0530 523 68 75
bilgi@pikalite.com
18.04.2017

ISO 15408 Ortak Kriterler (Common Criteria) EAL 4 ve EAL4+ Seviyesinde Bir Ürün ISO 15408 Ortak Kriterler Sürecine Hazırlanması için Kabaca aşağıdaki çalışmaların yapılması beklenir. Bu çalışmaları garanti sınıfları altında toparlamak makuldür. Çünkü değerlendirme sürecinde her bir sınıf için bir Ara Rapor ortaya çıkar.

1-ASE Sınıfı (ST-Güvenlik Hedefi):

Bu sınıf için geliştirici tarafı Security Target (Güvenlik Hedefi) adında bir doküman hazırlanır.

Bu dokümanda üretici,  politikalarını, varsayımlarını belirler, ürününde yer alan varlıklarını, onlara yönelik tehditlerini ve onları korumak için aldığı önlemlerini anlatır. Tüm bu anlatımını ve özellikle güvenlik fonksiyonlarını düz bir doküman şeklide değil de ISO 15408 Ortak Kriterlerin istediği kalıplar (SFR) şeklinde ifade eder.

 

2-ADV Sınıfı (Tasarım):

Ürünün tasarımının anlatıldığı dokümandır. Burada değişik yan dokümanlar olsa da 3 ana dokümandan söz edilir.

Tasarım Dokümanı (TOE Design Document):

Ürünün tüm tasarımının low level olarak detaylı anlatıldığı dokümandır. Burada kabaca tüm kaynak kod anlatılıyor denebilir.

  • Ancak bu anlatımın doğrudan düz bir doküman yada kodların anlatılması şeklinde olması kabul edilmez.
  • Ürünün mantıklı bir şekilde önce alt sistemlere sonra modüllere bölünmesi beklenir.
  • Bu bölünme yapılırken ST dokümanında anlatılan güvenlik fonksiyonlarına onların ISO 15408 Ortak Kriterler dilinde anlatımı yapılmış SFR maddelerine uyumlu olması gerekir.
  • Bu alt sistem ve modüllerin birbirleri ile ilişkilerinin gösterilmesi gerekir.
  • Alt sistemlerin ve modüllerin güvenlik fonksiyonlarını uygulama, destekleme, veya ilgisiz olma durumlarına göre (SFR-Enforcing, SFR_Supporting, SFR-Non interfering) ayrılması ve bunların gerekçelendirilmesi gerekir.  

 

Fonksiyonel Belirtim Dokümanı

Ürünün fonksiyonel yapısının arayüzler üzerinden işlendiği dokümandır.   

  • Bu anlatım yapılırken ürünün iç ve dış arayüzleri detaylandırılmalıdır.
  • Ayrıca, bu arayüzlerden girilen parametreler ve alınan yanıtlar anlatılmalıdır.
  • Yine bu arayüzlerin güvenlik fonksiyonlarını; uygulama, destekleme ve ilişkisiz olma durumları (TSFI Enforcing, Supporting, Non-Interfering) işlenmeli ve gerekçelendirilmelidir.

 

Güvenli Mimari Dokümanı

En temelde ürün domain separation, non bypassibility ve self-protection özellikleri açısından incelenmektedir.

  • Domain Separation’da ürününü uygulama ortamı veya kendi içindeki parçaları arasında bir domain ayrımı olup olmadığı irdelenmekte ve bu domain separation özelliğini ürünün nasıl sağladığı izah edilmektedir.
  • Ürünün tüm güvenlik fonksiyonları ele alınarak, bu fonksiyonları nasıl bypass edilebileceği veya devre dışı bırakılacağı senaryoları düşünülmeli ve ürünün bunlara karşı nasıl koruma sağladığı anlatılmalıdır.
  • Literatür taraması kapsamında benzer ürün gruplarına yönelik yapılabilecek saldırılar listelenmeli ve ürünün bunlara nasıl karşı duracağı  anlatılmalıdır.

 

3-AGD Sınıfı (Kılavuz Dokümanları):

Bu sınıf kapsamında ürüne ait kılavuz dokümanları oluşturulur. Bu adımda iki doküman oluşması beklenir.

  • Kurulum Dokümanı
  • Kullanıcı Kılavuzu Dokümanı

 Bunlar genel anlamda her geliştiricinin hazırladığı veya hazırlayabileceği dokümanlardır. Burada kritik olan her iki dokümanın standardın sorularına cevap verebilmesidir.

Örneğin: Roller, sorumluluklar, öncelikler vb.

Burada ISO 15408 Ortak Kriterler açısından önemli olan nokta kılavuz dokümanlarının, Security Target dokümanında çevresel faktörlere bırakmış olduğu güvenlik gereklerinin burada dikkate alınması ve işlenmesidir.

 

4-ALC Sınıfı (Geliştirme Ortam ve Yaşam Döngüsü):

Burada ürünün geliştirme ortamına ve yaşam döngüsüne ait dokümanlar hazırlanır.

  • Konfigürasyon Yönetim Sistemi Dokümanı
  • Kullanılan Araç Gereçler Dokümanı
  • Teslim Dokümanı
  • Yaşam Döngüsü Dokümanı
  • Geliştirme Ortamı Güvenliği Dokümanı

Hazırlanır. Bu dokümanların geliştiriciden alınacak girdilerle, standardın sorularına cevap verecek şekilde hazırlanması gerekir.

Ayrıca bu adım kapsamında, TSE ve laboratuvar geliştiricinin ortamını ziyaret eder (Site Visit). Burada uygun ortamın sağlanması için kontrol ve düzenleme yapmak danışman kapsamında bizim görevimiz ve iş yükümüz olur.

 

5-ATE Sınıfı (Fonksiyonel Testler):

Bu adım kapsamında üretici ürünü için fonksiyonel testleri planlar, yapar, dokümante eder. Daha sonra bu testlerin kapsam ve derinliğinin yeterliliğini göstermek için, yaptığı testleri “Tasarım Dokümanı” ve “Fonksiyonel Belirtim Dokümanı” içerinde yer alan, arayüz , altsistem ve modüllerle eşleştirir.

Bu kapsamda en temelde iki doküman hazırlanacağı söylenebilir.

Test Dokümanı: Test planları, testleri ve sonuçları içerir.

Test Kapsamı ve Derinliği Dokümanı: Testlerin; arayüz, altsistem ve modüllerle ilişkilerini gösterir.

Danışman olarak, Test Dokümanı’nın içeriğinin ISO 15408 Ortak Kriterler sistemlerine uygun olması konusunda destek verebiliriz. Test Kapsam ve Derinlik Dokümanı’nın hazırlanmasını alacağımız destekle gerçekleştirebiliriz.

 

6AVA Sınıfı (Sızma Testleri): - LAB

Tamamen labın yapacağı sızma testleri ile ilgilidir. Geliştirici ve danışmandan önemli bir iş gücü alacağını öngörmüyorum.

Muhammet ÖZTEMUR

Pi Kalite Ortak Kriterler Uzmanı

İlgili Başlıklar
Son Eklenenler
Kategoriler
Pi Kalite Danışmanlık ve Bilişim Hizmetleri © 2015
İLETİŞİM
BLOG