4.3.3 Функциональные требования общих критериев

Функциональные требования к системе защиты информации ПОБ выбираются из рассматриваемых в ОК одиннадцати функциональных классов, поименованных аббревиатурами на английском языке.

1. Аудит безопасности (FAU: Security audit). Аудит системы безопасности - это распознавание, регистрация, хранение и анализ информации, относящейся к системе безопасности.

2. Связь (FCO: Communication). Выполнение требований этого класса гарантирует, что передающий информацию не сможет отказаться от посланного сообщения, а принимающий - от его получения.

3. Криптографическая поддержка (FCS: Cryptographic support). Класс содержит семейства требований по управлению криптографическими ключами и операциями.

4. Защита данных пользователя (FDP: User data protection). Класс определяет требования безопасности, относящиеся к защите данных пользователя при вводе, выводе и хранении информации.

5. Идентификация и аутентификация (FIA: Identification and authentication). Требования этого класса имеют дело с определением и верификацией пользователей, их полномочий в системе, а также с правильной привязкой атрибутов безопасности к каждому пользователю.

6. Управление безопасностью (FMT: Security management). Класс содержит требования по управлению атрибутами и данными функций безопасности, а также ролями безопасности.

7. Секретность (FPR: Privacy). Реализация требований данного класса обеспечит защиту пользователя от раскрытия и злоупотреблений его полномочиями другими пользователями.

8. Защита функций безопасности ПОБ (FPT: Protection of the TSF). Класс содержит функциональные требования, относящиеся к целостности и управлению механизмами безопасности системы (независимо от специфики реализуемой политики безопасности).

9. Использование ресурсов (FRU: Resource utilisation). Требования этого класса обеспечивают доступность необходимых ресурсов (таких, как возможность обработки и/или хранения), а также защиту в случае блокировки функциональных возможностей, вызванных отказами системы.

10. Доступ к ПОБ (FTA: TOE access). Класс определяет функциональные требования контроля за установленным сеансом работы пользователя независимо от требований по идентификации и аутентификации.

11. Надежный маршрут/канал (FTP: Trusted path/channels). Класс обеспечивает требования:

• надежного коммуникационного маршрута между пользователями и функциями безопасности системы;

• надежного канала связи между функциями безопасности системы.

4.3.4 Требования гарантии "Общих критериев"

Стандарт вводит следующие классы гарантии, поименованные аббревиатурами на английском языке:

1. Управление конфигурацией (ACM: Configuration management). УК обеспечивает сохранение целостности ПОБ требованием дисциплины и управления при уточнении и модификации ПОБ. УК предотвращает несанкционированные изменения, добавления или удаления в ПОБ, гарантируя таким образом совпадение ПОБ и документации, используемых для оценки, с теми, что подготовлены для распространения.

2. Поставка и функционирование (ADO: Delivery and operation). Класс гарантии ADO определяет требования к мерам, процедурам и стандартам, касающимся надежной поставки, инсталляции и эксплуатационного использования ПОБ, гарантирующие, что защита безопасности, предложенная ПОБ, не скомпрометирована в процессе перемещения, инсталляции, запуска и функционирования.

3. Разработка (ADV: Development). Этот класс гарантии определяет требования к пошаговому уточнению функций безопасности из обобщенной спецификации ПОБ в ЦБ сверху вниз к фактической реализации. Каждое из результирующих представлений функций безопасности обеспечивает информацию, которая помогает эксперту при сертификации определить, удовлетворены ли функциональные требования ПОБ.

4. Руководящие документы (AGD: Guidance documents). Класс гарантии определяет требования понятности и полноты эксплуатационной документации, предоставляемой разработчиком. Документация для конечных пользователей и для администраторов - важный фактор безопасного функционирования ПОБ.

5. Жизненный цикл (ALC: Life cycle support). Этот класс точно определяет модель жизненного цикла для всех шагов разработки ПОБ, в том числе процедур и политики устранения изъянов, правильного использования инструментов и методов, а также мер безопасности, применяемых для защиты среды разработки; класс, таким образом, определяет требования к гарантии.

6. Испытания (ATE: Tests). Данный класс гарантии устанавливает требования к испытаниям, которые демонстрируют, что функции безопасности удовлетворяют функциональным требованиям безопасности ПОБ.

7. Оценка уязвимых мест (AVA: Vulnerability assessment). Данный класс гарантии определяет требования, направленные на идентификацию уязвимых мест, сохраняющихся при эксплуатации. Точнее, он выявляет уязвимые места, введенные при построении, функционировании, неправомерном использовании или неправильном конфигурировании ПОБ.

Дополнительные требования к поддержке гарантии рассматриваются в отдельном классе "Обслуживание гарантии" (AMA: Maintenance of assurance) с использованием структуры класса. Данный класс гарантии направлен на обеспечение уровня гарантии, чтобы ПОБ продолжал соответствовать своей цели безопасности при изменениях в ПОБ или его среде. Каждое из семейств в этом классе идентифицирует действия разработчика и оценщика, выполняемые после того, как ПОБ успешно оценен, хотя некоторые требования могут быть применены и во время оценки.

Таким образом, стандарт "ISO/IEC 15408: 1999. Информационная технология - Методы и средства защиты информации - Критерии оценки безопасности ИТ" важен в качестве перспективной основы для создания согласованной с международными требованиями национальной нормативно-методической базы информационной безопасности.