ČSN ISO/IEC 19989-3   (369859) Bezpečnost informací - Kritéria a metodika pro hodnocení bezpečnosti biometrických systémů - Část 3: Detekce prezentačního útoku

Anotace textu normy ČSN ISO/IEC 19989-3   (369859)

ISO/IEC 19989-3:2020 stanoví kritéria a metodiku, které jsou užitečné při hodnocení bezpečnosti biometrických systémů.

Biometrické produkty a systémy sdílejí mnoho vlastností jiných produktů a systémů IT, u kterých se k hodno-cení bezpečnosti z pohledu normalizace využívá soubor norem ISO/IEC 15408 a norma ISO/IEC 18045. Bi-ometrické systémy však ztělesňují určité funkce, které vyžadují specializovaná hodnoticí kritéria a metodiku, která není řešena souborem ISO/IEC 15408 a ISO/IEC 18045. Tyto se týkají především hodnocení biome-trického rozpoznávání a detekce prezentačních útoků. To jsou funkce, kterým se věnuje soubor ISO/IEC 19989. Soubor ISO/IEC 19989 představuje most mezi principy hodnocení biometrických produktů a systémů definovaných v ISO/IEC 19792 a kritérii a metodickými požadavky pro hodnocení bezpečnosti na základě souboru ISO/IEC 15408. Soubor ISO/IEC 19989 doplňuje soubory ISO/IEC 15408 a ISO/IEC 18045 tím, že poskytuje rozšířené bezpečnostní funkční komponenty spolu s doplňkovými činnostmi souvisejícími s těmito požadavky. Rozšíření požadavků a doplňkových činností nalezených v souborech ISO/IEC 15408 a ISO/IEC 18045 souvisí s hodnocením biometrického rozpoznávání a detekce prezentačních útoků, které se týkají zejména biometrických systémů.

Tato norma poskytuje návody a požadavky pro vývojáře a hodnotitele pro doplňkové činnosti týkající se detekce prezentačního útoku specifikované v ISO/IEC 19989-1. Staví na obecných úvahách popsaných v ISO/IEC 19792 a metodologii testování detekce prezentačního útoku popsané v ISO/IEC 30107-3 tím, že poskytuje hodnotiteli další návod.

Na začátku normy jsou uvedeny potřebné termíny a definice, včetně zkratek a zkrácených termínů. Následuje přehled testování PAD ve třídě ATE a třídě AVA, doplňkové činnosti k ISO/IEC 18045 o testech (ATE) a o posouzení zranitelnosti (AVA). V příloze jsou potom uvedeny příklady výpočtů potenciálu útoku.