ГОСТ Р ИСО/МЭК 18045-2008 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий

     11.4.1 Оценка возможностей УК (АСМ_САР.2)

11.4.1.1 Цели

Цель данного подвида деятельности - сделать заключение, четко ли разработчик идентифицировал OO и связанные с ним элементы конфигурации.

11.4.1.2 Исходные данные

Свидетельства оценки для этого подвида деятельности:

а) ЗБ;

b) OO, пригодный для тестирования;

c) документация управления конфигурацией.

11.4.1.3 Замечания по применению

Этот компонент содержит неявное действие оценщика, чтобы установить, что система УК используется. Поскольку требования данного компонента ограничены идентификацией OO и условием наличия списка конфигурации, это действие уже охвачено и ограничивается приведенными ниже шагами оценивания. Требования, изложенные в компоненте АСМ_САР.3 "Средства контроля авторизации", выходят за рамки этих двух составляющих, и поэтому будет необходимо более явное свидетельство использования системы УК.

11.4.1.4 Действие АСМ_САР.2.1Е

11.4.1.4.1 Шаг оценивания 2:АСМ_САР.2-1

ИСО/МЭК 15408-3 АСМ_САР.2.1С: Маркировка OO должна быть уникальна для каждой версии OO.

Оценщик должен проверить, что версия OO, представленная для оценки, уникально маркирована.

Оценщику следует использовать систему УК, применяемую разработчиком, для подтверждения уникальности маркировки, проверяя список конфигурации с целью удостовериться, что элементы конфигурации уникально идентифицированы. Свидетельство уникальной маркировки версии OO, представленной для оценки, может оказаться неполным, если во время оценки была исследована только одна версия; поэтому оценщику необходимо выяснить систему маркирования, которая может поддерживать уникальную маркировку (например, используя цифры, буквы или даты). Тем не менее, отсутствие какой-либо маркировки обычно будет приводить к отрицательному вердикту по этому требованию, пока оценщик не будет уверен в возможности уникальной идентификации OO.

Оценщику следует стремиться исследовать несколько версий OO (например, полученных в ходе доработки после обнаружения уязвимости) для проверки того, что любые две версии маркированы по-разному.

11.4.1.4.2 Шаг оценивания 2:АСМ_САР.2-2

ИСО/МЭК 15408-3 АСМ_САР.2.2С: OO должен быть помечен маркировкой.

Оценщик должен проверить, что OO, представленный для оценки, имеет собственную маркировку.

Оценщику следует удостовериться, что OO содержит уникальную маркировку, позволяющую различать разные версии OO. Этого можно достичь, используя помеченную упаковку или носители, или же метку, отображаемую OO при функционировании, что предоставляет потребителю возможность идентификации OO (например, в месте приобретения или использования).

OO может предоставить способ, посредством которого он может быть легко идентифицирован. Например, программный OO может отображать свое наименование и номер версии при запуске программы или в ответ на запрос через командную строку. Аппаратный или программно-аппаратный OO может быть идентифицирован путем физического нанесения на нем соответствующего номера.

11.4.1.4.3 Шаг оценивания 2:АСМ_САР.2-3

Оценщик должен проверить непротиворечивость используемой маркировки OO.

Если OO помечен несколько раз, то необходима согласованность меток. Например, должна быть возможность связать любое помеченное руководство, поставляемое в составе OO, с оцененным функционирующим OO. Таким образом обеспечивается уверенность потребителя в том, что он приобрел оцененную версию OO, установил эту же версию и располагает надлежащей версией руководства, необходимой для эксплуатации данного OO в соответствии с его ЗБ. Оценщик может использовать список конфигурации, который является частью представленной документации УК, чтобы верифицировать согласованное использование идентификаторов.

Оценщик также верифицирует, что маркировка OO согласована с ЗБ.

Руководство по анализу непротиворечивости см. в А.3 "Анализ непротиворечивости" (приложение А).

11.4.1.4.4 Шаг оценивания 2:АСМ_САР.2-4

ИСО/МЭК 15408-3 АСМ_САР.2.3С: Документация УК должна включать в себя список конфигурации.

Оценщик должен проверить, что представленная документация УК включает в себя список конфигурации.