Контроль полноты и корректности реализации технических приемов

Контроль полноты и корректности реализации технических приемов подразумевает под собой контроль объема технических мер обеспечения безопасности информации, реализованных при разработке ПО. Результаты контроля полноты технических приемов, используемых для разработки оцениваемого ПО в соответствии с требованиями стандартов [2—6] и др., оформляются в виде таблиц в соответствующем разделе протокола сертификационных испытаний.

Контроль полноты и корректности реализации технических приемов заключается в определении состава использованных технических приемов при разработке ПО, проверке качества реализации данных приемов. Каждый технический прием должен быть функционально законченным, охватывать одно или несколько требований стандартов.

[2—6] и др., быть непротиворечивым. Реализация приема должна быть логичной, рациональной, несложной для анализа. Весь объем технических приемов должен охватывать все требования определенного уровня полноты безопасности ПО.

По результатам контроля делается вывод о соответствии представленного объема технических приемов необходимому объему технических требований для соответствия системы установленной категории защищенности с учетом требований стандартов [2—6] и др.

Рекомендации по использованию определенных технических приемов содержатся в наборе таблиц. Каждая таблица соответствует определенному этапу разработки ПО. В табл. 8.9 приведен пример задания технических приемов при разработке архитектуры ПО системы управления на основе ряда требований стандарта [20].

Архитектура программного обеспечения.

Таблица 8.9

В графе «Требование» указывают следующие знаки:

• • «плюс» (+) означает, что технический прием или мероприятие должны быть использованы/учтены при разработке ПО. В случае неиспользования/замены требования другим приемом стандарта в документации ПО должно быть дано обоснование его неиспользования. Заметим, что данный символ не обязательно означает включение соответствующего технического приема в разработку, он лишь обозначает необходимость учесть соответствующее требование стандарта, например [20], которое может, наоборот, не рекомендовать использование приема (в этом случае около приема сделана пометка не рекомендуется);
• • «минус» (-) означает, что технический прием или мероприятие не рекомендованы при разработке ПО.