6.4 安全保障要求

6.4.1 開發

6.4.1.1 安全架構

開發者應提供產品安全功能的安全架構描述，安全架構描述應滿足以下要求：

a)與產品設計文檔中對安全功能的描述范圍相一致；

b)充分描述產品采取的自我保護、不可旁路的安全機制。

6.4.1.2 功能規范

開發者應提供完備的功能規范說明，功能規范說明應滿足以下要求：

a)根據產品類型清晰描述 6.1、6.2 中定義的安全功能；

b)標識和描述產品所有安全功能接口的目的、使用方法及相關參數；

c)描述安全功能實施過程中，與安全功能接口相關的所有行為；

d)描述可能由安全功能接口的調用而引起的所有直接錯誤消息。

6.4.1.3 產品設計

開發者應提供產品設計文檔，產品設計文檔應滿足以下要求：

a)通過子系統描述產品結構，標識和描述產品安全功能的所有子系統，并描述子系統間的相互作用；

b)提供子系統和安全功能接口間的對應關系；

c)通過實現模塊描述安全功能，標識和描述實現模塊的目的、相關接口及返回值等，并描述實現模塊間的相互作用及調用的接口；

d)提供實現模塊和子系統間的對應關系。

6.4.1.4 實現表示

開發者應提供產品安全功能的實現表示，實現表示應滿足以下要求：

a)詳細定義產品安全功能，包括軟件代碼、涉及數據等實例；

b)提供實現表示與產品設計描述間的對應關系。

6.4.2 指導性文檔

6.4.2.1 操作用戶指南

開發者應提供明確和合理的操作用戶指南，對每一種用戶角色的描述應滿足以下要求：

a)描述用戶能訪問的功能和特權，包含適當的警示信息；

b)描述產品安全功能及接口的用戶操作方法，包括配置參數的安全值等；

c)標識和描述產品運行的所有可能狀態，包括操作導致的失敗或者操作性錯誤；

d)描述實現產品安全目的必需執行的安全策略。

6.4.2.2 準備程序

開發者應提供產品及其準備程序，準備程序描述應滿足以下要求：

a)描述與開發者交付程序相一致的安全接收所交付產品必需的所有步驟；

b)描述安全安裝產品及其運行環境必需的所有步驟。

6.4.3 生命周期支持

6.4.3.1 配置管理能力

開發者的配置管理能力應滿足以下要求：

a)為產品的不同版本提供唯一的標識；

b)使用配置管理系統對組成產品的所有配置項進行維護，并進行唯一標識；

c)提供配置管理文檔，配置管理文檔描述用于唯一標識配置項的方法；

d)配置管理系統提供自動方式來支持產品的生成，通過自動化措施確保配置項僅接受授權變更；

e)配置管理文檔包括一個配置管理計劃，描述用來接受修改過的或新建的作為產品組成部分的配置項的程序。配置管理計劃描述應描述如何使用配置管理系統開發產品，開發者實施的配置管理應與配置管理計劃相一致。

6.4.3.2 配置管理范圍

開發者應提供產品配置項列表，并說明配置項的開發者。配置項列表應包含以下內容：

a)產品及其組成部分、安全保障要求的評估證據；

b)實現表示、安全缺陷報告及其解決狀態。

6.4.3.3 交付程序

開發者應使用一定的交付程序交付產品，并將交付過程文檔化。在給用戶方交付產品的各版本時，交付文檔應描述為維護安全所必需的所有程序。

6.4.3.4 開發安全

開發者應提供開發安全文檔。開發安全文檔應描述在產品的開發環境中，為保護產品設計和實現的保密性和完整性所必需的所有物理的、程序的、人員的和其他方面的安全措施。

6.4.3.5 生命周期定義

開發者應建立一個生命周期模型對產品的開發和維護進行的必要控制，并提供生命周期定義文檔描述用于開發和維護產品的模型。

6.4.3.6 工具和技術

開發者應明確定義用于開發產品的工具，并提供開發工具文檔無歧義地定義實現中每個語句的含義和所有依賴于實現的選項的含義。

6.4.4 測試

6.4.4.1 測試覆蓋

開發者應提供測試覆蓋文檔，測試覆蓋描述應滿足以下要求：

a)表明測試文檔中所標識的測試與功能規范中所描述的產品的安全功能間的對應性；

b)表明上述對應性是完備的，并證實功能規范中的所有安全功能接口都進行了測試。

6.4.4.2 測試深度

開發者應提供測試深度的分析。測試深度分析描述應滿足以下要求：

a)證實測試文檔中的測試與產品設計中的安全功能子系統和實現模塊之間的一致性；

b)證實產品設計中的所有安全功能子系統、實現模塊都已經進行過測試。

6.4.4.3 功能測試

開發者應測試產品安全功能，將結果文檔化并提供測試文檔。測試文檔應包括以下內容：

a)測試計劃，標識要執行的測試，并描述執行每個測試的方案，這些方案包括對于其他測試結果的任何順序依賴性；

b)預期的測試結果，表明測試成功后的預期輸出；

c)實際測試結果和預期的測試結果的對比。

6.4.4.4 獨立測試

開發者應提供一組與其自測安全功能時使用的同等資源，以用于安全功能的抽樣測試。

6.4.5 脆弱性評定

基于已標識的潛在脆弱性，產品能抵擋以下強度的攻擊：

a）具有基本攻擊潛力的攻擊者的攻擊；

b）具有中等攻擊潛力的攻擊者的攻擊。