Требования к гарантированности Архитектура системы:

Класс C1 – вычислительная база должна поддерживать область для собственного выполнения, защищенную от внеш­них воздействий, в частности от изменения команд и/или дан­ных, и от попыток слежения за ходом работы. Ресурсы, кон­тролируемые базой, могут составлять определенное подмно­жество всех субъектов и объектов системы.

Класс C2 – в дополнение к C1, вычислительная база должна изолировать защищаемые ресурсы в той мере, как это диктуется требованиями контроля доступа и подотчетности.

Класс B1 – в дополнение к C2, вычислительная база должна обеспечивать взаимную изоляцию процессов путем разделения их адресных пространств.

Класс B2 – в дополнение к B1, вычислительная база должна быть внутренне структурирована на хорошо опреде­ленные, относительно независимые модули. Вычислительная база должна эффективно использовать имеющееся оборудова­ние для отделения элементов, критически важных с точки зре­ния защиты, от прочих компонентов системы. Модули базы должны проектироваться с учетом принципа минимизации привилегий. Для защиты логически раздельных хранимых объектов должны использоваться аппаратные средства, на­пример сегментация. Должен быть полностью определен поль­зовательский интерфейс с вычислительной базой.

Класс B3 – в дополнение к B2, вычислительная база должна быть спроектирована и структурирована таким обра­зом, чтобы использовать полный и концептуально простой за­щитный механизм. Этот механизм должен играть центральную роль во внутренней структуризации вычислительной базы и всей системы. База должна активно использовать разделение данных по уровням. Значительные инженерные усилия должны быть направлены на уменьшение сложности вычисли­тельной базы и на вынесение из нее модулей, не являющихся критически важными с точки зрения защиты.

Целостность системы:

Класс C1 – должны быть в наличии аппаратные и/или программные средства, позволяющие периодически проверять корректность функционирования аппаратных и микропро­граммных компонентов вычислительной базы.

Анализ тайных каналов передачи информации:

Класс B2 – системный архитектор должен тщательно проанализировать возможности по организации тайных кана­лов с памятью и оценить максимальную пропускную способ­ность каждого выявленного канала.

Класс B3 – в дополнение к B2, аналогичная процедура должна быть проделана для временных каналов.

Класс A1 – в дополнение к B3, для анализа должны ис­пользоваться формальные методы.

Надежное администрирование:

Класс B2 – система должна поддерживать разделение функций оператора и администратора.

Класс B3 – в дополнение к B2, должна быть специфици­рована роль администратора безопасности. Получить права администратора безопасности можно только после выполне­ния явных, протоколируемых действий. Не относящиеся к за­щите действия администратора безопасности должны быть по возможности ограничены.

Надежное восстановление:

Класс B3 – должны существовать процедуры и/или ме­ханизмы, позволяющие произвести восстановление после сбоя или иного нарушения работы без ослабления защиты.

Тестирование:

Класс C1 – защитные механизмы должны быть протес­тированы на предмет соответствия их поведения системной документации. Тестирование должно подтвердить, что у неав­торизованного пользователя нет очевидных способов обойти или разрушить средства защиты вычислительной базы.

Класс C2 – в дополнение к C1, тестирование должно подтвердить отсутствие очевидных недостатков в механизмах изоляции ресурсов и защиты регистрационной информации.

Класс B1 – в дополнение к C2, группа специалистов, полностью понимающих конкретную реализацию вычисли­тельной базы, должна подвергнуть описание архитектуры, ис­ходные и объектные коды тщательному анализу и тестирова­нию. Цель должна состоять в выявлении всех дефектов архи­тектуры и реализации, позволяющих субъекту без должной авторизации читать, изменять, удалять информацию или при­водить базу в состояние, когда она перестает обслуживать за­просы других субъектов. Все выявленные недостатки должны быть исправлены или нейтрализованы, после чего база подвер­гается повторному тестированию, чтобы убедиться в отсутст­вии прежних или приобретении новых недостатков.

Класс B2 – в дополнение к B1, должна быть продемонст­рирована относительная устойчивость вычислительной базы к попыткам проникновения.

Класс B3 – в дополнение к B2, должна быть продемонст­рирована устойчивость вычислительной базы к попыткам про­никновения.

Класс A1 – в дополнение к B3, тестирование должно продемонстрировать, что реализация вычислительной базы соответствует формальным спецификациям верхнего уровня.

Основу тестирования средств защиты от проникновения в систему должно составлять наличие спецификаций на исход­ные тексты.