ГОСТ Р ИСО/МЭК 18045— 2008
А.4.2 Зависимости между подвидами деятельности
Оценщику необходимо учитывать зависимости между компонентами, указанные в ИСО/МЭК 15408-3.
Пример такого вида зависимости — AVA_VLA.1 «Анализ уязвимостей разработчиком». В этом компоненте
заявлены зависимости от ADV_FSP.1 «Неформальная функциональная спецификация», ADV_HLD.1 «Описатель
ный проект верхнего уровня». AGD_ADM.1 «Руководство администратора» и AGD_USR.1 «Руководство пользо
вателя».
Обычно положительный вердикт по подвиду деятельности можно принять только при успешном заверше
нии всех тех подвидов деятельности, от которых зависит данный подвид деятельности. Например, как правило,
положительный вердикт по AVA_VLA.1 может быть принят, если только по подвидам деятельности, относящимся
к ADV_FSP.1, ADV_HLD.1. AGD_ADM.1 и AGD_USR.1. также принят положительный вердикт.
Поэтому при определении, будет ли некоторый подвид деятельности влиять на другой подвид деятельнос
ти. оценщику следует выяснить, зависит ли этот подвид деятельности от потенциальных результатов оценки лю
бых зависимых подвидов деятельности. Действительно, возможно, что зависимый подвид деятельности сам
станет влиять на этот подвид деятельности, требуя выполнить заново ранее завершенные действия.
Существенное влияние приобретают зависимости при обнаружении оценщиком недостатков. Если недо
статок идентифицирован в результате проведения одного из подвидов деятельности, положительный вердикт по
зависимому подвиду деятельности может оказаться невынесенным до устранения всех недостатков, относящих ся
к подвиду деятельности, от которого он зависит.
Необходимо отметить, что некоторые компоненты из ИСО/МЭК 15408. например компоненты семейств
ASEJNT и ASE_DES, зависимы друг от друга, и поэтому такая ситуация имеет место для каждой последователь
ности выполнения соответствующих подвидов деятельности.
А.4.3 Зависимости между действиями
Возможно, что результаты, полученные оценщиком во время одного действия, будут использованы при
выполнении другого действия. Например, действия по анализу полноты и непротиворечивости не могут быть
завершены, пока не завершена проверка содержания и представления свидетельств. Это означает, например, что
оценщику рекомендуется оценивать обоснование ПЗ/ЗБ после оценки составляющих частей ПЗ/ЗБ.
А.5 Посещение объектов
В настоящем разделе представлено общее руководство по посещению объектов. Конкретная и подробная
информация дана в шагах оценивания тех подвидов деятельности, где предусмотрены такие посещения:
a) «Автоматизация УК» (ACM_AUT);
b) «Возможности УК» (АСМ_САР).п (при л>2);
c) «Поставка» (ADO_DEL):
d) «Безопасность разработки» (ALC_DVS).
Посещение объектов разработки — полезный способ определения оценщиком, выполняются ли процеду
ры способом, не противоречащим описанию в документации.
Объекты посещают для того, чтобы ознакомиться:
a) с использованием системы УК. как описано в плане УК;
b
) с практическим применением процедур поставки:
c) с применением мер безопасности во время разработки.
Во время оценки часто необходимы несколько встреч оценщика с разработчиком, и один из обычных
вопросов рационального планирования — совмещение посещений объектов для уменьшения затрат. Например,
можно совмещать посещение объектов для проверки управления конфигурацией, безопасности, обеспечивае
мой разработчиком, и выполнения поставок. Могут также оказаться необходимыми несколько посещений одного и
того же объекта для проверки всех стадий разработки. Следует учесть, что разработка может происходить в
нескольких помещениях одного и того же здания, в нескольких зданиях, расположенных на одной территории, или
же в нескольких местах.
Первое посещение объекта следует запланировать на ранних стадиях оценки. Для оценки, которая начина
ется на стадии разработки ОО. это позволит внести, при необходимости, коррективы. Для оценки, проводимой
после завершения разработки ОО. раннее посещение позволит предпринять меры по исправлению, если в
применяемых процедурах будут выявлены серьезные неточности, и избежать лишних усилий при оценке.
Интервью также является полезным способом определения, отражают ли задокументированные процеду
ры то. что делается в действительности. При проведении подобных интервью оценщику следует стремиться к
получению более глубокого понимания анализируемых процедур на месте разработки, их практического исполь
зования и применения в соответствии с представленными свидетельствами оценки. Такие интервью дополняют,
но не заменяют исследование свидетельств оценки.
При подготовке к посещению объекта оценщику следует составить перечень проверок, основанный на
представленных свидетельствах оценки. Результаты посещения объекта следует задокументировать.
Посещения объекта необязательны, если, например, место разработки недавно посещалось для другой
оценки ОО или ранее было подтверждено следование определенным процедурам согласно ИСО 9000. Тогда
следует рассмотреть иные подходы для получения уверенности, предоставляющие эквивалентный уровень дове
рия (например, проанализировать свидетельства оценки). Любое решение отменить посещение следует прини
мать после консультации с органом оценки.
214