ГОСТ Р ИСО/МЭК 15408-1—2008
ИСО/МЭК15408 предоставляет потребителям, особенно входящим в группы исообщества с еди
ными интересами, независимую от реализации структуру, называемую профилем защиты (ПЗ). для
выражения их специфическихтребований к мерам безопасности ИТ вобъекте оценки.
4.1.1.2 Разработчики
ИСО/МЭК 15408 предназначен для поддержки разработчиков при подготовке к оценке своих про дуктов
или систем иее проведении, атакже при установлении требованийбезопасности, которымдолж
ны удовлетворять каждый их продукт или система. Использование совместно с ИСО/МЭК 15408
методологии оценки, потенциально сопровождаемой соглашением о взаимном признании результатов
оценки, позволит использовать ИСО/МЭК 15408 для поддержки иных лиц. помимо разработчиков ОО,
при подготовкеэтого ОО коценке и содействоватьее проведению.
Конструкции из ИСО/МЭК 15408 могутиспользоватьсядляформирования утверждения осоответ
ствии ООустановленным для неготребованиям посредством подлежащих оценке специфицированных
функций безопасности и мер доверия. Требованиядля конкретногоОО содержатся в зависимой отреа
лизации конструкции, называемойзаданием побезопасности(ЗБ). Требования широкогокругапотреби
телей могут быть представлены в одном или нескольких ПЗ.
В ИСО/МЭК 15408 изложены функции безопасности, которые разработчик мог бы включить в ОО.
ИСО/МЭК 15408 можно также применятьдля определения обязанностей идействий по подготовке сви
детельств, необходимых при проведении оценки ОО. Он также определяет содержание и представле
ние таких свидетельств.
4.1.1.3 Оценщики
ИСО/МЭК 15408 содержит критерии, предназначенные для использования оценщиками ОО при
формировании заключения о соответствии объектов оценки предъявленным к ним требованиям безо
пасности. ВИСО/МЭК 15408 приведеноописаниесовокупностиосновныхдействий, выполняемыхоцен
щиком, и функций безопасности, к которым относятся эти действия. ИСО/МЭК 15408, однако, не
определяет процедуры, которых следует придерживаться при выполненииданныхдействий.
4.1.1.4 Прочие
Хотя ИСО/МЭК 15408 ориентирован наопределение и оценкухарактеристик безопасности ИТдля
объектовоценки, он также может служитьсправочным материаломдлятех. ктоинтересуется вопросами
безопасности ИТ или несет ответственность за безопасность. Среди них можно выделить, например,
следующие группы, представители которых смогут извлечь пользу из информации, содержащейся в
ИСО/МЭК 15408:
a) лица, ответственные за техническоесостояниеоборудования, и сотрудникислужббезопаснос
ти, ответственные за определение и выполнение политики и требований безопасности организации в
области ИТ;
b
) аудиторы (внутренние и внешние), ответственные за оценку адекватности безопасности сис
темы;
c) проектировщики систем безопасности, ответственные за спецификацию основного содержа
ния безопасности систем ипродуктов ИТ;
d) аттестующие, ответственные за приемку системы ИТ в эксплуатацию в конкретной среде.
e) заявители, заказывающиеоценку иобеспечивающие ее проведение;
f) органы оценки, ответственные за руководство и надзор за программами проведения оценок
безопасности ИТ.
4.2 Контекст оценки
Длядостижения большей сравнимости результатов оценоких следует проводить в рамках полно
мочнойсистемы оценки, которая предписываетстандарты, контролируеткачество оценокиопределяет
нормы, которыми необходимо руководствоваться организациям, проводящим оценку, иоценщикам.
ИСО/МЭК 15408 не содержит требований к правовой базе. Однако согласованность правовой
базы различных органов оценки является необходимым условием достижения взаимного признания
результатовоценок. Основные элементы формирования контекстадля оценокпоказаны на рисунке 1.
Использование общей методологии оценки позволяет достичь повторяемости и объективности
результатов, но только этого недостаточно. Многие критерии оценки требуют привлечения экспертных
решений и базовых знаний, добиться согласованности которых бывает нелегко. Для повышения согла
сованности выводов, полученных при оценке, ее конечные результаты могут быть представлены насер
тификацию. Процедура сертификации представляет собой независимую экспертизу результатов
оценки, которая завершается их утверждением или выдачей сертификата. Сведения о сертификатах
обычно публикуются и являются общедоступными. Сертификация является средством обеспечения
большей согласованности в применении критериевбезопасности ИТ.
6