Верификация спецификаций архитектуры:

Класс B1 – должна существовать неформальная или формальная модель политики безопасности, поддерживаемой вычислительной базой. Модель должна соответствовать ос­новным посылкам политики безопасности на протяжении всего жизненного цикла системы.

Класс B2 – в дополнение к B1, модель политики безопас­ности должна быть формальной. Для вычислительной базы должны существовать описательные спецификации верхнего уровня, точно и полно определяющие ее интерфейс.

Класс B3 – в дополнение к B2, должны быть приведены убедительные аргументы соответствия между специфика­циями и моделью.

Класс A1 – в дополнение к B3, помимо описательных должны быть представлены формальные спецификации верх­него уровня, относящиеся к аппаратным и/или микропро­граммным элементам, составляющим интерфейс вычислитель­ной базы. Комбинация формальных и неформальных методов должна подтвердить соответствие между спецификациями и моделью. Должны использоваться современные методы фор­мальной спецификации и верификации систем, доступные На­циональному центру компьютерной безопасности США.

Конфигурационное управление:

Класс B2 – в процессе разработки и сопровождения вы­числительной базы должна использоваться система конфигу­рационного управления, обеспечивающая контроль за измене­ниями в описательных спецификациях верхнего уровня, иных архитектурных данных, реализационной документации, ис­ходных текстах, работающей версии объектного кода, тесто­вых данных и документации. Конфигурационное управление должно обеспечивать соответствие друг другу всех аспектов текущей версии вычислительной базы. Должны предостав­ляться средства генерации новых версий базы по исходным текстам и средства для сравнения версий, чтобы убедиться в том, что произведены только запланированные изменения.

Класс A1 – в дополнение к B2, механизм конфигураци­онного управления должен распространяться на весь жизнен­ный цикл и все компоненты системы, имеющие отношение к обеспечению безопасности, включая спецификации и доку­ментацию. Для защиты эталонной копии материалов, исполь­зующихся для генерации надежной вычислительной базы, должна использоваться комбинация физических, администра­тивных и технических мер.

Надежное распространение:

Класс A1 – должна поддерживаться целостность соответ­ствия между эталонными данными, описывающими текущую версию вычислительной базы, и эталонной копией текстов этой версии. Должны существовать процедуры, подтвер­ждающие соответствие между поставляемыми клиентам аппа­ратными и программными компонентами и эталонной копией.

Требования к документации

Руководство пользователя по средствам безопасности:

Класс C1 – отдельный фрагмент документации (глава, том) должен описывать защитные механизмы, предоставляе­мые вычислительной базой, и их взаимодействие между собой, содержать рекомендации по их использованию.

Руководство администратора по средствам безопасно­сти:

Класс C1 – руководство должно содержать сведения о функциях и привилегиях, которыми управляет системный ад­министратор посредством механизмов безопасности.

Класс C2 – в дополнение к C1, должны описываться процедуры обработки регистрационной информации и управ­ления файлами с такой информацией, а также структура запи­сей для каждого типа регистрируемых событий.

Класс B1 – в дополнение к C2, руководство должно опи­сывать функции оператора и администратора, затрагивающие безопасность, в том числе действия по изменению характери­стик пользователей. Должны быть представлены рекоменда­ции по согласованному и эффективному использованию средств безопасности, их взаимодействию друг с другом, по безопасной генерации новых версий вычислительной базы.

Класс B2 – в дополнение к B1, должны быть указаны мо­дули вычислительной базы, содержащие механизмы проверки обращений. Должна быть описана процедура безопасной гене­рации новой версии базы после внесения изменений в исход­ные тексты.

Класс B3 – в дополнение к B2, должна быть описана процедура, обеспечивающая безопасность начального запуска системы и возобновления ее работы после сбоя.