Trusted Computer System Evaluation Criteria

Bezpečnostní politika musí být výslovná, dobře definovaná a v počítačovém systému vymahatelná. Existují dvě základní bezpečnostní politiky:

• povinná bezpečnostní politika – Prosazuje pravidla řízení přístupu založené přímo na oprávnění jednotlivců, autorizaci pro informace a žádá utajení určité úrovně informací. Dalšími nepřímými faktory jsou faktory fyzické a týkající se okolí. Tato politika musí také přesně odrážet zákony, obecné zásady a další relevantní pokyny, ze kterých jsou pravidla odvozena.
• značení – Systémy směřující k prosazení povinné bezpečnostní politiky musí uchovávat a chránit integritu kontroly značek a zachování značek, pokud jsou vyváženy.
• volná bezpečnostní politika – Prosazuje konzistentní sadu pravidel pro kontrolu a omezený přístup založený na základě určených osob, u kterých je stanoveno, že určité informace potřebují vědět.

Bez ohledu na politiku musí být prosazena osobní zodpovědnost. Musí existovat bezpečný způsob, který by zajistil přístup oprávněného, příslušného zástupce, který dokáže vyhodnotit zodpovědnost k informacím v přiměřeném čase a bez zbytečných potíží. Jsou tři požadavky vyplývající z cíle zodpovědnosti:

• identifikace – proces k rozpoznání jednotlivých uživatelů,
• autentifikace – ověření oprávnění uživatelů pro konkrétní kategorie informací,
• audit – informace z auditu musí být drženy a chráněny tak, aby akce zasahující do bezpečnosti mohly být vystopovány k autentifikovanému jednotlivci.

Počítačový systém musí obsahovat hardwarové nebo softwarové mechanismy, které mohou být nezávisle hodnoceny k poskytnutí dostatečné záruky, že systém splňuje výše uvedené požadavky. Obecněji řečeno musí záruka obsahovat ujištění, že důvěrné části systémové fungují tak, jak bylo zamýšleno. Ke splnění těchto cílů je třeba dvou typů záruky s těmito jejich částmi:

• záruční mechanismy,
• provozní záruka – systémová architektura, systémová integrita, skryté využívání kanálů, analýza, spolehlivý facility management a důvěryhodné ozdravení,
• záruka v průběhu životního cyklu – testování bezpečnosti, navrhované specifikace a verifikace, uspořádané řízení a důvěryhodná distribuce systému,
• záruka nepřetržité ochrany – Důvěryhodné mechanismy, které prosazují tyto základní požadavky, musí být nepřetržitě chráněny proti manipulacím a/nebo neoprávněným změnám.

V každé třídě je další sada dokumentace, která řeší spíše vývoj, implementaci a správu systému než jeho schopnosti. Tato dokumentace zahrnuje:

• uživatelský návod k bezpečnostnímu programu, manuál k zařízení, testovací dokumentaci a projektovou dokumentaci.

• Určeno pro systémy, které byly vyhodnoceny, ale nesplňují požadavky pro zařazení do vyšší divize.

• C1 – volitelná bezpečnostní ochrana
  • identifikace a autentizace
  • oddělení uživatelů a dat
  • řízení přístupu schopné prosadit omezení přístupu a individuální princip fungování
  • požadovaná systémová dokumentace a uživatelský návod
• C2 – kontrolovaná ochrana přístupu
  • jemněji definované řízení přístupu
  • individuální zodpovědnost díky přihlašovacím procedurám
  • sledování auditem
  • opětovné užití
  • izolace zdrojů

• B1 – ochrana bezpečnosti návěštím
  • neformální vyhlášení bezpečnostní politiky
  • značení bezpečnostní citlivosti dat
  • povinná přístupová kontrola přes vybrané předměty a objekty
  • značení možnosti vývozu
  • všechny objevené nedostatky musí být odstraněny nebo zmírněny
  • navrhované specifikace a verifikace
• B2 – strukturovaná ochrana
  • bezpečnostní politika jasně definovaná a formálně dokumentovaná
  • vymáhání řízení přístupu a povinné přístupové kontroly rozšířeny na všechny předměty a objekty
  • skryté skladovací kanály jsou analyzovány pro výskyt a šířku pásma
  • pečlivě strukturováno pro zabezpečené kritické a nezabezpečené kritické prvky
  • návrh a implementace umožňující komplexnější testování a přezkoumání
  • autentifikační mechanismy jsou zesílené
  • spolehlivý facility management je poskytován s oddělením administrace a obsluhy
  • využívá se přísně rozdělené řízení kontrol
• B3 – bezpečnostní domény
  • vyhovuje doporučením sledování požadavků
  • strukturované k vyloučení zákonů, které nejsou nezbytné k prosazení bezpečnostní politiky
  • významné systémové inženýrství směřující k minimalizaci složitosti
  • definována role bezpečnostního správce
  • audity událostí důležitých z hlediska bezpečnosti
  • automatické detekce, oznámení a odezvy na hrozící narušení bezpečnosti
  • důvěryhodné procedury pro obnovení systému
  • skryté časovací kanály jsou analyzovány pro výskyt a šířku pásma
  • příkladem takového systému je XTS-300, předchůdce XTS-400

• A1 – ověřený design
  • funkčně identické jako B3
  • oficiální design a ověřené techniky obsahují oficiálně nejvyšší specifikaci
  • oficiální řízení a distribuci procedur
  • příkladem takového systému je Honywells’s Secure Communications Processor SCOMP, předchůdce XTS-400
• mimo A1
  • Systémová architektura ukazuje, že požadavky na vlastní ochranu a úplnost referenčního sledování byly implementovány v důvěryhodném výpočetním základu (Trusted Computing Base – TCB)
  • Bezpečnostní testování automaticky generuje testovací případy z formálně nejvyšší úrovně specifikace nebo formální požadavky na nižší úrovni
  • O formální specifikaci a verifikaci je možné mluvit tam, kde je verifikováno dle TCB až na úroveň zdrojového kódu za použití proveditelných formální verifikačních metod .
  • Důvěryhodné vývojové prostředí je to, kde je TCB vyvíjeno v důvěryhodném prostředí pouze důvěryhodným (prověřeným) personálem.