ГОСТ Р ИСО/МЭК18045— 2008
Оценщикдолжен исследовать элементы конфигурации с целью сделать заключение, что способ их
идентификации соответствуетдокументации УК.
Доверие к тому, что система УК однозначно идентифицирует все элементы конфигурации, должно
бытьдостигнуто путем изучения идентификаторовэлементов конфигурации. Какдля элементов конфигура
ции. которыесоставляютОО, так и для проектовэлементов конфигурации, которые представлены разработ
чиком в качестве свидетельств оценки, оценщик подтверждает, что каждый элемент конфигурации облада
ет уникальным идентификатором в соответствии с методом уникальной идентификации, описанным вдоку
ментации УК.
11.5 Вид деятельности «Поставка и эксплуатация»
Вид деятельности «Поставка и эксплуатация» предназначен для определения достаточности доку
ментации по процедурам, используемым для обеспечения установки, генерации и запуска ОО способом,
предусмотренным разработчиком, а такжедля обеспечения поставки ОО без модификаций. Сюда включе
ны процедуры, выполняемые как при пересылке ОО. так и при установке, генерации и запуске.
11.5.1 Оценка поставки (ADO_DEL.1)
11.5.1.1 Цели
Цель данного подвида деятельности — сделать заключение, описаны ли вдокументации поставки
все процедуры, применяемые для поддержания безопасности ОО при его распространении по объектам
использования.
11.5.1.2 Исходные данные
Свидетельством оценки для этого подвида деятельности является документация поставки.
11.5.1.3Действие ADO_DEL.1.1E
11.5.1.3.1 Шагоценивания 2:ADO_DEL.1-1
ИСО/МЭК 15408-3 ADO_DEL.1.1С:Документация поставки должна содержать описание всех про
цедур. необходимых дляподдержки безопасности прираспространении версий ОО к мостам использо
вания.
Оценщикдолжен исследоватьдокументацию поставки, чтобы сделать заключение, описаны ли в ней
все процедуры, необходимые для поддержания безопасности при распространении версий ОО или его
составляющих по объектам использования.
При интерпретации термина «необходимые» требуется учитывать природу ОО и информацию, содер
жащуюся в ЗБ. Уровень предоставляемой защиты должен быть соразмерен с предположениями, угроза
ми. политикой безопасности организации и целями безопасности, идентифицированными в ЗБ. В некоторых
случаях они могут не быть явно выражены по отношению к поставке. Оценщику следует сделать заключе
ние о сбалансированности выбранного подхода, при котором поставка не является очевидно слабым зве ном
по отношению к безопасному в остальном процессу разработки.
В документации поставки должны быть описаны надлежащие процедурыдля определения идентифи
кации ОО и поддержания целостности ОО или его составных частей во время пересылки. В этих процеду
рах должно быть описано, какие части ОО должны быть охвачены подобными процедурами. В документа
ции поставки должны быть приведены процедуры какдля распространения физических копий, так и рас
пространения в электронном виде (например, через Интернет), где это применимо. Процедуры поставки
относятся к ОО в целом, включая применяемое программное обеспечение, аппаратные средства, про
граммно-аппаратные средства и документацию.
Акцент в документации поставки, вероятно, будет сделан на мерах, связанных с целостностью, по
скольку для поддержки целостности ОО в процессе его поставки требуется применение технических мер.
Однако при поставке некоторых ОО должны быть обеспечены конфиденциальность и доступность;
процедуры, относящиеся к этим аспектам безопасной поставки, должны также быть рассмотрены в доку
ментации.
Процедуры поставки следует применять на всех стадиях поставки от среды производствадо среды
установки (например, при упаковке, хранении и распространении).
Приемлема стандартная коммерческая практика упаковки и поставки. Она предусматривает упаковку
в пластиковую пленку, применение ленты безопасности или конверта, скрепленного печатью. Для распро
странения может быть приемлема общедоступная почта или частная служба доставки.
Выбор процедур поставки зависит отОО (например, является ли он программным или аппаратным) и
целей безопасности. Если процедуры поставки различаютсядля различных частей ОО. тодля удовлетво
рения всех целей безопасности потребуется вся совокупность процедур.
68