ГОСТ Р ИСО/МЭК15408-2—2008
Приложение
I
(обязательное)
Приватность (FPR)
Класс FPR описывает требования, которые могут накладываться для удовлетворения потребности пользо
вателя в приватности, допуская максимально возможную гибкость системы, но оставляя в то же время возмож ной
поддержку достаточного управления функционированием системы.
Компоненты этого класса достаточно гибки, чтобы учитывать, распространяется ли действие затребован
ных функций безопасности на уполномоченных пользователей. Например, автор ПЗ/ЗБ может посчитать, что не
потребуется защита приватности пользователя от пользователей, наделенных специальными полномочиями.
Класс FPR вместе с другими классами (содержащими требования аудита, управления доступом, предостав
ления доверенного маршрута и неотказуемости) обеспечивает гибкость при спецификации желательного режи ма
приватности. В то же время требования этого класса могут налагать ограничения на использование компонен тов
других классов, таких как FIA «Идентификация и аутентификация» или FAU «Аудит безопасности». Например, если
уполномоченным пользователям не разрешено знать идентификатор пользователя (например, в семей ствах
«Анонимность» или «Псевдонимносгь»), то. очевидно, невозможно будет оставить отдельных пользовате лей
ответственными за выполняемые ими относящиеся к безопасности действия, на которые распространяются
требования приватности. Тем не менее и в этом случае возможно включение в ПЗ/ЗБ требований аудита, если
возникновение некоторых событий, связанных с безопасностью, важнее, чем знание о том, кто был их иници
атором.
Дополнительная информация по этому вопросу представлена в замечаниях по применению класса FAU.
где разьясняется. что вместо идентификатора в контексте аудита может применяться псевдоним или другая
информация, которая могла бы идентифицировать пользователя.
Данный класс содержит четыре семейства: «Анонимность», «Псевдонимносгь». «Невозможность ассоци
ации» и «Скрытность». Три первых семейства имеют сложные взаимосвязи. При выборе семейства для примене ния
следует учитывать выявленные угрозы. Для некоторых типов угроз приватности «Псевдонимность» подойдет
больше, чем «Анонимность» (например, при требовании проведения аудита). Кроме того, некоторым видам угроз
приватности наилучшим образом противостоит сочетание компонентов из нескольких семейств.
Во всех семействах предполагается, что пользователь явно не выполняет действий, раскрывающих его
собственный идентификатор. Например, ФБО, как ожидают, не покажут на экране имя пользователя в сообще
ниях электронной почты или базах данных.
Все семейства этого класса имеют компоненты, область действия которых может быть задана операциями.
Эти операции позволяют автору ПЗ/ЗБ указать действия, общие для пользователей/субьекгов. которым необхо
димо противодействовать с использованием ФБО. Возможный пример отображения анонимности: «ФБО
долж ны обеспечивать, чтобы пользователи и/или субъекты были не способны определить идентификатор
пользова теля. обратившегося за телеконсультацией».
Необходимо, чтобы ФБО предоставляли защиту от действий не только отдельных пользователей, но и
пользователей, объединившихся для получения определенной информации. Стойкость защиты, предоставляе
мой этим классом, следует описать как стойкость функции в соответствии с ИСО/МЭК 15408-1. приложения А и В.
Декомпозиция класса FPR «Приватность» на составляющие его компоненты показана на рисунке 1.1.
1.1
Анонимность (FPR
_
ANO)
1.1.1
Замечания для пользователя
Семейство FPRANO обеспечивает возможность использования субъектом ресурсов или услуг без раскры
тия идентификатора его пользователя.
Данное семейство предназначено для определения того, что пользователь или субъект сможет предпри
нимать действия, не раскрывая идентификатора пользователя другим пользователям, субъектам или объектам.
Это семейство предоставляет автору ПЗ/ЗБ способ идентификации совокупности пользователей, которые не
смогут узнать идентификатор исполнителя некоторых действий.
Следовательно, если субъект, пользуясь анонимностью, выполняет некоторое действие, другой субъект
будет не в состоянии определить ни идентификатор, ни даже ссылку на идентификатор пользователя, использо
вавшего первый субъект. Анонимность сфокусирована на защите идентификатора пользователя, а не на защите
идентификатора субъекта. Поэтому идентификатор субъекта не защищен от раскрытия.
Хотя идентификатор пользователя не разглашается другим субъектам или пользователям. ФБО прямо не
запрещено узнавать идентификатор пользователя. Если не допускается, чтобы ФБО был известен идентифика тор
пользователя, то можно прибегнуть к компоненту FPR
_
AN0.2 «Анонимность». В этом случав ФБО не разре шается
запрашивать информацию о пользователе.
Термин «определить» следует понимать в самом широком смысле слова. Для конкретизации требований
к строгости автор ПЗ/ЗБ может воспользоваться понятием стойкости функций.
138