Выделяется 4 уровня доверия и 6 классов
1) Уровень D
2) Уровень С – произвольное управление доступом
1.1) С1 – доверенная вычислительная база должна управлять доступом именованных пользователей к именованным объектам.
A) Пользователи должны идентифицировать себя прежде чем выполнять какие-то действия.
Б) Доверенная вычислительная база должна поддерживать область для собственного выполнения защищенную от внешних воздействий и от попыток слежения за ходом работы
В) Должны быть достаточные аппаратные и программные средства, позволяющие периодически проверять корректность выполнения (функционирования) аппаратных и микропрограммных компонентам доверенной вычислительной базы
Г) Защитные механизмы должны быть протестированы на предмет соответствия их поведения системной документации. Тестирование должно подтвердить, что у неавторизованного пользователя нет очевидных способов обойти или разрушить средства защиты доверенной вычислительной базы.
Д) Должны быть описаны подход к безопасности используемой производителем и применение этого подхода пользователем
1.2) С2 – дополнение к С1
А) Права доступа должны гранулироваться с точностью до пользователя. Все объекты должны подвергаться контролю доступа
Б) При выделении хранимого объекта из пула ресурсов доверенной вычислительной базы необходимо сделать так, чтобы следы использования были ликвидированы
В) Доверенная вычислительная база должна создавать, поддерживать, защищать журнал регистрационной информации относящейся к доступу к объектам
Г) Тестирование должно подтвердить отсутствие очевидных недостатков механизмов изоляции и защиты регистрационной информации
3) Уровень B – принудительное управление доступом
1.1) B1 – дополнение к С2
А) доверенная вычислительная база (ДВБ) должна управлять метками безопасности ассоциируемыми с каждым субъектом и хранимым объектом.
Б) Доверенная вычислительная база должна обеспечивать реализацию принудительного управления доступа всех субъектов ко всем хранимым объектам
В) ДВБ должна обеспечить взаимную изоляцию процессов путем разделения адресных пространств
Г) Группа специалистов, понимающих реализацию ДВБ должна подвергнуть описание структуры, архитектуры, исходные и объектные коды тщательному анализу и тестированию.
Д) Должна существовать неформальная или формальная модель политики безопасности
1.2) B2 – дополнение к В1
А) Метками безопасности должны снабжаться все ресурсы системы доступные субъектам
Б) должна быть предусмотрена возможность регистрации событий связанных с организацией передачи информации по тайным каналам
В) ДВБ должна быть структурирована на независимые модули
Г) Системный архитектор должен проанализировать способы обмена информацией по тайным каналам и памятью, а также должен оценить пропускную способность каждого канала
Д) Модель политики безопасности должна быть формальной.
Е) Спецификация должна быть четко описана и представлена в определенном интерфейсе
Ж) В процессе разработки и сопровождения ДВБ должна использоваться система конфигурационного управления обеспечивающее контроль изменений обязательной спецификации верхнего уровня и иных архитектурных данных
З) Тесты должны подтверждать действенность мер по уменьшению пропускной способности тайных каналов передачи информации
1.3) B3 – дополнение к В2
А) Для произвольного управления доступом обязательно должны использоваться списки управления доступом с указанием разрешенных режимов
Б) Должна быть предусмотрена возможность регистрации, появления или накопления событий несущих угрозу политике безопасности. Администратор безопасности должен немедленно извещаться о попытках нарушения политики безопасности, а система в случае продолжения попыток должна пресекать их наименее болезненным способом
В) ДВБ должна быть спроектирована и структурирована таким способом, чтобы использовать полный и концептуально простой защитный механизм
Г) Процедура анализа должна быть выполнена для временных тайных каналов
Д) Должна быть специфицирована роль администратора безопасности. Получить права администратора безопасности можно только после выполнения явных протоколируемых действий
Е) Должны существовать процедуры и механизмы позволяющие произвести восстановление после сбоя или иного нарушения без ослабления защиты
Ж) Должна быть продемонстрирована устойчивость ДВБ к попыткам проникновения
4) Уровень A – верифицируемая безопасность
А) Тестирование должно продемонстрировать, что реализация ДВБ соответствует формальным спецификациям верхнего уровня
Б) Механизм конфигурационного управления должен распространяться на весь жизненный цикл и все компоненты системы имеющие отношение к обеспечению безопасности.
В) Должно быть описано соответствие между формальными спецификациями верхнего уровня и исходными текстами
Чтобы в результате процедуры сертификации систему можно было бы отнести к некоторому классу её политика безопасности и уровень гарантированности должны удовлетворять заданным требованиям