9 Методичні вказівки з виконання оцінювання рівня гарантій коректності реалізації функціональних послуг безпеки

9.1 Безпосередньо процес оцінювання ОЕ на відповідність вимогам до рівня гарантій коректності реалізації ФПБ являє собою послідовне виконання необхідних дій згідно з пунктами затвердженої методики перевірки рівня гарантій, з формулюванням та фіксацією висновків експерта, що стосуються результатів виконання певних пунктів методики. Зазначені дії, залежно від заявленого (уточненого) рівня гарантій та варіанта подання ОЕ на експертизу, виконуються з використанням:

• оцінюваного ОЕ в працездатному стані;

• проектної документації на оцінюваний ОЕ, зазначеної в пп. А.2.1-А.2.4 або аналогічної за змістом;

• супровідної документації на оцінюваний ОЕ, зазначеної в пп. А.2.5-А.2.12, А.2.14, А.2.18-А.2.20 або аналогічної за змістом;

• експлуатаційної документації на оцінюваний ОЕ, зазначеної в пп. А.2.13, А.2.15-А.2.17 або аналогічної за змістом;

• функціональних специфікацій ОЕ та опис порядку їх реалізації, розроблених на етапі збирання та аналізу матеріалів або в процесі робіт з оцінювання ФПБ;

• розробленої методики перевірки дотримання вимог до рівня гарантій коректності реалізації ФПБ.

9.2 Дії з оцінювання можуть виконуватися як в умовах випробувальної лабораторії, в якій розгорнуто оцінюваний ОЕ, так і (за необхідності) безпосередньо в умовах підприємства – розробника ОЕ. При цьому основними діями, які виконуються експертом у процесі виконання певних пунктів методики, є:

• перевірка зібраних (одержаних) матеріалів з метою формулювання висновку про їх відповідність висунутим вимогам;

• дослідження зібраних (одержаних) матеріалів з метою формулювання обґрунтованого висновку про їх відповідність висунутим вимогам;

• верифікації змісту зібраних (одержаних) матеріалів з метою формулювання висновку про коректність наведених доказів.

9.3 Перевірка матеріалів з метою формулювання висновку про їх відповідність висунутим вимогам передбачає виконання простого порівняння змісту матеріалів з висунутими вимогами, без залучення спеціальних знань та досвіду експерта. Висновки, які формулюються за результатами виконаної перевірки, повинні містити лише результати виконаної перевірки без їх обґрунтування.

9.4 Дослідження матеріалів з метою формулювання обґрунтованого висновку про відповідність висунутим вимогам передбачає виконання поглибленого аналізу змісту матеріалів на предмет відповідності висунутим вимогам, з використанням спеціальних знань та досвіду експерта. Висновки, які формулюються за результатами виконаного дослідження, повинні містити як результати проведеного аналізу, так і їх обґрунтування, яке містить аргументацію на користь зроблених висновків.

9.5 Верифікація змісту матеріалів з метою формулювання висновку про коректність наведених доказів передбачає докладне дослідження змісту матеріалів для прийняття рішення про достатність наведених у них аргументів на користь коректності доказів. Висновки, які формулюються за результатами виконаної верифікації, повинні містити висновки про коректність наведених доказів, а у випадку, якщо докази визнані некоректними – аргументи на користь таких висновків.

9.6 При виконанні окремих пунктів методики перевірки рівня гарантій, які стосуються перевірки дотримання вимог певних рівнів гарантій до реалізованих розробником заходів щодо забезпечення безпеки в процесі розроблення та виробництва ОЕ, використання системи керування конфігурацією ОЕ та процедур постачання ОЕ замовнику, експерту слід користуватися рекомендаціями, викладеними в Додатку Г. Ці рекомендації сформульовані з урахуванням відповідних вимог критеріїв гарантій, викладених у НД ТЗІ 2.5-004-99, та стосуються як організації робіт експерта при відвідуванні підприємства – розробника ОЕ, так і порядку виконання певних дій, пов'язаних з перевіркою вимог критеріїв гарантій.

9.7 При виконанні окремих пунктів методики перевірки рівня гарантій, які стосуються перевірки дотримання вимог до моделі політики безпеки, яка реалізується КЗЗ оцінюваного ОЕ, слід користуватися рекомендаціями, викладеними в Додатку Д. Ці рекомендації сформульовані з урахуванням вимог критеріїв гарантій, викладених у НД ТЗІ 2.5-004-99, щодо змісту моделей політики безпеки та стосуються основних дій, які має виконувати експерт у процесі проведення аналізу таких моделей.

9.8 При виконанні окремих пунктів методики перевірки рівня гарантій, які стосуються перевірки відповідності специфікацій КЗЗ ОЕ різного рівня деталізації (політика безпеки, модель політики безпеки, проект архітектури, детальний проект, реалізація) та ступеня формалізації, слід користуватися рекомендаціями, викладеними в Додатку Е. Ці рекомендації сформульовані з урахуванням вимог критеріїв гарантій, викладених у НД ТЗІ 2.5-004-99, щодо підтвердження відповідності специфікацій КЗЗ ОЕ різного рівня деталізації та ступеня формалізації та стосуються основних дій, які має виконувати експерт у процесі проведення такої перевірки.

9.9 При виконанні вибіркової перевірки результатів випробувань необхідно дотримуватися таких правил:

• мають бути перевірені результати проведених випробувань всіх ФПБ, реалізація яких є обов'язковою згідно з вимогами НД ТЗІ 2.5-004-99 ("Цілісність КЗЗ", "Реєстрація", "Розподіл обов'язків", "Ідентифікація та автентифікація"), а також тих ФПБ, реалізація яких є необхідною умовою для реалізації зазначених ФПБ;

• мають бути перевірені результати проведених випробувань не менше 20% ФПБ, реалізація яких не є обов'язковою згідно з вимогами НД ТЗІ 2.5-004-99;

• сукупність ФПБ, результати випробувань яких підлягають перевірці, повинна, за можливості, в однаковій мірі містити ФПБ всіх типів (конфіденційності, цілісності, доступності та спостережності).

9.10 Сформульовані експертом висновки, що стосуються результатів виконання перевірок згідно з різними пунктами методики, повинні фіксуватися в журналі проведення перевірок, форма ведення якого може бути аналогічною формі журналу випробувань, встановленій ДСТУ 2851-94. У цьому журналі повинні фіксуватися як висновки експерта, так і (безпосередньо або шляхом посилання на зібрані матеріали) аргументи, на підставі яких були зроблені відповідні висновки.