Требования адекватности

Требования адекватности позволяют определить, насколько выполняются требования функциональности.

Мы заменяем характеристику продукта характеристикой технологии его создания.

Классы адекватности:

1) Управление проектом;

2) Дистрибуция (распределение);

3) Разработка;

4) Документация;

5) Ход проекта разработки;

6) Тестирование;

7) Анализ защиты.

Шкала: EAL - evaluated assurance scheme.

Существует семь уровней доверия:

Функциональное тестирование;

Структурное тестирование;

Методическое тестирование;

Методическое тестирование, разработка и анализ;

Полуформальные методы тестирования;

Полуформальные методы верификации разработки и тестирования;

Формальные методы верификации разработки и тестирования.

Классы адекватности:

1) Управление проектом.

Средства управления проектом:

1. Применение автоматизированных средств;

2. Полная автоматизация управления проектом и контроля версий;

Управление версиями:

1. Нумерация версий;

2. Идентификация компонентов;

3. Контроль целостности версий;

4. Авторизация разработчиков при обновлении версий;

5. Контроль целостности и подлинности дистрибутива;

Конфигурация проекта:

1. Основные компоненты проекта;

2. Обнаруженные ошибки и уязвимости;

3. Инструментальные средства разработки.

2) Дистрибуция – распространение:

Поставка:

1. Регламентация поставки;

2. Обнаружение искажений;

3. Защита от искажений во время поставки;

Установка, настройка, запуск:

1. Регламентация установки, настройки, запуска;

2. Протоколирование установки, настройки, запуска.

3) Разработка:

Общие функциональные спецификации:

1. Неформальные спецификации для СЗ;

2. Неформальные спецификации для всех интерфейсов СЗ;

3. Полуформальные спецификации для СЗ;

4. Формальные спецификации для СЗ;

Архитектура защиты:

1. Описание архитектуры;

2. Соответствие архитектуры ПБ;

3. Полуформальное описание архитектуры;

4. Соответствие полуформального описания архитектуры и ПБ;

5. Формальное описание и его соответствие ПБ;

Форма представления продукта на сертификацию:

1. Описание реализации ограниченного подмножества средств защиты;

2. Полное описание всех СЗ;

3. Структурированное описание всех СЗ;

Структура СЗ:

1. Использование модульного подхода;

2. Использование иерархии модулей;

3. Минимизация сложности структуры СЗ;

Частные спецификации средств защиты:

1. Неформальные частные спецификации СЗ;

2. Полуформальные частные спецификации СЗ;

3. Формальные частные спецификации СЗ;

Соответствие описаний различного уровня:

1. Неформальное подтверждение соответствия;

2. Полуформальное подтверждение;

3. Формальное доказательство;

Политика безопасности:

1. Неформальное описание ПБ;

2. Полуформальное описание ПБ;

3. Формальная модель ПБ.

4) Документация:

Руководство администратора (описывает администрирование СЗ).

Руководство пользователя (описывает использование СЗ).

5) Процесс разработки:

Безопасность среды разработки:

1. Применение мер безопасности при разработке;

2. Подтверждение достаточности мер безопасности;

Исправление ошибок и устранение уязвимостей:

1. Исправление ошибок и устранение уязвимостей;

2. Регулярное исправление ошибок и устранение уязвимостей;

3. Гарантированное исправление ошибок и устранение уязвимостей в течение заданного времени;

Технология разработки:

1. Определенная разработчиком технология разработки;

2. Использование стандартизированной технологии;

3. Использование технологии разработки, позволяющей оценить качество разрабатываемого продукта;

Средства разработки (СР):

1. Использование ограниченного набора СР;

2. Использование ограниченного набора СР, отвечающего стандарту;

3. Использование СР, отвечающего стандарту.

6) Тестирование:

Полнота тестирования (множество входных компонентов):

1. Обоснование полноты;

2. Анализ полноты (объяснить);

3. Строгий анализ (доказательство);

Глубина тестирования:

1. Тестирование на уровне архитектуры;

2. Функциональные спецификации;

3. Реализация;

Методика тестирования:

1. Функциональное тестирование и протоколирование результатов тестов;

2. Тестирование в соответствии с определенной методикой;

Независимое тестирование (проводимое независимой стороной):

1. Готовность продукта к независимому тестированию;

2. Избирательное независимое тестирование;

3. Полное независимое тестирование.

7) Анализ защиты:

Анализ скрытых каналов:

1. Поиск и документирование СКУИ;

2. Поиск СКУИ на основе определенных методов;

3. Полный поиск СКУИ;

Анализ возможностей неправильного использования СЗ:

1. Анализ руководств администратора;

2. Подтверждение полноты и безопасности применения руководств;

3. Независимый анализ возможностей неправильного использования СЗ;

Анализ стойкости СЗ.

Анализ продукта на наличие уязвимостей:

1. Выявление уязвимостей разработчиком;

2. Независимый анализ;

3. Систематический анализ уязвимостей;

4. Исчерпывающий анализ уязвимостей.

Дата добавления: 2014-11-20