ГОСТ Р ИСО МЭК 15408-1 2007 (1027762), страница 7
Текст из файла (страница 7)
Эти элементы четко идентифицируют каждыйтакой параметр и ограничения на значения, которые может принимать этот параметр.Любой аспект элемента, допустимые значения которого могут быть однозначно описаны илиперечислены, может быть представлен параметром. Параметр может быть атрибутом или правилом, сводящим требование к определенному значению или диапазону значений. Например, некоторый элемент в рамках компонента, направленный на достижение определенной цели безопасности, может установить, что данную операцию следует выполнять несколько раз.
В этом случаеназначение установит число возможных повторений (или диапазон для него), которое будет использоваться для данного параметра.22ГОСТ Р ИСО/МЭК 15408-1—…(проект, окончательная редакция)5.4.1.3.2.3 ВыборОперация заключается в выборе одного или нескольких пунктов из списка, чтобы ограничитьобласть применения элемента в рамках компонента.5.4.1.3.2.4 УточнениеДля всех компонентов разработчику ПЗ/ЗБ разрешается ограничить множество допустимыхреализаций путем определения дополнительных деталей для достижения некоторой цели безопасности. Уточнение некоторого элемента в рамках компонента заключается в добавлении этихтехнических деталей.Для того чтобы изменение в компоненте считалось допустимым уточнением, оно должноудовлетворять всем перечисленным ниже условиям:a) ОО, отвечающий уточненному требованию, также должен отвечать исходному требованию, интерпретированному в контексте ПЗ/ЗБ;b) в случаях когда уточненное требование подвергается итерации, допускается, чтобы каждая итерация относилась только к подмножеству области действия данного требования; тем неменее, все итерации в совокупности должны охватывать всю область действия исходного требования;c) уточненное требование не должно расширять область действия исходного требования;d) уточненное требование не должно изменять список зависимостей исходного требования.Несколько примеров допустимых уточнений:a) Любое изменение, которое является исключительно редакционным, такое как улучшениечитабельности выполненного назначения или учет грамматических правил.b) Изменение, которое не меняет область действия требования из-за контекста, в которомоно используется в ПЗ/ЗБ.
Например, изменение требования, которое определяет «пользователейОО» в качестве «telnet-пользователей ОО» будет допустимым уточнением, когда пользователиОО являются только telnet-пользователями.c) Изменение, которое предоставляет информацию о допустимых подходах к реализации, нерасширяя область действия требования. Примером допустимого уточнения является изменениетребования «обеспечить способность верифицировать» на «обеспечить способность верифицировать путем применения криптографических контрольных сумм». Изменение устанавливает ограничения на тип механизма, используемого при выполнении существующего требования, и нерасширяет область действия исходного требования.Приложения ГОСТ Р ИСО/МЭК 15408-2 предоставляют руководство по допустимому выполнению операций выбора и назначения.
Это руководство предоставляет нормативные инструкциипо тому, как выполнять операции, и этим инструкциям должны следовать, если автор ПЗ/ЗБ логически не обоснует отклонение:a) «Нет» допускается как вариант выполнения выбора только, если он явным образом предусмотрен.Списки, предусмотренные для выполнения операций выбора, не должны быть пустыми. Если выбран вариант «Нет», никакие другие дополнительные варианты выбора не могут быть выбраны. Если «Нет» не предусмотрено в качестве варианта выбора, допускается сочетание вариантов в операции выбора с союзами "и" и "или", если в операции выбора в явном виде не определено "выбрать одно из".Операции выбора при необходимости можно сочетать с итерацией.
В этом случае применение выбранного варианта для каждой итерации не должно пересекаться с предметом другой итерации выбора, так как они должны быть уникальными.b) По отношению к выполнению операций назначения Приложения ГОСТ Р ИСО/МЭК 154082 указывают, когда «Нет» является допустимым выполнением.Некоторые требуемые операции могут быть завершены (полностью или частично) в ПЗ илиоставлены для завершения в ЗБ. Однако в ЗБ все операции должны быть завершены.23ГОСТ Р ИСО/МЭК 15408-1—…(проект, окончательная редакция)5.4.1.4 Использование требований безопасностиВ ГОСТ Р ИСО/МЭК 15408 определены три типа конструкций требований: пакет, ПЗ и ЗБ.Помимо этого, в ГОСТ Р ИСО/МЭК 15408 определена совокупность критериев безопасности ИТ,которые могут отвечать потребностям многих сообществ пользователей и поэтому служат основным исходным материалом для создания этих конструкций.
Центральной идеей ГОСТ Р ИСО/МЭК15408 является концепция максимально широкого использования определенных в ГОСТ РИСО/МЭК 15408 компонентов, которые представляют хорошо известную и понятную сферу применимости. Рисунок 8 показывает взаимосвязь между различными конструкциями.ТребованиябезопасностиРазработатьпакетРазработатьПЗКаталог пакетовКаталог ПЗРазработатьЗБРисунок 8 – Использование требований безопасности5.4.1.4.1 ПакетПромежуточная комбинация компонентов называется пакетом. Пакет позволяет выразитьсовокупность функциональных требований или требований доверия, которые отвечают идентифицируемому подмножеству целей безопасности.
Пакет предназначен для многократного использования и определяет требования, которые известны как полезные и эффективные для достиженияустановленных целей. Допускается применение пакета при создании более крупных пакетов, профилей защиты и заданий по безопасности.Оценочные уровни доверия (ОУД) – это предопределенные пакеты требований доверия, содержащиеся в ГОСТ Р ИСО/МЭК 15408-3.
ОУД является базовым набором требований довериядля оценки. Каждый ОУД определяет непротиворечивый набор требований доверия. СовместноОУД формируют упорядоченное множество, которое является предопределенной в ГОСТ РИСО/МЭК 15408 шкалой доверия.5.4.1.4.2 Профиль защитыПЗ содержит совокупность требований безопасности, взятых из ГОСТ Р ИСО/МЭК 15408,или сформулированных в явном виде, в которую следует включить ОУД (возможно усиленный дополнительными компонентами доверия).
ПЗ позволяет выразить независимые от конкретной реализации требования безопасности для некоторой совокупности ОО, полностью согласованные снабором целей безопасности. ПЗ предназначен для многократного использования и определениякак функциональных требований, так и требований доверия к ОО, которые полезны и эффективныдля достижения установленных целей. ПЗ также содержит обоснование требований и целей безопасности.ПЗ может разрабатываться сообществами пользователей, разработчиками продуктов ИТили другими сторонами, заинтересованными в определении такой общей совокупности требова-24ГОСТ Р ИСО/МЭК 15408-1—…(проект, окончательная редакция)ний. ПЗ предоставляет потребителям средство ссылки на определенную совокупность потребностей в безопасности и облегчает будущую оценку в соответствии с этими потребностями.5.4.1.4.3 Задание по безопасностиЗБ содержит совокупность требований безопасности, которые могут быть определены ссылками на ПЗ, непосредственно на функциональные компоненты или компоненты доверия из ГОСТ РИСО/МЭК 15408 или же сформулированы в явном виде.
ЗБ позволяет выразить для конкретногоОО требования безопасности, которые по результатам оценки ЗБ признаны полезными и эффективными для достижения установленных целей безопасности.ЗБ содержит краткую спецификацию ОО совместно с требованиями и целями безопасностии обоснованием для каждого из них. ЗБ является основой для соглашения между всеми сторонамиотносительно того, какую безопасность предлагает ОО.5.4.1.5 Источники требований безопасностиТребования безопасности ОО могут быть скомпонованы с использованием следующих источников:a) существующих ПЗ: требования безопасности ОО в ЗБ могут быть адекватно выраженынепосредственно через требования, содержащиеся в существующем ПЗ, или предполагать согласование с ними.Существующие ПЗ можно использовать как основу для создания нового ПЗ;b) существующих пакетов: часть требований безопасности ОО для ПЗ или ЗБ может бытьуже выражена в пакете, который может быть использован.Совокупностью предопределенных пакетов являются ОУД, определенные в ГОСТ РИСО/МЭК 15408-3.
Требования доверия к ОО, входящие в ПЗ или ЗБ, должны включать какойлибо ОУД из ГОСТ Р ИСО/МЭК 15408-3;c) существующих компонентов функциональных требований или требований доверия: функциональные требования или требования доверия в ПЗ или ЗБ могут быть выражены непосредственно через компоненты, приведенные в ГОСТ Р ИСО/МЭК 15408-2 и ГОСТ Р ИСО/МЭК 15408-3;d) расширенных требований: в ПЗ или ЗБ могут быть использованы дополнительные функциональные требования, не содержащиеся в ГОСТ Р ИСО/МЭК 15408-2, и/или дополнительныетребования доверия, не содержащиеся в ГОСТ Р ИСО/МЭК 15408-3.Материалы имеющихся требований из ГОСТ Р ИСО/МЭК 15408-2 и ГОСТ Р ИСО/МЭК 154083 следует использовать всюду, где это допустимо. Использование существующего ПЗ поможетобеспечить выполнение объектом оценки апробированной совокупности требований известнойполезности и, как следствие, более широкое признание ОО.5.4.2Виды оценок5.4.2.1 Оценка ПЗОценка ПЗ выполняется согласно критериям оценки ПЗ, содержащимся в ГОСТ Р ИСО/МЭК15408-3.
Целью такой оценки является продемонстрировать, что профиль полон, непротиворечив,технически правилен и пригоден для использования при изложении требований к ОО, предполагаемому для оценки.5.4.2.2 Оценка ЗБОценка ЗБ для ОО выполняется согласно критериям оценки ЗБ, содержащимся в ГОСТ РИСО/МЭК 15408-3. Такая оценка имеет две цели: во-первых, продемонстрировать, что ЗБ является полным, непротиворечивым, технически правильным и, следовательно, пригодным для использования в качестве основы для оценки соответствующего ОО; во-вторых, в случае, когда в ЗБимеется утверждение о соответствии некоторому ПЗ, – продемонстрировать, что ЗБ должным образом отвечает требованиям этого ПЗ.25ГОСТ Р ИСО/МЭК 15408-1—…(проект, окончательная редакция)5.4.2.3 Оценка ОООценка ОО производится согласно критериям оценки, содержащимся в ГОСТ Р ИСО/МЭК15408-3, с использованием в качестве основы в основном завершенного ЗБ.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
