ГОСТ Р ИСО/МЭК 15408-3-2013
с)эксплуатации, т.е. продукт ИТ разработан в полном соответствии с
корректной спецификацией, но уязвимости возникают как результат неадекватного
управления при эксплуатации.
5.2.3Доверие в ИСО/МЭК 15408
Доверие - основа для уверенности в том, что продукт ИТ отвечает целям
безопасности. Доверие могло бы быть получено путем обращения к таким
источникам, как бездоказательное утверждение, предшествующий аналогичный
опыт или специфический опыт. Однако ИСО/МЭК 15408 обеспечивает доверие с
использованием активного исследования. Активное исследование - это оценка
продукта ИТ для определения его свойств безопасности.
5.2.4Доверие через оценку
Оценка является традиционным способом достижения доверия, и она
положена в основу ИСО/МЭК 15408. Методы оценки могут, в частности, включать в
себя:
a) анализ и проверку процесса (процессов) и процедуры (процедур);
b
) проверку того,чтопроцесс (процессы)и процедура(процедуры)
действительно применяются;
c) анализ соответствия между представлениями проекта ОО;
d) анализ соответствия каждого представления проекта 00 требованиям;
e) верификацию доказательств;
f) анализ руководств;
д) анализразработанныхфункциональныхтестови предоставленных
результатов;
h) независимое функциональное тестирование;
i) анализ уязвимостей, включающий предположения о недостатках;
j) тестирование проникновения.
5.3 Шкала оценки доверия в ИСО/МЭК 15408
Основные принципы ИСО/МЭК 15408 содержат утверждение, что большее
доверие является результатом приложения больших усилий при оценке, и что цель
5