ГОСТ Р ИСО/МЭК 18045-2013 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий

     9.4 Утверждения о соответствии (ASE_CCL)

9.4.1 Подвид деятельности по оценке (ASE_CCL.1)

9.4.1.1 Цели

Цель этого подвида деятельности состоит в том, чтобы определить правомерность различных утверждений о соответствии. Он описывает, каким образом ЗБ и ОО соответствует ИСО/МЭК 15408, и как ЗБ соответствует ПЗ и пакетам требований.

9.4.1.2 Исходные данные

Свидетельством оценки для этого подвида деятельности являются:

a) ЗБ;

b) другие ПЗ, о соответствии которым утверждается в ЗБ;

c) пакеты требований, о соответствии которым утверждается в ЗБ.

9.4.1.3 Действие ASE_CCL.1.1E

ИСО/МЭК 15408-3 ASE_CCL.1.1C: В "Утверждения о соответствии" должно быть включено "Утверждение о соответствии ИСО/МЭК 15408", которое определяет, для какой редакции ИСО/МЭК 15408 утверждается соответствие ЗБ и ОО.

9.4.1.3.1 Шаг оценивания ASE_CCL.1-1

Оценщик должен проверить, что в "Утверждении о соответствии" включено "Утверждение о соответствии ИСО/МЭК 15408", которое определяет, для какой редакции ИСО/МЭК 15408 утверждается о соответствии в ЗБ и ОО.

Оценщик делает заключение о том, что в "Утверждении о соответствии ИСО/МЭК 15408" идентифицируется редакция ИСО/МЭК 15408, которая использовалась для разработки данного ЗБ. В "Утверждение" следует включать номер редакции ИСО/МЭК 15408 и, если не использовалась международная редакция стандарта ИСО/МЭК 15408 на английском языке, то в нем должен быть указан язык используемой редакции ИСО/МЭК 15408.

Для составного ОО оценщик должен рассмотреть любые отличия между редакцией ИСО/МЭК 15408, о соответствии которой утверждается в ОО-компоненте, и редакцией ИСО/МЭК 15408, о соответствии которой утверждается в составном ОО. Если редакции отличаются, оценщик должен определить, приведут ли различия между редакциями к противоречивым утверждениям.

Для случаев, где "Утверждения о соответствии ИСО/МЭК 15408" для базового ОО и зависимого ОО относятся к различным основным редакциям ИСО/МЭК 15408 (например, в одном ОО-компоненте утверждается о соответствии второй редакции ИСО/МЭК 15408, а в другом - утверждается о соответствии третьей редакции ИСО/МЭК 15408), "Утверждение о соответствии" для составного ОО будет определяться по более ранней редакции ИСО/МЭК 15408, поскольку при разработке ИСО/МЭК 15408 преследовалась цель обеспечения обратной совместимости (хотя иногда такая совместимость не может быть достигнута в строгом смысле этого определения, предполагается, что в принципе она достижима).

ИСО/МЭК 15408-3 ASE_CCL.1.2C: В "Утверждении о соответствии ИСО/МЭК 15408" должно приводиться описание соответствия ЗБ ИСО/МЭК 15408-2; ЗБ либо описывается как соответствующее требованиям ИСО/МЭК 15408-2, либо как содержащее расширенные по отношению к ИСО/МЭК 15408-2 требования.

9.4.1.3.2 Шаг оценивания ASE_CCL.1-2

Оценщик должен проверить, что "Утверждение о соответствии ИСО/МЭК 15408" описывает соответствие ЗБ ИСО/МЭК 15408-2; ЗБ либо описывается как соответствующее требованиям ИСО/МЭК 15408-2, либо как содержащее расширенные по отношению к ИСО/МЭК 15408-2 требования.

Для составного ОО оценщик рассматривает, совместимо ли "Утверждение о соответствии" не только с ИСО/МЭК 15408-2, но и с "Утверждениями о соответствии ИСО/МЭК 15408-2" каждого из ОО-компонентов составного ОО. Т.е. если в одном или более ОО-компонентах утверждается, что ЗБ содержит расширенные по отношению к ИСО/МЭК 15408-2 требования, то и в составном ОО тоже следует приводить утверждение о соответствии расширению относительно ИСО/МЭК 15408-2.

"Утверждение о соответствии ИСО/МЭК 15408" для составного ОО может включать утверждение о соответствии расширению ИСО/МЭК 15408-2, даже если ОО-компоненты соответствуют ИСО/МЭК 15408-2, в случае, если к базовому ОО предъявляются расширенные ФТБ (см. Руководство по составным ОО для ASE_CCL.1.6C).

ИСО/МЭК 15408-3 ASE_CCL.1.3C: В "Утверждении о соответствии ИСО/МЭК 15408" должно приводиться описание соответствия ПЗ ИСО/МЭК 15408-3; ЗБ либо описывается как соответствующее требованиям ИСО/МЭК 15408-3, либо как содержащее расширенные по отношению к ИСО/МЭК 15408-3 требования.

9.4.1.3.3 Шаг оценивания ASE_CCL.1-3

Оценщик должен проверить, что в "Утверждении о соответствии ИСО/МЭК 15408" в ЗБ описывает соответствие ЗБ ИСО/МЭК 15408-3; ЗБ либо описывается как соответствующее требованиям ИСО/МЭК 15408-3, либо как содержащее расширенные по отношению к ИСО/МЭК 15408-3 требования.

ИСО/МЭК 15408-3 ASE_CCL.1.4C: "Утверждение о соответствии ИСО/МЭК 15408" должно согласовываться с "Определением расширенных компонентов".

9.4.1.3.4 Шаг оценивания ASE_CCL.1-4

Оценщик должен исследовать "Утверждение о соответствии ИСО/МЭК 15408-2", чтобы сделать заключение о том, что оно согласуется с "Определением расширенных компонентов".

Если в "Утверждении о соответствии ИСО/МЭК 15408" указывается о соответствии ИСО/МЭК 15408-2, оценщик делает заключение о том, что "Определение расширенных компонентов" не определяет функциональные компоненты.

Если в "Утверждении о соответствии ИСО/МЭК 15408" указывается о соответствии расширению ИСО/МЭК 15408-2, оценщик делает заключение о том, что "Определение расширенных компонентов" определяет хотя бы один расширенный функциональный компонент.