14
- Оценка результатов доверия
Относящиеся к безопасности характеристики продукта, процесса или среды, обеспечивающие доверие, являются утверждениями в наиболее примитивной форме, сделанными инициирующей стороной, обычно изготовителем объекта, услуги или среды. Для верификации доверия к этим утверждениям может потребоваться оценка и сертификация результата доверия.
Можно создать модель оценки доверия. В ней будет определена серия обобщенных этапов, применимых к любому из методов обеспечения доверия из настоящего стандарта.
Для модели доверия к качеству требуются:
- лицо, оценщик или организация для верификации применения критериев;
- правила, критерии и/или методология оценки в качестве ее основы;
- сертификация наличия достаточной квалификации у аудитора и выполнения процедуры оценки в соответствии с правилами;
- заключение о результатах оценки.
Полная модель этого типа обычно называется «структурой доверия».
- Оценщик
Оценка характеристик доверия к безопасности продукта может проводиться пользователем продукта при наличии у него специальных знаний. Для экономии времени и расходов целесообразно обратиться к квалифицированной третьей стороне.
Оценка третьей стороной может обеспечить дальнейшее повышение доверия вследствие только лишь факта ее независимости.
Примечание — Доверие персонала подтверждает приемлемость квалификации оценщика.
- Методология и критерии оценки
Для гарантии воспроизводимости правила оценки следует документировать и сопровождать соответствующей методологией.
Примечание — При оценке персонала оцениваемым объектом является отдельное лицо.
- Свидетельство доверия
Общим для всех методов оценки является то, что результаты оценки основаны на свидетельстве. Свидетельство представляется утверждениями, которые обычно имеют форму документации.
Свидетельство подтверждает эффективное предполагаемое выполнение действий в рамках соответствующих процессов, планов и процедур согласно политикам и концепциям безопасности. Эти политики и концепции должны регулярно пересматриваться и при необходимости обновляться.
Наиболее значимыми требованиями к документации являются:
- стабильность (документация должна отражать фактическую ситуацию);
- полнота (все значимые проблемы должны быть документированы);
- достаточная степень детализации;
- контроль конфигурации и целостности (отсутствие несанкционированных изменений в документации).
Следовательно, при детальном анализе методов обеспечения доверия можно дополнительно исследовать требования и сопоставимость этой документации.