"Оранжевая книга" США

Конфигурационное  управление:

Класс B2 - в процессе разработки и сопровождения вычислительной базы должна использоваться система  конфигурационного управления, обеспечивающая контроль за изменениями в описательных спецификациях верхнего уровня, иных архитектурных данных, реализационной документации, исходных текстах, работающей версии объектного кода, тестовых данных и документации. Конфигурационное управление должно обеспечивать соответствие друг другу всех аспектов текущей версии вычислительной базы. Должны предоставляться средства генерации новых версий базы по исходным текстам и средства для сравнения версий, чтобы убедиться в том, что произведены только запланированные изменения.

Класс A1 - в дополнение к B2, механизм конфигурационного управления должен распространяться на весь жизненный  цикл и все компоненты системы, имеющие  отношение к обеспечению безопасности, включая спецификации и документацию. Для защиты эталонной копии материалов, использующихся для генерации надежной вычислительной базы, должна использоваться комбинация физических, административных и технических мер.

Надежное распространение:

Класс A1 - должна поддерживаться целостность соответствия между  эталонными данными, описывающими текущую  версию вычислительной базы, и эталонной  копией текстов этой версии. Должны существовать процедуры, подтверждающие соответствие между поставляемыми  клиентам аппаратными и программными компонентами и эталонной копией.

Требования к документации

Руководство пользователя по средствам безопасности:

Класс C1 - отдельный  фрагмент документации (глава, том) должен описывать защитные механизмы, предоставляемые  вычислительной базой, и их взаимодействие между собой, содержать рекомендации по их использованию.

Руководство администратора по средствам безопасности:

Класс C1 - руководство  должно содержать сведения о функциях и привилегиях, которыми управляет  системный администратор посредством  механизмов безопасности.

Класс C2 - в дополнение к C1, должны описываться процедуры  обработки регистрационной информации и управления файлами с такой  информацией, а также структура  записей для каждого типа регистрируемых событий.

Класс B1 - в дополнение к C2, руководство должно описывать  функции оператора и администратора, затрагивающие безопасность, в том  числе действия по изменению характеристик  пользователей. Должны быть представлены рекомендации по согласованному и эффективному использованию средств безопасности, их взаимодействию друг с другом, по безопасной генерации новых версий вычислительной базы.

Класс B2 - в дополнение к B1, должны быть указаны модули вычислительной базы, содержащие механизмы проверки обращений. Должна быть описана процедура  безопасной генерации новой версии базы после внесения изменений в исходные тексты.

Класс B3 - в дополнение к B2, должна быть описана процедура, обеспечивающая безопасность начального запуска системы и возобновления  ее работы после сбоя.

Тестовая документация:

Класс C1 - разработчик  системы должен представить экспертному  совету документ, содержащий план тестов, процедуры прогона тестов и результаты тестов.

Класс B2 - в дополнение к C1, тесты должны подтверждать действенность  мер по уменьшению пропускной способности  тайных каналов передачи информации.

Класс A1 - в дополнение к B2, должно быть описано соответствие между формальными спецификациями верхнего уровня и исходными текстами.  
 
 
 

Описание архитектуры:

Класс C1 - должны быть описаны подход к безопасности, используемый производителем, и применение этого  подхода при реализации вычислительной базы. Если база состоит из нескольких модулей, должен быть описан интерфейс  между ними.

Класс B1 - в дополнение к C1, должно быть представлено неформальное или формальное описание модели политики безопасности, проводимой в жизнь  вычислительной базой. Необходимо наличие  аргументов в пользу достаточности  избранной модели для реализации политики безопасности. Должны быть описаны  защитные механизмы базы и их место в модели.

Класс B2 - в дополнение к B1, модель политики безопасности должна быть формальной и доказательной. Должно быть показано, что описательные спецификации верхнего уровня точно отражают интерфейс  вычислительной базы. Должно быть показано, как база реализует концепцию  монитора обращений, почему она устойчива  к попыткам отслеживания ее работы, почему ее нельзя обойти и почему она реализована корректно. Должна быть описана структура базы, чтобы облегчить ее тестирование и проверку соблюдения принципа минимизации привилегий. Документация должна содержать результаты анализа тайных каналов передачи информации и описание мер протоколирования, помогающих выявлять каналы с памятью.

Класс B3 - в дополнение к B2, должно быть неформально продемонстрировано соответствие между описательными  спецификациями верхнего уровня и реализацией вычислительной базы.

Класс A1 - в дополнение к B3, должно быть неформально продемонстрировано соответствие между формальными  спецификациями верхнего уровня и реализацией  вычислительной базы.