TCSEC

Trusted Computer Security Evaluation Criteria
  • 1983년에 미국에서 제정
  • 표지가 오렌지색이라 오렌지북이라 불림
  • 보안등급은 크게는 A, B, C, D 4단계, 세부적으론 A1, B3, B2, B1, C2, C1, D 총 7단계로 나뉜다.
  • 4가지 요구사항 : 정책(Security Policy), 책임성(Accountability), 보증(Assurance), 문서(Documentation)
  • TNI, TDI, CSSI 등 시스템 분류에 따라 적용 기준이 다르다.

1. 보안등급 명세[편집]

1.1. A1[편집]

검증된 보호
    • 수학적으로 완벽한 시스템
    • 현재까지 A1 등급을 받은 시스템은 없으므로 사실상 이상적인 시스템

1.2. B3[편집]

보안 영역
  • 운영체제에서 보안에 불필요한 부분을 모두 제거하고 모듈에 따른 분석 및 테스트가 가능
  • 또한 시스템 파일 및 디렉터리에 대한 접근 방식을 지정하고, 위험 동작을 하는 사용자의 활동에 대해서는 자동 백업
  • 현재까지 B3등급을 받은 시스템은 극히 일부

1.3. B2[편집]

계층 구조화된 정보보호
  • 시스템에 정형화된 보안 정책이 존재하며 B1 등급의 기능을 모두 포함

1.4. B1[편집]

레이블된 정보보호
  • 시스템 내의 보안 정책을 적용할 수 있고 각 데이터에 대해 보안 레벨 설정 가능
  • 시스템 파일이나 시스템에 대한 권한 설정 가능

1.5. C2[편집]

통제된 접근보호
  • 각 계정별 로그인이 가능하며 그룹 ID에 따라 통제가 가능한 시스템
  • 보안 감사가 가능하며 특정 사용자의 접근 거부 가능
  • 윈도우 NT 4.0과 현재 사용되는 대부분의 유닉스 시스템이 이 등급에 해당

1.6. C1[편집]

임의적 정보보호
  • 일반적인 로그인 과정이 존재하는 시스템
  • 사용자간 침범이 차단되어 있고 모든 사용자가 자신이 생성한 파일에 대해 권한 설정 및 접근 통제 가능
  • 초기의 유닉스 시스템이 이 등급에 해당

1.7. D[편집]

최소한의 보호
  • 위 등급에 해당하지 않는 경우
  • 제대로된 보안 통제가 이루어지고 있지 않음