ČSN ISO/IEC 19989-1

ISO/IEC 19989-1:2020 stanoví kritéria a metodiku, které jsou užitečné při hodnocení bezpečnosti biometrických systémů. Biometrické produkty a systémy sdílejí mnoho vlastností jiných produktů a systémů IT, které u kterých se k hodnocení bezpečnosti z pohledu normalizace využívá soubor norem ISO/IEC 15408 a norma ISO/IEC 18045. Biometrické systémy však ztělesňují určité funkce, které vyžadují specializovaná hodnoticí kritéria a metodiku, která není řešena souborem ISO/IEC 15408 a ISO/IEC 18045. Tyto se týkají především hodnocení biometrického rozpoznávání a detekce prezentačních útoků. To jsou funkce, kterým se věnuje právě soubor ISO/IEC 19989. Soubor ISO/IEC 19989 představuje most mezi principy hodnocení biometrických produktů a systémů defino-vaných v ISO/IEC 19792 a kritérii a metodickými požadavky pro hodnocení bezpečnosti na základě souboru ISO/IEC 15408. Soubor ISO/IEC 19989 doplňuje soubory ISO/IEC 15408 a ISO/IEC 18045 tím, že poskytuje rozšířené bezpečnostní funkční komponenty spolu s doplňkovými činnostmi souvisejícími s těmito požadavky. Rozšíření požadavků a doplňkových činností nalezených v souborech ISO/IEC 15408 a ISO/IEC 18045 souvisí s hodnocením biometrického rozpoznávání a detekce prezentačních útoků, které se týkají zejména biometrických systémů. Tato norma obsahuje zavedení obecného rámce pro hodnocení bezpečnosti biometrických systémů, včetně rozšířených bezpečnostních funkčních komponent a doplňkové metodiky a hodnotících činností pro hodnotitele. Na začátku normy jsou rozebrány zranitelnosti v biometrických systémech a hodnocení jejich bezpečnosti, zejména co se detekce prezentačního útoku (PAD) týče. Navazují pak popis rozšířených bezpečnostních funkčních komponent, konkrétně FIA (identifikace a autentizace), APE (hodnocení profilu ochrany), ASE (bezpečnostní cíl), ADV (vývoj), AGD (návody), ALC (podpora životního cyklu), ATE (testy) a AVA (zranitelnost). V přílohách je obsažen úvod do základních pojmů ISO/IEC 15408, popis třídy FPT (ochrana TSF), třídy FIA (identifikace a autentizace), základních informací o doplňkových činnostech pro hodnocení PAD, popis ostatních obecných zranitelností a výpočet potenciálu útoku a odolnosti TOE.