ГОСТ Р ИСО/МЭК 15408-2-2013
I.4.3FP R _U N 0.2 Распределение инф ормации, влияю щ ее на скры тность
1.4.3.1 Замечания по применению для пользователя
Компонент FPRJJNO.2 содержит требования недопустимости наблюдения определенными
пользователями за использованием услуги или ресурса. Кроме этого, в нем определяется, какая ин
формация, связанная с приватностью пользователя, распределяется в 0 0 таким образом, чтобы на
рушитель не мог установить, в какой именно части 0 0 она содержится, или был вынужден атаковать
несколько частей ОО.
Примером использования этого компонента является случайный выбор узла для предоставле
ния услуги. В этом случае в компоненте может быть установлено требование, что информация, свя
занная с приватностью пользователя, должна быть доступна только в одной идентифицированной
части ОО. не распространяясь за ее пределы.
Более сложный пример связан с некоторыми «алгоритмами голосования». В предоставлении
услуги принимают участие несколько частей ОО, но никакая отдельная часть не сможет нарушить
принятую политику. Какое-либо лицо может принять (или не принять) участие в голосовании; при этом
невозможно определить результат голосования и его участие в голосовании (если голосование было
единогласным).
1.4.3.2 Операции
I.4.3.2.1 Назначение
В FPRJJN0.2.1 автору ПЗ/ЗБ следует специфицировать совокупность пользователей и/или
субъектов, от которых ФБО необходимо предоставить защиту. Например, даже если автор ПЗ/ЗБ
специфицирует единственную роль пользователя или субъекта, ФБО необходимо предоставить за
щиту не только от отдельного пользователя или субъекта, но и от совместно действующих пользова
телей и/или субъектов. Совокупность пользователей, например, может являться группой пользовате
лей, выступающих в одной и той же роли или использующих одни и те же процессы.
В FPRJJN0.2.1 автору ПЗ/ЗБ следует идентифицировать список операций, на которые распро
страняется требование скрытности. Тогда другие пользователи/субъекты не смогут наблюдать за
операциями над объектом из специфицированного списка (например, за чтением и записью).
В FPRUN0.2.1 автору ПЗ/ЗБ следует идентифицировать список объектов, на которые распро
страняется требование скрытности. Примером может быть конкретный сервер электронной почты или
FTP-сайт.
В FPR_UN0.2.1 автору ПЗ/ЗБ следует специфицировать совокупность пользователей и/или
субъектов, скрытность информации которых будет обеспечиваться, например «пользователи, полу
чившие доступ
к
системе через Интернет».
285