Элементы действий разработчика
AVA_VLA.3.1D Разработчик должен выполнить и задокументировать анализ поставляемых материалов ОО по поиску путей, которыми пользователь может нарушить ПБО.
AVA_VLA.3.2D Разработчик должен задокументировать местоположение идентифицированных уязвимостей.
Элементы содержания и представления свидетельств
AVA_VLA.3.1C Документация должна показать для всех идентифицированных уязвимостей, что ни одна из них не может быть использована в предполагаемой среде ОО.
AVA_VLA.3.2C Документация должна содержать строгое обоснование, что ОО с идентифицированными уязвимостями является стойким к явным нападениям проникновения.
AVA_VLA.3.3C Свидетельство должно показать, что поиск уязвимостей является систематическим.
Элементы действий оценщика
AVA_VLA.3.1E Оценщик должен подтвердить, что представленная информация удовлетворяет всем требованиям к содержанию и представлению свидетельств.
AVA_VLA.3.2E Оценщик должен провести тестирование проникновения, основанное на анализе уязвимостей, выполненном разработчиком, для обеспечения учета идентифицированных уязвимостей.
AVA_VLA.3.3E Оценщик должен выполнить независимый анализ уязвимостей.
AVA_VLA.3.4E Оценщик должен выполнить независимое тестирование проникновения, основанное на независимом анализе уязвимостей, и сделать независимое заключение о возможности использования дополнительно идентифицированных уязвимостей в предполагаемой среде.
AVA_VLA.3.5E Оценщик должен сделать независимое заключение, что ОО является стойким к нападениям проникновения, выполняемым нарушителем, обладающим умеренным потенциалом нападения.
5.1.2.8. Требования к ОО, сформулированные в явном виде
ALC_UPV_EXT.1 Процедуры обновления БД ПКВ
Зависимости отсутствуют.
Элементы действий разработчика
ALC_UPV_EXT.1.1D Разработчик должен разработать и реализовать процедуру фиксации момента получения новой КВ, основанную на [назначение: способы фиксации].
ALC_UPV_EXT.1.2D Разработчик должен разработать и реализовать технологию, обеспечивающую время выпуска обновлений БД ПКВ не более [назначение: заданное значение времени].
ALC_UPV_EXT.1.3D Разработчик должен разработать и реализовать процедуру уведомления об обновлении БД ПКВ, основанную на [назначение: способы уведомления].
ALC_UPV_EXT.1.4D Разработчик должен разработать и реализовать процедуру доставки обновлений БД ПКВ, основанную на [назначение: способы доставки обновлений].
ALC_UPV_EXT.1.5D Разработчик должен разработать процедуру контроля целостности обновлений БД ПКВ со стороны [назначение: идентифицированные уполномоченные роли], основанную на [назначение: способы контроля целостности].
ALC_UPV_EXT.1.6D Разработчик должен разработать и реализовать процедуру представления обновлений для проведения внешнего контроля, основанную на [назначение: способы предоставления обновлений для контроля].
Элементы содержания и представления свидетельств
ALC_UPV_EXT.1.1C Документация процедуры фиксации момента новой КВ должна содержать описание способов фиксации.
ALC_UPV_EXT.1.2C Документированные материалы должны содержать аргументацию, что время выпуска обновлений БД ПКВ не превышает заданного.
ALC_UPV_EXT.1.3C Документация процедуры уведомления об обновлении БД ПКВ должна содержать описание способов уведомления.
ALC_UPV_EXT.1.4C Документация процедуры доставки обновлений БД ПКВ должна содержать описание способов доставки обновлений.
ALC_UPV_EXT.1.5C Документация процедуры контроля целостности обновлений БД ПКВ должна содержать описание способов контроля целостности обновлений.
ALC_UPV_EXT.1.6C Документация процедуры представления обновлений для проведения внешнего контроля должна содержать описание способов предоставления разработчиком обновлений для контроля.
Элементы действий оценщика
ALC_UPV_EXT.1.1E Оценщик должен подтвердить, что представленная информация удовлетворяет всем требованиям к содержанию и представлению документированных материалов.
ALC_UPV_EXT.1.2E Оценщик должен проверить, что способы предоставления обновлений для контроля позволяют организовать и проводить их внешний контроль.
AMA_SIA_EXT.3 Анализ влияния обновлений на безопасность САВЗ
Элементы действий разработчика
AMA_SIA_EXT.3.1D Разработчик должен представить материалы анализа влияния обновлений на безопасность САВЗ.
Элементы содержания и представления свидетельств
AMA_SIA_EXT.3.1C Материалы анализа влияния обновлений на безопасность САВЗ должны содержать краткое описание влияния обновлений на задание по безопасности, функции безопасности САВЗ или содержать логическое обоснование отсутствия такого влияния.
AMA_SIA_EXT.3.2C Материалы анализа влияния обновлений на безопасность САВЗ должны для обновлений, влияющих на безопасность, идентифицировать функции безопасности, компоненты САВЗ, на которые влияет данное обновление.
Элементы действий оценщика
AMA_SIA_EXT.3.1E Оценщик должен подтвердить, что представленная информация удовлетворяет всем требованиям к содержанию и представлению документированных материалов.
5.2. Требования безопасности для среды информационных технологий
Функциями безопасности, реализуемыми средой ИТ в интересах обеспечения безопасности ОО, являются функции "Идентификация и аутентификация" и "Защита ФБО".
Функциональные компоненты из ГОСТ Р ИСО/МЭК 15408-2, на которых основаны функциональные требования безопасности среды ИТ, приведены в таблице 5.4.
Таблица 5.4
Функциональные компоненты, на которых основаны ФТБ среды ИТ
Идентификатор компонента требований | Название компонента требований |
| FIA_AFL.1 | Обработка отказов аутентификации |
| FIA_SOS.1 | Верификация секретов |
| FIA_UAU.2 | Аутентификация до любых действий пользователя |
| FIA_UID.2 | Идентификация до любых действий пользователя |
| FPT_RVM.1 | Невозможность обхода ПБО |
| FPT_SEP.1 | Отделение домена ФБО |
5.2.1. Идентификация и аутентификация (FIA)
FIA_AFL.1 Обработка отказов аутентификации
FIA_AFL.1.1 Функции безопасности среды ИТ должны обнаруживать, когда произойдет [назначение: число попыток] неуспешных попыток аутентификации [с момента последней успешной попытки аутентификации пользователя].