Статус документа
Статус документа

ГОСТ Р ИСО/МЭК 15408-3-2013 Информационная технология (ИТ). Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности

     7.7 Оценочный уровень доверия 5 (ОУД5), предусматривающий полуформальное проектирование и тестирование

7.7.1 Цели

ОУД5 позволяет разработчику достичь максимального доверия путем проектирования безопасности, основанного на строгой коммерческой практике разработки, поддержанного умеренным применением специализированных методов проектирования безопасности. Такие ОО будут, вероятно, проектироваться и разрабатываться с намерением достичь ОУД5. Скорее всего, дополнительные затраты, сопутствующие требованиям ОУД5 в части строгости разработки без применения специализированных методов разработки, не будут большими.

Поэтому ОУД5 применим, когда разработчикам или пользователям требуется независимо получаемый высокий уровень доверия для запланированной разработки со строгим подходом к разработке, не влекущим излишних затрат на применение узко специализированных методов проектирования безопасности.

7.7.2 Компоненты доверия

ОУД5 (см. таблицу 6) обеспечивает доверие посредством ЗБ с полным содержанием и посредством анализа выполнения ФТБ из данного ЗБ с использованием функциональной спецификации, полной спецификации интерфейсов, руководств, описания проекта ОО, а также всей его реализации для понимания режима безопасности. Кроме этого, также требуется модульное проектирование ФБО.


Таблица 6 - ОЦЕНОЧНЫЙ УРОВЕНЬ ДОВЕРИЯ 5

Класс доверия

Компоненты доверия

ADV: Разработка

ADV_ARC.1 Описание архитектуры безопасности


ADV_FSP.5 Полная полуформальная спецификация с дополнительной информацией об ошибках


ADV_IMP.1 Представление реализации ФБО


ADV_INT.2 Полностью определенная внутренняя структура


ADV_TDS.4 Полуформальный модульный проект

AGD: Руководства

AGD_OPE.1 Руководство пользователя по эксплуатации


AGD_PRE.1 Подготовительные процедуры

ALC: Поддержка жизненного цикла

АLС_СМС.4 Поддержка производства, процедуры приемки и автоматизации


ALC_CMS.5 Охват УК инструментальных средств разработки


ALC_DEL.1 Процедуры поставки


ALC_DVS.1 Идентификация мер безопасности


ALC_LCD.1 Определенная разработчиком модель жизненного цикла


ALC_TAT.2 Соответствие стандартам реализации

ASE: Оценка задания по безопасности

ASE_CCL.1 Утверждения о соответствии


ASE_ECD.1 Определение расширенных компонентов


ASE_INT.1 Введение ЗБ


ASE_OBJ.2 Цели безопасности


ASE_REQ.2 Производные требования безопасности


ASE_SPD.1 Определение проблемы безопасности


ASE_TSS.1 Краткая спецификация ОО

ATE: Тестирование

ATE_COV.2 Анализ покрытия


ATE_DPT.3 Тестирование: модульный проект


ATE_FUN.1 Функциональное тестирование


ATE_IND.2 Выборочное независимое тестирование

AVA: Оценка уязвимостей

AVA_VAN.4 Методический анализ уязвимостей



Анализ поддержан независимым тестированием ФБО, свидетельством разработчика о тестировании, основанном на функциональной спецификации, проекте ОО, выборочным независимым подтверждением результатов тестирования разработчиком и независимым анализом уязвимостей, демонстрирующим противостояние попыткам проникновения нарушителей с Умеренным потенциалом нападения.

ОУД5 также обеспечивает доверие посредством использования контроля среды разработки и всестороннего управления конфигурацией ОО, включая автоматизацию, и свидетельства безопасных процедур поставки.

ОУД5 представляет значимое увеличение доверия по сравнению с ОУД4, требуя полуформальное описание проекта, более структурированную (и, следовательно, лучше анализируемую) архитектуру и улучшенные механизмы и/или процедуры, что дает уверенность в том, что в ОО не будут внесены искажения во время разработки.