ГОСТ Р ИСО/МЭК18045— 2008
воздействия на эти фрагменты. Например, недостаток безопасности в реализации можетбыть в том. что он
влияет на идентификацию и аутентификацию, осуществляемую ФБО. разрешая аутентификацию с паролем
«ТАЙНЫЙВХОД».
14.2.3.3 Шаг оценивания ALC_FLR.2-3
Оценщикдолжен исследовать процедуры устранения недостатков, чтобы сделать заключение, будет
ли идентифицированопри применении этих процедур состояние процесса исправления каждого недостатка
безопасности.
Процедуры устранения недостатков идентифицируют различные стадии недостатков безопасности.
Эта дифференциация, по крайней мере, включает в себя: предполагаемые недостатки безопасности, о
которых выпущено сообщение; предполагаемые недостатки безопасности, для которых подтверждено, что
они на самом деле являются недостатками безопасности; недостатки безопасности, решение по
которым реализовано. Допустимо включение дополнительных стадий (например: недостатки, о которых
сообщено, но они еще не были исследованы; недостатки, которые исследуют в настоящее время,
недостатки безо пасности. для которых решение найдено, но пока не реализовано).
14.2.3.4 Шаг оценивания ALC_FLR.2-4
ИСО/МЭК 15408-3 ALC_FLR.2.3C: Процедурыустранениянедостатков должны содержать требо
вание. чтобы действия по исправлению были идентифицированы длякаждого недостатка безопас
ности.
Оценщик должен проверить процедуры устранения недостатков, чтобы сделать заключение, будут
ли идентифицированы при применении этих процедурдействия по исправлению для каждого недостатка
безопасности.
Действия по исправлению могут заключаться как в исправлении аппаратных средств, программно
аппаратных средств или программ, входящих в ОО. так и в модификации руководств ОО или же и том и
другом. Действия по исправлению, приводящие к модификации руководств ОО (например, кдетализации
процедурных мер. которые необходимо предпринятьдля нейтрализации недостатка безопасности), вклю
чают в себя меры, обеспечивающие какодни лишь промежуточные решения (пока коррекция не законче
на). так и окончательное решение (для которого определено, чтоданная процедурная мера является наи
лучшим решением).
Если источником недостатка безопасности является ошибка вдокументации, тодействие по исправ
лению сводят к обновлению соответствующего руководства ОО. Если действие по исправлению является
процедурной мерой, тоданная мера будет включать всебя обновление соответствующего руководства ОО
для отражения этих процедур.
14.2.3.5 Шаг оценивания ALC_FLR.2-5
ИСО/МЭК 15408-3ALC_FLR.2.4C: Документация процедурустранения недостатков должна содер
жать описание методов, используемых для предоставления пользователям ОО информации о недо
статках. материалов исправлений ируководства по внесению исправлений.
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать за
ключение. содержит ли она описание методов, используемых для предоставления пользователям ОО не
обходимой информации о каждом недостатке безопасности.
Необходимая информация о каждом недостатке безопасности состоит из его описания (не обязатель
но такого же подробного, как это предусмотрено на шаге оценивания ALC_FLR.2-2), предписанного дей
ствия по исправлению и соответствующего руководства по реализации исправления.
Такая информация, материалы по исправлению и изменения документации для обновлений могут
быть предоставлены пользователям ОО любым способом, таким как размещение их на веб-сайте, рассыл
ка пользователям ОО или заключение соглашения по инсталляции исправлений разработчиком. В тех слу
чаях. когда способ предоставления этой информации требуетдействий, инициируемых пользователем ОО,
оценщик исследует руководство ОО. чтобы удостовериться, содержит ли оно инструкции по поиску
такой информации.
Наиболее подходящая метрика оценки достаточности метода, используемого для предоставления
информации, материалов по исправлению и руководств. — та, которая позволяет надеяться, что пользова
тели ОО смогут достать или получить их. Для примера рассмотрен метод распространения, при котором
необходимые данные размещают на веб-сайте на один месяц, а пользователи ОО осведомлены о том. что
это произойдет и когда это произойдет. Он может быть не настолько приемлем или эффективен (как. напри
мер. при постоянном размещении на веб-сайте), но все же позволяет пользователю ОО получить необхо
димую информацию. С другой стороны, если бы информация была размещена на веб-сайте всего лишь на
204