ČSN ISO/IEC 19989-2   (369859) Bezpečnost informací - Kritéria a metodika pro hodnocení bezpečnosti biometrických systémů - Část 2: Výkonnost biometrického rozpoznávání

Anotace textu normy ČSN ISO/IEC 19989-2   (369859)

ISO/IEC 19989-2:2020 stanoví kritéria a metodiku, které jsou užitečné při hodnocení bezpečnosti biometrických systémů.

Biometrické produkty a systémy sdílejí mnoho vlastností jiných produktů a systémů IT, které u kterých se k hodnocení bezpečnosti z pohledu normalizace využívá soubor norem ISO/IEC 15408 a norma ISO/IEC 18045. Biometrické systémy však ztělesňují určité funkce, které vyžadují specializovaná hodnoticí kritéria a metodiku, která není řešena souborem ISO/IEC 15408 a ISO/IEC 18045. Tyto se týkají především hodnocení biometrického rozpoznávání a detekce prezentačních útoků. To jsou funkce, kterým se věnuje právě soubor ISO/IEC 19989.

Soubor ISO/IEC 19989 představuje most mezi principy hodnocení biometrických produktů a systémů defino-vaných v ISO/IEC 19792 a kritérii a metodickými požadavky pro hodnocení bezpečnosti na základě souboru ISO/IEC 15408. Soubor ISO/IEC 19989 doplňuje soubory ISO/IEC 15408 a ISO/IEC 18045 tím, že poskytuje rozšířené bezpečnostní funkční komponenty spolu s doplňkovými činnostmi souvisejícími s těmito požadavky. Rozšíření požadavků a doplňkových činností nalezených v souborech ISO/IEC 15408 a ISO/IEC 18045 souvisí s hodnocením biometrického rozpoznávání a detekce prezentačních útoků, které se týkají zejména biometrických systémů.

Tato norma obsahuje podrobného popisu výkonnosti biometrického rozpoznávání, čímž cílí na různé politiky zamýšleného použití biometrického systému a jejich vlivu na celkovou výkonnost systému.

Na začátku normy je rozebrán obecný přehled hodnocení výkonnosti biometrických systémů. Stěžejním jádrem je popis chybových měr biometrického rozpoznávání, tj. metrik pro biometrickou verifikaci a identifikaci a stanovení maximálních hodnot těchto chybových měr. Neméně důležitou částí je popis plánování hodnocení, sestávající z odhadu velikosti testu, přípravy dokumentace testu, sběru dat, provedení testu, analýzy výsledků a kontroly. Následuje popis specifických požadavků na komponenty bezpečnostní záruky, hodnocení testů vývojářů opakováním testovací podmnožiny a provádění nezávislých testů. V přílohách jsou potom k nalezení příklady výpočtu potenciálu útoku pro činnosti AVA, příklady činností ATE a příklad dokumentu o testování výkonnosti vývojáře a jeho strategie hodnocení.