ГОСТ Р ИСО МЭК 15408-3 2007 (1027766), страница 7
Текст из файла (страница 7)
Требования для оценки ЗБ полностью представлены в разделе 9, а требования для оценки ОО содержатся в разделах 12–18.Оценка ЗБ включает в себя оценку утверждений о соответствии ПЗ. Если в ЗБ не утверждается соответствие ПЗ, то в части ЗБ "Утверждения о соответствии ПЗ" должно быть указано, чтосоответствие какому-либо ПЗ для ОО не утверждается.7.3.3Задачи оценщика7.3.3.1 Задачи оценщика по оценке задания по безопасности, основанного только натребованиях ГОСТ Р ИСО/МЭК 15408Оценщики ЗБ, которое содержит требования только из ГОСТ Р ИСО/МЭК 15408, должныприменять требования класса ASE «Оценка ЗБ», приведенные в таблице 4.Т а б л и ц а 4 – Семейства оценки задания по безопасности, содержащего требования только изГОСТ Р ИСО/МЭК 15408КлассСемействоЗадание по безопасности, описание ООЗадание по безопасности, среда безопасностиЗадание по безопасности, введение ЗБASE: ОценкаЗадание по безопасности, цели безопасностизадания по Задание по безопасности, утверждения о соответствиибезопасностиПЗЗадание по безопасности, требования безопасностиИТЗадание по безопасности, краткая спецификация ООКраткое имяASE_DESASE_ENVASE_INTASE_OBJASE_PPCASE_REQASE_TSS7.3.3.2 Задачи оценщика по оценке задания по безопасности, содержащего расширенные по отношению к ГОСТ Р ИСО/МЭК 15408 требованияОценщики ЗБ, которое содержит требования не из ГОСТ Р ИСО/МЭК 15408, должны применять требования класса ASE «Оценка ЗБ», приведенные в таблице 5.20ГОСТ Р ИСО/МЭК 15408-3—…(проект, окончательная редакция)Т а б л и ц а 5 – Семейства оценки задания по безопасности, содержащего расширенные поотношению к ГОСТ Р ИСО/МЭК 15408 требованияКлассСемействоЗадание по безопасности, описание ООЗадание по безопасности, среда безопасностиЗадание по безопасности, введение ЗБЗадание по безопасности, цели безопасностиASE: Оценка Задание по безопасности, утверждения о соответствиизадания поПЗбезопасностиЗадание по безопасности, требования безопасностиИТЗадание по безопасности, требования безопасностиИТ, сформулированные в явном видеЗадание по безопасности, краткая спецификация ООКраткое ИмяASE_DESASE_ENVASE_INTASE_OBJASE_PPCASE_REQASE_SREASE_TSS21ГОСТ Р ИСО/МЭК 15408-3—…(проект, окончательная редакция)8 Класс APE: Оценка профиля защитыЦель оценки ПЗ состоит в демонстрации, что ПЗ является полным, непротиворечивым итехнически правильным.
Оцененный ПЗ пригоден в качестве основы для разработки заданий побезопасности. Такой ПЗ приемлем для включения в реестр ПЗ.На рисунке 6 показаны семейства этого класса и иерархия компонентов этих семейств.APE_DES Профиль защиты,описание ОО1APE_ENV Профиль защиты, средабезопасности1APE_INT Профиль защиты, введениеПЗ1APE_OBJ Профиль защиты, целибезопасности1APE_REQ Профиль защиты,требования безопасности ИТ1APE_SRE Профиль защиты,требования безопасности ИТ,сформулированные в явном виде1Рисунок 6 – Декомпозиция класса APE «Оценка профиля защиты»8.1Описание ОО (APE_DES)8.1.1ЦелиОписание ОО способствует пониманию требований безопасности ОО.
Оценка описания ООтребуется, чтобы показать, что оно является логически последовательным, внутренне непротиворечивым и согласованным со всеми другими частями ПЗ.8.1.2APE_DES.1Профиль защиты, описание ОО, требования оценкиЗависимости: APE_ENV.1 Профиль защиты, среда безопасности, требования оценкиAPE_INT.1 Профиль защиты, введение ПЗ, требования оценкиAPE_OBJ.1 Профиль защиты, цели безопасности, требования оценкиAPE_REQ.1 Профиль защиты, требования безопасности ИТ, требования оценки8.2Элементы действий разработчика8.2.1.1.1APE_DES.1.1DРазработчик ПЗ должен представить описание ОО как часть ПЗ.8.2.1.28.2.1.2.1Элементы содержания и представления свидетельствAPE_DES.1.1CОписание ОО должно включать в себя тип продукта и общие свойства ИТ, присущиеОО.22ГОСТ Р ИСО/МЭК 15408-3—…(проект, окончательная редакция)8.2.1.38.2.1.3.1Элементы действий оценщикаAPE_DES.1.1EОценщик должен подтвердить, что представленная информация удовлетворяет всемтребованиям к содержанию и представлению свидетельств.8.2.1.3.2APE_DES.1.2EОценщик должен подтвердить, что описание ОО является логически последовательным и внутренне непротиворечивым.8.2.1.3.3APE_DES.1.3EОценщик должен подтвердить, что описание ОО согласуется с другими частями ПЗ.8.3Среда безопасности (APE_ENV)8.3.1ЦелиДля принятия решения о достаточности требований безопасности ИТ в ПЗ важно, чтобы решаемая задача безопасности ясно понималась всеми участниками оценки.8.3.2APE_ENV.1Профиль защиты, среда безопасности, требования оценкиЗависимости отсутствуют8.3.2.18.3.2.1.1Элементы действий разработчикаAPE_ENV.1.1DРазработчик ПЗ должен представить изложение среды безопасности ОО как часть ПЗ.8.3.2.28.3.2.2.1Элементы содержания и представления свидетельствAPE_ENV.1.1CИзложение среды безопасности ОО должно идентифицировать и объяснить каждоепредположение о предполагаемом применении ОО и среде использования ОО.8.3.2.2.2APE_ENV.1.2CИзложение среды безопасности ОО должно идентифицировать и объяснить каждуюизвестную или предполагаемую угрозу активам, от которой будет требоваться защита посредством ОО или его среды.8.3.2.2.3APE_ENV.1.3CИзложение среды безопасности ОО должно идентифицировать и объяснить каждуюполитику безопасности организации, соответствие которой для ОО необходимо.8.3.2.38.3.2.3.1Элементы действий оценщикаAPE_ENV.1.1EОценщик должен подтвердить, что представленная информация удовлетворяет всемтребованиям к содержанию и представлению свидетельств.8.3.2.3.2APE_ENV.1.2EОценщик должен подтвердить, что описание среды безопасности ОО является логически последовательным и внутренне непротиворечивым.8.4Введение ПЗ (APE_INT)8.4.1ЦелиВведение ПЗ содержит информацию для управления документооборотом и обзорную информацию о документе, необходимую для сопровождения реестра ПЗ.
Оценка введения ПЗ тре-23ГОСТ Р ИСО/МЭК 15408-3—…(проект, окончательная редакция)буется для демонстрации, что ПЗ правильно идентифицирован, и введение согласуется со всемидругими частями ЗБ.8.4.2APE_INT.1Профиль защиты, введение ПЗ, требования оценкиЗависимости: APE_DES.1 Профиль защиты, описание ОО, требования оценкиAPE_ENV.1 Профиль защиты, среда безопасности, требования оценкиAPE_ODJ.1 Профиль защиты, цели безопасности, требования оценкиAPE_REQ.1 Профиль защиты, требования безопасности ИТ, требования оценки8.4.2.18.4.2.1.1Элементы действий разработчикаAPE_INT.1.1DРазработчик ПЗ должен представить введение ПЗ как часть ПЗ.8.4.2.28.4.2.2.1Элементы содержания и представления свидетельствAPE_INT.1.1CВведение ПЗ должно содержать данные идентификации ПЗ, которые предоставляютмаркировку и описательную информацию, необходимые, для идентификации, каталогизации, регистрации ПЗ и ссылок на него.8.4.2.2.2APE_INT.1.2CВведение ПЗ должно содержать аннотацию ПЗ с общей характеристикой ПЗ в описательной форме.8.4.2.38.4.2.3.1Элементы действий оценщикаAPE_INT.1.1EОценщик должен подтвердить, что представленная информация удовлетворяет всемтребованиям к содержанию и представлению свидетельств.8.4.2.3.2APE_INT.1.2EОценщик должен подтвердить, что введение ПЗ является логически последовательным и внутренне непротиворечивым.8.4.2.3.3APE_INT.1.3EОценщик должен подтвердить, что введение ПЗ согласуется с другими частями ПЗ.8.5Цели безопасности (APE_OBJ)8.5.1ЦелиЦели безопасности – краткое изложение предполагаемой реакции на проблему безопасности.
Оценка целей безопасности требуется для демонстрации, что установленные цели адекватныпроблеме безопасности. Существуют цели безопасности для ОО и цели безопасности для среды.Необходимо сопоставить цели безопасности для ОО и среды с идентифицированными угрозами,которым они противостоят, и/или с политикой и предположениями, которым они соответствуют.8.5.2APE_OBJ.1Профиль защиты, цели безопасности, требования оценкиЗависимости: APE_ENV.1 Профиль защиты, среда безопасности, требования оценки8.5.2.18.5.2.1.1Элементы действий разработчикаAPE_OBJ.1.1DРазработчик ПЗ должен представить изложение целей безопасности как часть ПЗ.8.5.2.1.224APE_OBJ.1.2DГОСТ Р ИСО/МЭК 15408-3—…(проект, окончательная редакция)Разработчик ПЗ должен представить обоснование целей безопасности.8.5.2.28.5.2.2.1Элементы содержания и представления свидетельствAPE_OBJ.1.1CИзложение целей безопасности должно определить цели безопасности для ОО и егосреды.8.5.2.2.2APE_OBJ.1.2CЦели безопасности для ОО должны быть сопоставлены с теми аспектами идентифицированных угроз, которым будет противостоять ОО, и/или с политикой безопасности организации, которая будет выполняться ОО.8.5.2.2.3APE_OBJ.1.3CЦели безопасности для среды должны быть сопоставлены с теми аспектами идентифицированных угроз, которым ОО противостоит не полностью, и/или с политикой безопасности организации или предположениями, не полностью выполняемыми ОО.8.5.2.2.4APE_OBJ.1.4CОбоснование целей безопасности должно демонстрировать, что изложенные целибезопасности пригодны для противостояния всем идентифицированным угрозам безопасности.8.5.2.2.5APE_OBJ.1.5CОбоснование целей безопасности должно демонстрировать, что изложенные целибезопасности пригодны для охвата всех установленных положений политики безопасностиорганизации и предположений.8.5.2.38.5.2.3.1Элементы действий оценщикаAPE_OBJ.1.1EОценщик должен подтвердить, что представленная информация удовлетворяет всемтребованиям к содержанию и представлению свидетельств.8.5.2.3.2APE_OBJ.1.2EОценщик должен подтвердить, что описание целей безопасности является полным,логически последовательным и внутренне непротиворечивым.8.6Требования безопасности ИТ (APE_REQ)8.6.1ЦелиТребования безопасности ИТ, выбранные для ОО и представленные или указанные в ПЗ,необходимо оценить для подтверждения их внутренней непротиворечивости и пригодности дляразработки ОО, отвечающего его целям безопасности.Не все цели безопасности, выраженные в ПЗ, могут быть выполнены соответствующим ОО,так как некоторые ОО могут зависеть от требований безопасности ИТ, выполняемых средой ИТ.
Вэтом случае требования безопасности ИТ, относящиеся к среде, необходимо ясно изложить и оценить в контексте требований к ОО.Это семейство представляет требования оценки, которые позволяют оценщику принять решение, что ПЗ пригоден для использования в качестве изложения требований к оцениваемому ОО.Дополнительные критерии, необходимые для оценки требований, сформулированных в явном виде, приведены в семействе APE_SRE «Требования безопасности ИТ, сформулированные в явномвиде».25ГОСТ Р ИСО/МЭК 15408-3—…(проект, окончательная редакция)8.6.2Замечания по применениюТермин "требования безопасности ИТ" подразумевает "требования безопасности ОО" с возможным включением "требований безопасности для среды ИТ".Термин "требования безопасности ОО" подразумевает "функциональные требования безопасности ОО" и/или "требования доверия к ОО".В компоненте APE_REQ.1 «Профиль защиты, требования безопасности ИТ, требованияоценки» использованы несколько близких по смыслу прилагательных ("соответствующий", "необходимый", "приемлемый", "целесообразный") для указания, что данные элементы допускают выбор в определенных случаях.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
