ГОСТ Р ИСО/МЭК 18045— 2008
Данный перечень ни в коем случае не является исчерпывающим и предназначен только для того,
чтобы дать некоторое представление о типе информации, касающейся тестирования проникновения, вы
полненного оценщиком в процессе оценки, которую следует привести в ТОО.
11.Э.2.5.7 Шаг оценивания 2:AVA_VLA.1-10
Оценщикдолжен привести в ТОО информацию обо всех пригодныхдля использования уязвимостях
и остаточных уязвимостях, детализируя для каждой:
a) ее источник (например, стала известна при выполнениидействий ОМО, известна оценщику, прочи
тана в публикации);
b
) связанную с ней функцию (функции) безопасности, недостигнутую цель (цели), нарушенную поли
тику (политики)безопасности организации, реализованную угрозу (угрозы);
c) описание;
d) пригодна ли она для использования в предопределенной среде или мет (т.е. пригодная для исполь
зования или является остаточной уязвимостью):
e) идентификацию участника оценки (например, разработчик, оценщик), который ее идентифици
ровал.
12 Оценка по ОУДЗ
12.1 Введение
ОУДЗ обеспечивает умеренный уровень доверия. Для обеспечения понимания режимов безопасного
функционирования ОО функции безопасности анализируютс использованием функциональной специфика
ции, документации руководств и проекта верхнего уровня ОО. Данный анализ должен быть поддержан
независимым тестированием подмножества функций безопасности ОО. свидетельством тестирования раз
работчиком. основанным на функциональной спецификации и проекте верхнего уровня, выборочным под
тверждением результатов тестирования разработчиком, анализом стойкости функций безопасности и сви
детельством поиска разработчиком явных уязвимостей. Дополнительно доверие достигают применением
мер управления средой разработки, управления конфигурацией ОО и свидетельства безопасных процедур
поставки.
12.2 Цели
Цель данного раздела заключается в определении минимальных усилий, необходимых для успеш
ного выполнения оценки по ОУДЗ, и в предоставлении руководства по способам и средствам выполнения
оценки.
12.3 Организация оценки по ОУДЗ
Оценка по ОУДЗ предусматривает следующее.
a) задачу получения исходныхданных для оценки (раздел 7);
b
) виды деятельности по оценке по ОУДЗ. включающие в себя:
1) оценку ЗБ (раздел 9);
2) оценку управления конфигурацией (12.4);
3) оценку документов поставки и эксплуатации (12.5);
4) оценкудокументов разработки (12.6);
5) оценку руководств (12.7);
6) оценку поддержки жизненного цикла (12.8);
7) оценку тестов (12.9):
8)тестирование (12.9);
9) оценку оценки уязвимостей (12.10);
c) задачу оформления результатов оценки (раздел 7).
Виды деятельности по оценке следуют из требований доверия ОУДЗ. содержащихся в
ИСО/МЭК 15408-3.
Оценка ЗБ начинается до выполнения любых подвидовдеятельности по оценке ОО. так как ЗБ обес
печивает основание и контекстдля выполнения этих подвидов деятельности.
В настоящем разделе приведеноописание подвидовдеятельности, выполняемых при оценке по ОУДЗ.
Хотя выполнение подвидов деятельности может, вобщем случае, начинаться более или менее случайным
образом, некоторые зависимости между подвидамидеятельности должны быть учтены оценщиком.
Руководство по учету зависимостей см. в А.4 «Зависимости» (приложение А).
97