ISO 15408 Ortak Kriterler (Common Criteria) Bir Ürün ISO 15408 Ortak Kriterler Sürecine Hazırlanması için Kabaca aşağıdaki çalışmaların yapılması beklenir. Bu çalışmaları garanti sınıfları altında toparlamak makuldür. Çünkü değerlendirme sürecinde her bir sınıf için bir Ara Rapor ortaya çıkar.
1-ASE Sınıfı (ST-Güvenlik Hedefi):
Bu sınıf için geliştirici tarafı Security Target (Güvenlik Hedefi) adında bir doküman hazırlanır.
Bu dokümanda üretici, politikalarını, varsayımlarını belirler, ürününde yer alan varlıklarını, onlara yönelik tehditlerini ve onları korumak için aldığı önlemlerini anlatır. Tüm bu anlatımını ve özellikle güvenlik fonksiyonlarını düz bir doküman şeklide değil de ISO 15408 Ortak Kriterlerin istediği kalıplar (SFR) şeklinde ifade eder.
2-ADV Sınıfı (Tasarım):
Ürünün tasarımının anlatıldığı dokümandır. Burada değişik yan dokümanlar olsa da 3 ana dokümandan söz edilir.
a) Tasarım Dokümanı (TOE Design Document):
Ürünün tüm tasarımının low level olarak detaylı anlatıldığı dokümandır. Burada kabaca tüm kaynak kod anlatılıyor denebilir.
Ancak bu anlatımın doğrudan düz bir doküman yada kodların anlatılması şeklinde olması kabul edilmez.
Ürünün mantıklı bir şekilde önce alt sistemlere sonra modüllere bölünmesi beklenir.
Bu bölünme yapılırken ST dokümanında anlatılan güvenlik fonksiyonlarına onların ISO 15408 Ortak Kriterler dilinde anlatımı yapılmış SFR maddelerine uyumlu olması gerekir.
Bu alt sistem ve modüllerin birbirleri ile ilişkilerinin gösterilmesi gerekir.
Alt sistemlerin ve modüllerin güvenlik fonksiyonlarını uygulama, destekleme, veya ilgisiz olma durumlarına göre (SFR-Enforcing, SFR_Supporting, SFR-Non interfering) ayrılması ve bunların gerekçelendirilmesi gerekir.
b) Fonksiyonel Belirtim Dokümanı:
Ürünün fonksiyonel yapısının arayüzler üzerinden işlendiği dokümandır.
Bu anlatım yapılırken ürünün iç ve dış arayüzleri detaylandırılmalıdır.
Ayrıca, bu arayüzlerden girilen parametreler ve alınan yanıtlar anlatılmalıdır.
Yine bu arayüzlerin güvenlik fonksiyonlarını; uygulama, destekleme ve ilişkisiz olma durumları (TSFI Enforcing, Supporting, Non-Interfering) işlenmeli ve gerekçelendirilmelidir.
c) Güvenli Mimari Dokümanı:
En temelde ürün domain separation, non bypassibility ve self-protection özellikleri açısından incelenmektedir.
Domain Separation’da ürününü uygulama ortamı veya kendi içindeki parçaları arasında bir domain ayrımı olup olmadığı irdelenmekte ve bu domain separation özelliğini ürünün nasıl sağladığı izah edilmektedir.
Ürünün tüm güvenlik fonksiyonları ele alınarak, bu fonksiyonları nasıl bypass edilebileceği veya devre dışı bırakılacağı senaryoları düşünülmeli ve ürünün bunlara karşı nasıl koruma sağladığı anlatılmalıdır.
Literatür taraması kapsamında benzer ürün gruplarına yönelik yapılabilecek saldırılar listelenmeli ve ürünün bunlara nasıl karşı duracağı anlatılmalıdır.
3-AGD Sınıfı (Kılavuz Dokümanları):
Bu sınıf kapsamında ürüne ait kılavuz dokümanları oluşturulur. Bu adımda iki doküman oluşması beklenir.
a) Kurulum Dokümanı
b) Kullanıcı Kılavuzu Dokümanı
Bunlar genel anlamda her geliştiricinin hazırladığı veya hazırlayabileceği dokümanlardır. Burada kritik olan her iki dokümanın standardın sorularına cevap verebilmesidir.
Örneğin: Roller, sorumluluklar, öncelikler vb.
Burada ISO 15408 Ortak Kriterler açısından önemli olan nokta kılavuz dokümanlarının, Security Target dokümanında çevresel faktörlere bırakmış olduğu güvenlik gereklerinin burada dikkate alınması ve işlenmesidir.
4-ALC Sınıfı (Geliştirme Ortam ve Yaşam Döngüsü):
Burada ürünün geliştirme ortamına ve yaşam döngüsüne ait dokümanlar hazırlanır.
Konfigürasyon Yönetim Sistemi Dokümanı
Kullanılan Araç Gereçler Dokümanı
Teslim Dokümanı
Yaşam Döngüsü Dokümanı
Geliştirme Ortamı Güvenliği Dokümanı
Hazırlanır. Bu dokümanların geliştiriciden alınacak girdilerle, standardın sorularına cevap verecek şekilde hazırlanması gerekir.
Ayrıca bu adım kapsamında, TSE ve laboratuvar geliştiricinin ortamını ziyaret eder (Site Visit). Burada uygun ortamın sağlanması için kontrol ve düzenleme yapmak danışman kapsamında bizim görevimiz ve iş yükümüz olur.
5-ATE Sınıfı (Fonksiyonel Testler):
Bu adım kapsamında üretici ürünü için fonksiyonel testleri planlar, yapar, dokümante eder. Daha sonra bu testlerin kapsam ve derinliğinin yeterliliğini göstermek için, yaptığı testleri “Tasarım Dokümanı” ve “Fonksiyonel Belirtim Dokümanı” içerinde yer alan, arayüz , altsistem ve modüllerle eşleştirir.
Bu kapsamda en temelde iki doküman hazırlanacağı söylenebilir.
a) Test Dokümanı: Test planları, testleri ve sonuçları içerir.
b) Test Kapsamı ve Derinliği Dokümanı: Testlerin; arayüz, altsistem ve modüllerle ilişkilerini gösterir.
Danışman olarak, Test Dokümanı’nın içeriğinin ISO 15408 Ortak Kriterler sistemlerine uygun olması konusunda destek verilir. Test Kapsam ve Derinlik Dokümanı’nın hazırlanmasını destekle gerçekleştirebilirsiniz.
6-AVA Sınıfı (Sızma Testleri):
Tamamen labın yapacağı sızma testleri ile ilgilidir. Eğer herşey düzgün ise geliştirici ve danışman açısından önemli bir iş gücü alacağı öngörülmemektedir.