ГОСТ Р ИСО/МЭК 18045— 2008
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение, со
провождается ли применение этих процедур описанием каждого недостатка безопасности с точки зрения
его сути и последствий.
Процедуры идентифицируютдействия. которые предприняты разработчикомдля достаточно деталь
ного описания сути и последствий каждого недостатка безопасности, дающего возможность его воспроиз
ведения. Описание сути недостатка безопасности раскрывает, является ли он ошибкой в документации,
недостатком в проекте ФБО. недостатком в реализации ФБО и тд. Описание последствий недостатка
безопасности идентифицирует фрагменты реализации ФБО, подвергаемые воздействию, и результаты воз
действия на эти фрагменты. Например, недостаток безопасности в реализации может быть в том. что
он влияет на идентификацию и аутентификацию, осуществляемую ФБО. разрешая аутентификацию с
паро лем «ТАЙНЫЙВХОД».
14.3.3.3 Шаг оценивания ALC_FLR.3-3
Оценщикдолжен исследовать процедуры устранения недостатков, чтобы сделать заключение, будет
ли идентифицированопри применении этих процедур состояние процесса исправления каждого недостатка
безопасности.
Процедуры устранения недостатков идентифицируют различные стадии недостатков безопасности.
Эта дифференциация, по крайней мере, включает в себя: предполагаемые недостатки безопасности, о
которых выпущено сообщение: предполагаемые недостатки безопасности, для которых подтверждено, что
они на самом деле являются недостатками безопасности; недостатки безопасности, решение по которым
реализовано. Допустимо включение дополнительных стадий (например: недостатки, о которых сообщено,
но они еще не были исследованы; недостатки, которые исследуются в настоящее время; недостатки безо
пасности. для которых решение найдено, но пока не реализовано).
14.3.3.4 Шаг оценивания ALC_FLR.3-4
ИСО/МЭК 15408-3 ALC_FLR.3.3C: Процедурыустранениянедостатков должны содержать требо
вание. чтобы действия по исправлению были идентифицированы длякаждогонедостатка безопас
ности.
Оценщик должен проверить процедуры устранения недостатков, чтобы сделать заключение, будут
ли идентифицированы при применении этих процедурдействия по исправлению для каждого недостатка
безопасности.
Действия по исправлению могут заключаться как в исправлении аппаратных средств, программно-
аппаратных средств или программ, входящих в ОО. так и в модификации руководств ОО или же в том и
другом. Действия по исправлению, приводящие к модификации руководств ОО (например, кдетализации
процедурных мер, которые необходимо предпринятьдля нейтрализации недостатка безопасности), вклю
чают в себя меры, обеспечивающие какодни лишь промежуточные решения (пока коррекция не законче
на). так и окончательное решение (для которого определено, что данная процедурная мера является наи
лучшим решением).
Если источником недостатка безопасности является ошибка вдокументации, тодействие по исправ
лению сводят к обновлению соответствующего руководства ОО. Если действие по исправлению является
процедурной мерой, тоданная мера будет включать всебя обновление соответствующего руководства ОО
для отражения этих процедур.
14.3.3.5 Шаг оценивания ALC_FLR.3-5
ИСО/МЭК 15408-3ALC_FLR.3.4C: Докуглвнтация процедурустранения недостатков должна содер
жать описание методов, используемых для предоставления пользователям ОО информации о недо
статках. материалов исправлений ируководства по внесению исправлений.
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать за
ключение. содержитли она описание методов, используемых для предоставления пользователям ОО не
обходимой информации о каждом недостатке безопасности.
Необходимая информация о каждом недостатке безопасности состоит из его описания (не обязатель
но такого же подробного, как это предусмотрено на шаге оценивания ALC_FLR.3-2), предписанного дей
ствия по исправлению и соответствующего руководства по реализации исправления.
Такая информация, материалы по исправлению и изменению документации для обновлений могут
быть предоставлены пользователям ОО любым способом, таким как размещение их на веб-сайте, рассыл
ка пользователям ОО или заключениесоглашения по инсталляции исправлений разработчиком. В тех слу
чаях. когда способ предоставления этой информации требует действий, инициируемых пользователем ОО,
оценщик исследует руководство ОО. чтобы удостовериться, содержит ли оно инструкции по поиску
такой информации.
207