ГОСТ Р ИСО/МЭК 15408-2-2002
Семейство FDP_ACF описывает правила для конкретных функций, которые могут реализовать политики
управления доступом, именованные в FDP_ACC. В FDP_ACC также определяется область действия этих поли
тик.
Замечания для пользователя
"Это семейство позволяет автору ПЗ/ЗБ описать правила управления доступом. В результате правила дос
тупа к обьектам системы нс будут изменяться. Примером такою объекта является рубрика «Новости дня*,
которую читать могут все. а изменять —только уполномоченный администратор. Это семейство также позво
ляет автору ПЗ/ЗБ устанавливать исключения из общих правил управления доступом. Такие исключения будут
явно разрешать или запрещать авторизацию доступа к объекту.
Спецификация других возможных типов функций управления, таких как двойное управление, правила
последовательности операций или управление исключениями, явно нс предусмотрена. Однако эти механиз
мы, как и механизм дискреционною управления доступом, можно представить с помощью имеющихся ком
понентов при внимательном отношении к формулированию правил управления доступом.
В этом семействе можно определить ряд ФБ управления доступом, имеющих в основе:
- списки контроля доступа (матрица доступа);
- спецификации управления доступом на основе времени;
- спецификации упраатсния доступом на основе источника;
- атрибуты упраатсния доступом, управляемые их ачадельцем.
FDP_AC’F.! Управление доступом, основанное на атрибутах безопасности
Замечании по применению для пользователя
Компонент FDP_ACF.I предоставляет требования к механизму, посредничающему при управлении до
ступом, основанному на атрибутах безопасности субъектов и объектов. Каждый объект и субъект имеет сово
купность ассоциированных с ним атрибутов, таких как расположение, время создания, права доступа (напри
мер, списки контроля доступа). Этот компонент позволяет автору ПЗ/ЗБ специфицироватьатрибуты, которые
будут использоваться для посредничества при упраазении доступом, а также правила упраатсния доступом на
основе этих атрибутов.
Примеры атрибутов, которые может назначать автор ПЗ/ЗБ. представлены ниже.
Атрибут «идентификатор
* может быть ассоциирован с пользователями, субъектами или объектами для
использования при посредничестве. Призерами згою атрибута могут быть имя загрузочного модуля програм
мы. используемой при создании субъекта, или атрибут безопасности, назначенный загрузочному модулю
программы.
Атрибут «время*
может использоваться для определения, что доступ будет предоставляться только в
указанные время суток, дни недели или календарный год.
Атрибут «местоположение»
мог бы определять место как формирования запроса на операцию, так и
выполнения операции, либо то и другое. Применение таких атрибутов может основываться на внутренних
таблицах для сопоставления логических интерфейсов ФБО с местами расположения терминалов, процессо
ров и т. д.
Атрибут «группирование
«•позволяет, в целях управления доступом, ассоциировать единую группу пользо
вателей с некоторой операцией. При необходимости, для спецификации максимального числа групп пользова
телей, пользователей в группе и групп, в которые можег одновременно входить пользователь, следует исполь
зовать операцию уточнения.
Компонент FDP_ACF.l содержит также требования, дающие функциям управления доступом возмож
ность явно предоставлять или запрещать доступ к объектам па основании атрибутов безопасности. Ею можно
использовать для мрсдостаазения полномочий, прав доступа или разрешения доступа в пределах 00. Такие
полномочия, права или разрешения можно применять к пользователям, субъектам (представляющим пользо
вателей или приложения) и объектам.
Операции
На з н а ч е н и е
В FDP_ACF.1.1 автору ПЗ/ЗБ следует специфицировать имя ПФЬ упраатсния доступом, осуществляе
мой ФБО. Имя и область действия ИФБ упраатсния доступом определяются в компонентах семейства FDP_ACC.
В FDP_ACF.I. I автору ПЗ/ЗБ следует снеиифиинровать атрибуты безопасности и/нли именованные труппы
атрибутов безопасности, которые функция будет использовать при спецификации правил. Такими атрибутами
бе«опасности могут быть, например, идентификатор пользователя, идентификатор субъекта, роль, время суток,
местоположение, списки контроля доступа, а также любые другие атрибуты, специфицированные автором
ПЗ/ЗБ. Для удобства ссылок на атрибуты безопасности неоднократного применения можно ввести именованные
труппы атрибутов безопасности. Именованные группы мотут оказаться полетными при ассоциации «ролей», оп
ределенных в семействе FMT_SMR «Роли упраатсния безопасностью», и соответствующих им атрибутов с субъек
тами. Другими словами, каждую роль можно связать с именованной группой атрибутов.
В FDP_ACF.1.2 автору ПЗ/ЗБ Следует специфицировать для данной ПФЬ правила упраатения доступом
контролируемых субьсктов к контролируемым объектам и к контролируемым операциям на контролируемых
объектах. Эти правила определяют, когда доступ прслостаатяется, а когда в нем откатано. В них могут быть
108