ГОСТ Р ИСО/МЭК 18045— 2008
13.10.3.8 Действие AVA_VLA.2.5E
13.10.3.8.1 Шаг оценивания 4:AVA_VLA.2-15
Оценщик должен исследовать результаты всего тестирования проникновения и выводы по всему
анализу уязвимостей, чтобы сделать заключение, является ли ОО. находящийся в своей предопределен
ной среде, стойким к нарушителю, обладающему низким потенциалом нападения.
Если результаты показывают, что ОО, находящийся в своей предопределенной среде, имеет уязви
мости. пригодные для использования нарушителем, обладающим меньшим, чем умеренный, потенциалом
нападения, то по этому действию оценщиком должно быть сделано отрицательное заключение.
13.10.3.8.2 Шагоценивания 4:AVA_VLA.2-16
Оценщикдолжен привести в ТОО информацию обо всех пригодныхдля использования уязвимостях
и остаточных уязвимостях, детализируя для каждой:
a) ее источник (например, стала известна при выполнениидействий ОМО. известна оценщику, прочи
тана в публикации);
b
) связанную с ней функцию (функции) безопасности, недостигнутую цель (цели), нарушенную поли
тику (политики)безопасности организации, реализованную угрозу (угрозы);
c) описание;
d) пригодна ли она для использования в предопределенной среде или нет (т.е. пригодная ли для
использования или является остаточной уязвимостью):
e) идентификацию участника оценки (например, разработчик, оценщик), который ее идентифици
ровал.
14 Подвид деятельности «Устранение недостатков»
14.1 Оценка устранения недостатков (ALC_FLR.1)
14.1.1 Цели
Цель данного подвида деятельности — сделать заключение, установил ли разработчик процедуры
устранения недостатков, которыеописываютотслеживание недостатков безопасности, идентификациюдей
ствий по их исправлению и доведение информации об этих действияхдо пользователей ОО.
14.1.2 Исходные данные
Свидетельством оценки для этого подвида деятельности является документация процедур устране
ния недостатков.
14.1.3 Действие ALC_FLR.1.1Е
14.1.3.1 Шаг оценивания ALC_FLR.1-1
ИСО/МЭК 15408-3ALC_FLR.1.1С:Докуглвнтация процедурустранения недостатков должна содер
жать описание процедур по отслеживанию всех ставших известными недостатков безопасности в
каждомрелизе ОО.
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать за
ключение. описывает ли она процедуры отслеживания всехставших известными недостатков безопаснос ти
в каждом релизе ОО.
Эти процедуры описывают действия, предпринимаемые разработчиком с момента сообщения о каж
дом предполагаемом недостатке безопасности до момента реализации решения по нему. Это предполагает
временные рамки всей деятельности, связанной с отдельным недостатком, начиная от его обнаружения,
включая выяснение, что недостатокявляется недостатком безопасности, и заканчивая реализацией реше
ния по нему.
Если выявленный недостаток не влияет на безопасность, то не понадобится выполнять (согласно
требованиям ALC_FLR «Устранение недостатков») процедуры устранения недостатка для егодальнейшего
отслеживания: только при этом необходимо объяснение, почему недостаток не влияет на безопасность.
Хотя эти требования не обязательно определяют способ широкого оповещения пользователей ОО о
недостатках безопасности, они обязывают, чтобы все недостатки безопасности, о которых уже имеется
сообщение, были отслежены. Таким образом, недостаток безопасности, о котором имеется сообщение, не
может быть проигнорирован только потому, что оно поступило не из организации разработчика.
14-1.3-2 Шагоценивания ALC_FLR.1-2
ИСО/МЭК 15408-3 ALC_FLR.1.2С: Процедурыустранениянедостатков должны содержать требо
вание представления описания сути и последствийкаждого недостатка безопасности, а также ста
туса процесса исправленияэтогонедостатка.
201