ایزو ۱۹۷۹۰ استاندارد امنیتی ماژول‌های رمزنگاری است. این سند الزامات طراحی، پیاده‌سازی، آزمایش و ارزیابی ماژول‌هایی را تعیین می‌کند که عملیات رمزنگاری انجام می‌دهند. منظور از ماژول رمزنگاری می‌تواند HSM، کارت هوشمند، تراشه امن، کتابخانه نرم‌افزاری یا هر زیرسیستمی باشد که کلیدها و الگوریتم‌های رمزنگاری را مدیریت می‌کند. هدف استاندارد، کاهش ریسک افشای کلید، دستکاری حالت‌های داخلی و سوءاستفاده از رابط‌ها است. نتیجه کاربرد آن، اعتمادپذیری زنجیره اعتماد دیجیتال در مقیاس سازمانی است.
ارتباط ایزو ۱۹۷۹۰ با FIPS 140 و تفاوت‌های کلیدی
FIPS 140-2 و 140-3 چارچوب‌های اجباری برای نهادهای فدرال آمریکا هستند. ایزو/IEC 19790 با فلسفه‌ای مشابه تدوین شده اما ماهیت بین‌المللی دارد و برای استفاده در حوزه‌های قضایی مختلف مناسب است. در عمل، تولیدکنندگان HSM و تراشه‌های امن، مسیر ارزیابی را به گونه‌ای طراحی می‌کنند که هم‌پوشانی گسترده‌ای با FIPS داشته باشد. اگر سازمانی در ایران به دنبال تطابق بین‌المللی است، استناد به ایزو/IEC 19790 در مستندات امنیتی و الزامات خرید، منطقی و آینده‌نگرانه است.
دامنه الزامات در ایزو ۱۹۷۹۰
ایزو ۱۹۷۹۰ به چهار محور اصلی می‌پردازد:
- تعریف مرز ماژول
مرز فیزیکی یا منطقی ماژول باید روشن باشد. هر چیزی داخل مرز تحت کنترل امنیتی است. هر چیزی بیرون از مرز، محیط عملیاتی محسوب می‌شود. این تفکیک، مبنای آزمون و حسابرسی است. - رابط‌ها و نقش‌ها
رابط داده، کنترل، وضعیت و توان باید مستند شود. نقش‌ها شامل Crypto Officer، کاربر مجاز و کاربر نگهداری تعریف می‌شود. سیاست احراز هویت برای هر نقش لازم است. - خدمات و حالت‌ها
خدمات ماژول مانند تولید کلید، امضا، رمزگذاری، مدیریت چرخه عمر کلید و خودآزمایی‌های قدرت‌گیری باید فهرست و محدودیت‌های دسترسی مشخص شود. تغییر حالت از حالت مجاز به حالت خطا باید تحت کنترل باشد. - الزامات امنیتی تفصیلی
حفاظت فیزیکی، مدیریت کلید، الگوریتم‌های مجاز، خودآزمایی‌ها، تست‌های صحت، حفاظت در برابر خطای القایی و کانال‌های جانبی، ثبت وقایع امنیتی، مدیریت نسخه و پیکربندی را پوشش می‌دهد.
سطوح امنیتی ایزو ۱۹۷۹۰
مانند خانواده FIPS، ایزو ۱۹۷۹۰ سطوح بالغ بر چند رده امنیتی را تعریف می‌کند که از پایه تا پیشرفته افزایش می‌یابد. در رده‌های بالاتر، نیاز به شواهد سخت‌گیرانه‌تر، مکانیزم‌های دستکاری‌ناپذیر، پاک‌سازی خودکار کلید در رخداد نفوذ و مقاومت بهتر در برابر حملات فیزیکی و جانبی مطرح است. انتخاب سطح باید از تحلیل ریسک، کلاس دارایی‌ها و الزامات نظارتی استخراج شود. برای بانک‌ها، پرداخت‌یارها، دولت الکترونیک و زیرساخت کلید عمومی، سطح‌های بالاتر معمولاً توجیه‌پذیر است.
چرا سازمان‌های ایرانی به ایزو ۱۹۷۹۰ نیاز دارند
- هم‌راستایی با مقررات داخلی و بین‌المللی
در پروژه‌های امضای دیجیتال، HSM بانک‌ها، گذرگاه‌های پرداخت، کارت‌های سوخت و سلامت، و دستگاه‌های IoT صنعتی، استناد به این استاندارد باعث یکدست شدن زبان فنی با تامین‌کنندگان بین‌المللی می‌شود. - پاسخ به الزامات قراردادی
بسیاری از RFPها از اصطلاحاتی مانند Module Boundary، Roles and Services، Self-tests و Zeroization استفاده می‌کنند. ایزو ۱۹۷۹۰ این اصطلاحات را دقیقا تعریف می‌کند و مبنای ارزیابی ارائه می‌دهد. - کاهش ریسک در چرخه عمر کلید
مدیریت تولید، توزیع، ذخیره، استفاده و امحای کلیدها طبق این استاندارد، احتمال رخدادهای خسارت‌بار را کم می‌کند. - مزیت رقابتی
تولیدکنندگان داخلی ماژول‌های رمزنگاری یا راهکارهای نرم‌افزاری با انطباق بر ایزو ۱۹۷۹۰ شانس حضور در مناقصات منطقه‌ای را افزایش می‌دهند.
مسیر عملی پیاده‌سازی و ارزیابی
- تعریف مرز ماژول و معماری امنیتی
مستند کنید چه چیزهایی در مرز قرار دارد. در صورت نرم‌افزاری بودن، جداسازی پردازه، استفاده از محیط‌های اجرا با حداقل اختیارات و مکانیزم‌های ضد دیباگ را مشخص کنید. - ماتریس نقش‌ها، خدمات و سیاست دسترسی
برای هر نقش، خدمات مجاز، روش احراز هویت، سطح ثبت وقایع و پاسخ به خطا را تعیین کنید. - طراحی مدیریت کلید
منابع آنتروپی، DRBG، طول کلید، سیاست دوران کلید، بسته‌بندی و واردسازی کلید، و فرآیند صفرسازی را مستند کنید. از الگوریتم‌های استاندارد و طول کلید روزآمد استفاده کنید. - کنترل تغییرات و نسخه‌ها
هر تغییر در کد یا سخت‌افزار باید با ارزیابی تأثیر امنیتی همراه شود. فرآیند Build قابل بازتولید باشد. - خودآزمایی‌ها
تست‌های قدرت‌گیری، آزمون صحت الگوریتم‌ها، تست یکپارچگی کد و واکنش به خطا را پیاده‌سازی و گزارش کنید. - آماده‌سازی مدارک ارزیابی
ST یا Security Policy، توصیف ماژول، شواهد آزمون، ردیابی الزامات به شواهد، و گزارش آسیب‌پذیری‌ها را گردآوری کنید. - آزمون مستقل
همکاری با آزمایشگاه ارزیابی برای اجرای تست‌ها، بازبینی شواهد، و رفع عدم انطباق‌ها.
نکات خرید برای سازمان‌ها
- سطح امنیتی ادعایی را با شواهد تطبیق دهید
فقط به بروشور تکیه نکنید. سیاست امنیتی ماژول و گزارش ارزیابی را درخواست کنید. - الگوریتم‌ها و طول کلیدها
از همخوانی با استانداردهای روز اطمینان حاصل کنید. RSA با طول کلید کافی، ECC با منحنی‌های پذیرفته‌شده، AES با مد عملیاتی امن و مکانیزم‌های احراز اصالت. - ویژگی‌های ضد دستکاری
برای محیط‌های پرخطر، سنسور بازشدن، شفافیت اپوکسی، پاک‌سازی خودکار کلید و لاگ امن را بررسی کنید. - روند به‌روزرسانی امن
سازوکار امضای دیجیتال Firmware و بازگشت امن به نسخه پایدار را الزام کنید. - هماهنگی با زنجیره تأمین
شماره سریال، رهگیری تولید، و کنترل دسترسی به فرآیند Inject کلید را مدیریت کنید.
چالش‌های رایج و راهکارها
- تعریف ناصحیح مرز ماژول
به‌جای تعاریف کلی، مرز را بر پایه اجزای واقعی، باس‌ها و رابط‌های فیزیکی مشخص کنید. نمودار بلوکی دقیق ارائه دهید. - مدیریت کلید ناکافی
بدون مستندسازی چرخه عمر کلید، ارزیابی شکست می‌خورد. سیاست دوران کلید و خروج اضطراری کلید را عملیاتی کنید. - عدم ثبت وقایع امنیتی
لاگ رویدادهای امنیتی با زمان‌بندی قابل اتکا و محافظت در برابر تغییر ضروری است. - آنتروپی ضعیف
منابع آنتروپی باید اندازه‌گیری و آزمون شوند. از تست‌های سلامت DRBG استفاده کنید.
تخمین زمان و هزینه
زمان و هزینه وابسته به نوع ماژول، سطح هدف و بلوغ فرایند شما است. برای یک HSM سخت‌افزاری سطح بالا، چند ماه کار فنی و ارزیابی مستقل متداول است. برای یک کتابخانه نرم‌افزاری با سطح متوسط، زمان کمتر خواهد بود. برنامه‌ریزی واقع‌بینانه و آغاز زودهنگام مستندسازی، ریسک تأخیر را کاهش می‌دهد.
نقش ایران‌گواه در مسیر انطباق
اگر تیم شما به تدوین سیاست امنیتی، تعریف مرز، آماده‌سازی شواهد آزمون، Gap Analysis و همراهی در آزمون مستقل نیاز دارد، ایران‌گواه می‌تواند خدمات مشاوره، پیش‌ارزیابی و آماده‌سازی اسناد را ارائه دهد. هدف، کاهش چرخه‌های بازکاری و رساندن محصول به سطح انطباق موردنیاز است.
چک‌لیست سریع
- مرز ماژول و نمودار بلوکی مشخص
- ماتریس نقش‌ها و خدمات تکمیل
- سیاست مدیریت کلید و صفرسازی تدوین
- خودآزمایی‌ها و تست‌های صحت پیاده‌سازی
- ثبت وقایع امنیتی مقاوم در برابر تغییر
- فرآیند کنترل نسخه و Build بازتولیدپذیر
- بسته شواهد و سیاست امنیتی آماده ارائه
پرسش‌های متداول
آیا ایزو ۱۹۷۹۰ فقط برای سخت‌افزار است
خیر. هم برای ماژول‌های نرم‌افزاری و هم سخت‌افزاری کاربرد دارد. تفاوت در شواهد و آزمون‌های فیزیکی است.
اگر محصول من FIPS 140-3 دارد، به ایزو ۱۹۷۹۰ هم نیاز دارم
بسته به نیاز بازار هدف. برای استناد بین‌المللی و قراردادهایی که ISO را نام می‌برند، مفید است. هم‌پوشانی بالا وجود دارد.
کدام سطح را انتخاب کنم
از ارزیابی ریسک شروع کنید. نوع داده، تهدیدها، محیط استقرار و الزامات مقرراتی تعیین‌کننده هستند.
برای ایزو ۱۹۷۹۰ چه مدارکی باید آماده کنم
سیاست امنیتی ماژول، توصیف معماری، شواهد آزمون، گزارش مدیریت کلید، مستند کنترل نسخه و صورت‌جلسات کنترل تغییر.
