Представление оо

• Список файлов в системе управления конфигурацией

• Отдельная мастер-копия (эталон), которая была скомпилированна

• Коробка, содержащая компакт-диск и руководства, готовая для поставки потребителю;

• Установленная функционирующая версия

Все из перечисленного является в свою очередь ОО;

Конфигурация оо

Руководства как часть ОО строго ограничивают возможные конфигурации. Например, ОС может быть сконфигурирована совершенно различными способами (типы пользователей, количество пользователей, типы разрешенных/неразрешенных внешних подключений, включение/отключение опций и др.). Таким образом один продукт может быть представлен в виде нескольких ОО.

Для продукта ИТ может быть одно общее руководство, в которое включены все возможности этого продукта, когда разработчик передает на оценку свой продукт он может заявить органам по сертификации о сертификации всех возможностей данного продукта, но может заявить только для одной конфигурации, тогда необходимо руководство ОО. Если руководство ОО допускает несколько конфигураций, то каждая из конфигурации должна соответствовать требованиям к ОО.

Активы и контрмеры

Безопасность связана с активами. Активы – сущности, представляющие ценность для кого-либо. Примеры активов:

• Содержание файла или сервера

• Подлинность голосов, поданных на выборах

• Доступность процесса электронной коммерции

• Возможность использовать дорогостоящий принтер

• Доступ к средствам ограниченного доступа

• Журнал регистрации работы ОС

Но, так как ценность – субъективное понятие, то активами может быть все что угодно.

Среда функционирования – среда, в которой размещаются активы. Примеры:

• Помещение, в котором размещено оборудование

• ЛВС

• Офисная сеть

• Пр.

Активы защищаются от угроз с помощью контрмер. Угрозы могут быть реализованы только в случае наличия уязвимостей.

Владелец вправе отстаивать принятое решение о приемлемости риска для активов. При этом демонстрируются два важных момента:

• Контрмеры являются достаточными: если контрмеры выполняют то, что заявлено, то угрозам, направленным на активы, обеспечивается противостояние;

• Контрмеры являются корректными: выполняют то, что заявлено.

Часто владельцы активов не могут самостоятельно оценить контрмеры, поэтому заказывают оценку контрмер.

Достаточность контрмер

При оценке достаточности контрмер анализируют задание по безопасности. Задание по безопасности начинается с описание угроз активов и сами активы, затем описываются контрмеры, затем показывается, что данные контрмеры обеспечивают достаточную защиту активов от угроз. Если контрмерами осуществляется то, что приписано в целях обеспечения безопасности, то считается, что контрмеры обеспечивают безопасность.

Далее в ЗБ контрмеры делятся на две группы:

Причинами данного разделения является следующее:

• ОК применимы только для оценивания корректности контрмер ИТ. Не-ИТ контрмеры всегда относят к среде функционирования

• Оценивание корректности контрмер требует затрат времени и денег, возможно делая неосуществимой оценку корректности всех контрмер ИТ

• Корректность некоторых контрмер ИТ может быть уже оценена в ходе другой оценки. Следовательно, экономически неэффективно проводить повторную оценку

ЗБ демонстрирует, что:

• ФТБ удовлетворяют целям безопасности для ОО;

• Цели безопасности для ОО и цели безопасности для среды функционирования противостоят угрозам

• ФТБ и цели безопасности для среды функционирования противостоят угрозам

Из этого следует, что корректный ОО в сочетании с корректной средой функционирования будет противостоят угрозам.