ГОСТ Р ИСО/МЭК 18045—2013
Оценщик проверяет, что обе категории «Целей безопасности» ясно идентифицированы и отделе
ны друг от друга.
ИСО/МЭК 15408-3 ASE_OBJ.2.2C: В «Обосновании целей безопасности» каждая цель безопас
ности для ОО должна быть прослежена к угрозам, на противостояние которым направлена эта
цель безопасности, и к ПБОр. на осуществление которых направлена зта цель безопасности.
9.6.2.3.2 Шаг оценивания ASE_OBJ.2-2
Оценщик должен проверить, что в «Обосновании целей безопасности» представлено, прослеже
ны ли все цели безопасности для среды к идентифицированным угрозам, на противостояние которым
направлены данные цели, и/или к ПБОр. на осуществление которых направлены эти цели.
Каждая цель безопасности для ОО может быть прослежена к угрозам или ПБОр или к сочетанию
угроз и ПБОр. и должна быть прослежена по крайней мере к одной угрозе или ПБОр.
Неудача при попытке такого прослеживания свидетельствует о том. что либо «Обоснование целей
безопасности» является неполным, либо изложение «Определения проблемы безопасности» является
неполным, либо цель безопасности для ОО является бесполезной.
ИСО/МЭК 15408-3 ASE_OBJ.2.3C: В «Обосновании целей безопасности» каждая цель безопас
ности для ОО должна быть прослежена к угрозам, на противостояние которым направлена зта
цель безопасности, к ПБОр. на осуществление которых направлена эта цель безопасности, а так же к
предположениям, поддерживаемым данной целью безопасности.
9.6.2.3.3 Шаг оценивания ASE_OBJ.2-3
Оценщик должен проверить «Обоснование целей безопасности», чтобы сделать заключение,
прослежены ли цели безопасности для среды функционирования к идентифицированным угрозам, на
противостояние которым направлена эта цель безопасности, к ПБОр. на осуществление которых
направлена эта цель безопасности, и/или к предположениям, которые поддерживаются этой целью
безопасности.
Каждая цель безопасности для среды функционирования может быть прослежена к угрозам,
ПБОр. предположениям или к сочетанию угроз. ПБОр и/или предположений, и должна быть прослеже на
по крайней мере к одной угрозе. ПБОр или предположению.
Неудача при попытке такого прослеживания свидетельствует о том. что либо «Обоснование целей
безопасности» является неполным, либо «Определение проблемы безопасности» является неполным,
либо цель безопасности для среды функционирования является бесполезной.
ИСО/МЭК 15408-3 ASE_OBJ.2.4C: В «Обосновании целей безопасности» должно быть проде
монстрировано. что цели безопасности направлены на противостояние все,м идентифицированным
угрозам.
9.6.2.3.4 Шаг оценивания ASE_OBJ.2-4
Оценщик должен проверить «Обоснование целей безопасности», чтобы сделать заключение, со
держится ли в нем для каждой угрозы логическое обоснование того, что цели безопасности пригодны
для противостояния данной угрозе.
Если ни одна цель безопасности не прослежена к конкретной угрозе, то результат данного шага
оценивания отрицательный (выносится отрицательный вердикт).
Оценщикделает заключение, демонстрирует ли обоснование угрозы то. чтоугроза устранена илисни
жена до приемлемого уровня, либо последствия её реализации вдостаточной мере компенсированы.
Оценщик делает заключение, демонстрирует ли логическое обоснование угрозы то, что все цели
безопасности достаточны: если все цели безопасности, прослеживаемые к угрозе, достигнуты, то угро за
либо устранена, либо снижена до приемлемого уровня, либо последствия ее реализации в доста
точной мере компенсированы.
Следует отметить, что прослеживание целей безопасности к угрозам в «Обосновании целей без
опасности» может быть частью логического обоснования, но само по себе оно не является логическим
обоснованием. Даже в том случае, когда цель безопасности является просто заявлением, отражающим
намерение предотвратить реализацию конкретной угрозы, то все равно требуется логическое обосно
вание, хотя в этом случае оно может быть минимальным и иметь вид: «Цель безопасности X непосред
ственно противостоит Угрозе У».
Оценщик также делает заключение, действительно ли каждая цель безопасности, которая про
слежена к угрозе, является необходимой и при достижении вносит вклад в устранение, снижение или
уменьшение данной угрозы.
ИСО/МЭК 15408-3 ASE_OBJ.2.5C: В «Обосновании целей безопасности» должно быть продемон
стрировано. что цели безопасности направлены на осуществление всех ПБОр.
39