3.3.3Задачи оценщика
Оценщики ЗБ, которое содержит требования только из ОК, должны применять требования класса ASE, приведенные в таблице 3.3.
Таблица 3.3 – Семейства оценки задания по безопасности, содержащего требования только из ОК
Класс
|
Семейство
|
Краткое имя
|
ASE –
Оценка задания по безопасности
|
Задание по безопасности, описание ОО
|
ASE_DES
|
Задание по безопасности, среда безопасности
|
ASE_ENV
|
Задание по безопасности, введение ЗБ
|
ASE_INT
|
Задание по безопасности, цели безопасности
|
ASE_OBJ
|
Задание по безопасности, утверждения о соответствии ПЗ
|
ASE_PPC
|
Задание по безопасности, требования безопасности ИТ
|
ASE_REQ
|
Задание по безопасности, краткая спецификация ОО
|
ASE_TSS
|
Оценщики ЗБ, которое содержит требования не из ОК, должны применять требования класса ASE, приведенные в таблице 3.4.
Таблица 3.4 – Семейства оценки задания по безопасности с требованиями, расширяющими ОК
Класс
|
Семейство
|
Краткое Имя
|
ASE –
Оценка задания по безопасности
|
Задание по безопасности, описание ОО
|
ASE_DES
|
Задание по безопасности, среда безопасности
|
ASE_ENV
|
Задание по безопасности, введение ЗБ
|
ASE_INT
|
Задание по безопасности, цели безопасности
|
ASE_OBJ
|
Задание по безопасности, утверждения о соответствии ПЗ
|
ASE_PPC
|
Задание по безопасности, требования безопасности ИТ
|
ASE_REQ
|
Задание по безопасности, требования безопасности ИТ, сформулированные в явном виде
|
ASE_SRE
|
Задание по безопасности, краткая спецификация ОО
|
ASE_TSS
|
4Класс APE. Оценка профиля защиты
Цель оценки ПЗ состоит в демонстрации, что ПЗ является полным, непротиворечивым и технически правильным. Оцененный ПЗ пригоден в качестве основы для разработки заданий по безопасности. Такой ПЗ приемлем для включения в реестр ПЗ.
На рисунке 4.1 показаны семейства этого класса.
|
Класс APE. Оценка профиля защиты
|
|
|
|
|
APE_DES Профиль защиты, описание ОО
|
|
1
|
|
|
|
|
|
|
|
APE_ENV Профиль защиты, среда безопасности
|
|
1
|
|
|
|
|
|
|
|
APE_INT Профиль защиты, введение ПЗ
|
|
1
|
|
|
|
|
|
|
|
APE_OBJ Профиль защиты, цели безопасности
|
|
1
|
|
|
|
|
|
|
|
APE_REQ Профиль защиты, требования безопасности ИТ
|
|
1
|
|
|
|
|
|
|
|
APE_SRE Профиль защиты,
требования безопасности ИТ, сформулированные в явном виде
|
|
1
|
|
|
|
|
Рисунок 4.1 – Декомпозиция класса "Оценка профиля защиты"
4.1Описание ОО (APE_DES)
Цели
Описание ОО способствует пониманию требований безопасности ОО. Оценка описания ОО требуется, чтобы показать, что оно является логически последовательным, внутренне непротиворечивым и согласованным со всеми другими частями ПЗ.
APE_DES.1 Профиль защиты, описание ОО, требования оценки
Зависимости
APE_ENV.1 Профиль защиты, среда безопасности, требования оценки
APE_INT.1 Профиль защиты, введение ПЗ, требования оценки
APE_OBJ.1 Профиль защиты, цели безопасности, требования оценки
APE_REQ.1 Профиль защиты, требования безопасности ИТ, требования оценки
Элементы действий разработчика
APE_DES.1.1D Разработчик ПЗ должен представить описание ОО как часть ПЗ.
Элементы содержания и представления свидетельств
APE_DES.1.1C Описание ОО, как минимум, должно включать в себя тип продукта и общие свойства ИТ, присущие ОО.
Элементы действий оценщика
APE_DES.1.1E Оценщик должен подтвердить, что представленная информация удовлетворяет всем требованиям к содержанию и представлению свидетельств.
APE_DES.1.2E Оценщик должен подтвердить, что описание ОО является логически последовательным и внутренне непротиворечивым.
APE_DES.1.3E Оценщик должен подтвердить, что описание ОО согласуется с другими частями ПЗ.
4.2Среда безопасности (APE_ENV)
Цели
Для принятия решения о достаточности требований безопасности ИТ в ПЗ важно, чтобы решаемая задача безопасности ясно понималась всеми участниками оценки.
APE_ENV.1 Профиль защиты, среда безопасности, требования оценки
Зависимости отсутствуют
Элементы действий разработчика
APE_ENV.1.1D Разработчик ПЗ должен представить изложение среды безопасности ОО как часть ПЗ.
Элементы содержания и представления свидетельств
APE_ENV.1.1C Изложение среды безопасности ОО должно идентифицировать и объяснить любые предположения о предполагаемом применении ОО и среде использования ОО.
APE_ENV.1.2C Изложение среды безопасности ОО должно идентифицировать и объяснить любые известные или допускаемые угрозы активам, от которых будет требоваться защита посредством ОО или его среды.
APE_ENV.1.3C Изложение среды безопасности ОО должно идентифицировать и объяснить каждую политику безопасности организации, соответствие которой для ОО необходимо.
Элементы действий оценщика
APE_ENV.1.1E Оценщик должен подтвердить, что представленная информация удовлетворяет всем требованиям к содержанию и представлению свидетельств.
APE_ENV.1.2E Оценщик должен подтвердить, что описание среды безопасности ОО является логически последовательным и внутренне непротиворечивым.
4.3Введение ПЗ (APE_INT)
Цели
Введение ПЗ содержит информацию для управления документооборотом и обзорную информацию о документе, необходимую для сопровождения реестра ПЗ. Оценка введения ПЗ требуется для демонстрации, что ПЗ правильно идентифицирован, и введение согласуется со всеми другими частями ЗБ.
APE_INT.1 Профиль защиты, введение ПЗ, требования оценки
Зависимости
APE_DES.1 Профиль защиты, описание ОО, требования оценки
APE_ENV.1 Профиль защиты, среда безопасности, требования оценки
APE_ODJ.1 Профиль защиты, цели безопасности, требования оценки
APE_REQ.1 Профиль защиты, требования безопасности ИТ, требования оценки
Элементы действий разработчика
APE_INT.1.1D Разработчик ПЗ должен представить введение ПЗ как часть ПЗ.
Элементы содержания и представления свидетельств
APE_INT.1.1C Введение ПЗ должно содержать данные идентификации ПЗ, которые предоставляют маркировку и описательную информацию, необходимые, для идентификации, каталогизации, регистрации ПЗ и ссылок на него.
APE_INT.1.2C Введение ПЗ должно содержать аннотацию ПЗ с общей характеристикой ПЗ в описательной форме.
Элементы действий оценщика
APE_INT.1.1E Оценщик должен подтвердить, что представленная информация удовлетворяет всем требованиям к содержанию и представлению свидетельств.
APE_INT.1.2E Оценщик должен подтвердить, что введение ПЗ является логически последовательным и внутренне непротиворечивым.
APE_INT.1.3E Оценщик должен подтвердить, что введение ПЗ согласуется с другими частями ПЗ.
4.4Цели безопасности (APE_OBJ)
Цели
Цели безопасности – краткое изложение предполагаемой реакции на задачу безопасности. Оценка целей безопасности требуется для демонстрации, что установленные цели адекватны проблеме безопасности. Существуют цели безопасности для ОО и цели безопасности для среды. Необходимо сопоставить цели безопасности для ОО и среды с идентифицированными угрозами, которым они противостоят, и/или с политикой и предположениями, которым они соответствуют
APE_OBJ.1 Профиль защиты, цели безопасности, требования оценки
Зависимости
APE_ENV.1 Профиль защиты, среда безопасности, требования оценки
Элементы действий разработчика
APE_OBJ.1.1D Разработчик ПЗ должен представить изложение целей безопасности как часть ПЗ.
APE_OBJ.1.2D Разработчик ПЗ должен представить логическое обоснование целей безопасности.
Элементы содержания и представления свидетельств
APE_OBJ.1.1C Изложение целей безопасности должно определить цели безопасности для ОО и его среды.
APE_OBJ.1.2C Цели безопасности для ОО должны быть четко изложены и сопоставлены с идентифицированными угрозами, которым будет противостоять ОО, и/или с политикой безопасности организации, которая будет выполняться ОО.
APE_OBJ.1.3C Цели безопасности для среды должны быть четко изложены и сопоставлены с теми аспектами идентифицированных угроз, которым ОО противостоит не полностью, и/или с политикой безопасности организации или предположениями, не полностью выполняемыми ОО.
APE_OBJ.1.4C Логическое обоснование целей безопасности должно демонстрировать, что изложенные цели безопасности пригодны для противостояния всем идентифицированным угрозам безопасности.
APE_OBJ.1.5C Логическое обоснование целей безопасности должно демонстрировать, что изложенные цели безопасности пригодны для охвата всех установленных положений политики безопасности организации и предположений.
Элементы действий оценщика
APE_OBJ.1.1E Оценщик должен подтвердить, что представленная информация удовлетворяет всем требованиям к содержанию и представлению свидетельств.
APE_OBJ.1.2E Оценщик должен подтвердить, что описание целей безопасности является полным, логически последовательным и внутренне непротиворечивым.
4.5Требования безопасности ИТ (APE_REQ)
Цели
Требования безопасности ИТ, выбранные для ОО и представленные или указанные в ПЗ, необходимо оценить для подтверждения их внутренней непротиворечивости и пригодности для разработки ОО, отвечающего его целям безопасности.
Не все цели безопасности, выраженные в ПЗ, могут быть выполнены соответствующим ОО, так как некоторые ОО могут зависеть от требований безопасности ИТ, выполняемых средой ИТ. В этом случае требования безопасности ИТ, относящиеся к среде, необходимо ясно изложить и оценить в контексте требований к ОО.
Это семейство представляет требования оценки, которые позволяют оценщику принять решение, что ПЗ пригоден для использования в качестве изложения требований к оцениваемому ОО. Дополнительные критерии, необходимые для оценки требований, сформулированных в явном виде, приведены в семействе APE_SRE.
Замечания по применению
Термин "требования безопасности ИТ" подразумевает "требования безопасности ОО" с возможным включением "требований безопасности для среды ИТ".
Термин "требования безопасности ОО" подразумевает "функциональные требования безопасности ОО" и/или "требования доверия к ОО".
В компоненте APE_REQ.1 использованы несколько значений термина "appropriate" ("соответствующий", "необходимый", "приемлемый", "целесообразный") для указания, что данные элементы допускают выбор в определенных случаях. Какой выбор является приемлемым, зависит от контекста ПЗ. Подробная информация по этим аспектам содержится в приложении Б к части 1 ОК.
|
