ГОСТ Р ИСО/МЭК 18045—2013
12.6.1.3.4 Шаг оценивания ALC_FLR.1-4
Оценщик должен проверить процедуры устранения недостатков, чтобы сделать заключение, бу
дут ли идентифицированы при применении этих процедур корректирующие действия по каждому недо
статку безопасности.
Корректирующие действия могут заключаться как в восстановлении аппаратных средств, про
граммно-аппаратных средств или программ, входящих в 00. так и во внесении изменений в руковод
ства по 0 0 или же могут включать и то. и другое. Корректирующие действия, приводящие к внесе
нию изменений в руководства 0 0 (например к детализации процедурных мер. которые необходимо
предпринять для нейтрализации недостатка безопасности), включают меры, обеспечивающие как одни
лишь промежуточные решения (пока исправление не закончено), так и окончательное решение (для ко
торого определено, что данная процедурная мора является наилучшим решением).
Если источником недостатка безопасности является ошибка в документации, то корректирующее
действие сводится к обновлению соответствующего руководства 00. Если корректирующее действие
является процедурной мерой, то эта мера будет включать обновление соответствующего руководства
ОО для отражения этих процедур.
ИСО/МЭК 15408-3 ALC_FLR.1.4C: Документация процедур устранения недостатков должна
содержать описание методов, используемых для предоставления пользователям 0 0 информации о
недостатках, материалов исправлений и руководства по внесению исправлений.
12.6.1.3.5 Шаг оценивания ALC_FLR.1-5
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать
заключение, содержит ли она описание методов, используемых для предоставления пользователям
ОО необходимой информации о каждом недостатке безопасности.
Необходимая информация о каждом недостатке безопасности состоит из его описания (не обя
зательно такого же подробного, как это предусматривается на шаге оценивания ALC_FLR.1-2), пред
писанного корректирующего действия и соответствующего руководства по реализации исправления.
Такая информация, материалы по исправлению и обновленная документация могут быть предо
ставлены пользователям ОО любым способом, например путем размещения их на веб-сайте, рассылки
пользователям ОО или заключения соглашения об установке и внедрении необходимых исправлений
разработчиком. В тех случаях, когда способ предоставления этой информации требует действий, ини
циируемых пользователем ОО, оценщик исследует руководство 00. чтобы удостовериться, содер жит
ли оно инструкции по получению такой информации.
Наиболее подходящая метрика оценки достаточности метода, используемого для предоставления
информации, материалов по исправлению и руководств — это та. которая дает основание надеяться,
что пользователи 00 смогут получить их. Например, рассмотрим метод рассылки, при котором необходи
мые данные размещаются на веб-сайте на один месяц, а пользователи ОО осведомлены о том. что это
произойдет и когда это произойдет. Он может быть не так уж приемлем или эффективен (как. скажем, при
постоянном размещении на веб-сайте), но все же позволяет пользователю ОО получить необходи мую
информацию. С другой стороны, если бы информация была размещена на веб-сайте всего лишь на один
час, причем пользователи ОО никак не оповещались об этом и не знали бы заранее о времени
размещения, то получение ими необходимой информации было бы практически невозможно.
12.6.2 Подвид деятельности по оценке (ALC_FLR.2)
12.6.2.1 Цели
Цель данного подвида деятельности — сделать заключение, установил ли разработчик процеду
ры устранения недостатков, которые описывают отслеживание недостатков безопасности, идентифи
кацию корректирующих действий и доведение информации об этих действиях до пользователей ОО.
Дополнительно по этому подвиду деятельности делается заключение, предусматривают ли процедуры
разработчика исправление недостатков безопасности, получение отчетов о недостатках от пользова
телей ОО и обеспечение уверенности, что исправления не приведут ни к каким новым недостаткам
безопасности.
Чтобы разработчики имели возможность соответствующим образом реагировать на отчеты поль
зователей 0 0 о недостатках безопасности, пользователям ОО необходимо понимать, как представлять
отчеты о недостатках безопасности разработчикам, а разработчикам необходимо знать, каким образом
получать эти отчеты. Руководство по устранению недостатков, предназначенное для пользователя ОО,
обеспечивает осведомленность пользователей ОО о том. как установить связь с разработчиком, а про
цедуры устранения недостатков описывают роль разработчика при таком взаимодействии.
135