ГОСТ Р ИСО/МЭК 18045— 2008
12.4.1.3.14 Шагоценивания 3:АСМ_САР.З-14
ИСО/МЭК 15408-3 АСМ_САР.3.11С: Система УКдолжнапредусмотреть такие моры, при которых
в элементахконфигурации могут быть сделаны только санкционированные изменения.
Оценщик должен исследовать меры контроля доступа в УК, описанные в плане УК. чтобы сделать
заключение об ихэффективности по предотвращению несанкционированногодоступа к элементам конфи
гурации.
Оценщик может использовать несколько методовдля заключения об эффективности мер контроля
доступа в УК. Например, оценщик может опробовать меры контроля доступа, чтобы удостовериться, что
процедуры нельзя обойти. Оценщик может использоватьвыходные материалы, сгенерированные процеду
рами системы УК и уже подвергнутые исследованию на шаге оценивания АСМ_САР.З-12. Оценщику может
бытьтакже продемонстрирована система УК, чтобы он убедился, что используемые меры контроля досту па
выполняются эффективно.
12.4.2 Оценка области УК (ACM_SCP.1)
12.4.2.1 Цели
Цельданного подвидадеятельности — сделать заключение, выполняет ли разработчик управление
конфигурацией для представления реализации ОО, проекта, тестов, руководств администратора и пользо
вателя. а такжедокументации УК.
12.4.2.2 Исходные данные
Свидетельством оценкидля этого подвидадеятельности является список элементов конфигурации.
12.4.2.3Действие ACM_SCP.1.1E
12.4.2.3.1 Шагоценивания 3:ACM_SCP.1-1
ИСО/МЭК 15408-3 ACM_SCP1.1C: Списокэлементов конфигурации должен включать следующее:
представлениереализации и свидетельства оценки, требуемые компонентами доверия из ЗБ.
Оценщикдолжен проверить, что списокэлементов конфигурации содержит совокупность элементов,
требуемую ИСО/МЭК 15408.
Как минимум, список должен содержать следующее:
a) представление реализации ОО (т.е. компоненты или подсистемы, которые составляют ОО). Для
полностью программного ОО представление реализации может состоять только из исходного кода; для
ОО. который включает в себя аппаратную платформу, представление реализации может ссылаться на ком
бинацию программных и программно-аппаратных средств и описание аппаратных средств:
b
) свидетельства оценки, требуемые компонентами доверия в ЗБ.
12.5 Вид деятельности «Поставка и эксплуатация»
Вид деятельности «Поставка и эксплуатация» предназначендля определения достаточности доку
ментации по процедурам, используемым для обеспечения установки, генерации и запуска ОО способом,
предусмотренным разработчиком, а также для обеспечения поставки ОО без модификаций. Сюда включе
ны процедуры, выполняемые как при пересылке ОО. так и при установке, генерации и запуске.
12.5.1Оценка поставки (ADO_DEL.1)
12.5.1.1 Цели
Цельданного подвида деятельности — сделать заключение, описаны ли в документации поставки
все процедуры, применяемые для поддержания безопасности ОО при его распространении по объектам
использования.
12.5.1.2 Исходные данные
Свидетельством оценки для этого подвида деятельности является документация поставки.
12.5.1.3 ДействиеADO_DEL.1.1Е
12.5.1.3.1 Шагоценивания 3:ADO_DEL.1-1
ИСО/МЭК 15408-3 ADO_DEL.1.1С:Документация поставки должна содержать описание всех про
цедур. необходимых дляподдержки безопасности прираспространении версий ОО к местам использо
вания.
Оценщикдолжен исследоватьдокументацию поставки, чтобы сделать заключение, описаны ли в ней
все процедуры, необходимые для поддержания безопасности при распространении версий ОО или его
составляющих по объектам использования.
При интерпретации термина «необходимые» требуется учитывать природу ОО и информацию, содер
жащуюся в ЗБ. Уровень предоставляемой защиты должен быть соразмерен с предположениями, угроза
ми, политикой безопасностиорганизации и целями безопасности, идентифицированными в ЗБ. В некоторых
случаях они могут не быть явно выражены по отношению к поставке. Оценщику следует сделать заключе-
101