ГОСТ Р ИСО/МЭК 18045— 2008
b
) связанную с ней функцию (функции) безопасности, не достигнутую цель (цели), нарушенную поли
тику (политики) безопасности организации, реализованную угрозу (угрозы):
c) описание;
d) пригодна ли она для использования в предопределенной среде или нет (т.е. пригодная для исполь
зования или является остаточной уязвимостью):
e) идентификацию участника оценки (например, разработчик, оценщик), который ее идентифици
ровал.
13 Оценка по ОУД4
13.1 Введение
ОУД4 обеспечивает уровеньдоверия в диапазоне от умеренногодо высокого. Для обеспечения пони
мания режимов безопасногофункционирования ОО функции безопасности анализируютс использованием
функциональной спецификации, документации руководств, проектов верхнего и нижнего уровня ОО. а так
же подмножества представления реализации. Данный анализдолжен быть поддержан независимым тести
рованием подмножества функций безопасности ОО. свидетельством тестирования разработчиком, осно
ванным на функциональной спецификации и проекте верхнего уровня, выборочным подтверждением ре
зультатов тестирования разработчиком, анализом стойкости функций безопасности, свидетельством поиска
разработчиком уязвимостей и независимым анализом уязвимостей, демонстрирующим стойкость к напа
дениям проникновения, выполняемым нарушителем, обладающим низким потенциалом нападения. Дове
рия дополнительнодостигают применением неформальной модели политики безопасности ОО. меруправ
ления средой разработки, автоматизированного управления конфигурацией ОО и свидетельства безопас
ных процедур поставки.
13.2 Цели
Цель данного раздела заключается в определении минимальных усилий, необходимых для успеш
ного выполнения оценки по ОУД4. и предоставлении руководства по способам и средствам выполнения
оценки.
13.3 Организация оценки по ОУД4
Оценка по ОУД4 предусматривает следующее:
a) задачу получения исходныхданных для оценки (раздел 7);
b
) виды деятельности по оценке по ОУД4. включающие в себя:
1) оценку ЗБ (раздел 9);
2) оценку управления конфигурацией (13.4);
3) оценку документов поставки и эксплуатации (13.5);
4) оценкудокументов разработки (13.6):
5) оценку руководств (13.7);
6) оценку поддержки жизненного цикла (13.8);
7) оценку тестов (13.9);
8)тестирование (13.9);
9) оценку оценки уязвимостей (13.10);
c) задачу оформления результатов оценки (раздел 7).
Виды деятельности по оценке следуют из требований доверия ОУД4. содержащихся в
ИСО/МЭК 15408-3.
Оценка ЗБ начинается до выполнения любых подвидовдеятельности по оценке ОО. так как ЗБ обес
печивает основание и контекстдля выполнения этих подвидов деятельности.
В настоящем разделе приведеноописание подвидовдеятельности, выполняемыхпри оценке по ОУД4.
Хотя выполнение подвидов деятельности может, вобщем случае, начинаться более или менее случайным
образом, некоторые зависимости между подвидамидеятельности должны быть учтены оценщиком.
Руководство по учету зависимостей см. в А.4 «Зависимости» (приложение А).
13.4 Вид деятельности «Управление конфигурацией»
Цель вида деятельности «Управление конфигурацией» состоит в том. чтобы помочь потребителю в
идентификации оцененного ОО и удостовериться втом. что элементы конфигурации уникально идентифи
цированы. а также удостовериться в адекватности процедур, используемых разработчиком для управле
ния и отслеживания изменений, вносимых в ОО. При этомдетальнодолжно быть рассмотрено, какие изме
нения отслеживают, каким образом вносят потенциальные изменения, а также степень использования авто
матизации для уменьшения возможности ошибок.
139