розробляти нові функціональні вимоги безпеки

підготовці до оцінки своїх об'єктів оцінки (ОО) і сприяння в її проведенні, а також при встановленні вимог безпеки, яким повинні задовольняти ці ОО

формування висновку про відповідність об'єктів оцінки (ОО) пред'явленим до них вимогам безпеки

розробляти нові критерії безпеки

вирішити, чи задовольняє об'єкт оцінки (ОО) їх потреби в безпеці

комплексом технологічних і адміністративних заходів, що застосовуються у відношенні апаратно-технічних засобів ІС з метою забезпечення ІБ

використанням перевірених і ліцензійних програм, що гарантують безпеку обробки даних і використання ресурсів ІС

захистом від витоку і несанкціонованого доступу до даних, яке може привести до розголошення, модифікації або руйнування програмне забезпечення

правильна відповідь відсутня

за допомогою ідентифікації і автентифікації користувачів ІС і блокування дій неавторизованих осіб у відповідь на телекомунікаційний запит

розробником програмного забезпечення ОО

замовником апаратно-програмного забезпечення ОО

замовником програмного забезпечення ОО

урядовою організацією або великою корпорацією, що визначають свої вимоги як частину процесу закупівлі ОО

міжнародні

відомчі

континентальні

національні

регіональні

розуміння, необхідне для управління цілями, задачами, ризиками й проблемами

одна подія чи серія небажаних або непердбачуваних подій інформаційної безпеки, що мають значну ймовірність компрометації функціонування бізнесу та загрози інформаційної безпеки

прикладна система, сервіси, засоби інформаційних технологій або інші компоненти для оброблення інформації

ідентифікований стан системи, служби чи мережі, який вказує на можливе порушення політики інформаційної безпеки чи відмови засобів безпеки, або раніше невідому ситуацію, яка може мати відношення до безпеки

процеси для виявлення, реєстрації, оцінювання, реагування, оброблення й дослідження інцидентів інформаційної безпеки.

посилання, на основі яких можна оцінити важливість ризику

загальний процес ідентифікації ризику, аналізування ризику та зіставлення ризику

обізнане рішення залишити певний визначений ризик

процес виявлення, розпізнавання та описування ризику

процес осмислення природи ризику та визначення рівня ризику

високорівневі поняття безпеки та їх взаємозв'язок згідно стандарту ISO/IEC 15408

цілі безпеки для об’єкта оцінки згідно стандарту ISO/IEC 15408

структура стандарту ISO / IEC 15408

цілі безпеки для середовища функціонування згідно стандарту ISO/IEC 15408

основні ідеї стандарту ISO / IEC 15408

об'єднує ІС, в яких реалізована чітко визначена і задокументована формалізована модель забезпечення безпеки, а меточного механізм поділу і контролю доступу, реалізований в системах класу В1, поширений на всіх користувачів, всі дані і всі види доступу

об'єднує ІС з поділом користувачів і даних

об'єднує ІС, щоб забезпечити більш тонкі засоби захисту в порівнянні з ІС класу С1, що роблять користувачів індивідуально помітними в їх діях за допомогою процедур контролю входу та контролю за подіями, які стосуються безпеки ІС і ізоляцію даних

об'єднує ІС, які мають спеціальні комплекси безпеки. В ІС цього класу повинен бути механізм реєстрації всіх видів доступу будь-якого суб'єкта до будь-якого об'єкту. Повинна бути повністю виключена можливість несанкціонованого доступу. Система безпеки повинна мати невеликий обсяг і прийнятну складність для того, щоб користувач міг у будь-який момент протестувати механізм безпеки

об'єднує ІС, які відповідають всім вимогам класу С2, додатково реалізують заздалегідь визначену модель безпеки, що підтримують мітки суб'єктів і об'єктів, повний контроль доступу. Вся інформація реєструється, всі виявлені при тестуванні недоліки повинні бути усунені

процес модифікації ризику

особа чи організація, яка має повноваження та владу управління ризиками

слабкість ресурсу СУІБ або заходів безпеки, якою можуть скористатись одна чи більше загроз

потенційна причина небажаного інциденту, який може спричинити шкоду для системи чи організації

підтвердження наданням об’єктивних доказів, що встановлені вимоги виконано

забезпечити гарантію того, що права доступу не будуть активовані (наприклад, провайдером послуг) до завершення процедур авторизації

періодичний перегляд прав доступу разом з власниками ІС і сервісів

зміна прав доступу користувачів, у яких змінилася роль або робота, і негайне скасування або блокування прав доступу користувачів після їх звільнення

ведення централізованих записів прав доступу, наданих кодів користувача для доступу до ІС і сервісів

забезпечення спеціальних процедур для запобігання несанкціонованому використанню універсальних адміністративних ідентифікаторів з урахуванням особливостей системної конфігурації