ГОСТ Р ИСО/МЭК 18045-2008 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий

     10.7.2 Оценка руководства администратора (AGD_ADM.1)

10.7.2.1 Цели

Цель данного подвида деятельности - сделать заключение, описано ли в руководстве администратора, как осуществлять безопасное администрирование ОО.

10.7.2.2 Исходные данные

Свидетельствами оценки для этого подвида деятельности являются:

а) ЗБ;

b) функциональная спецификация;

c) руководство пользователя;

d) руководство администратора;

е) процедуры безопасной установки, генерации и запуска.

10.7.2.3 Замечания по применению

Термин "администратор" используют для обозначения человека-пользователя, которому доверено выполнение в пределах ОО критичных для безопасности операций, таких как настройка параметров конфигурации ОО. Данные операции могут влиять на осуществление ПБО, поэтому администратор обладает особыми привилегиями, необходимыми для выполнения таких операций. Роль администратора (роли администраторов) следует четко отличать от ролей пользователей ОО, не связанных с администрированием.

В ЗБ могут быть определены несколько различных ролей или групп администраторов, опознаваемых объектом оценки и взаимодействующих с ФБО, таких как аудитор, администратор или начальник смены. Каждой роли может соответствовать как одна возможность, так и обширный их набор. Возможности этих ролей и связанные с ними привилегии описывают в ЗБ в классе FMT "Управление безопасностью". Различные роли и группы администраторов должны быть рассмотрены в руководстве администратора.

10.7.2.4 Действие AGD_ADM.1.1Е

10.7.2.4.1 Шаг оценивания 1:AGD_ADM.1-1

ИСО/МЭК 15408-3 AGD_ADM.1.1С: Руководство администратора должно содержать описание функций администрирования и интерфейсов, доступных администратору ОО.

Оценщик должен исследовать руководство администратора, чтобы сделать заключение, описаны ли в нем относящиеся к администрированию функции безопасности и интерфейсы, доступные администратору ОО.

В руководстве администратора должен быть помещен краткий обзор функциональных возможностей безопасности, видимых через интерфейсы администратора.

В руководстве администратора должны быть идентифицированы и описаны предназначение, режимы применения и взаимосвязь интерфейсов и функций безопасности, доступных администратору.

Для каждых интерфейса и функции безопасности, доступных администратору, в руководстве администратора должны быть описаны:

a) метод (методы) вызова интерфейса (например, с использованием командной строки, системных вызовов языка программирования, меню, командной клавиши);

b) параметры, устанавливаемые администратором, их допустимые значения и значения по умолчанию;

c) реакция, сообщения или коды возврата непосредственно от ФБО.

10.7.2.4.2 Шаг оценивания 1:AGD_ADM.1-2

ИСО/МЭК 15408-3 AGD_ADM.1.2С: Руководство администратора должно содержать описание того, как управлять ОО безопасным способом.

Оценщик должен исследовать руководство администратора, чтобы сделать заключение, описан ли в нем безопасный способ администрирования ОО.

В руководстве администратора должно быть описано, как использовать ОО согласно ПБО в среде ИТ, соответствующей ее описанию в ЗБ.

10.7.2.4.3 Шаг оценивания 1:AGD_ADM.1-3

ИСО/МЭК 15408-3 AGD_ADM.1.3C: Руководство администратора должно содержать предупреждения относительно функций и привилегий, которые следует контролировать в безопасной среде обработки информации.