Задание по безопасности. Назначение, структура, особенности разработки и использования.
Задание по безопасности – документ, содержащий требования безопасности для конкретного ОО и специфицирующий функции безопасности и меры доверия, предлагаемые объектом оценки для выполнения установленных требований. В задании по безопасности (ЗБ) может быть заявлено соответствие одному или нескольким профилям защиты. ЗБ можно рассматривать как техническое задание на подсистему обеспечения информационной безопасности для ОО. В целом структура ЗБ аналогична ПЗ, все изменения связаны с включением информации, относящейся к специфике реализации конкретного ОО. В целом ЗБ должно быть оформлено как документ, максимально ориентированный на пользователя – с минимумом ссылок на внешние материалы. Раздел Соответствие ОК должен содержать все поддающиеся оценке
утверждение о соответствии ОО Общим критериям.
Структура:
Краткая спецификация ОО должна определить отображение требований безопасности для ОО. Эта спецификация должна предоставить описание функций безопасности и мер доверия к ОО, которые отвечают требованиям безопасности ОО.
Краткая спецификация должна включать:
1. Изложение функций безопасности ОО, которое должно охватывать все функции безопасности ИТ и определять, каким образом эти функции удовлетворяют функциональным требованиям безопасности ОО. Изложение должно включать двунаправленное сопоставление функций и требований с четким указанием, какие функции каким требованиям удовлетворяют, и что удовлетворены все требования. Каждая функция безопасности должна участвовать в удовлетворении, по меньшей мере, одного функционального требования безопасности ОО. Функции безопасности ИТ должны быть определены неформальным образом на уровне детализации, необходимом для понимания их предназначения. Все ссылки в ЗБ на механизмы безопасности должны быть сопоставлены с соответствующими функциями безопасности так, чтобы было видно, какие механизмы безопасности используются при реализации каждой функции.
2. Изложение мер доверия, которое должно специфицировать меры доверия к ОО, заявленные для удовлетворения изложенных требований доверия. Меры доверия должны быть сопоставлены с требованиями таким образом, чтобы было понятно, какие меры в удовлетворении каких требований участвуют Там, где это возможно, меры доверия могут быть определены путем ссылки на соответствующие планы обеспечения качества, жизненного цикла
или управления.
В утверждение о соответствии ПЗ включаются материалы, необходимые для подтверждения факта соответствия. Если сделано утверждение о соответствии одному или нескольким ПЗ, то изложение утверждений о соответствии должно содержать следующий материал для каждого ПЗ:
- Ссылку на ПЗ, идентифицирующую ПЗ, соответствие которому утверждается, плюс любые дополнительные материалы, которые могут потребоваться в соответствии с этим утверждением. Обоснованное утверждение о соответствии подразумевает, что ОО отвечает всем требованиям ПЗ.
- Конкретизацию ПЗ, идентифицирующую те требования безопасности ИТ, в которых выполняются операции, разрешенные в ПЗ, или дополнительно уточняются требования ПЗ.
- Дополнение ПЗ, идентифицирующее цели и требования безопасности ОО, которые дополняют цели и требования ПЗ. Случай, когда в ЗБ утверждается о частичном соответствии ПЗ, не приемлем для оценки в рамках ОК.