ГОСТ Р ИСО/МЭК 15408-1—2012
Если ОО сформирован на основе одного или более известных продуктов, то допускается отразить это
в ссылке на ОО путем указания наименований этих продуктов. Однако это не должно вводить потребителей в за
блуждение: ситуации, когда основные части или функциональные возможности безопасности не были рассмотре
ны в процессе оценке, но в ссылке на ОО это не отражено, являются недопустимыми.
Ссылка на ЗБ и ссылка на ОО облегчают индексацию и ссылку на ЗБ и ОО и их включение в состав сводной
информации списков оцененных ОО/продуктов.
А.4.2 Аннотация ОО
Аннотация ОО нацелена на потенциальных потребителей ОО. просматривающих списки оцененных ОО/про-
дуктов, чтобы найти ОО. которые могут удовлетворить их потребности в безопасности и поддерживаться их аппа
ратным. программным и программно-аппаратным обеспечением. Как правило, обьем аннотации ОО — несколько
параграфов.
В аннотации ОО кратко описывают использование ОО и его основные характеристики безопасности, иденти
фицируют тип ОО и все основные аппаратные средства/программное обеспечение/программно-аппаратные сред
ства. не входящие в ОО. но требуемые для ОО.
А.4.2.1 Использование и основные характеристики безопасности ОО
Описание использования и основных характеристик безопасности ОО предназначено, чтобы дать общее
представление о возможностях ОО с точки зрения безопасности и о том.для чего можно использовать ОО в контек сте
безопасности. Это должно быть написано для (потенциальных) потребителей ОО с описанием использования и
основных характеристик ОО в терминах бизнес-операций и на языке, понятном потребителям.
Пример такого описания: «The MauveCorp MauveRAM Database v2.11 является многопользовательской си
стемой управления базами данных, предназначенной для использования в сетевой среде. Она предоставляет
возможность одновременной работы до 1024 пользователей, возможность использовать аутентификацию, осно
ванную на пароле/токене. а также — биометрическую аутентификацию: обеспечивает защиту от случайного по
вреждения данных и откат назад на десять тысяч транзакций. Существует возможность настройки механизмов
аудита в широком диапазоне, позволяющая осуществлять детальный аудит по отношению к некоторым пользова
телям и транзакциям, обеспечивая при этом приватность для других пользователей и транзакций».
А.4.2.2 Тип ОО
В аннотации ОО идентифицируют общий тип ОО. такой как: межсетевой экран, шлюз виртуальной частной
сети, смарт-карта, интранет, веб-сервер, система управления базами данных, веб-сервер вместе с системой управ
ления базами данных. ЛВС. ЛВС с веб-сервером и системой управления базой данных и др.
Возможна ситуация, когда ОО не может быть легко отнесен к имеющемуся типу, при которой приемлемым
является указание на то. что ОО не отнесен ни к одному типу.
В некоторых случаях тип ОО может ввести в заблуждение потребителей. Например:
- от ОО с учетом его типа могут ожидать определенные функциональные возможности, в то время как у дан
ного ОО эти функциональные возможности отсутствуют. Например:
ОО типа «ATM-карта», который не поддерживает какие-либо функциональные возможности идентифи-
кации/аутентификации;
ОО типа «межсетевой экран», который не поддерживает протоколы, используемые почти повсеместно;
ОО типа «ИОК». у которого нет функциональных возможностей аннулирования сертификатов.
- от ОО с учетом его типа могут ожидать возможность функционирования в определенной среде, в то время
как для данного ОО такая возможность отсутствует. Например:
ОО типа «операционная система ПК», который не гложет безопасно функционировать при наличии
у ПК сетевого подключения, накопителя на гибких дисках. CD/DVD-дисковода;
межсетевой экран, который может безопасно функционировать только при условии, что все пользова
тели. которые могут подключаться через этот межсетевой экран, являются благонадежными.
А.4.2.3 Требуемые аппаратные средства/программное обеспечение/программно-аппаратные сред
ства. не входящие в ОО
В то время как некоторые ОО не зависят от других ИТ. многие ОО (особенно программные ОО) зависят от до
полнительных, не входящих в ОО. аппаратных средств/программного обеспечения и/или программно-аппаратных
средств. В последнем случав в «Аннотации ОО» требуется идентифицировать соответствующие, не входящие в
ОО. аппаратные средства/программное обеспечение и/или программно-аппаратные средства. Полная и абсо
лютно детальная идентификация дополнительных аппаратных средств/программного обеспечения и/или про
граммно-аппаратных средств не требуется, но при этом необходима полнота и детализация идентификации,
достаточная для определения потенциальными потребителями основных аппаратных средств, программного обе
спечения и/или программно-аппаратных средств, необходимых для использования ОО.
Примеры идентификации аппаратных средств/программного обеспечения/программно-аппаратных средств:
- стандартный ПК с процессором 1ГГц или более и ОП 512 Мб или более, функционирующий под управлени
ем операционной системы Yaiza версии 3.0 с установленным обновлением 6d, с или 7 или версии 4.0;
- стандартный ПК с процессором 1ГГц или более и ОП 512 Мб или более, функционирующий под управле
нием операционной системы Yaiza версии 3.0 с установленным обновлением 6d. с. установленной графической
картой WonderMagic 1.0 с набором драйверов для WM версии 1.0;
- стандартный ПК с операционной системой Yaiza версии 3.0 (или выше):
- интегральная схема CleverCard SB2067;
- интегральная схема CleverCard SB2067 с установленной операционной системой для смарт-карт QuickOS;
32