А.4.2.2 Тип ОО

А.4.2.1 Назначение и основные характеристики безопасности ОО

Описание назначения и основных характеристик безопасности ОО предназначено, чтобы дать самое общее представление о возможностях ОО с точки зрения безопасности и о том, как можно использовать ОО в контексте безопасности. Это должно быть написано для (потенциальных) потребителей ОО с описанием назначения и основных характеристик ОО в терминах бизнес-операций и на языке, понятном потребителям.

Пример такого описания: ”The MauveCorp MauveRAM Database v2.11 является многопользовательской системой управления базами данных, предназначенной для использования в сетевой среде. Она предоставляет возможность одновременной работы до 1024 пользователей, возможность использовать аутентификацию, основанную на пароле/токене, а также – биометрическую аутентификацию; обеспечивает защиту от случайного повреждения данных и откат назад на десять тысяч транзакций. Существует возможность настройки механизмов аудита в широком диапазоне, позволяющая осуществлять детальный аудит по отношению к одним пользователям и транзакциям, обеспечивая при этом приватность для других пользователей и транзакций”.

В аннотации ОО идентифицируют общий тип ОО, такой как: межсетевой экран, шлюз виртуальной частной сети, смарт-карта, интранет, веб-сервер, система управления базами данных, веб-сервер и система управления базами данных, ЛВС, ЛВС с веб-сервером и системой управления базой данных и др.

Возможна ситуация, когда ОО не может быть легко отнесен к имеющемуся типу, при которой приемлемым является указание на то, что ОО не отнесен ни к одному типу.

В некоторых случаях тип ОО может ввести в заблуждение потребителей. Например:

· от ОО с учетом его типа могут ожидать определенные функциональные возможности, в то время как у данного ОО эти функциональные возможности отсутствуют. Например:

· ОО типа ”банковская карта“, который не поддерживает какие-либо функциональные возможности идентификации/аутентификации;

· ОО типа ”межсетевой экран“, который не поддерживает протоколы, используемые почти повсеместно;

· ОО типа ”ИОК“, у которого нет функциональных возможностей аннулирования сертификатов.

· от ОО с учетом его типа могут ожидать возможность функционирования в определенной среде, в то время как для данного ОО такая возможность отсутствует. Например:

· ОО типа ”операционная система ПК“, который не может безопасно функционировать при наличии у ПК сетевого подключения, накопителя на гибких дисках, CD/DVD-дисковода;

· межсетевой экран, который может безопасно функционировать только при условии, что все пользователи, которые могут подключаться через этот межсетевой экран, являются благонадежными. In the latter case,

Дата добавления: 2014-01-15