ГОСТ Р ИСО/МЭК 15408-1—2012
5.2.1 Различные представления 0 0
В ИСО/МЭК 15408 ОО может встречаться в нескольких представлениях, таких как (для программ
ного ОО):
- список файлов в системе управления конфигурацией;
- отдельная мастер-копия, которая была только что скомпилирована;
- коробка, содержащая компакт-диск и руководства, готовая для поставки потребителю;
- установленная и функционирующая версия.
Все из перечисленного считается ОО; где в дальнейшем в ИСО/МЭК 15408 используется термин
«ОО». его конкретное представление определяется из контекста.
5.2.2 Различные конфигурации ОО
Обычно продукты ИТ могут быть сконфигурированы различными способами путем включения
или отключения различных опций при инсталляции. Так как в процессе оценки по ИСО/МЭК 15408 бу
дет определяться, удовлетворяет ли ОО определенным требованиям, данная гибкость конфигурации
может привести к проблемам, так как все возможные конфигурации ОО должны удовлетворять этим
требованиям. По этим причинам частыми являются случаи, когда руководства как часть ОО строго
ограничивают возможные конфигурации ОО. Таким образом, руководства ОО могут отличаться от
об щих руководств для продукта ИТ.
Примером является продукт ИТ «Операционная система». Этот продукт может быть сконфигури
рован различными способами (например, типы пользователей, количество пользователей, типы разре-
шенных/неразрешенных внешних подключений, включение/отключение опций и др.)
Если такой продукт ИТ должен быть ОО и оценен на соответствие обоснованному набору требо
ваний. его конфигурацию следует намного более тщательно контролировать, так как многие опции (на
пример. разрешение всех типов внешних подключений или отсутствие необходимости аутентификации
администратора системы) приведут к тому, что ОО не будет удовлетворять требованиям.
По этой причине нормальным бы являлось дифференциация руководств для продукта ИТ (допу
скающих много конфигураций) и руководств для ОО (допускающих только одну конфигурацию или толь ко
те конфигурации, которые не отличаются относительно способов обеспечения безопасности).
Если руководства ОО допускают более одной конфигурации, то все эти конфигурации вместе
именуются «ОО», и каждая такая конфигурация должна удовлетворять требованиям, предъявляемым
кОО.
5.3 Пользователи ИСО/МЭК 15408
В оценке характеристик безопасности ОО заинтересованы в основном три группы пользователей:
потребители, разработчики и оценщики. Критерии, представленные в настоящем документе, структу
рированы в интересах этих групп, потому что именно они рассматриваются как основные пользователи
ИСО/МЭК 15408. Далее объясняется, какую пользу могут принести критерии каждой из этих групп.
5.3.1 Потребители
ИСО/МЭК 15408 разработан, чтобы обеспечить посредством оценки удовлетворение запросов
потребителей, поскольку это является основной целью и логическим обоснованием процесса оценки.
Результаты оценки помогают потребителям решить, удовлетворяет ли ОО их потребности в безо
пасности. Эти потребности обычно определяются как следствие анализа рисков, а также направленно
сти политики безопасности. Потребители могут также использовать результаты оценки для сравнения
различных ОО. Иерархическое представление требований доверия способствует этому.
ИСО/МЭК 15408 предоставляет потребителям, особенно входящим в группы и сообщества с еди
ными интересами, независимую от реализации структуру, называемую профилем защиты (ПЗ). для од
нозначного выражения их требований безопасности.
5.3.2 Разработчики
ИСО/МЭК 15408 предназначен для поддержки разработчиков при подготовке к оценке своих ОО
и содействии в ее проведении, а также при установлении требований безопасности, которым должны
удовлетворять эти ОО. Данные требования содержатся в зависимой от реализации конструкции, назы
ваемой заданием по безопасности (ЗБ). Эти ЗБ могут базироваться на одном или нескольких ПЗ, чтобы
показать, что ЗБ соответствуют требованиям безопасности, предъявленных потребителями, которые
установлены в данных ПЗ.
ИСО/МЭК 15408 можно использовать для определения обязанностей и действий по предоставле
нию свидетельств, необходимых при проведении оценки ОО по этим требованиям. Он также определя
ет содержание и представление таких свидетельств.
15