как понять, зависит ли безопасность ОО от среды ИТ? - Форум по вопросам информационной безопасности

Как понять, зависит ли безопасность ОО от среды ИТ? то есть вопрос включать в ЗБ требования безопасности для ИТ среды или нет... ОО - АС 2Б

Подскажите пожалуйста, как расшифровывается ОО???

Объект оценки

ну, спецы по ОК, где ж вы?

Некорректный вопрос. ОК не требуют от вас обосновывать зависимость/независимоть безопасности ОО от среды ИТ. Вы сами высказываете общие предположения о среде и формулируете угрозы, на их основе формулируете цели безопасности, а там уже смотрите, как разложитть эти цели на требования, которые выполняются ОО, и требования, которые не выполняются ОО. Первые выносите в требования к ОО, вторые - в требования к среде.

На практике при разработке ЗБ вы всегда вынуждены ставить безопасность ОО в зависимость от среды: у вас по-любому будут требования, которые вылезают по зависимостям, но не выполняются объектом оценки (например, генерация меток времени, которая лезет из требований по аудиту). Поэтому практики поступают очень цинично - выписывают функционалные требования к ОО, по зависимостям выписывают требования к среде, и только после этого начинаю делать описательную часть, отражающую эти зависимости.

Прошу прощения за неосведомленность, что такое "ОК"?

P.S. есть ли где на сайте, в одном месте, все сокращения с пояснениями? А то, скоро все темы будут похожи на шифровки из центра )))

ОК - общие критерии (синоним ГОСТ 15408).
ОО - объект оценки
ЗБ - задание по безопасности.

Все эти окращения определены в части 1 ГОСТ 15408

malotavr ага... пасипа...

то есть, теоретически можно и не указать этот пункт требований, а если спросят сказать что безопасность моей абстрактной АС 2Б абсолютно не зависит ни от какой среды и чур меня чур, тряся гостом.... а потом просто проконтролировать по ходу зб и отсечь все то, что случайно вылезло оттуда и не входит в среду ОО?

ну не судите строго по постановке вопроса, просто в госте так вот завуалированно и написано зависит/не зависит.... а у меня конец семестра! я устала от гостов!

Идеология ОК очень проста:
- вы заявляете, для каких условий применения предназначен ваш продукт, и показываете, что продукт для этих условий годится
- потребитель смотрит, а) соответствуют ли его условия заявленным вами и б) а може тли он выполнить заявленные вами требования к среде.

Если ответ хотя бы на один из вопросов отрицательный, потребитель отказываетя от использования вашего продукта. А система сертификации всего лишь подтверждает, что вы честны, и заявленные вами требовани действительно выполнены.

У нас, по ложившейств традиции, все через задницу: считается, что ФСТЭК лучше самого потребителя знает, что ему нужно, поэтому ФСТЭК совмещает обе функции. Проблема в том, что при сертификации вы должны согласовать ЗБ со ФСТЭК, причем согласовать ЗБ - это право, но не обязанность ФСТЭК. Поэтому просто трясти ГОСТом не получится.

Если вы просто скажете, что у вас ничего от среды не зависит, вам никто не поверит, и ЗБ не согласуют. Кроме того, как я говорил, у вас обязательно будут требования, которые придется вынести в среду из-за зависимостей - генерация меток времени, разделение доменов ФБО, тестирование абстрактной машины и прочую лаюуду, которую и интерпретировать-то толком применительно к ОО не всегда получается.

Поэтому зависимость от среды будет, и принцип формирования требований к среде именно такой, какой я описал - туда выносят все, что включить в ЗБ нужно, но не хочется.

Ну вот.. а так хотелось открутиться... Но что поделать, бум работать .

Пасипа огромное!!!!