Оценочные уровни доверия

Здесь аннотирован каждый из семи оценочных уровней доверия. ОУД1 является начальным уровнем. На уровнях до ОУД4 повышается строгость и детализация, но не применяются узко специализированные методы проектирования безопасности. Четыре первых уровня в основном применяются к уже существующим продуктам и системам.

Выше ОУД4 требуется расширение применения специализированных методов проектирования безопасности. Чтобы ОО отвечал требованиям этих уровней доверия, они должны учитываться непосредственно при проектировании и разработке ОО. На завершающем ОУД7 имеются значительные ограничения возможности выполнения требований вследствие как существенного влияния необходимых затрат на действия разработчика и оценщика, так и того, что самый простой из продуктов является, скорее всего, слишком сложным для применения известных в настоящее время методов формального анализа.

ОУД1 – предусматривающий функциональное тестирование

ОУД1 применим, когда требуется некоторая уверенность в правильном функционировании, а угрозы безопасности не рассматриваются как серьезные. Он будет полезен там, где требуется независимо полученное доверие к безопасности, подтверждающее заявление о том, что было уделено должное внимание защите персональных данных и подобной информации.

Этот уровень обеспечивает оценку ОО в том виде, в каком ОО доступен потребителю, путем независимого тестирования спецификаций и экспертизы представленной документации. Предполагается, что оценка на ОУД1 может успешно проводиться без помощи разработчика ОО и с минимальными затратами. Оценка на этом уровне должна предоставить свидетельство того, что ОО функционирует в соответствии с документацией и предоставляет требуемую защиту против идентифицированных угроз.

ОУД2 – предусматривающий структурное тестирование

ОУД2 содержит требование сотрудничества с разработчиком для получения информации о проекте и результатах тестирования, но не должен требовать со стороны разработчика усилий больших, чем это соответствует обычной коммерческой практике. Следовательно, не требуется существенного увеличения стоимости или затрат времени.

ОУД2 применим в тех случаях, когда разработчикам или пользователям требуется невысокий до умеренного независимо получаемый уровень доверия при отсутствии доступа к полной документации по разработке. Такая ситуация может возникать при обеспечении безопасности разработанных в прошлом систем или при ограниченной доступности разработчика.

ОУД3 – предусматривающий методическое тестирование и проверку

ОУД3 позволяет добросовестному разработчику получить максимум доверия путем надлежащего проектирования безопасности без значительного изменения существующей практики разработки. Он применим при требовании независимого получения умеренного уровня доверия на основе всестороннего исследования ОО и процесса его разработки без существенных затрат на изменение технологии проектирования.

Оценка на ОУД3 предусматривает анализ на основе тестирования «серого ящика», выборочного независимого подтверждения тестирования, выполненного разработчиком, и свидетельства поиска разработчиком явных уязвимостей. Также требуются контроль среды разработки и управление конфигурацией ОО.

ОУД4 – предусматривающий методическое проектирование, тестирование и просмотр

ОУД4 позволяет разработчику получить максимум доверия путем надлежащего проектирования безопасности, основанного на хорошей коммерческой практике разработки, которая при своей строгости не требует глубоких специальных знаний, навыков и других ресурсов. ОУД4 – самый высокий уровень, на который, вероятно, экономически целесообразно ориентироваться для существующих типов продуктов. Он применим, когда разработчикам или пользователям требуется независимо получаемый уровень доверия от умеренного до высокого в ОО общего назначения и имеется готовность нести дополнительные, связанные с безопасностью производственные затраты.

Оценка на ОУД4 предусматривает анализ с использованием проекта нижнего уровня модулей ОО, а также подмножества реализации. Тестирование поддерживается независимым поиском явных уязвимостей. При управлении разработкой применяются модель жизненного цикла, идентификация инструментальных средств и автоматизированное управление конфигурацией.

ОУД5 – предусматривающий полуформальное проектирование и тестирование

ОУД5 позволяет разработчику получить максимум доверия путем проектирования безопасности, основанного на строгой коммерческой практике разработки, поддержанной умеренным применением узко специализированных методов проектирования безопасности. При проектировании и разработке такого ОО, по-видимому, должна учитываться необходимость достижения ОУД5. Вероятно, дополнительные затраты, сопутствующие требованиям ОУД5 относительно строгой разработки, не будут большими без учета применения узко специализированных методов. ОУД5 применим при требовании независимо получаемого высокого уровня доверия для запланированной разработки со строгим подходом к разработке без внесения излишних затрат на применение специализированных методов проектирования безопасности.

Оценка на ОУД5 предусматривает анализ, который охватывает всю реализацию. Доверие к безопасности обеспечивается применением формальной модели и полуформального представления функциональной спецификации и проекта верхнего уровня, а также полуформального показа соответствия. Поиск уязвимостей должен обеспечить уверенность в стойкости к атакам нарушителей с умеренным потенциалом нападения. Необходимо проведение анализа тайных каналов, а также модульное построение ОО.

ОУД6 – предусматривающий полуформальную верификацию проекта и тестирование

ОУД6 позволяет разработчикам получить высокое доверие к безопасности путем применения узко специализированных методов проектирования безопасности в строго контролируемой среде разработки при производстве высококачественных продуктов для защиты высоко оцениваемых активов от значительных рисков. Поэтому ОУД6 применим при разработке ОО, специализированных на обеспечении безопасности, для применения в ситуациях высокого риска, где ценность защищаемых активов оправдывает дополнительные затраты.

Оценка на ОУД6 предусматривает анализ, поддержанный модульным и иерархическим (по уровням детализации) подходом к проектированию, а также структурированным представлением реализации. Независимый поиск уязвимостей должен обеспечить уверенность в стойкости к атакам нарушителей с высоким потенциалом нападения. Поиск тайных каналов должен быть систематическим. Привлекаются более мощные средства управления средой разработки и конфигурацией.

ОУД7 – предусматривающий формальную верификацию проекта и тестирование

ОУД7 применим при разработке безопасных ОО для применения в ситуациях чрезвычайно высокого риска и/или там, где высокая ценность активов оправдывает более высокие затраты. Практическое применение ОУД7 в настоящее время ограничено ОО, которые предназначены преимущественно для реализации функций безопасности и поддаются подробному формальному анализу.

Для оценки на ОУД7 формальная модель дополняется формальным представлением функциональной спецификации, проекта верхнего уровня и соответствия между ними. Требуются свидетельство тестирования разработчиком «белого ящика» и полное независимое подтверждение всех результатов тестов, выполненных разработчиком. Сложность проекта должна быть минимизирована.