А.6.1 Введение ГОСТ Р ИСО/МЭК 15408-1-2012
В разделе ЗБ «Определение проблемы безопасности» определяется проблема безопасности, которая должна быть решена. Определение проблемы безопасности относительно ИСО/МЭК 15408 является аксиоматическим. Таким образом, процесс установления определения проблемы безопасности находится вне области применения ИСО/МЭК 15408.
Однако полноценность результатов оценки в существенной степени зависит от ЗБ, а полноценность ЗБ в существенной степени зависит от качества определения проблемы безопасности. Поэтому зачастую необходимо потратить существенные ресурсы и использовать четкие процессы и процедуры анализа, чтобы получить надлежащее определение проблемы безопасности.
Согласно ИСО/МЭК 15408–3 не обязательно иметь изложение всех подразделов определения проблемы безопасности; ЗБ, в котором изложены угрозы, не обязательно должно содержать изложение ПБОр и наоборот. Кроме того, в ЗБ могут быть опущены предположения.
Когда ОО является физически распределенным, может оказаться предпочтительным рассмотреть соответствующие угрозы, ПБОр и предположения отдельно для различных областей (доменов) среды функционирования ОО [из А.6.1 Введение ГОСТ Р ИСО/МЭК 15408–1–2012]
А.6.2 Угрозы ГОСТ Р ИСО/МЭК 15408-1-2012
Данный подраздел раздела «Определение проблемы безопасности» представляет угрозы, которым должен противостоять ОО, его среда функционирования или их сочетание.
Угроза определяется негативным действием, выполняемым источником угрозы по отношению к некоторому активу.
Негативные действия — действия, выполняемые источником угрозы по отношению к некоторому активу. Эти действия влияют на одну или более характеристик актива, которые связаны со значимостью данного актива.
Источники угроз могут быть описаны как отдельные сущности, но в некоторых случаях может оказаться предпочтительным описать их как типы сущностей, группы сущностей и т.п.
Примеры источников угроз — хакеры, пользователи, компьютерные процессы и инциденты. Далее источники угроз могут быть описаны через такие аспекты, как компетентность, доступные ресурсы, возможности и мотивация.
Примеры угроз:
- хакер (со значительной компетентностью, стандартным оборудованием и профинансированный для реализации угрозы), осуществляющий удаленное копирование конфиденциальных файлов из сети компании;
- компьютерный «червь», существенно снижающий производительность глобальной сети;
- системный администратор, нарушающий приватность пользователя;
- пользователь Интернета, прослушивающий трафик конфиденциального электронного обмена.
[из А.6.2 Угрозы ГОСТ Р ИСО/МЭК 15408–1–2012]
А.6.3 Политика безопасности организации (ПБОр) ГОСТ Р ИСО/МЭК 15408-1-2012
Данный подраздел раздела «Определение проблемы безопасности» представляет ПБОр, которые должны быть реализованы ОО, его средой функционирования или их сочетанием.
ПБОр — правила безопасности, процедуры или руководящие принципы, предписанные (или предполагаемые быть предписанными) в настоящее время и (или) в будущем фактической или гипотетической организацией в среде функционирования. ПБОр может быть установлена организацией, управляющей средой функционирования ОО, или может быть установлена законодательными или регулирующими органами. ПБОр может относиться к ОО и (или) к среде функционирования ОО.
Примеры ПБОр:
- все продукты, которые используются государственными организациями, должны соответствовать национальным стандартам по генерации пароля и криптографии;
- только пользователям с привилегиями системного администратора и допуском секретного отдела должно быть разрешено управление файл–сервером Департамента.
[из А.6.3 Политика безопасности организации (ПБОр) ГОСТ Р ИСО/МЭК 15408–1–2012]
А.6.4 Предположения ГОСТ Р ИСО/МЭК 15408-1-2012
Данный подраздел раздела «Определение проблемы безопасности» представляет предположения, которые сделаны по отношению к среде функционирования ОО для обеспечения функциональных возможностей безопасности. Если ОО помещен в среду функционирования, которая не отвечает этим предположениям, то ОО, возможно, окажется уже не в состоянии обеспечить все свои функциональные возможности безопасности. Предположения могут быть по отношению к физическим аспектам, персоналу и внешней связности в среде функционирования.
Примеры предположений:
- предположения, связанные с физическими аспектами среды функционирования:
- предполагается, что ОО будет размещен в помещении, где выполнены работы по минимизации электромагнитных излучений;
- предполагается, что консоли администратора ОО будут помещены в зону ограниченного доступа.
- предположения, связанные с персоналом среды функционирования:
- предполагается, что пользователи ОО будут в достаточной степени обученными, чтобы эксплуатировать ОО;
- предполагается, что пользователи ОО допущены к информации ограниченного доступа;
- предполагается, что пользователи ОО не будут записывать свои пароли.
- предположения по отношению к аспектам связности среды функционирования:
- предполагается, что на автоматизированном рабочем месте на базе ПК для работы ОО доступно как минимум 10 Гб дискового пространства;
- предполагается, что ОО является единственным, кроме ОС, приложением, работающим на конкретной рабочей станции;
- предполагается, что ОО не будет связан с недоверенной сетью.
В процессе оценки эти предположения считаются верными: они в любом случае не проверяются.
По этим причинам предположения могут быть сделаны только по отношению к среде функционирования. Предположения никогда не могут делаться по отношению к режиму функционирования ОО, потому что оценка состоит из оценки утверждений, сделанных по отношению к ОО, а не из предположений, что утверждения по отношению к ОО являются верными [из А.6.4 Предположения ГОСТ Р ИСО/МЭК 15408–1–2012]
