ISO IEC 20243-1-2023 PDF

Полное наименование и описание

ISO/IEC 20243-1:2023 — Information technology — Open Trusted Technology ProviderTM Standard (O-TTPS) — Part 1: Requirements and recommendations for mitigating maliciously tainted and counterfeit products. Стандарт содержит обязательные и рекомендованные меры для снижения рисков, связанных с умышленно заражёнными или контрафактными коммерческими аппаратными и программными продуктами (COTS) на всех стадиях жизненного цикла продукта.

Аннотация

Стандарт формулирует практики, требования и рекомендации для поставщиков ICT‑продуктов, направленные на защиту целостности продуктов и цепочек поставок. Охватываются фазы проектирования, закупок, сборки/производства, комплектования и доставки, распространения, сопровождения и утилизации; приводятся меры по предотвращению попадания в цепочку поставок как умышлено заражённых, так и контрафактных элементов и сборок.

Общая информация

• Статус: Публикован (International Standard).
• Дата публикации: ноябрь 2023 (издание 2, 2023).
• Организация-издатель: ISO и IEC (через совместный технический комитет ISO/IEC JTC 1).
• ICS / категории: 13.310; 35.030.
• Редакция / версия: Edition 2 (2023).
• Количество страниц: 31 (официально у ISO); у национальных публикаций/репродукций количество страниц может отличаться.

Область применения

Стандарт применяется для повышения надёжности и защищённости коммерческих ICT‑продуктов и компонентов против рисков умышленного заражения и контрафакта в рамках управляемой зоны ответственности поставщика. Он даёт набор мер для интеграции управления этими рисками в процессы разработки, закупок, производства, распределения, сопровождения и утилизации продуктов. При этом отмечается ограничение: практики стандарта не полностью устраняют угрозы, которые появляются вне области контроля поставщика (например, случаии, когда контрафактер производит полностью не связанное с OEM изделие).

Ключевые темы и требования

• Комплексный охват жизненного цикла продукта: проектирование, снабжение, производство, комплектация, распределение, сопровождение и утилизация.
• Управление рисками цепочки поставок и инструменты оценки достоверности поставщиков и компонентов.
• Контрмеры против умышленно заражённых (maliciously tainted) и контрафактных (counterfeit) продуктов: идентификация, верификация, отслеживаемость и аутентификация.
• Процессы безопасности разработки и контроля качества, рекомендации по физической и логической защите сборочных и логистических операций.
• Требования и рекомендации, предназначенные для внедрения у поставщика; процедуры оценки соответствия описаны в части 2 стандарта.

Применение и пользователи

Основные пользователи — производители и поставщики ICT‑оборудования и ПО (OEM, ODM, контрактные производители), организации, ответственные за закупки и интеграцию ICT‑решений, эксперты по информационной безопасности и менеджеры по рискам, а также органы, проводящие оценки соответствия и аудит поставщиков. Часть 1 полезна как для реализации защитных практик, так и для подготовки к оценке соответствия по части 2.

Связанные стандарты

Непосредственно связана с ISO/IEC 20243-2:2023 — Part 2: Assessment procedures for the O-TTPS (процедуры оценки соответствия). Ранее существовавшая редакция ISO/IEC 20243-1:2018 была заменена новой версией 2023 года. Исторически O‑TTPS возникал в рамках The Open Group и затем был принят как серия ISO/IEC 20243.

Ключевые слова

O‑TTPS, supply chain security, counterfeiting, maliciously tainted products, COTS, product integrity, supply‑chain assurance, assessment procedures.

FAQ

В: Что это за стандарт?

О: Международный стандарт (ISO/IEC) — часть серии Open Trusted Technology Provider Standard (O‑TTPS). Он задаёт требования и рекомендации по снижению рисков попадания в продукт контрафактных или умышленно заражённых компонентов и сборок.

В: Что он регулирует?

О: Регламентирует практики и процессы управления средствами и процедурами, направленными на предотвращение, обнаружение и снижение последствий умышленного заражения и контрафакта в коммерческих ICT‑продуктах на всех ключевых стадиях жизненного цикла.

В: Кто обычно использует?

О: Поставщики аппаратного и программного обеспечения, контрактные производители, отделы закупок и интеграторы систем, аудиторы/оценщики соответствия и специалисты по безопасности цепочек поставок.

В: Он актуален или заменён?

О: ISO/IEC 20243-1:2023 — актуальная редакция (издание 2, 2023). Ранее действовала редакция 2018 года, которая была отозвана в пользу версии 2023 года.

В: Это часть серии?

О: Да. Часть 1 содержит требования и рекомендации; часть 2 описывает процедуры оценки соответствия (assessment procedures). Серия известна как O‑TTPS (Open Trusted Technology Provider Standard) и имеет исторические корни в разработках The Open Group.

В: Какие ключевые слова?

О: Контрафакт, умышленное заражение, цепочка поставок, проверка подлинности, прослеживаемость, O‑TTPS, COTS, управление рисками.