ГОСТ Р ИСО/МЭК 15408-3-2002
Г О С У Д А Р С Т В Е Н Н Ы ЙСТАНДАР ТР О С С И Й С К О ЙФ Е Д Е Р А Ц И И
Информационная ге\но.югия
МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ
КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ
Ч а с т ь 3
Требования доверия к безопасности
Information technology. Security techniques. Evaluation criteria for IT security. Part 3.
Security assurance requirements
Дата введения 2004—01—01
1 Область применения
Настоящий стандарт определяет требования доверия кбезопасности и включает всебя оценочные
уровни доверия (ОУД), определяющие шкалу для измерения доверия, собственно компонеты дове
рия, из которых составлены уровни доверия, и критерии для оценки ИЗ и ЗБ.
1.1 Структура
Настоящий стандарт состоит из следующих разделов:
1—введение и парадигма;
2 —структура представления классов, семейств и компонентов доверия, оценочных уровней
доверия и их взаимосвязь, а также краткая характеристика классов и семействдоверия, представлен
ных в разделах 8—14;
3—5 — краткое введение в критерии оценки ПЗ и ЗБ. сопровождаемое детализированными
объяснениями семейств и компонентов, которые применяют для этих оценок;
6 —детализированные определения оценочных уровней доверия;
7 —краткое введение в классы доверия;
8—14 —детализированные определения классовдоверия;
15—16 —краткое введение в критерии оценки поддержки доверия с детализированными опреде
лениями применяемых семейств и компонентов.
Приложение Асодержит сводку зависимостей между компонентамидоверия.
Приложение Б содержит перекрестные ссылки между ОУД и компонентами доверия.
1.2 Парадигма доверия
Цель данного подраздела состоит в изложении основных принципов и подходов к установлению
доверия к безопасности. Данный подраздел позволит читателю понять логику построения требований
доверия в настоящем стандарте.
ШО с н о в н ы еп р и н ц и п ыГОСТ Р ИСО/МЭК 15408
Основные принципы ГОСТ Р ИСО/МЭК 15408 состоят в том, что следует четко сформулиро
вать угрозы безопасности и положения политики безопасности организации, адостаточность предло
женных мер безопасности должна быть продемонстрирована.
Более того, следует предпринять меры по уменьшению вероятности наличия уязвимостей, воз
можности их проявления (т.е. преднамеренного использования или непреднамеренной активизации), а
также степени ущерба, который может явиться следствием проявления уязвимостей. Дополнительно
следует предпринять меры для облегчения последующей идентификации уязвимостей, а также по их
устранению, ослаблению и/или оповещению об их использовании или активизации.
Издание официальное
2-1451
1