В.З Использование ПЗ ГОСТ Р ИСО/МЭК 15408-1-2012

В.3.1 Как следует использовать ПЗ ГОСТ Р ИСО/МЭК 15408-1-2012

ПЗ представляет собой изложение потребностей в безопасности, в котором некоторое сообщество пользователей, регулирующий орган или группа разработчиков определяет общую совокупность потребностей в безопасности. ПЗ дает возможность потребителям ссылаться на эту совокупность и облегчает последующую оценку удовлетворения этих потребностей.

Поэтому ПЗ обычно используют в качестве:

  • части спецификации требований конкретного потребителя или группы потребителей, которые будут рассматривать приобретение продукта ИТ некоторого конкретного типа, только если он удовлетворяет ПЗ;
  • части нормативного регулирования со стороны регулирующего органа, который разрешает использование продукта ИТ некоторого конкретного типа, только если он удовлетворяет ПЗ;
  • базовой линии некоторой группы разработчиков, которые договариваются, что все продукты ИТ данного типа, которые они будут производить, будут удовлетворять данной базовой линии,
  • хотя это не исключает другого использования.

[из В.3.1 Как следует использовать ПЗ ГОСТ Р ИСО/МЭК 15408–1–2012]

В.3.2 Как не следует использовать ПЗ ГОСТ Р ИСО/МЭК 15408-1-2012

Три роли (из многих), для которых не следует использовать ПЗ:

  • детальная спецификация: ПЗ разрабатывается в качестве спецификации безопасности на относительно высоком уровне абстракции. Обычно в ПЗ не следует включать детальные спецификации протоколов, детальное описание алгоритмов и (или) механизмов, длинное описание детализированных операций и т. д.;
  • полная спецификация: ПЗ разрабатывается в качестве спецификации безопасности, а не общей спецификации. Кроме относящихся к безопасности, другие характеристики, такие как возможности взаимодействия, физические размеры и масса, требуемое напряжение и т. д., не следует включать в ПЗ. Это означает, что в целом ПЗ может быть частью полной спецификации, но не полной спецификацией сам по себе.
  • спецификация некоторого отдельно взятого продукта. В отличие от ЗБ, ПЗ разрабатывается для описания определенного типа продуктов ИТ, а не отдельно взятого продукта ИТ. При описании некоторого отдельно взятого продукта ИТ лучше использовать для этой цели ЗБ.

- Содержание профиля защиты

Рисунок В.1 — Содержание профиля защиты

[из В.3.2 Как не следует использовать ПЗ ГОСТ Р ИСО/МЭК 15408–1–2012]