ГОСТ Р ИСО/МЭК15408-2—2008
Приложение F
(обязательное)
Защита данных пользователя (FDP)
Класс FDP «Защита данных пользователя» содержит семейства, определяющие требования к функциям
безопасности ОО и политикам функций безопасности ОО, связанным с защитой данных пользователя. Этот класс
отличается от классов FIA и FPT тем, что определяет компоненты для защиты данных пользователя, тогда как
класс FIA определяет компоненты для защиты атрибутов, ассоциированных с пользователем, а класс FPT — для
защиты информации ФБО.
Данный класс не содержит явного требования мандатного управления доступом (Mandatory Access
Controls — MAC) или традиционного дискреционного управления доступом (Discretionary Access Controls — DAC);
тем не менее, такие требования могут быть выражены с использованием компонентов этого класса.
Класс FDP «Защита данных пользователя» не касается явно конфиденциальности, целостности или дос
тупности. чаще всего сочетающихся в политике и механизмах. Тем не менее в ПЗ.‘ЗБ политику безопасности ОО
необходимо адекватно распространить на эти три цели.
Заключительным аспектом этого класса является то, что он специфицирует управление доступом в терми
нах «операций». «Операция» определяется как специфический тип доступа к конкретному объекту. В зависимо
сти от уровня абстракции описания автором ПЗ/ЗБ этих операций, они могут определяться как «чтение» и’или
«запись» или как более сложные операции, например «обновление базы данных».
Политики управления доступом определяют доступ к хранилищам информации. Атрибуты представлены
атрибутами места хранения. Как только информация считана из хранилища, лицо, имеющее доступ к ней. может
бесконтрольно использовать эту информацию, включая ее запись в различные хранилища с другими атрибутами.
Напротив, политики управления информационными потоками контролируют доступ к информации, независимо от
места ее хранения. Атрибуты информации, которые могут быть (или не быть, как в случае многоуровневых баз
данных) ассоциированы с атрибутами места хранения, остаются с информацией при ее перемещении. Получа
тель доступа к информации не имеет возможности изменять ее атрибуты без явного разрешения.
Класс FDP не рассматривается как полная таксономия политик управления доступом ИТ. поскольку могут
быть предложены иные. В него включены те политики, для которых спецификация требований основана на
накопленном опыте применения существующих систем. Возможны и другие формы доступа, которые не учтены в
имеющихся формулировках.
Так, можно представить себе задачу иметь способы управления информационным потоком, определяе
мые пользователем (например, реализующие автоматизированную обработку информации «Не для посторон
них»), Подобные понятия могли бы быть учтены путем уточнения или расширения компонентов класса FDP.
Наконец, при рассмотрении компонентов класса FDP «Защита данных пользователя» важно помнить, что
эти компоненты содержат требования для функций, которые могут быть реализованы механизмами, которые
служат или могли бы служить и для других целей. Например, возможно формирование политики управления
доступом (FDP
_
ACC). которая использует метки (FDPJFF.1 «Простые атрибуты безопасности») как основу
для механизма управления доступом.
Политика безопасности ОО может содержать несколько политик функций безопасности (ПФБ). каждая из
которых будет идентифицирована компонентами двух ориентированных на политики семейств «Политика управ
ления безопасностью» FDP
_
ACC и «Политика управления информационными потоками» FDPJFC. Эти полити ки
будут, как правило, учитывать аспекты конфиденциальности, целостности и доступности так. как это потребует ся
для удовлетворения требований к ОО. Следует обеспечить, чтобы на каждый обьект обязательно распростра
нялась. по меньшей мере, одна ПФБ и при реализации различных ПФБ не возникали конфликты.
В процессе разработки ПЗ<ЗБ с использованием компонентов класса FDP «Защита данных пользователя»
при их просмотре и выборе необходимо руководствоваться нижеследующими положениями.
Требования класса FDP «Защита данных пользователя» определены в терминах функций безопасности
(ФБ). которые реализуют ПФБ. Поскольку ОО может одновременно следовать нескольким ПФБ. автору ПЗ.‘ЗБ
необходимо дать каждой из ПФБ название, на которое можно ссылаться в других семействах. Это название будет
затем использоваться в каждом компоненте, выбранном для определения части требований для соответствую
щей функции, что позволит автору ПЗ/ЗБ легко указать область действия, например охватываемые объекты и
операции, уполномоченные пользователи и тщ.
Как правило, каждое применение компонента возможно только для одной ПФБ. Поэтому, если ПФБ специ
фицирована в компоненте, то она будет применена во всех элементах этого компонента. Эти компоненты могут
применяться в ПЗ/ЗБ несколько раз. если желательно учесть несколько политик.
Ключом к выбору компонентов этого семейства является наличие полностью определенной политики безо
пасности ОО. обеспечивающей правильный выбор компонентов из семейств «Политика управления доступом»
FDP
_
ACC и «Политика управления информационными потоками» FDPJFC. В FDP
_
ACC «Политика управления
108