○ 보호프로파일 및 보안목표명세서
- 소비자가 개발자로부터 제품을 구매하려고 하는 경우, 일반적으로 소비자는 제품에 대한 요구사항을 작성하여 개발자에게 제공하고 개발자는 이 요구사항을 바탕으로 제품명세서를 작성하고 이를 기반으로 개발을 진행하게 되는데, 이와 같이 사용자의 보안요구사항을 형식화한 문서가 보호프로파일(PP, Protection Profile)이고, 보호프로파일을 사용하여 개발자가 작성한 제품명세가 보안목표명세서(ST, Security Target)에 해당
• (보호프로파일) 소비자의 요구를 명세하기 위해 보안요구사항들을 구현에 독립적인 방식으로 정의한 것으로, 소비자들은 특정 제품에 관계없이 IT 보안성에 대한 요구를 표현할 수 있으며, 소비자 집단, 평가기관 또는 유관기관 등에 의해 개발이 이루어짐
• (보안목표명세서) 구현에 종속적인 특정 제품(예: A사의 침입탐지시스템)에 대한 제품명세를 명시하고 있으며, 따라서 보안목표명세서는 보호프로파일을 준수해야 하며, 이는 제품이 모든 소비자 요구사항을 포함해야 한다는 것을 의미
○ 평가기관 및 인증기관
- (평가기관) 신청기관 또는 개발기관으로부터 평가증거를 제공받아 세부 평가활동을 수행하고 인증기관에 평가결과를 제공
- (인증기관) 스킴을 수립하고 관리하며, 평가기관이 수행하는 평가를 감독하고 평가기관이 제공하는 평가결과에 근거하여 인증서를 비롯한 인증·검증 보고서를 발급
* 인증기관이 평가환경을 정의하고 IT 보안성 평가를 수행하는데 필요한 기준과 방법론을 수용하기 위해 수립한 규칙들의 집합