تقدم هذه المواصفة الفنية إرشادات لإعداد وتقييم مواصفات المتطلبات الأمنية المشار إليها باسم "أوضاع الحماية" ضمن سلسلة المواصفة القياسية ISO/IEC 15408 وضمن المواصفة القياسية ISO/IEC TR 15446. ويشير مصطلح "وضع الحماية" إلى مجموعة متطلبات أمنية مخصصة لفئة منتجات أو نظم تلبي احتياجات معينة. ويتمثل أحد الأمثلة النموذجية في وضع الحماية المخصص للمعدات الداخلية المستخدمة في نظام لتحصل الرسوم إلكترونيًا. يجب الاستعانة بهذه المواصفة الفنية بالاشتراك مع المواصفات القياسية الأساسية ISO/IEC 15408 و ISO/IEC TR 15446. ورغم أن أي شخص عادي يمكنه الاستعانة بالجزء الأول من هذه الوثيقة للحصول على نظرة عامة حول كيفية إعداد وضع حماية لمعدات تحصيل الرسوم إلكترونيًا، فإن الملحقات أ.4 و أ.5 تتطلب اطلاع القارئ على المواصفة القياسية ISO/IEC 15408. وتشير الوثيقة إلى معدات تحصيل إلكتروني للرسوم تتضمن بطاقة دارة (أو دارات) تكاملية كمثال لوصف كل من بنية وضع الحماية والمحتوى المقترح. يرجح الشكل 1 كيفية تناسب هذه الوثيقة مع الصورة الإجمالية للبنية الأمنية في تحصيل الرسوم إلكترونيًا. وتشير الخانات المظللة إلى الجوانب ذات الصلة الأعلى بإعداد أوضاع الحماية من أجل نظم تحصيل الرسوم الإلكترونية. يتمثل الهدف الرئيس لوضع الحماية في تحليل البيئة الأمنية لمجال معين ثم تحديد المتطلبات المناسبة للتهديدات التي تتضح من تحليل البيئة الأمنية. ويسمى المجال المدروس باسم هدف التقييم. وفي هذه الوثيقة، تُستخدم المعدات الداخلية مع بطاقة دارة تكاملية كمثال لهدف التقييم. تتكون الأعمال التحضيرية لتحصي الرسوم إلكترونيًا / وضع الحماية من الخطوات الموضحة في الشكل 2 (وهذا بالتوازي مع المحتويات الواردة في البند 5). يمكن تسجيل أحد أوضاع الحماية بشكل عام بواسطة كيان يحضر وضع الحماية لجعله معروفًا ومتاحًا للأطراف الأخرى التي تستخدم وضع الحماية نفسه لديها في نظم تحصيل الرسوم الإلكترونية. يشير المصطلح "هدف أمني" إلى مجموعة متطلبات ومواصفات أمنية تُستخدم كأساس لتقييم هدف التقييم المحدد. وبينما يمكن التعامل مع وضع الحماية بصفته متطلبات تشغيل تحصيل الرسوم، يمكن اعتبار الهدف الأمني توثيقًا لجهة التوريد فيما يتعلق بالتوافق مع –وإتمام- وضع الحماية من أجل هدف التقييم؛ مثل المعدات الداخلية على سبيل المثال. يوضح الشكل 3 صورة ميسرة ومثال سهل حول العلاقة بين مشغل تحصيل الرسوم الإلكتروني، وجهة توريد معدات تحصيل الرسوم الإلكتروني، وجهة التقييم. يرجى الاطلاع على (الملحق ج) فيما يتعلق بمؤسسات التسجيل الدولية، مثل المعايير العامة لتنظيم الاعتماد (CCRA) وأوضاع الحماية الحالية المسجلة. يتشابه الهدف الأمني مع وضع الحماية، باستثناء أنه يشتمل على معلومات إضافية خاصة بالتنفيذ. وتقدم هذه المعلومات تفاصيل حول كيفية ملاحظة المتطلبات الأمنية في منتج أو نظام معين. وبناء على ذلك، يشتمل الهدف الأمني على الأجزاء التالية غير الموجودة في وضع الحماية: - مواصفة ملخصة لهدف التقييم، وهي مواصفة تقدم الوظائف الأمنية وإجراءات التأكيد الخاصة بهدف التقييم - طلب وضع حماية اختياري للحصة التي تشرح أوضاح الحماية التي يُطلب توافق الهدف الأمني معها (في حالة وجوده) - منطق يتضمن دليل إضافي يدلل على قيام المواصفات الملخصة لهدف التقييم بضمان تلبية المتطلبات غير المتعلقة بالتنفيذ، وتلبية طلبات توافق وضع الحماية - تصميم وظائف الحماية الفعلية لمنتجات تحصيل الرسوم إلكترونيًا استنادًا إلى هذا الهدف الأمني؛ انظر الشكل 4 على سبيل المثال. يقتصر هدف التقييم من أجل تحصيل الرسوم إلكترونيًا على أدوار وواجهات معينة في تحصيل الرسوم إلكترونيًا موضحة في الشكل 5. وبما أن استخدم المواصفات والمعايير الأمنية المالية الحالية سارٍ مع الأدوار والواجهات الخارجية الأخرى، فمن المفترض أنها ستكون خارج مجال هدف التقييم من أجل تحصيل الرسوم إلكترونيًا. يُجرى التقييم الأمني من خلال تقييم الخصائص الأمنية للأدوار والكيانات والواجهات المحددة في الأهداف الأمنية، وهذا في مقابل تقييم العمليات الكاملة التي توزع عبر كيانات وواجهات أكثر من تلك الواردة في هدف التقييم ضمن هذه المواصفة الفنية من منظمة الأيزو واللجنة الأوروبية لتوحيد المواصفات. ملاحظة: يعد تقييم المشكلات الأمنية للعمليات الكاملة نهجًا تكميليًا قد يكون مفيدًا إلى حد ما لاستخدامه عند تقييم الجانب الأمني في النظم. يقدم (الملحق أ) إرشادات حول إعداد تحصيل الرسوم الإلكتروني ووضع الحماية، وذلك باستخدام معدات داخلية كمثال لمنتجات تحصيل الرسوم الإلكترونية. ويستند رابط الاتصالات الأساسي بين المعدات الداخلية ومعدات جانب الطريق إلى الاتصال القصير المدى المخصص.