ГОСТ Р ИСО/МЭК 18045—2013
Оценщик делает заключение о том. что ПЗ определяет все:
- субъекты и объекты (их типы), которые используются в ФТБ;
- атрибуты безопасности (их типы) субъектов, пользователей, объектов, информации, сеансов
и/или ресурсов, возможные значения, которые могут принимать данные атрибуты и любые отношения
между этими значениями (например «Совершенно секретно» выше, чем «Секретно»);
- операции (ихтипы), которые используются в ФТБ. включая результатывыполнения этих операций;
- типы внешних сущностей в ФТБ;
- прочие элементы, которые введены в ФТБи/или ТДБ путем выполнения операций, если эти элемен
ты не являются ясными без дополнительного объяснения или используются вне их словарных значений.
Цель этого шага оценивания состоит в том, чтобы удостовериться, что ФТБ и ТДБ были четко
определены и что не может произойти их неправильного понимания из-за употребления неопределен
ных терминов. При выполнении этого шага оценивания не следует доходить до крайностей, вынуждая
автора ПЗ определять каждое слово. Предполагается, что у широкой аудитории, на которую рассчитан
набор требований безопасности, есть понимание ИТ в целом, основ информационной безопасности и
знание «Критериев оценки безопасности информационных технологий».
Все вышеупомянутое может быть представлено по группам, классам, ролям, типам или другим
классификациям и спецификациям, облегчающим понимание.
Оценщику следует помнить, что эти списки и определения недолжны быть частью изложения «Тре
бований безопасности», но могут быть размещены (частично или полностью) в различных подразделах
оного. Это может быть особенно полезным, если эти же элементы используются в остальной части ПЗ.
ИСО/МЭК 15408-3 APE_REQ.1.3C: В изложении «Требований безопасности» должны быть иден
тифицированы все выполняемые над требованиями безопасности операции.
8.8.1.3.4 Шаг оценивания APE_REQ.1-4
Оценщик должен проверить, идентифицированы ли все операции над требованиями безопасно
сти в изложении «Требований безопасности».
Оценщикделает заключение, все ли операции (это относится и к завершенным и незавершенным
операциям) идентифицированы в каждом ФТБ и ТДБ, где они используются. Идентификация может
проводиться различными способами, например путем введения типографических различий, особого
выделения в сопутствующем тексте или других средств различия.
ИСО/МЭК 15408-3 APE_REQ.1.4C: Все операции должны выполняться правильно.
8.8.1.3.5 Шаг оценивания APE_REQ.1-5
Оценщик должен исследовать изложение «Требований безопасности», чтобы сделать заключе
ние о том, что все операции типа «назначение» выполняются правильно.
Руководство по правильному выполнению операций представлено в приложении С «Руководство
по выполнению операций» ИСО/МЭК 15408-1.
8.8.1.3.6 Шаг оценивания APE_REQ.1-6
Оценщик должен исследовать изложение «Требований безопасности», чтобы сделать заключе
ние о том, что все операции типа «итерация» выполняются правильно.
Руководство по правильному выполнению операций представлено в приложении С «Руководство
по выполнению операций» ИСО/МЭК 15408-1.
8.8.1.3.7 Шаг оценивания APE_REQ.1-7
Оценщик должен исследовать изложение «Требований безопасности», чтобы сделать заключе
ние о том, что все операции типа «выбор» выполняются правильно.
Руководство по правильному выполнению операций представлено в приложении С «Руководство
по выполнению операций» ИСО/МЭК 15408-1.
8.8.1.3.8 Шаг оценивания APE_REQ.1-8
Оценщик должен исследовать изложение «Требований безопасности», чтобы сделать заключе
ние о том. что все операции типа «уточнение» выполняются правильно.
Руководство по правильному выполнению операций представлено в приложении С «Руководство
по выполнению операций» ИСО/МЭК 15408-1.
ИСО/МЭК 15408-3APE_REQ.1-5С:Каждая зависимостьот «Требованийбезопасности»должна быть
либоудовлетворена, либо должно приводиться обоснование неудовлетворения данной зависимости.
8.8.1.3.9 Шаг оценивания APE_REQ.1-9
Оценщик должен исследовать изложение «Требований безопасности», чтобы сделать заключе
ние о том. что каждая зависимость требований безопасности или удовлетворена или приведено обо
снование неудовлетворения данной зависимости.
25