ГОСТ Р ИСО/МЭК 15408-3—2002
Этот ОУД предстаазяет значимое увеличение доверия по сравнению с ОУД2, требуя более
полногопокрытия тестированием функций и механизмов безопасности н/или процедур безопасности, что
дает некоторую уверенность в том, что в ОО не будут внесены искажения во время разработки.
Та б л и ца 6.4 —Оценочный уровень доверии 3
Класс доверни
Компоненты доверия
Управление конфигурацией
Поставка и эксплуатация
Разработка
Руководства
АСМ_САР.З Средства контроля авторк!аини
ACM SCP.1 Охват УК объекта оценки
ADO_DEL.l Процедурыпоставки
ADO_IGS.l Процедуры установки, генерации и запуска
ADV_FSP.l Неформальная функциональная спецификация
ADV1ILU.2 Детализация вопросов безопасности в проекте верхнего уровня
ADVRC’R.I Неформальная демонстрация соответствия
AGD_ADМ.1Руководство администратора
AGD_liSR.i Руководство пользователя
Поддержка жизненного
цикла
ALC’_DVS.l Идентификация мер безопасности
Тестирование
Оценка уязвимостей
ATE COV.2 Анализ покрытия
AIK_DPT.l 1еегированне: проект верхнего уровня
Al’£_FUN.l Функциональное тестирование
ATE_!ND2 Выборочное независимое тестирование
AVAMSU.1 Экспертиза руководств
AVA_SOF.I Оценка стойкости функции безопасности ОО
AVA_VLA.l Анализ уязвимостей разработчиком
6.2.4О ц е н о ч н ы йу р о в е н ьд о в е р и я4 (ОУД4), п р е д у с м а т р и в а ю
щ и йм е т о д и ч е с к о еп р о е к т и р о в а н и е ,т е с т и р о в а н и еи у г л у б л е н
н у юп р о в е р к у
Цели
ОУД4 позволяет разработчику достичь максимальногодоверия путем применения надлежащего
проектирования безопасности, основанного на обычной коммерческой практике разработки, которая,
даже будучи строгой, не требует глубоких специальных знаний, навыков идругих ресурсов. ОУД4
— самый высокий уровень, на который, вероятно, экономически целесообразно ориентироваться
при оценке уже существующих продуктов.
Поэтому ОУД4 применим, когда разработчикам или пользователям требуется независимо под
тверждаемый уровень доверия от умеренногодо высокого в ОО общего назначения и имеется готов
ность нести дополнительные, связанные с обеспечением безопасности, производственные затраты.
Компоненты доверия
ОУД4 (см. таблицу 6.5) обеспечивает доверие посредством анализа функций безопасности с
использованием для понимания режима безопасности функциональной спецификации, полной специ
фикации интерфейсов, руководств, проекта ОО верхнего уровня и нижнего уровня, а также подмно
жества реализации. Доверие дополнительно достигается применением неформальной модели политики
безопасности ОО.
Анализ поддержан независимым тестированием ФБО. свидетельством разработчика об испыта
ниях, основанных на функциональной спецификации и проекте верхнего уровня, выборочным неза
висимым подтверждением результатов тестирования разработчиком, анализом стойкости функций,
свидетельством поиска разработчиком уязвимостей н независимым анализом уязвимостей, демонстри
рующим противодействие нопьпкам проникновения нарушителей с низким потенциалом нападения.
ОУД4 также обеспечивает доверие посредством использования контроля среды разработки и
дополнительного управления конфигурацией ОО. включая автоматизацию, и свидетельства безопас
ных процедур поставки.
Этот ОУД представляет значимое увеличениедоверия по сравнениюс ОУДЗ, требуя более деталь
ное описание проекта, подмножество реализации и улучшенные механизмы н/нлм процедуры, что дает
уверенность в том, что в ОО не будут внесены искажения во время разработки или поставки.
э-и
31