ГОСТ Р ИСО/МЭК 18045—2013
12.6.2.2 Исходные данные
Свидетельствами оценки для этого подвида деятельности являются:
a) документация процедур устранения недостатков;
b
) документация руководств по устранению недостатков.
12.6.2.3 Действие ALC_FLR.2.1E
ИСО/МЭК 15408-3 ALC_FLR.2.1C: Документация процедур устранения недостатков должна со
держать описание процедур по отслеживанию всех ставших известными недостатков безопасности в
каждом релизе 00.
12.6.2.3.1 Шаг оценивания AL.C_FLR.2-1
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать
заключение, описывает ли она процедуры отслеживания всех ставших известными недостатков безо
пасности в каждом релизе ОО.
Эти процедуры описывают действия, которые предпринимаются разработчиком с момента при
ведения информации о каждом предполагаемом недостатке безопасности в отчете до момента реали
зации решения по нему. Это включает временные рамки всей деятельности, связанной с отдельным
недостатком, начиная от его обнаружения, включая выяснение, что недостаток является недостатком
безопасности, и заканчивая реализацией решения по нему.
Если выявленный недостаток не влияет на безопасность, то не понадобится выполнять (согласно
требованиямALC_FLR «Устранение недостатков) процедуры устранения недостатков для его дальнейшего
отслеживания; только при этом необходимо объяснение, почему недостаток не влияет на безопасность.
ИСО/МЭК 15408-3 ALC_FLR.2.2C: Процедуры устранения недостатков должны содержать тре
бование представления описания сути и последствии каждого недостатка безопасности, а также
состояния процесса исправления этого недостатка.
12.6.2.3.2 Шаг оценивания ALC_FLR.2-2
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
сопровождается ли применение этих процедур описанием каждого недостатка безопасности с точки
зрения его сути и последствий.
Процедуры идентифицируют конкретные действия, которые приняты разработчиком для до
статочно детального описания сути и последствий каждого недостатка безопасности, дающего воз
можность его воспроизведения. Описание сути недостатка безопасности раскрывает, является ли он
ошибкой в документации, недостатком в проекте ФБО. недостатком в реализации ФБО и т.д. Описание
последствий недостатка безопасности идентифицирует фрагменты реализации ФБО. подвергаемые
воздействию, и результаты воздействия на эти фрагменты. Например, недостаток безопасности в реа
лизации может быть в том. что он влияет на идентификацию и аутентификацию, осуществляемую ФБО.
разрешая аутентификацию с паролем «ТАЙНЫЙВХОД».
12.6.2.3.3 Шаг оценивания ALC_FLR.2-3
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
будет ли идентифицировано при применении этих процедур состояние процесса исправления каждого
недостатка безопасности.
Процедуры устранения недостатков идентифицируют различные стадии недостатков безопас
ности. Эта дифференциация, по крайней мере, включает: предполагаемые недостатки безопасности,
которые приводятся в отчете; предполагаемые недостатки безопасности, для которых подтверждено,
что они на самом деле являются недостатками безопасности; недостатки безопасности, решение по ко
торым реализовано. Допустимо включение дополнительных стадий (например: недостатки, которые
приводятся вотчете, но которые еще не подвергались исследованию; недостатки, которые исследуются
в настоящее время: недостатки безопасности, для которых решение найдено, но пока не реализовано).
ИСО/МЭК 15408-3 ALC_FLR.2.3C: Процедуры устранения недостатков должны содержать тре
бованиек тому, что длякаждого недостатка безопасности должныбыть идентифицированыкоррек
тирующие действия.
12.6.2.3.4 Шаг оценивания ALC_FLR.2-4
Оценщик должен проверить процедуры устранения недостатков, чтобы сделать заключение, бу
дут ли идентифицированы при применении этих процедур корректирующиедействия по каждому недо
статку безопасности.
Корректирующие действия могут заключаться как в восстановлении аппаратных средств, про
граммно-аппаратных средств или программ, входящих в ОО. так и во внесении изменений в руковод
ства по ОО. или же могут включать и то. и другое. Корректирующие действия, приводящие к внесе нию
изменений в руководства ОО (например к детализации процедурных мер. которые необходимо
136