De acordo com a norma ISO 15408, o desenvolvedor de um produto e seu avaliador especificam, antes e durante a fase de avaliação, o que deve ser avaliado. A definição das propriedades exatas de segurança do alvo da avaliação, bem como do escopo exato de avaliação negociados, estão em um documento, denominado pelo Common Criteria de
- A)Security Functional Requirements (SFRs).
Errada, porque SFRs são requisitos funcionais de segurança, e não o documento que define o alvo e o escopo da avaliação.
- B)Protection Profile (PP).
Errada, porque o Protection Profile é um perfil genérico de requisitos para uma categoria de produtos, não a especificação do produto avaliado.
- C)Security Target (ST).
Certa, pois o Security Target é o documento que descreve as propriedades de segurança do alvo da avaliação e o escopo negociado entre as partes.
- D)Evaluation Assurance Level (EAL).
Errada, porque EAL é um nível de assurance da avaliação, e não um documento de definição do objeto avaliado.
- E)Security Assurance Requirements (SARs).
Errada, porque SARs são requisitos de garantia de segurança, ligados à confiança na avaliação, e não à definição do alvo.
Gabarito: C
A ISO/IEC 15408, conhecida como Common Criteria, organiza a avaliação de segurança de um produto de forma bem objetiva: primeiro se define exatamente o que será avaliado e quais requisitos de segurança entram na conta. Esse documento é o Security Target (ST), que descreve o alvo da avaliação, suas funções de segurança, as ameaças tratadas e o escopo negociado entre desenvolvedor e avaliador. Pense nele como o "mapa oficial" do que vai ser analisado, sem mistério e sem sobras. O ST é diferente do Protection Profile (PP). O PP é um modelo de requisitos para uma classe de produtos, mais genérico, enquanto o ST é específico para um produto ou sistema concreto. É por isso que a questão fala em definição das propriedades exatas de segurança do alvo da avaliação e do escopo exato negociado: isso é linguagem de ST, não de PP. Também não confunda com SFR e SAR. Os Security Functional Requirements (SFRs) dizem o que o produto deve fazer em termos funcionais de segurança, e os Security Assurance Requirements (SARs) tratam do nível de confiança na avaliação. Já o EAL é o pacote de assurance, ou seja, um nível pré-montado de garantia, não o documento que descreve o alvo. A banca gosta muito dessa troca de papéis. Portanto, o gabarito é a letra C, porque o Security Target é o documento em que se formaliza o que exatamente será avaliado no produto, dentro da lógica da ISO 15408/Common Criteria.