 보안 특징은 Security Target 문서에 문서화되어 있다. 이러한 내용은 목표 그 자체를 평가하기 전에 평가되어지고, 승인되어진다. 이와 같은 ITSEC평가는 Security Target에서 식별된 보안특징을 증명하는 것에 기반하고 있다.
* TCSEC와 ITSEC의 공통점
- 공통 표준은 유럽과 북미국 표준을 정렬하고 발전해서 국제적인 노력의 결과로 나온 것이다. 공통 표준 프로젝트는 보안 요구를 상술하고, 제품과 체계를 평가하는데 사용하기 위해 공통 표준에 의해 ITSEC, CTCPEC(Canadian Criteria), 미국 연방 표준(US Federal Criteria)인 FC 등이 일치하고 있다. 이러한 것들은 국제 표준 기구(ISO15408)에 의해 국가적이고, 지역적인 기준으로 계속 변화하고 있는 중이다.
Sites related with Orange Book
http://www.dynamoo.com/orange/fulltext.htm
http://www.dynamoo.com/orange/summary.htm
Sites related with ITSEC
http://www.cesg.gov.uk/site/iacs/index.cfm?menuSelected=1&displayPage=1
http://www.iwar.org.uk/comsec/resources/standards/itsec.htm
http://www.cesg.gov.uk/site/iacs/index.cfm?menuSelected=1&displayPage=11
http://en.wikipedia.org/wiki/ITSEC
http://www.bsi.de/zertifiz/itkrit/itsec-en.pdf

키워드

Orange Book,   ITSEC,   비교분석,   오렌지북,   소프트웨어공학