정보보안 관리 및 법규 문제 2-1

[김지훈JH]

14년 국가 9급

국제공통평가기준(Common Criteria)에 대한 설명으로 옳지 않은 것은?

가. 정보보호 측면에서 정보보호 기능이 있는 IT 제품의 안전성을 보증.평가하는 기준이다.

나. 국제공통평가기준은 소개 및 일반모델, 보안기능요구사항, 보증요구사항 등으로 구성되고, 보증 등급은 5개이다.

다. 보안기능요구사항과 보증요구사항의 구조는 클래스로 구성된다.

라. 상호인정협정(CCRA:Common Criteria Recognition Arrangement)은 정보보호제품의 평가인증 결과를

가입 국가 간 상호 인정하는 협정으로서 미국, 영국, 프랑스 등을 중심으로 시작되었다.

답 : 나

보증등급은 7개

18년 국가 9급

다음은 CC(Common Criteria)의 7가지 보증 등급 중 하나에 대한 설명이다.

시스템이 체계적으로 설계되고, 테스트되고, 재검토되도록 (methodically designed, tested and reviewed) 요구하는 것은?

--------------------------------------------------------------------------

낮은 수준과 높은 수준의 설계 명세를 요구한다. 인터페이스 명세가 완벽할 것을 요구한다.

제품의 보안을 명시적으로 정의한 추상화 모델을 요구한다. 독립적인 취약점 분석을 요구한다.

개발자 또는 사용자가 일반적인 TOE의 중간 수준부터 높은 수준까지의 독립적으로 보증된 보안을

요구 하는 곳에 적용 가능하다. 또한 추가적인 보안 관련 비용을 감수할 수 있는 곳에 적용 가능하다.

--------------------------------------------------------------------------

가. EAL 2

나. EAL 3

다. EAL 4

라. EAL 5

답 : 다

EAL1 - 기능적인 실험완료(functionally tested)

EAL2 - 구조적인 실험완료(structurally tested)

EAL3 - 조직적으로 실험되고 체크됨(methodically tested and checked)

EAL5 - 반 공식적인 디자인과 테스트(semiformally designed and tested)

EAL6 - 반 공식적인 디자인 인증과 테스트(semiformally verified design and tested)

EAL7 - 공식적 디자인 인증과 테스트(formally verified design and tested)

15년 국가 9급

국제공통평가기준(Common Criteria)에 대한 설명으로 옳지 않은 것은?

가. 국가마다 서로 다른 정보보호시스템 평가기준을 연동하고 평가결과를 상호인증하기 위해 제정된 평가기준이다.

나. 보호 프로파일(Protection Profiles)은 특정 제품이나 시스템에만 종속되어 적용하는 보안기능 수단과 보증수단을

기술한 문서이다.

다. 평가 보증 등급(EAL : Eval‎uation Assurance Level)에서 가장 엄격한 보증(formally verified) 등급은 EAL7이다.

라. 보안 요구조건을 명세화하고 평가기준을 정의하기 위한 ISO/IEC 15408 표준이다.

답 : 나

ST(Security Target)에 대한 설명

PP(Protection Profiles) : 정보제품이 갖추어야할 공통적인 보안요구사항을 모아놓은 것

ISO/IEC 15408 표준의 또다른 이름이 CC