3.3 Рівні гарантій безпеки

Визначення рівнів гарантій

Рівні гарантій [Evaluation Assurance Level (EAL)] — в "За­гальних критеріях" — це сім стандартизованих наборів вимог га­рантій безпеки, що регламентують застосування різноманітних методів і технологій розробки, тестування, контролю та верифі­кації ІТ-продукту:

ВИМОГИ ГАРАНТІЙ	Номери рівнів гарантій
	1	2	3	4	5	6	7
1. Керування проектом
Засоби керування проектом				1	1	2	2
Керування версіями	1	2	3	4	4	5	5
Конфігурація проекту			1	2	3	3	3
2. Дистрибуція
Поставка		1	1	2	2	2	3
Установка, настройка, запуск	1	1	1	1	1	1	1
3. Розробка
Загальні функціональні специфікації	1	1	1	2	3	3	4
Архітектура захисту		1	2	2	3	4	5
Форма подання продукту на сертифікацію				1	2	3	3
Структура засобів захисту					1	2	3
Часткові специфікації засобів захисту				1	1	2	2
Відповідність описів різного рівня		1	1	1	2	2	3
Політика безпеки				1	2	2	3
4. Документація
Керівництво адміністратора	1	1	1	1	1	1	1
Керівництво користувача	1	1	1	1	1	1	1
5. Процес розробки
Безпека середовища розробки			1	1	1	2	2
Виправлення помилок та ліквідація вразливостей
Технологія розробки				1	2	2	3
Засоби розробки				1	2	2	3
6. Тестування
Повнота тестування		1	2	2	2	3	3
Глибина тестування				1	2	2	3
Методика тестування		1	1	1	1	2	2
Незалежне тестування	1	1	2	2	2	2	3
7. Аналіз захисту
Аналіз прихованих каналів					1	2	2
Аналіз можливостей неправильного використання засобів захисту			1	2	2	3	3
Аналіз стійкості засобів захисту		1	1	1	1	1	1
Аналіз продукту на наявність вразливостей		1	1	2	3	4	4

Рис. 8. Рівні гарантій безпеки

• функціональне тестування;

• структурне тестування;

• методичне тестування та перевірка;

• методична розробка, тестування та аналіз;

• напівформальні методи розробки та тестування;

• напівформальні методи верифікації розробки та тестування;

• формальні методи верифікації розробки та тестування.

Кожний з рівнів визначає ступінь відповідності ІТ-продукту кожній вимозі гарантій (гарантії зростають від першого рівня до сьомого. Назви рівнів відображають можливості засобів контролю і верифікації, що застосовуються в ході розробки та аналізу ІТ-продукту (рис. 8 ).

Функціональне тестування

Рівень функціонального тестування [EAL1 — functionally tested] - перший рівень гарантій для випадків, коли загрозам без­пеці не надається великого значення. Пропонується використати його в тих ситуаціях, коли все, що необхідно — це незалежна га­рантія того, що до складу IT-продукту входять засоби захисту персональної або подібної інформації.

Відповідає наступним вимогам гарантій безпеки.

У класі ВГБ: керування проектом

у розділі ВГБ: керування версіями — нумерація версій.

У класі ВГБ: дистрибуція

у розділі ВГБ: установка, настройка, запуск — регламентовані процедури установки, настройки, запу­ску.

У класі ВГБ: розробка:

• у розділі ВГБ: загальні функціональні специфікації — нефор­мальні специфікації для засобів захисту;

• у розділі ВГБ: відповідність описів різного рівня — неформальне підтвердження відповідності.

У класі ВГБ: документація:

• у розділі ВГБ: керівництво адміністратора — адміністрування засобів захисту;

• у розділі ВГБ: керівництво користувача — використання засо­бів захисту.

У класі ВГБ: тестування

у розділі ВГБ: незалежне тестування — готовність продукту до незалежного тестування.

Аналіз ІТ-продукту на відповідність даному рівню гарантій за­безпечується дослідженням функцій захисту та перевіркою фун­кціональних специфікацій, інтерфейсів та документації.

Результати аналізу підтверджуються незалежним тестуван­ням засобів захисту ІТ-продукту на відповідність специфікаціям і документації.

Сертифікація ІТ-продукту на даний рівень гарантій є підтвер­дженням відповідності властивостей ІТ-продукту його докумен­тації та специфікаціям, а також наявності працездатності захисту проти загроз безпеці.

Структурне тестування

Рівень структурного тестування [EAL2 — structurally tested] - другий рівень гарантій, призначений для використання при обставинах, коли розробники або користувачі згодні задо­вольнитися низьким або помірним ступенем незалежного підтвер­дження гарантій рівня безпеки, який необхідно забезпечити. Осо­бливо рекомендують застосування даного рівня для успадкованих систем, які вже знаходяться в експлуатації.

Другий рівень гарантій відповідає наступним вимогам гаран­тій безпеки.

У класі ВГБ: керування проектом

у розділі ВГБ: керування версіями — ідентифікація компонентів.

У класі ВГБ: дистрибуція:

• у розділі ВГБ: поставка — регламентована процедура постав­ки;

• у розділі ВГБ: установка, настройка, запуск — регламентовані процедури установки, настройки, запуску.

У класі ВГБ: розробка:

• у розділі ВГБ: загальні функціональні специфікації — нефор­мальні специфікації засобів захисту;

• у розділі ВГБ: архітектура захисту — опис архітектури захисту;

• у розділі ВГБ: відповідність описів різного рівня — неформаль­не підтвердження відповідності.

У класі ВГБ: документація:

• у розділі ВГБ: керівництво адміністратора — адміністрування засобів захисту;

• у розділі ВГБ: керівництво користувача — використання засо­бів захисту.

У класі ВГБ: тестування:

• у розділі ВГБ: повнота тестування — обґрунтування повноти тестування;

• у розділі ВГБ: методика тестування — функціональне тесту­вання й протоколювання результатів тестів;

• у розділі ВГБ: незалежне тестування — вибіркове незалежне тестування.

У класу ВГБ: оцінка захисту:

• у розділі ВГБ: аналіз стійкості засобів захисту — оцінка стій­кості засобів захисту;

• у розділі ВГБ: аналіз продукту на наявність уразливостей —виявлення уразливостей розробником продукту.

Розробка продукту відповідно до вимог даного рівня не ви­магає від виробника ніяких додаткових витрат, порівняно з роз­робкою звичайних комерційних або промислових продуктів, окрім надання результатів тестування.

Для другого рівня аналіз повинен проводитися не тільки по відношенню функціональних специфікацій, інтерфейсів та доку­ментації, але й для архітектури захисту ІТ-продукту.

Крім незалежного тестування засобів захисту ІТ-продукту ре­зультати аналізу підтверджуються протоколами тестування фун­кціональних специфікацій, наданих розробником, а також неза­лежним вибірковим контролем результатів цих випробувань та глибини проведеного тестування, і незалежним підтвердженням пошуку розробником явних уразливостей. Крім того, для цього рівня необхідна наявність документованого складу конфігурації продукту та доказ безпеки процедури поставки.

Даний рівень розширює вимоги попереднього за рахунок включення в матеріали, що підтверджують аналіз результатів те­стів, проведених розробником ІТ-продукту, необхідністю здійсне­ння аналізу уразливостей та незалежного тестування з викори­станням більш детальних специфікацій.

Методичне тестування та перевірка

Рівень методичного тестування та перевірки [EAL3 — methodically tested and checked] — третій рівень гарантій, при­значений для використання при обставинах, коли розробникам або користувачам потрібна помірна ступінь незалежного підтвер­дження властивостей ІТ-продукту, а також повне і послідовне до­слідження властивостей продукту і контроль в процесі створен­ня, але без проведення дорогого зворотного проектування [reengineering].

Відповідає наступним вимогам гарантій безпеки.

У класі ВГБ: керування проектом:

• у розділі ВГБ: керування версіями — контроль цілісності вер­сій;

• у розділі ВГБ: конфігурація проекту — основні компоненти проекту (алгоритми, вихідні тексти, тексти, документація).

У класі ВГБ: дистрибуція:

• у розділі ВГБ: поставка — регламентована процедура поставки;

• у розділі ВГБ: установка, настройка, запуск — регламентовані процедури установки, настройки, запуску.

У класі ВГБ: розробка:

• у розділі ВГБ: загальні функціональні специфікації — неформальні специфікації засобів захисту;

• у розділі ВГБ: архітектура захисту — відповідність архітекту­ри захисту політиці безпеки;

• у розділі ВГБ: відповідність описів різного рівня — неформаль­не підтвердження відповідності.

У класі ВГБ: документація:

• у розділі ВГБ: керівництво адміністратора — адміністрування засобів захисту;

• у розділі ВГБ: керівництво користувача — використання засо­бів захисту.

У класі ВГБ: процес розробки

у розділі ВГБ: безпека середо­вища розробки — застосування заходів безпеки в ході розробки. У класі ВГБ: тестування:

• у розділі ВГБ: повнота тестування — аналіз повноти тестува­ння;

• у розділі ВГБ: глибина тестування — архітектура;

• у розділі ВГБ: методика тестування — функціональне тесту­вання й протоколювання результатів тестів;

• у розділі ВГБ: незалежне тестування — вибіркове незалежне тестування.

У класі ВГБ: оцінка захисту:

у розділі ВГБ: аналіз можливостей неправильного використання засобів захисту — аналіз керівництв з адміністрування;

• у розділі ВГБ: аналіз стійкості засобів захисту — оцінка стій­кості засобів захисту;

• у розділі ВГБ: аналіз продукту на наявність уразливостей — виявлення уразливостей розробником продукту.

Цей рівень дозволяє одержати максимальну ступінь гаран­тій, яка не потребує ніяких змін у звичайну процедуру розробки, оскільки всі регламентовані ним заходи, спрямовані на забезпече­ння гарантій, застосовуються на етапі проектування.

Для цього рівня проводяться ті ж види аналізу, що і для друго­го рівня, але на доповнення до матеріалів тестування специфіка­цій функцій захисту від розробника вимагається надання резуль­татів архітектури захисту ІТ-продукту. Вимоги до процесу ство­рення продукту доповнюються використанням засобів управління конфігурацією проекту.

Рівень розширює вимоги попереднього за рахунок більш пов­ного тестування функцій захисту та засобів їхньої реалізації, а також застосуванням заходів, які дають упевненість у тому, що ІТ-продукт не був підмінений в процесі розробки.

Методична розробка, тестування та аналіз

Рівень методичної розробки, тестування та аналізу [EAL4 - methodically designed, tested and reviewed] — четвертий рівень гарантій, призначений для використання при обставинах, коли розробники або користувачі вимагають помірного або ви­сокого ступеню незалежного підтвердження гарантій захисту ІТ-продукту і готові нести певні додаткові витрати.

Відповідає наступним вимогам гарантій безпеки.

У класі ВГБ: керування проектом:

• у розділі ВГБ: засоби керування проектом — застосування автоматизованих засобів керування проектом;

• у розділі ВГБ: керування версіями — авторизація розробників при поновленні версій;

• у розділі ВГБ: конфігурація проекту — включення до складу конфігурації проекту виявлених помилок і уразливостей. У класі ВГБ: дистрибуція:

• у розділі ВГБ: поставка — виявлення спотворень у процесі поставки;

• у розділі ВГБ: установка, настройка, запуск — регламентовані процедури установки, настройки, запуску.

У класі ВГБ: розробка:

• у розділі ВГБ: загальні функціональні специфікації — нефор­мальні специфікації для усіх інтерфейсів засобів захисту;

• у розділі ВГБ: архітектура захисту — відповідність архітекту­ри захисту політиці безпеки;

• у розділі ВГБ: форма надання продукту на сертифікацію —опис реалізації обмеженої підмножини засобів захисту;

• у розділі ВГБ: часткові специфікації засобів захисту — нефор­мальні часткові специфікації засобів захисту;

• у розділі ВГБ: відповідність описів різного рівня — неформаль­не підтвердження відповідності;

• у розділі ВГБ: політика безпеки — неформальний опис полі­тики безпеки.

У класі ВГБ: документація:

• у розділі ВГБ: керівництво адміністратора — адміністрування засобів захисту;

• у розділі ВГБ: керівництво користувача — використання засо­бів захисту.

У класі ВГБ: процес розробки:

• у розділі ВГБ: безпека середовища розробки — застосування заходів безпеки у ході розробки;

• у розділі ВГБ: технологія розробки — визначена розробником технологія розробки;

• у розділі ВГБ: засоби розробки — використання певного набо­ру засобів розробки.

У класі ВГБ: тестування:

• у розділі ВГБ: повнота тестування — обґрунтування повноти тестування;

• у розділі ВГБ: глибина тестування — архітектура;

• у розділі ВГБ: методика тестування — функціональне тестування й протоколювання результатів тестів;

• у розділі ВГБ: незалежне тестування — вибіркове незалежне тестування.

У класі ВГБ: оцінка захисту:

• у розділі ВГБ: аналіз можливостей неправильного використа­ння засобів захисту — підтвердження повноти керівництв із адміністрування й безпеки їхнього застосування;

• у розділі ВГБ: аналіз стійкості засобів захисту — оцінка стійкості засобів захисту;

• у розділі ВГБ: аналіз продукту на наявність уразливостей —незалежний аналіз уразливостей.

Цей рівень, незважаючи на достатньо сильні вимоги, не потре­бує від розробника спеціальних знань у галузі розробки захище­них систем та застосування спеціальних методів і технологій, які відрізняються від загальноприйнятих. Це найвищий рівень гаран­тій, на який можна розраховувати без значних додаткових еконо­мічних витрат.

На відміну від попередніх рівнів для сертифікації продукції на четвертий рівень гарантій аналізу піддаються всі інтерфейси без виключення, усі часткові специфікації, а також деталі реалізації засобів захисту. Крім того повинна бути представлена неформаль­на політика безпеки.

Додатково до попереднього рівня результати аналізу піддаю­ться незалежним дослідженням уразливостей засобів захисту, які демонструють стійкість системи проти слабких атак. Вимоги до процесу створення продукту розширюються додатковими вимога­ми застосування автоматизованих засобів керування конфігураці­єю.

Даний рівень відрізняється від попереднього посиленням ви­мог до процесу проектування та розробки, а також підсиленням заходів, які гарантують, що ІТ-продукт не був підміненим у про­цесі створення.

Напівформальні методи розробки та тестування

Рівень напівформальних методів розробки та тестування [EAL5 - semiformally verified design and tested] — п'ятий рівень гарантій, призначений для використання в тих випадках, коли розробники або користувачі вимагають високого ступеню незале­жного підтвердження гарантій засобів захисту, а також строгого застосування певних технологій розробки ІТ-продукту, але без на­дмірних витрат.

Відповідає наступним вимогам гарантій безпеки.

У класі ВГБ: керування проектом:

• у розділі ВГБ: засоби керування проектом — застосування ав­томатизованих засобів керування проектом;

• у розділі ВГБ: керування версіями — авторизація розробників при поновленні версій;

• у розділі ВГБ: конфігурація проекту — включення до складу конфігурації проекту інструментальних засобів розробки.

У класі ВГБ: дистрибуція:

• у розділі ВГБ: поставка — виявлення спотворень у процесі поставки;

• у розділі ВГБ: установка, настройка, запуск — регламентовані процедури установки, настройки, запуску.

У класі ВГБ: розробка:

• у розділі ВГБ: загальні функціональні специфікації — напівформальні специфікації для засобів захисту;

• у розділі ВГБ: архітектура захисту — напівформальний опис архітектури захисту;

• у розділі ВГБ: форма надання продукту на сертифікацію — повний опис реалізації усіх засобів захисту;

• у розділі ВГБ: структура засобів захисту — модульність;

• у розділі ВГБ: часткові специфікації засобів захисту — нефор­мальні часткові специфікації засобів захисту;

• у розділі ВГБ: відповідність описів різного рівня — напівформальне підтвердження відповідності;

• у розділі ВГБ: політика безпеки — формальна модель політики безпеки.

У класі ВГБ: документація:

• у розділі ВГБ: керівництво адміністратора — адміністрування засобів захисту;

• у розділі ВГБ: керівництво користувача — використання засо­бів захисту.

У класі ВГБ: процес розробки:

• у розділі ВГБ: безпека середовища розробки — застосування заходів безпеки в ході розробки;

• у розділі ВГБ технологія розробки — стандартизована технологія розробки;

• у розділі ВГБ: засоби розробки — використання основних за­собів розробки, що відповідають певним стандартам.

У класі ВГБ: тестування:

• у розділі ВГБ: повнота тестування — обґрунтування повноти тестування;

• у розділі ВГБ: глибина тестування — функціональні специфі­кації;

• у розділі ВГБ: методика тестування — функціональне тесту­вання й протоколювання результатів тестів;

• в розділі ВГБ: незалежне тестування — вибіркове незалежне тестування.

У класі ВГБ: оцінка захисту:

• у розділі ВГБ: аналіз схованих каналів — пошук і документу­вання схованих каналів;

• у розділі ВГБ: аналіз можливостей неправильного використання засобів захисту — підтвердження повноти керівництв із адміністрування й безпеки їхнього застосування;

• у розділі ВГБ: аналіз стійкості засобів захисту — оцінка стійкості засобів захисту;

• у розділі ВГБ: аналіз продукту на наявність уразливостей — систематичний аналіз уразливостей на основі заданих мето­дик.

Цей рівень вимагає від розробника застосування певних техно­логій та методів розробки, проте, їхнє використання може обме­жуватися проектуванням та реалізацією засобів захисту.

На відміну від попередніх рівнів аналізу піддаються всі засо­би захисту без виключення. Крім того, необхідна наявність фор­мальної моделі політики безпеки та напівформальне представлен­ня функціональних специфікацій та архітектури захисту, а також напівформальна демонстрація їхньої взаємної відповідності. Ар­хітектура ІТ-продукту повинна відповідати вимогам модульності.

Додатково до попередніх рівнів для підтвердження результа­тів аналізу необхідне тестування розробником часткових специ­фікацій, а аналіз уразливостей повинен демонструвати стійкість проти атак помірної сили, крім того, необхідна незалежна пере­вірка проведеного розробником аналізу схованих каналів.

Вимоги до процесу розробки доповнюються необхідністю роз­ширення складу конфігурації продукту, керованої за допомогою автоматичних засобів.

Таким чином, цей рівень посилює вимоги попереднього в ча­стині напівформального опису процесу проектування та реаліза­ції, більш структурованої архітектури захисту, більш ретельного аналізу схованих каналів, більш повного контролю в процесі роз­робки.

Напівформальні методи верифікації розробки та тестування

Рівень напівформальних методів верифікації розроб­ки та тестування [EAL6 — semiformally verified design andtested] — шостий рівень гарантій, призначений для використання в ситуаціях із високим ступенем ризику, де цінність інформації, що захищається, виправдовує високі додаткові витрати.

Відповідає наступним вимогам гарантій безпеки.

У класі ВГБ: керування проектом:

• у розділі ВГБ: засоби керування проектом — повна автомати­зація керування проектом і контролю версій;

• у розділі ВГБ: керування версіями — контроль цілісності й автентичності дистрибутиву системи;

• у розділі ВГБ: конфігурація проекту — включення до складу конфігурації проекту інструментальних засобів розробки.

У класі ВГБ: дистрибуція:

• у розділі ВГБ: поставка — виявлення спотворень у процесі поставки;

• у розділі ВГБ: установка, настройка, запуск — регламентовані процедури установки, настройки, запуску.

У класі ВГБ: розробка:

• у розділі ВГБ: загальні функціональні специфікації — напівформальні специфікації для засобів захисту;

• у розділі ВГБ: архітектура захисту — відповідність напівформального опису архітектури захисту політиці безпеки;

• у розділі ВГБ: форма надання продукту на сертифікацію — структурований опис реалізації усіх засобів захисту;

• у розділі структура засобів захисту — ієрархічність;

• у розділі ВГБ: часткові специфікації засобів захисту — напівформальні часткові специфікації засобів захисту;

• у розділі ВГБ: відповідність описів різного рівня — напівформальний доказ відповідності;

• у розділі ВГБ: політика безпеки — формальна модель політики безпеки.

У класі ВГБ: документація:

• у розділі ВГБ: керівництво адміністратора — адміністрування засобів захисту;

• у розділі ВГБ: керівництво користувача — використання засо­бів захисту.

У класі ВГБ: процес розробки:

• у розділі ВГБ: безпека середовища розробки — підтвердження заходів безпеки в ході розробки;

• у розділі ВГБ: технологія розробки — стандартизована технологія розробки;

• у розділі ВГБ: засоби розробки — використання тільки засобів розробки, що відповідають певним стандартам.

У класі ВГБ: тестування:

• у розділі ВГБ: повнота тестування — строгий аналіз повноти тестування;

• у розділі ВГБ: глибина тестування — функціональні специфі­кації;

• у розділі ВГБ: методика тестування — тестування у відповід­ності з певною методикою;

• у розділі ВГБ: незалежне тестування — вибіркове незалежне тестування.

У класі ВГБ: оцінка захисту:

• у розділі ВГБ: аналіз схованих каналів — пошук схованих ка­налів на основі певних методів;

• у розділі ВГБ: аналіз можливостей неправильного використа­ння засобів захисту — незалежний аналіз можливостей непра­вильного використання засобів захисту;

• у розділі ВГБ: аналіз стійкості засобів захисту — оцінка стійкості засобів захисту;

• у розділі ВГБ: аналіз продукту на наявність уразливостей — вичерпний аналіз уразливостей.

Даний рівень вимагає строгого та послідовного застосування певних методів проектування та розробки, які дозволяють забез­печувати гарантії захисту при експлуатації в умовах підвищеного ризику.

Вимоги цього рівня доповнюють попередні необхідністю стру­ктурного опису реалізації продукту та напівформального подання часткових специфікацій, а також вимогою багаторівневої архіте­ктури.

Для підтвердження результатів аналізу крім заході, передба­чених п'ятим рівнем, аналіз уразливостей повинен демонструвати стійкість системи проти сильних атак, а повинні бути одержані не­залежні підтвердження проведення розробником систематичного пошуку схованих каналів.

Вимоги до процесу розробки розширюються необхідністю структурування цього процесу та повної автоматизації керуван­ня конфігурацією проекту.

Рівень розширює вимоги попереднього застосуванням більш глибокого аналізу, структуризацією представлення ІТ-продукту, багаторівневою архітектурою, посиленням аналізу уразливостей, застосуванням систематичного пошуку схованих каналів, а також удосконаленням керування конфігурацією та середовища розроб­ки.

Формальні методи верифікації розробки та тестування

Рівень формальних методів верифікації розробки та тестування [EAL7 — formally verified design and tested] — сьомий рівень гарантій, призначений для використання в ситуаціях із виключно високим ступенем ризику, і (або) там, де цінність об'єктів, які захищаються, виправдовує високі додаткові витрати. Практичне застосування цього рівня на даний час обмежене ком­пактними ІТ-продуктами, в яких сконцентровані засоби захисту, і які легко піддаються формальному аналізу.

Сьомий рівень гарантій відповідає наступним вимогам гаран­тій безпеки.

У класі ВГБ: керування проектом:

• у розділі ВГБ: засоби керування проектом — повна автомати­зація керування проектом і контролю версій;

• у розділі ВГБ: керування версіями — контроль цілісності й автентичності дистрибутива системи;

• у розділі ВГБ: конфігурація проекту — включення до складу конфігурації проекту інструментальних засобів розробки.

У класі ВГБ: дистрибуція:

• у розділі ВГБ: поставка — захист від спотворень у процесі по­ставки;

• у розділі ВГБ: установка, настройка, запуск — регламентовані процедури установки, настройки, запуску.

У класі ВГБ: розробка:

• у розділі ВГБ: загальні функціональні специфікації — формальні специфікації для засобів захисту;

• у розділі ВГБ: архітектура захисту — формальний опис архі­тектури захисту й доказ її відповідності політиці безпеки;

• у розділі ВГБ: форма надання продукту на сертифікацію —структурований опис реалізації усіх засобів захисту;

• у розділі ВГБ: структура засобів захисту — мінімізація скла­дності;

• у розділі ВГБ: часткові специфікації засобів захисту — напівформальні часткові специфікації засобів захисту;

• у розділі ВГБ: відповідність описів різного рівня — формаль­ний доказ відповідності;

• у розділі ВГБ: політика безпеки — формальна модель політики безпеки.

У класі ВГБ: документація:

у розділі ВГБ: керівництво адміністратора — адміністрування засобів захисту;

• у розділі ВГБ: керівництво користувача — використання засо­бів захисту.

У класі ВГБ: процес розробки:

• у розділі ВГБ: безпека середовища розробки — підтвердження заходів безпеки в ході розробки;

• у розділі ВГБ: технологія розробки — технологія розробки, яка дозволяє оцінювати продукт, що розроблюється;

• у розділі ВГБ: засоби розробки — використання тільки засобів розробки, що відповідають певним стандартам.

У класі ВГБ: тестування:

• у розділі повнота тестування — строгий аналіз повноти тесту­вання;

• у розділі ВГБ: глибина тестування — реалізація;

• у розділі ВГБ: методика тестування — тестування у відповід­ності з певною методикою;

• у розділі ВГБ: незалежне тестування — повне незалежне тестування.

У класі ВГБ: оцінка захисту:

• у розділі ВГБ: аналіз схованих каналів — пошук схованих ка­налів на основі певних методів;

• у розділі ВГБ: аналіз можливостей неправильного використання засобів захисту — незалежний аналіз можливостей неправильного використання засобів захисту;

• у розділі ВГБ: аналіз стійкості засобів захисту — оцінка стійкості засобів захисту;

• у розділі ВГБ: аналіз продукту на наявність уразливостей — вичерпний аналіз уразливостей.

На відміну від попередніх рівнів необхідне формальне подан­ня функціональних специфікацій та архітектури захисту, а також формальна та напівформальна демонстрація відповідності між ними. Архітектура системи повинна бути не тільки модульною, але й простою та зрозумілою.

Додатково до попередніх рівнів результати аналізу вимагають підтвердження тестуванням форми реалізації, а також обґрунтованим незалежним підтвердженням усіх результатів проведених розробником випробувань.

Таким чином, цей рівень підсилює вимоги попереднього за ра­хунок більш послідовного аналізу з використанням формального опису системи на різних рівнях подання та формального доказу взаємної відповідності цих описів, а також всеохоплюючого тесту­вання.

1