Tiêu chuẩn quốc gia TCVN 8709-1:2011 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 15408-1:2009) về Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 1: Giới thiệu và mô hình tổng quát là văn bản nền tảng thiết lập các nguyên tắc, khái niệm cơ bản và mô hình tổng quát sử dụng trong việc đánh giá an toàn các sản phẩm và hệ thống công nghệ thông tin.

- Giới thiệu chung và phạm vi tiếp cận của Tiêu chuẩn

Tiêu chuẩn giới thiệu các khái niệm chính của bộ tiêu chuẩn TCVN 8709, xác định rõ khái niệm "TOE" (Target of Evaluation - Đối tượng đánh giá), các đối tượng sử dụng tiêu chuẩn và phương pháp tiếp cận hệ thống để trình bày các nội dung tiêu chuẩn. Tài liệu này giả thiết người sử dụng đã có những hiểu biết nhất định về an toàn công nghệ thông tin và không đóng vai trò như một tài liệu hướng dẫn đào tạo cơ bản trong lĩnh vực này.

- Cấu trúc các phần của bộ tiêu chuẩn TCVN 8709

Hệ thống tiêu chuẩn đánh giá an toàn CNTT được chia thành các phần chuyên biệt có mối quan hệ chặt chẽ với nhau:

• Phần 1 (TCVN 8709-1): Trình bày các khái niệm chung, ngữ cảnh sử dụng khái niệm và cách thức TCVN 8709 áp dụng các khái niệm này vào thực tế đánh giá.
• Phần 2 (TCVN 8709-2) và Phần 3 (TCVN 8709-3): Là các tài liệu bắt buộc mà người sử dụng Phần 1 phải tham chiếu và tư vấn. Hai phần này mở rộng việc áp dụng các khái niệm an toàn và giả định phương pháp tiếp cận hệ thống được sử dụng nhất quán.
• Tiêu chuẩn phối hợp ISO/IEC 18045: Đối với người dùng sử dụng tiêu chuẩn TCVN 8709-1 nhằm thực hiện các hoạt động đánh giá cụ thể, tiêu chuẩn phương pháp luận đánh giá ISO/IEC 18045 có thể được áp dụng song song.

- Các khái niệm và thành phần cốt lõi trong đánh giá an toàn

• Phần tử (element): Đơn vị cấu thành nhỏ nhất được định nghĩa trong các yêu cầu an toàn hoặc tiêu chí đánh giá.
• Mục tiêu an toàn (security objective): Tuyên bố chỉ ra mục đích cần đạt được nhằm giải quyết các mối đe dọa đã xác định và/hoặc đáp ứng các chính sách an toàn tổ chức hoặc các giả định đề ra.
• Hệ thống quản lý cấu hình: Phần tài liệu mô tả chi tiết cách thức hệ thống quản lý cấu hình được định nghĩa và áp dụng trong thực tế, bao gồm các sổ tay hướng dẫn, các quy định nội bộ và/hoặc tài liệu về các công cụ và thủ tục vận hành.
• Tổng quan TOE (Target of Evaluation): Xác định kiểu TOE chung được đưa vào đánh giá, ví dụ như: tường lửa, tường lửa VPN, thẻ thông minh (smart card), modem mã hóa, mạng nội bộ (intranet), web server, cơ sở dữ liệu, mạng cục bộ (LAN), hoặc sự kết hợp giữa LAN với web server và cơ sở dữ liệu.

- Định nghĩa vấn đề an toàn và môi trường vận hành

Việc xác định vấn đề an toàn của TOE và môi trường xung quanh được cấu thành từ ba yếu tố cốt lõi:

• Mối đe dọa: Chỉ ra các mối đe dọa an toàn thông tin được tính đến bởi TOE, bởi môi trường vận hành của TOE, hoặc sự kết hợp hài hòa của cả hai.
• Chính sách an toàn tổ chức (OSP - Organizational Security Policy): Chỉ ra các chính sách, quy định an toàn bắt buộc phải được thực thi bởi TOE, môi trường vận hành của nó, hoặc sự kết hợp của cả hai.
• Các giả định đối với môi trường vận hành: Xác định các giả định bắt buộc về mặt vật lý, con người và kết nối của môi trường vận hành để TOE có thể cung cấp đầy đủ chức năng an toàn theo thiết kế. Nếu môi trường vận hành thực tế không đáp ứng các giả định này, TOE có thể không còn khả năng cung cấp toàn bộ các chức năng an toàn nữa.

- Đặc tả tóm tắt TOE (TOE Summary Specification)

Mục tiêu của đặc tả tóm tắt TOE là cung cấp cho người tiêu dùng tiềm năng một mô tả khái quát nhưng đầy đủ về cách thức TOE thỏa mãn tất cả các yêu cầu chức năng an toàn (SFR - Security Functional Requirements). Đặc tả này đưa ra các cơ chế kỹ thuật chung mà TOE sử dụng, với mức độ chi tiết đủ để người dùng hiểu được các dạng thức và cách thức thực thi chung của TOE.

- Hồ sơ Bảo vệ (PP - Protection Profile) và Tuyên bố An toàn (ST - Security Target)

Tiêu chuẩn phân định rõ cấu trúc, vai trò và mối quan hệ giữa Hồ sơ Bảo vệ (PP) và Tuyên bố An toàn (ST):

• Khái niệm Hồ sơ Bảo vệ (PP): Phụ lục của tiêu chuẩn tập trung giải thích các khái niệm về PP. Phụ lục này không định nghĩa các tiêu chí đánh giá PP (tiêu chí APE), các tiêu chí này được quy định chi tiết trong TCVN 8709-3 và các tài liệu tham khảo liên quan.
• Sự tương đồng giữa PP và ST: Các mục trong PP bao gồm định nghĩa vấn đề an toàn, mục tiêu an toàn, định nghĩa các thành phần mở rộng, và các yêu cầu an toàn về cơ bản giống hệt với các mục tương ứng của một ST.
• Sự khác biệt giữa PP và ST: Quy tắc để hoàn thành các hoạt động trong một PP có sự khác biệt nhỏ so với các quy tắc trong một ST (được hướng dẫn cụ thể tại mục 7.1). Đồng thời, vì PP không có đặc tả tóm tắt TOE cụ thể, nên tùy chọn đặc tả tóm tắt là không hợp lệ đối với PP.
• Tuyên bố tuân thủ của PP: Mô tả cách thức PP tuân thủ với các PP khác và với các gói (packages). Mục này tương tự như mục tuyên bố tuân thủ đối với ST, ngoại trừ phần phát biểu tuân thủ đặc thù.
• Tuyên bố tuân thủ của ST: Mô tả cách thức ST tuân thủ với các tiêu chuẩn, PP hoặc các gói yêu cầu an toàn khác.

- Kết quả mong muốn từ hoạt động đánh giá

Tiêu chuẩn xác định rõ ràng các kết quả mong muốn thu được thông qua hoạt động đánh giá Hồ sơ Bảo vệ (PP) và Tuyên bố An toàn/Đối tượng đánh giá (ST/TOE) khi được thực hiện một cách chuẩn mực theo các quy định của TCVN 8709.