А.4.1 Обозначение ЗБ и обозначение ОО

А.3.1 Как не следует использовать ЗБ

А.3.1 Как следует использовать ЗБ

А.3 Использование ЗБ

Типовое ЗБ выполняет две роли:

· Перед оценкой и в процессе оценки ЗБ определяет, ”что должно быть оценено“. В этой роли ЗБ служит основой для соглашения между разработчиком и оценщиком о полноте оцениваемых характеристик безопасности ОО и о границах области оценки. Техническая правильность и полнота являются основными проблемами для этой роли. В разделе А.7 описано, каким образом следует использовать ЗБ в данной роли.

· После оценки ЗБ определяет, ”что было оценено“. В этой роли ЗБ служит основанием для соглашения между разработчиком или поставщиком ОО и потенциальным потребителем ОО. ЗБ описывает точные характеристики безопасности ОО в краткой форме, и потенциальный потребитель может доверять этому описанию, так как ОО был оценен на предмет удовлетворения данному ЗБ. Удобство использования и понятность являются основными проблемными вопросами для этой роли. В разделе А.11 описано, каким образом следует использовать ЗБ в данной роли.

Две роли (из многих), для которых не следует использовать ЗБ:

· детальная спецификация: ЗБ разрабатывается в качестве спецификации безопасности на относительно высоком уровне абстракции. Обычно в ЗБ не следует включать детальные спецификации протоколов, детальное описание алгоритмов и/или механизмов, длинное описание детализированных операций и т.д.;

· полная спецификация: ЗБ разрабатывается в качестве спецификации безопасности, а не общей спецификации. Кроме относящихся к безопасности, другие характеристики, такие как возможности взаимодействия, физические размеры и вес, требуемое напряжение и т.д., не следует включать в ЗБ. Это означает, что в целом ЗБ может быть частью полной спецификации, но не полной спецификацией само по себе.

А.4 Введение ЗБ (ASE_INT)

В разделе ”Введение ЗБ“ описывают ОО в повествовательной форме на трех уровнях абстракции:

a) обозначение ЗБ и обозначение ОО, обеспечивающие идентификационные материалы для ЗБ и ОО, на который ссылается ЗБ;

b) аннотация ОО, в которой кратко описывается ОО;

c) описание ОО, в котором более подробно описывается ОО.

ЗБ имеет обозначение, которое идентифицирует данное ЗБ. Типичное обозначение ЗБ состоит из наименования ЗБ, версии, авторов и даты выпуска. Пример обозначения ЗБ – “MauveRAM Database ST, version 1.3, MauveCorp Specification Team, 11 October 2002”.

ЗБ также содержит обозначение ОО, идентифицирующее ОО, для которого требуется соответствие ЗБ. Типичное обозначение ОО состоит из наименования разработчика, наименования ОО и номера версии ОО. Пример обозначения ОО – “MauveCorp MauveRAM Database v2.11”. Поскольку один и тот же ОО может быть оценен несколько раз, например, по инициативе различных потребителей этого ОО, для него может существовать несколько ЗБ, и поэтому обозначение ОО может быть не единственным.

Если ОО сформирован на основе одного или более известных продуктов, то допускается отразить это в обозначении ОО, ссылаясь на эти продукты. Однако это не должно использоваться для ввода потребителей в заблуждение: ситуации, когда основные части или функциональные возможности безопасности не были рассмотрены в процессе оценки, но это не отражено, являются недопустимыми.

Обозначение ЗБ и обозначение ОО облегчают индексацию и ссылку на ЗБ и ОО и их включение в состав сводной информации списков оцененных ОО/продуктов.

А.4.2 Аннотация ОО

Аннотация ОО нацелена на потенциальных потребителей ОО, просматривающих списки оцененных ОО/продуктов, чтобы найти ОО, которые могут удовлетворить их потребности в безопасности и поддерживаться их аппаратным, программным и программно-аппаратным обеспечением. Как правило, объем аннотации ОО – несколько параграфов.

В аннотации ОО кратко описывают назначение ОО и его основные характеристики безопасности, идентифицируют тип ОО и все основные аппаратные средства/программное обеспечение/программно-аппаратные средства, не входящие в ОО, но требуемые для ОО.

Дата добавления: 2014-01-15