ГОСТ Р ИСО/МЭК18045— 2008
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение, со
провождается ли применение этих процедур описанием каждого недостатка безопасности с точки зрения
его сути и последствий.
Процедуры идентифицируют конкретныедействия, которые приняты разработчиком для достаточно
детального описания сути и последствий каждого недостатка безопасности, дающего возможность его
воспроизведения. Описание сути недостатка безопасности раскрывает, является ли он ошибкой в докумен
тации, недостатком в проекте ФБО, недостатком в реализации ФБО и тд. Описание последствий недостат ка
безопасности идентифицирует фрагменты реализации ФБО. подвергаемые воздействию, и результаты
воздействия на эти фрагменты. Например, недостатокбезопасности в реализации может быть в том. чтоон
влияет на идентификацию и аутентификацию, осуществляемую ФБО. разрешая аутентификацию с паролем
«ТАЙНЫЙВХОД».
14.1.3.3 Шаг оценивания ALC_FLR.1-3
Оценщикдолжен исследовать процедуры устранения недостатков, чтобы сделать заключение, будет
ли идентифицированопри применении этих процедур состояние процесса исправления каждого недостатка
безопасности.
Процедуры устранения недостатков идентифицируют различные стадии недостатков безопасности.
Эта дифференциация, по крайней мере, включает в себя: предполагаемые недостатки безопасности, о
которых выпущено сообщение: предполагаемые недостатки безопасности, для которых подтверждено, что
они на самом деле являются недостатками безопасности; недостатки безопасности, решение по
которым реализовано. Допустимо включение дополнительных стадий (например: недостатки, о которых
сообщено, но они еще не были исследованы; недостатки, которые исследуют в настоящее время:
недостатки безо пасности. для которых решение найдено, но пока не реализовано).
14.1.3.4 Шаг оценивания ALC_FLR.1-4
ИСО/МЭК 15408-3 ALC_FLR.1.3C: Процедурыустранениянедостатков должны содержать требо
вание. чтобы действия по исправлению были идентифицированы длякаждогонедостатка безопас
ности.
Оценщик должен проверить процедуры устранения недостатков, чтобы сделать заключение, будут
ли идентифицированы при применении этих процедур действия по исправлению для каждого недостатка
безопасности.
Действия по исправлению могут заключаться как в исправлении аппаратных средств, программно-
аппаратных средств или программ, входящих в ОО. так и в модификации руководств ОО или же в том и
другом. Действия по исправлению, приводящие к модификации руководств ОО (например, кдетализации
процедурных мер. которые необходимо предпринятьдля нейтрализации недостатка безопасности), вклю
чают в себя меры, обеспечивающие какодни лишь промежуточные решения (пока коррекция не законче
на). так и окончательное решение (для которого определено, чтоданная процедурная мера является наи
лучшим решением).
Если источником недостатка безопасности является ошибка вдокументации, тодействие по исправ
лению сводят к обновлению соответствующего руководства ОО. Если действие по исправлению является
процедурной мерой, то данная мера будет включать в себя обновление соответствующего руководства ОО
для отражения этих процедур.
14.1.3.5 Шаг оценивания ALC_FLR.1-5
ИСО/МЭК 15408-3ALC_FLR.1.4С: Докуглвнтация процедурустранения недостатков должна содер
жать описание методов, используемых для предоставления пользователям ОО информации о недо
статках. материалов исправлений ируководства по внесению исправлений.
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать за
ключение. содержит ли она описание методов, используемых для предоставления пользователям ОО не
обходимой информации о каждом недостатке безопасности.
Необходимая информация о каждом недостатке безопасности состоит из его описания (не обязатель
но такого же подробного, как это предусмотрено на шаге оценивания ALC_FLR.1-2), предписанного дей
ствия по исправлению и соответствующего руководства по реализации исправления.
Такая информация, материалы по исправлению и изменения документации для обновлений могут
быть предоставлены пользователям ОО любым способом, таким как размещение их на веб-сайте, рас
сылка пользователям ОО или заключение соглашения по инсталляции исправлений разработчиком. В
тех случаях, когда способ предоставления этой информации требует действий, инициируемых
пользователем ОО. оценщик исследует руководство ОО. чтобы удостовериться, содержит ли оно
инструкции по поиску такой информации.
202