ГОСТ Р ИСО/МЭК 18045— 2008
данное описание было признано четко сформулированным, в нем должны быть определено понятие безо
пасности для рассматриваемого ОО. идентифицированы атрибуты безопасности сущностей, находящихся
под управлением ОО. а также идентифицированы действия ОО. которые изменяют значения этих атрибу
тов. Например, если вполитике безопасности предпринята попытка учесть вопросы целостностиданных, то
в модели политики безопасности ОО должны быть:
a) определено понятие целостности для рассматриваемого ОО:
b
) идентифицированы типы данных, для которых ОО поддерживает целостность;
c) идентифицированы сущности, которые могут модифицировать данные указанных типов;
d) идентифицированы правила, которые должны быть выполнены при модификации данных.
13.6.7.3.5 Шаг оценивания 4:ADV_SPM.1-5
ИСО/МЭК 15408-3 ADV.SPM.1.3C: Модель ПВО должна включать в себя обоснование, которое
демонстрирует, что она согласована и полна относительно всехполитикПВО. которые могут быть
смоделированы.
Оценщик должен исследовать обоснование модели политики безопасности ОО. чтобы сделать за
ключение, согласован ли смоделированный режим функционирования ОО с правилами, описанными в
политиках ФБ (т.е. сформулированными всоответствии сфункциональными требованиями из ЗБ).
Делая заключение о непротиворечивости, оценщик верифицирует, что согласно обоснованию описа
ние каждого правила или характеристики в модели политики безопасности ОО точно отражает предназначе
ние политик ФБ. Например, если политикой безопасности установлено, что управлениедоступом необхо
димо на уровне отдельных пользователей, то модель политики безопасности ОО. описывающая
безопас ный режим функционирования ОО применительно куправлению группами пользователей, не будет
призна на согласованной с политикой безопасности. Аналогично, если политикой безопасности
установлено, что управлениедоступом необходимо на уровне групп пользователей, то модель политики
безопасности ОО, описывающая безопасный режим функционирования ОО применительно
куправлениюотдельными пользо вателями, также не будет считаться согласованной с политикой
безопасности.
Доверие к безопасности приобретается исходя из явного или общего изложения политик, лежащих в
основе функциональных требований безопасности ОО. Доверие складывается из двух составляющих.
Сведение описаний каждой политики ФБ в краткое единое целое помогает в понимании деталей осуществ
ляемых политик. Кроме того, такое сводное описание намного упрощает поиск любых недостатков или
противоречий (чего и требуетсядобиться как части элемента требования ADV_SPM.*.3C) и обеспечивает
четкую характеристику безопасных состояний (чего и требуется добиться как части требований элемента
ADV_SPM.*.2C).
Рассматриваемое требование кнеформальной модели политики безопасности (НМПБ)должно быть
выполнено путем четкого изложения политики безопасности ОО. Необходимость в оформлении НМПБ в
виде отдельногодокумента не является безусловной, так какдля очень простых (очевидных) политик ФБ
или политик ФБ, которые очень четко определены в ЗБ. необходимости в отдельном оформлении НМПБ
может и не быть. В таких случаях различные разделы ЗБ (например, требования безопасности, краткая
спецификация ОО) могут в сочетании друг с другом обеспечить для описания политики безопасности до
статочный уровень детализации, однако зачастую это не так. Например, требования аудита могут быть
разнесены по всем функциональным требованиям безопасности ОО и не обеспечивать четкую модель
политики ФБ вцелом. Если только вдругом разделе ЗБ (возможно в краткой спецификации ОО) все требо
вания аудита не будут собраны во взаимосвязанное целое, то возникает необходимость в отдельномдоку
менте НМПБ для того, чтобы иметь возможность обнаружить противоречия в требованиях ЗБ. которые
иначе могут остаться необнаруженными.
Когда разработчик утверждает, что требования к НМПБ для некоторых или для всех политик ФБ
удовлетворены через ЗБ, оценщику, используя требования компонента ADV_SPM.1 «Неформальная мо
дель политики безопасности», необходимо сделать заключение, что это именно так, т.е. сделать заключе
ние. что политика ясно выражена и что модель является согласованной с остальными частями ЗБ. В тех
случаях, когда разработчик утверждает, что НМПБ полностью отражена в ЗБ. необходимо, чтобы в обосно
вании НМПБ была дана ссылка на материалы демонстрации пригодности отдельных частей ЗБ и их соот
ветствия другдругу. При выполнении данного шага оценивания оценщик может использовать соответству
ющие результаты оценки ЗБ.
Руководство по анализу непротиворечивости см.вА.З «Анализ непротиворечивости» (приложе
ние А).
163