Dokument odzwierciedlający stan wiedzy

W ustawie o krajowym systemie certyfikacji cyberbezpieczeństwa „dokument odzwierciedlający stan wiedzy” oznacza dokument wykorzystywany jako punkt odniesienia przy certyfikacji produktów ICT. Nie chodzi wyłącznie o opis samego produktu, lecz o uporządkowane wskazanie sposobu, w jaki należy oceniać jego bezpieczeństwo, albo o określenie wymagań, które produkt powinien spełnić.

Dokument ten może obejmować w szczególności:

• metody oceny, czyli ustalone sposoby sprawdzania właściwości i poziomu bezpieczeństwa produktu,
• techniki i narzędzia stosowane podczas takiej oceny,
• wymagania bezpieczeństwa odnoszące się do całej, generycznej kategorii produktów ICT,
• inne wymagania konieczne do przeprowadzenia certyfikacji produktów ICT.

Istotą tego pojęcia jest zebranie w jednym dokumencie informacji potrzebnych do przeprowadzenia oceny w sposób uporządkowany i możliwie jednolity. Dokument ma służyć harmonizacji oceny, a więc ograniczać różnice w tym, jak bada się podobne produkty i jak interpretuje się wymagania dotyczące ich bezpieczeństwa. Dzięki temu proces certyfikacji może opierać się na wspólnych założeniach, niezależnie od konkretnego produktu należącego do danej kategorii.

Znaczenie dokumentu może ujawniać się także w odniesieniu do określonych domen technicznych lub profili zabezpieczeń. W takich przypadkach pozwala on dopasować metody badania i wymagania do konkretnego obszaru technologii albo do przyjętego modelu ochrony. Dokument może zatem pełnić zarówno funkcję technicznego opisu sposobu przeprowadzania oceny, jak i zbioru kryteriów, według których ustala się, czy produkt nadaje się do certyfikacji.

W praktyce jest to narzędzie porządkujące cały proces oceny bezpieczeństwa produktów ICT. Ułatwia ustalenie, co powinno zostać zbadane, jak należy przeprowadzić badanie oraz jakie wymagania trzeba uwzględnić, aby ocena była spójna i porównywalna. Jego treść odzwierciedla zasób wiedzy wykorzystywany przy certyfikacji w określonym obszarze technicznym lub produktowym.