Tiêu chuẩn quốc gia TCVN 14190-1:2024 (ISO/IEC 19989-1:2020) về An toàn thông tin - Tiêu chí và phương pháp luận đánh giá an toàn hệ thống sinh trắc học - Phần 1: Khung
TIÊU CHUẨN QUỐC GIA
TCVN 14190-1:2024
ISO/IEC 19989-1:2020
AN TOÀN THÔNG TIN - TIÊU CHÍ VÀ PHƯƠNG PHÁP LUẬN ĐÁNH GIÁ AN TOÀN HỆ THỐNG SINH TRẮC HỌC - PHẦN 1: KHUNG
Information security - Criteria and methodology for security evaluation of biometric systems - Part 1: Framework
Lời nói đầu
TCVN 14190-1:2024 hoàn toàn tương đương với ISO/IEC 19989-1:2020.
TCVN 14190-1:2024 do Ban Cơ yếu Chính phủ biên soạn, Bộ Quốc phòng đề nghị, Ủy ban Tiêu chuẩn Đo lường Chất lượng Quốc gia thẩm định, Bộ Khoa học và Công nghệ công bố.
Bộ tiêu chuẩn TCVN 14190 (ISO/IEC 19989) An toàn thông tin - Tiêu chí và phương pháp luận đánh giá an toàn hệ thống sinh trắc học bao gồm 3 phần:
- TCVN 14190-1 (ISO/IEC 19989-1) An toàn thông tin - Tiêu chí và phương pháp luận đánh giá an toàn hệ thống sinh trắc học - Phần 1: Khung.
- TCVN 14190-2 (ISO/IEC 19989-2) An toàn thông tin - Tiêu chí và phương pháp luận đánh giá an toàn hệ thống sinh trắc học - Phần 2: Hiệu suất nhận dạng sinh trắc học.
- TCVN 14190-3 (ISO/IEC 19989-3) An toàn thông tin - Tiêu chí và phương pháp luận đánh giá an toàn hệ thống sinh trắc học - Phần 3: Phát hiện tấn công trình diện.
Giới thiệu
Các hệ thống sinh trắc học có thể bị tấn công bởi các cuộc tấn công trình diện trong đó những kẻ tấn công cố gắng phá hoại chính sách an toàn hệ thống bằng cách trình diện các đặc trưng sinh trắc học tự nhiên của chúng hoặc các tạo tác sở hữu các đặc điểm đã được sao chép hoặc giả mạo. Các cuộc tấn công trình diện có thể xảy ra trong quá trình đăng ký hoặc các thủ tục định danh/xác minh. Các kỹ thuật được thiết kế để phát hiện những bản trình diện các tạo tác thường khác với các kỹ thuật để chống lại các cuộc tấn công khi sử dụng các đặc điểm tự nhiên. Phòng thủ chống lại các cuộc tấn công trình diện với các đặc điểm tự nhiên thường dựa vào khả năng của hệ thống sinh trắc học để phân biệt giữa những người đăng ký thực và những kẻ tấn công, dựa trên sự khác biệt giữa các đặc trưng sinh trắc học tự nhiên giữa hai thực thể. Khả năng này được thể hiện bởi hiệu suất nhận dạng sinh trắc học của hệ thống. Hiệu suất nhận dạng sinh trắc học và phát hiện tấn công trình diện có ảnh hưởng đến tính an toàn của hệ thống sinh trắc học. Do đó, việc đánh giá các khía cạnh này của hiệu suất từ quan điểm về an toàn sẽ là những cân nhắc quan trọng đối với việc mua sắm các sản phẩm và hệ thống sinh trắc học.
Các sản phẩm và hệ thống sinh trắc học chia sẻ nhiều đặc tính của các sản phẩm và hệ thống CNTT khác có thể đáp ứng được việc đánh giá an toàn bằng cách sử dụng loạt tiêu chuẩn TCVN 8709 và TCVN 11386 theo phương thức tiêu chuẩn. Tuy nhiên, các hệ thống sinh trắc học bao gồm một số chức năng cần các tiêu chí và phương pháp luận đánh giá chuyên biệt mà bộ tiêu chuẩn TCVN 8709 và TCVN 11386 không đề cập đến. Những điều này chủ yếu liên quan đến việc đánh giá nhận dạng sinh trắc học và phát hiện tấn công trình diện. Đây là những chức năng được đề cập trong bộ tiêu chuẩn TCVN 14190.
TCVN 11385 mô tả các khía cạnh cụ thể về sinh trắc học và chỉ rõ các nguyên tắc cần được xem xét trong quá trình đánh giá an toàn của hệ thống sinh trắc học. Tuy nhiên, TCVN 11385 không chỉ rõ các tiêu chí và phương pháp luận cụ thể cần thiết để đánh giá an toàn dựa trên bộ tiêu chuẩn TCVN 8709.
Bộ tiêu chuẩn TCVN 14190 cung cấp cầu nối giữa các nguyên tắc đánh giá cho các sản phẩm và hệ thống sinh trắc học được xác định trong TCVN 11385 và các yêu cầu về tiêu chí và phương pháp luận để đánh giá an toàn dựa trên bộ tiêu chuẩn TCVN 8709. Bộ tiêu chuẩn TCVN 14190 bổ sung cho bộ tiêu chuẩn TCVN 8709 và TCVN 11386 bằng cách cung cấp các thành phần chức năng an toàn mở rộng cùng với các hoạt động bổ sung liên quan đến các yêu cầu này. Các phần mở rộng đối với các yêu cầu và hoạt động bổ sung được tìm thấy trong bộ tiêu chuẩn TCVN 8709 và TCVN 11386 liên quan đến việc đánh giá nhận dạng sinh trắc học và phát hiện tấn công trình diện cụ thể đối với các hệ thống sinh trắc học.
Tiêu chuẩn này bao gồm việc giới thiệu khung để đánh giá an toàn của hệ thống sinh trắc học, bao gồm các thành phần chức năng an toàn m
| Số hiệu | TCVN14190-1:2024 |
|---|---|
| Loại văn bản | Tiêu chuẩn Việt Nam |
| Lĩnh vực | Môi trường – Công nghệ |
| Ngày ban hành | 01/01/2024 |
| Ngày hiệu lực | 11/07/2026 |
| Nơi ban hành | *** |
| Người ký | *** |
| Tình trạng | Chưa xác định |
Tóm tắt mang tính tham khảo.
Tiêu chuẩn quốc gia TCVN 14190-1:2024 (hoàn toàn tương đương với ISO/IEC 19989-1:2020) về An toàn thông tin - Tiêu chí và phương pháp luận đánh giá an toàn hệ thống sinh trắc học - Phần 1: Khung, đưa ra các quy định kỹ thuật nhằm thiết lập khung đánh giá an toàn cho các hệ thống sinh trắc học, đặc biệt tập trung vào cơ chế phát hiện tấn công giả mạo (PAD) và hiệu suất nhận dạng sinh trắc học. Phạm vi và đối tượng áp dụng Tiêu chuẩn này áp dụng đối với các tổ chức, cá nhân tham gia vào hoạt động phát triển, đánh giá, thử nghiệm hoặc chứng nhận an toàn thông tin cho các hệ thống sinh trắc học. Nội dung tiêu chuẩn hướng tới việc chuẩn hóa cách thức xây dựng hồ sơ bảo vệ (PP) và mục tiêu an toàn (ST) cho các đối tượng đánh giá (TOE) liên quan đến công nghệ sinh trắc học. Các họ bổ sung thuộc Lớp FPT (Bảo vệ chức năng tin cậy của TOE) Tiêu chuẩn định nghĩa các họ bổ sung của Lớp FPT được quy định trong TCVN 8709-2, phục vụ việc mô hình hóa các cơ chế an toàn trong hồ sơ bảo vệ và mục tiêu an toàn: Họ FPT_PAD: Được sử dụng để mô hình hóa các cơ chế an toàn của hệ thống con phát hiện tấn công giả mạo (PAD). Họ FPT_BCP: Được sử dụng để mô hình hóa cơ chế an toàn của hệ thống con thu thập dữ liệu tích hợp chức năng PAD. Phạm vi áp dụng: Các họ FPT_PAD và FPT_BCP được áp dụng tương ứng cho trường hợp thứ nhất và trường hợp thứ hai của đối tượng đánh giá (TOE) được quy định trong khung đánh giá hệ thống. Các nhóm bổ sung thuộc Lớp FIA (Nhận dạng và xác thực) Tiêu chuẩn bổ sung các nhóm chức năng thuộc Lớp FIA (theo quy định tại TCVN 8709-2) nhằm mô hình hóa cơ chế an toàn của PAD trong các quy trình nghiệp vụ sinh trắc học: Nhóm FIA_EBR, FIA_BVR và FIA_BID: Được sử dụng trong các hồ sơ bảo vệ và đích an toàn để mô hình hóa cơ chế an toàn của PAD phục vụ cho các quá trình đăng ký, xác minh và định danh sinh trắc học. Phân loại áp dụng: Các nhóm này được áp dụng cho các TOE thuộc một trong hai trường hợp đánh giá hiệu suất nhận dạng sinh trắc học, hoặc áp dụng cho các TOE thuộc trường hợp thứ ba phục vụ cho việc đánh giá chức năng PAD. Yêu cầu cấu trúc phần giới thiệu của Mục tiêu an toàn (ST) Phần giới thiệu của Mục tiêu an toàn (ST) đóng vai trò quan trọng trong việc định hình phạm vi đánh giá và phải đảm bảo các yêu cầu thông tin sau: Xác định rõ đặc trưng sinh trắc học: Phải nêu rõ các đặc trưng sinh trắc học cụ thể (ví dụ: dấu vân tay) mà hệ thống con PAD hỗ trợ. Thông tin này giúp khách hàng tiềm năng dễ dàng nhận diện và lựa chọn TOE được chứng nhận phù hợp với công nghệ bảo vệ dựa trên đặc trưng sinh trắc học mà họ đang áp dụng. Thông tin về hệ thống sinh trắc học được bảo vệ: Phải mô tả chi tiết về hệ thống sinh trắc học được bảo vệ, xác định rõ chức năng sinh trắc học cốt lõi (như đăng ký, xác minh, định danh) và mục đích sử dụng dự kiến của hệ thống. Vai trò đối với công tác kiểm thử: Các thông tin mô tả trên là cơ sở quan trọng để kiểm thử viên thực hiện đánh giá liên quan đến yêu cầu kiểm tra hiệu suất, phân tích lỗ hổng bảo mật và tính toán tiềm năng tấn công đối với hệ thống. Hiệu lực thi hành Tiêu chuẩn quốc gia TCVN 14190-1:2024 được ban hành và áp dụng theo các quy định hiện hành của pháp luật Việt Nam về tiêu chuẩn và quy chuẩn kỹ thuật. Các thông tin chi tiết về ngày ban hành chính thức và ngày bắt đầu có hiệu lực cụ thể chưa được cập nhật trong tài liệu trích xuất này.
- Tiêu chuẩn quốc gia TCVN 13723-1:2023 (ISO/IEC 19896-1:2018) về Kỹ thuật an toàn công nghệ thông tin - Yêu cầu về năng lực đối với kiểm thử viên và đánh giá viên bảo mật thông tin - Phần 1: giới thiệu, khái niệm và yêu cầu chung
- Tiêu chuẩn quốc gia TCVN 12197:2024 (ISO/IEC 19772:2020) về An toàn thông tin - Mã hóa có xác thực
- Tiêu chuẩn quốc gia TCVN 14179:2024 về Hệ thống thu phí điện tử - Yêu cầu và biện pháp an toàn thông tin - Công nghệ nhận dạng tần số vô tuyến
- Tiêu chuẩn quốc gia TCVN 14191-1:2024 (ISO/IEC 23264-1:2021) về An toàn thông tin - Biên tập lại dữ liệu xác thực - Phần 1: Yêu cầu chung
- Tiêu chuẩn quốc gia TCVN 3570:1981 về An toàn sinh học - Những yêu cầu chung
- Tiêu chuẩn quốc gia TCVN 8709-1:2011 (ISO/IEC 15408-1:2009) về Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 1: Giới thiệu và mô hình tổng quát
- Tiêu chuẩn Việt Nam TCVN 8709-2:2011 (ISO/IEC 15408-2 : 2008) về Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 2: Các thành phần chức năng an toàn
- Tiêu chuẩn Việt Nam TCVN 8709-3:2011 (ISO/IEC 15408-3:2008) về Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 3: Các thành phần đảm bảo an toàn
- Tiêu chuẩn quốc gia TCVN 11385:2016 (ISO/IEC 19792:2009) về Công nghệ thông tin - Các kỹ thuật an toàn - Đánh giá an toàn sinh trắc học
- Tiêu chuẩn quốc gia TCVN 11386:2016 (ISO/IEC 18045:2008) về Công nghệ thông tin - Các kỹ thuật an toàn - Phương pháp đánh giá an toàn công nghệ thông tin
- Tiêu chuẩn quốc gia TCVN 14190-2:2024 (ISO/IEC 19989-2:2020) về An toàn thông tin - Tiêu chí và phương pháp đánh giá an toàn hệ thống sinh trắc học - Phần 2: Hiệu suất nhận dạng sinh trắc học
- Tiêu chuẩn quốc gia TCVN 14190-3:2024 (ISO/IEC 19989-3:2020) về An toàn thông tin - Tiêu chí và phương pháp đánh giá an toàn hệ thống sinh trắc học - Phần 3: Phát hiện tấn công trình diện