Цель безопасности - Security Target

Общие критерии для оценки безопасности информационных технологий, версия 3.1, часть 1 (называемая CC 3.1 или CC)[1] определяет Цель безопасности (ST) как "зависящее от реализации изложение требований безопасности для конкретного идентифицированного Цель оценки (ПАЛЕЦДругими словами, ЗБ определяет границы и специфицирует детали ОО. В процессе оценки продукта в соответствии с ОК документ ЗБ предоставляется поставщиком продукта.

СТ определяет обеспечение информации требования безопасности и функциональные требования к данному продукту информационной системы, который называется Целью оценки (ОО). СТ - это полное и строгое описание проблема безопасности с точки зрения описания ОО, угроз, допущений, целей безопасности, функциональных требований безопасности (SFR), требований доверия к безопасности (SAR) и обоснований. SAR обычно обозначаются цифрами от 1 до 7 и называются Уровень гарантии оценки (EAL), указывающий на глубину и строгость оценки безопасности, обычно в форме подтверждающей документации и тестирования, что продукт соответствует требованиям SFR.

ЗБ содержит некоторую (но не очень подробную) информацию о конкретной реализации, которая демонстрирует, как продукт отвечает требованиям безопасности. Она может относиться к одному или нескольким Профили защиты (ПП). В таком случае ЗБ должно отвечать общим требованиям безопасности, приведенным в каждом из этих ПЗ, и может определять дополнительные требования.

Схема цели безопасности

1. Вступление - обзор того, что делает ОО, включая ключевые функции и цели.

  • Ссылка ST
  • Ссылка на ОО
  • Обзор ОО
  • Описание ОО

2. Заявления о соответствии - идентифицирует заявления о соответствии для оценки ОО.

  • Заявления о соответствии версии CC
  • Заявления о соответствии требованиям CC Часть 2
  • Заявления о соответствии требованиям CC Часть 3
  • Заявления о соответствии ПП - строгое соответствие или доказуемое соответствие

3. Определение проблемы безопасности - описывает угрозы и предположения об операционной среде. Цель - продемонстрировать проблему безопасности, которую должен решить ОО и его операционная среда.

  • Угрозы - неблагоприятное действие, выполняемое агентом угрозы в отношении актива. Агенты угроз описываются такими аспектами, как опыт, ресурсы, возможности и мотивация.
  • Политики безопасности организации (OSP) - OSP - это набор правил, процедур или руководств безопасности, налагаемых организацией в операционной среде ОО.
  • Предположения - сделаны только об операционной среде поведения ОО.

4. Цели безопасности - краткое и абстрактное изложение предполагаемого решения проблемы, указанной в определении проблемы безопасности. Каждая цель безопасности должна быть связана как минимум с одной угрозой или OSP.

1) аспект безопасности, которого необходимо достичь, - это цель и задача использования определенных мер по смягчению последствий, таких как конфиденциальность, целостность, доступность, аутентичность пользователя, авторизация доступа, подотчетность.

2) конфиденциальность, целостность или доступность, необходимые для поддержки применимых основных требований.[1]

  • Цели безопасности для ОО
  • Цели безопасности для операционной среды
  • Обоснование целей безопасности - набор обоснований, показывающих, что все угрозы и предположения эффективно устраняются целями безопасности.

5. Расширенное определение компонентов - расширенные компоненты должны состоять из измеримых и объективных элементов, соответствие которым может быть продемонстрировано.
6. Требования безопасности - определяет и описывает SFR из части 2 CC и SAR из части 3 CC.

  • Функциональные требования безопасности - SFR формируют ясное, недвусмысленное и четко определенное описание ожидаемого поведения безопасности ОО.
  • Требования доверия к безопасности - SARs формируют четкое, недвусмысленное и установленное описание ожидаемых действий, которые будут предприняты для получения уверенности в ОО.
  • Обоснование требований безопасности - обоснование цели безопасности для ОО демонстрирует, что ФТБ достаточны и необходимы.

7.Краткие спецификации ОО - позволяет оценщикам и потенциальным потребителям получить общее представление о том, как реализован ОО.

  • Функции безопасности - функция зоны или тракта для предотвращения несанкционированного электронного вмешательства, которое может повлиять или повлиять на нормальное функционирование устройств и систем в зоне или тракте. Краткая спецификация ОО должна описывать, как ОО соответствует каждому ФТБ.
  • Спецификации безопасности ОО - общее представление о том, как разработчик намеревается удовлетворить каждый ФТБ.

Смотрите также

Рекомендации

  1. ^ Портал общих критериев - http://www.commoncriteriaportal.org/cc/