Этапы разработки Профиля защиты

Разработка Профиля защиты осуществляется в три этапа: анализ среды применения ИТ–продукта с точки зрения безопасности, выбор Профиля–прототипа и синтез требований. На рис. 13.2 приведена общая схема разработки Профиля защиты.

На первой стадии проводится анализ информации о среде предполагаемого применения ИТ-продукта, действующих в этой среде угрозах безопасности и используемых этими угрозами недостатках защиты. Анализ проводится с учетом технологии использования продукта, а также существующих стандартов и нормативов, регламентирующих его эксплуатацию.

Рисунок 13.2. Схема разработки профиля защиты согласно «Федеральным критериям»

Второй этап состоит в поиске Профиля, который может быть использован в качестве прототипа. Как уже говорилось, "Федеральные критерии" предусматривают создание специальной, доступной для разработчиков ИТ–продуктов, картотеки, в которую должны быть помещены все разработанные когда-либо Профили защиты. Это позволит минимизировать затраты на создание Профилей и учесть опыт предыдущих разработок.

Этап синтеза требований включает выбор наиболее существенных для условий функционирования продукта функций защиты и их ранжирование по степени важности с точки зрения обеспечения качества защиты. Выбор специфичных для среды требований безопасности должен быть основан на их эффективности для решения задачи противодействия угрозам. Разработчик Профиля должен показать, что выполнение выдвинутых требований ведет к обеспечению требуемого уровня безопасности посредством успешного противостояния заданному множеству угроз и устранения недостатков защиты.

При разработке Профиля защиты необходимо анализировать связи и взаимозависимости, существующие между функциональными требованиями и требованиями к процессу разработки, а также между отдельными требования внутри этих разделов. По завершению разработки Профиль защиты подвергается проверке, целью которой является подтверждение его полноты, корректности, непротиворечивости и реализуемости.