ГОСТ Р ИСО/МЭК 18045— 2008
3) оценку раздела «Введение ПЗ» (8.3.3);
4) оценку раздела «Цели безопасности» (8.3.4);
5) оценку раздела «Требования безопасности ИТ» (8.3.5);
7) оценку сформулированных в явном виде требований безопасности ИТ (8.3.6);
с) задачу оформления результатов оценки (раздел 7).
Задачи получения исходных данных для оценки и оформления результатов оценки описаны в разде
ле 7. Подвиды деятельности по оценке вытекают из требований доверия класса АРЕ. содержащихся в
ИСО/МЭК 15408-3.
В настоящем разделе описаны подвиды деятельности, включенные воценку ПЗ. Хотя подвиды дея
тельности могут начинаться более или менее случайно, некоторые зависимости между подвидами дея
тельности должны быть учтены оценщиком. Руководство по учету зависимостей см. в А.4 «Зависимости»
(приложениеА).
Подвиддеятельности по оценке сформулированных в явном виде требований безопасности ИТ вы
полняют только тогда, когда в состав требований безопасности ИТ включены требования безопасности,
взятые не из ИСО/МЭК 15408-2 или ИСО/МЭК 15408-3.
8.3 Вид деятельности «Оценка профиля защиты»
8.3.1 Оценка раздела «Описание ОО» (APE_DES.1)
8.3.1.1 Цели
Цель данного подвидадеятельности — сделать заключение, содержит ли «Описание ОО» соответ
ствующую для понимания назначения ОО и его функциональных возможностей информацию, а также яв
ляется ли описание ОО полным и непротиворечивым.
8.3.1.2 Исходные данные
Свидетельством оценки для этого подвида деятельности является ПЗ.
8.3.1.3 Действие APE_DES.1.1E
8.3.1.3.1 Шаг оценивания APE_DES.1-1
ИСО/МЭК 15408-3 APE_DES.1.1C: Описание ОО должно включать в себя тип продукта и общие
свойства ИТ. присущие ОО.
Оценщикдолжен исследовать раздел «Описание ОО». чтобы сделать заключение, описан ли в нем
тип продукта или системы для ОО.
Оценщикделает заключение, достаточно ли «Описание ОО» для общего понимания предполагаемо
го использования продукта или системы и обеспечивает ли. таким образом, контекст оценки. Примерами
некоторых типов продуктов и систем являются; межсетевой экран, смарт-карта, криптомодем, веб-сервер,
интрасеть.
Существуют ситуации, когда является очевидным, что у ОО ожидается наличие некоторых функцио
нальных возможностей, определяемых типом продукта или системы. Если эти функциональные возможно
сти отсутствуют, то оценщикделает заключение, адекватно ли это отсутствие рассмотрено в разделе «Опи
сание ОО». Примером этого является ОО типа «межсетевой экран», в «Описании ОО» которого изложено,
что он не может быть подключен к сетям.
8.3.1.3.2 Шаг оценивания APE_DES.1-2
Оценщикдолжен исследовать раздел «Описание ОО». чтобы сделать заключение, описаны ли в нем
в общих чертах ИТ-характеристики ОО.
Оценщикделает заключение, рассмотрены ли в разделе «Описание ОО» ИТ-характеристики и восо
бенности характеристики безопасности, предоставляемые ОО. на таком уровне детализации, который
достаточен для общего понимания этих характеристик.
8.3.1.4 Действие APE_DES.1.2Е
8.3.1.4.1 Шаг оценивания APE_DES.1-3
Оценщикдолжен исследовать ПЗ. чтобы сделать заключение, является ли «Описание ОО» логичес
ки упорядоченным.
Изложение раздела «Описание ОО» является логически упорядоченным, если егоструктура и содер
жание понятны целевой аудитории (т.е. разработчикам, оценщикам и потребителям).
8.3.1.4.2 Шаг оценивания APE_DES.1-4
Оценщикдолжен исследовать ПЗ, чтобы сделать заключение, является ли «Описание ОО» внутрен
не непротиворечивым.
Оценщику необходимо иметь в виду, что данный раздел ПЗ предназначен только для того, чтобы
определить общее назначение ОО.
13