ГОСТ Р ИСО/МЭК 18045—2013
предпринять для нейтрализации недостатка безопасности), включают меры, обеспечивающие как одни
лишь промежуточные решения (пока исправление не закончено), так и окончательное решение (для ко
торого определено, что данная процедурная мера является наилучшим решением).
Если источником недостатка безопасности является ошибка в документации, то корректирующее
действие сводится к обновлению соответствующего руководства ОО. Если корректирующее действие
является процедурной мерой, то эта мера будет включать обновление соответствующего руководства
ОО для отражения этих процедур.
ИСО/МЭК 15408-3 ALC_FLR.2.4C: Документация процедур устранения недостатков должна со
держать описание методов, используемых для предоставления пользователям ОО информации о не
достатках. материалов исправлений и руководства по внесению исправлений.
12.6.2.3.5 Шаг оценивания ALC_FLR.2-5
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать
заключение, содержит ли она описание методов, используемых для предоставления пользователям
ОО необходимой информации о каждом недостатке безопасности.
Необходимая информация о каждом недостатке безопасности состоит из его описания (не обяза
тельно такого же подробного, как это предусматривается на шаге оценивания ALC_FLR.2-2), предписан
ного корректирующего действия и соответствующего руководства по реализации исправления.
Такая информация, материалы по исправлению и обновленная документация могут быть предо
ставлены пользователям ОО любым способом, например путем размещения их на веб-сайте, рассылки
пользователям ОО или заключения соглашения об установке и внедрении необходимых исправлений
разработчиком. В тех случаях, когда способ предоставления этой информации требует действий, ини
циируемых пользователем ОО. оценщик исследует руководство ОО, чтобы удостовериться, содер жит
ли оно инструкции по получению такой информации.
Наиболее подходящая метрика оценки достаточности метода, используемого для предоставления
информации, материалов по исправлению и руководств — это та, которая дает основание надеяться,
что пользователи ОО смогут получить их. Например, рассмотрим метод рассылки, при котором необходи
мые данные размещаются на веб-сайте на один месяц, а пользователи ОО осведомлены о том. что это
произойдет и когда это произойдет. Он может быть не так уж приемлем или эффективен (как, скажем, при
постоянном размещении на веб-сайте), но все же позволяет пользователю ОО получить необходи мую
информацию. С другой стороны, если бы информация была размещена на веб-сайте всего лишь на один
час. причем пользователи ОО никак не оповещались об этом и не знали бы заранее о времени
размещения, то получение ими необходимой информации было бы практически невозможно.
ИСО/МЭК 15408-3 ALC_FLR.2.5C: Процедуры устранения недостатков должны описывать сред
ства. посредством которых разработчик получает от пользователей ОО сообщения и запросы о
предполагаемых недостатках безопасности в ОО.
12.6.2.3.6 Шаг оценивания ALC_FLR.2-6
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
описывается ли в них порядок получения разработчиком от пользователей ОО сообщений о предпо
лагаемых недостатках безопасности или запросов на исправление таких недостатков.
Процедуры обеспечивают наличие у пользователей ОО способа связи с разработчиком ОО. Рас
полагая таким способом, пользователь может сообщить о недостатках безопасности, справиться о ста
тусе недостатков безопасности или запросить материалы по исправлению недостатков. Этот способ
связи может быть в общем случае частью общих услуг связи для сообщения о проблемах, не относя
щихся к безопасности.
Использование этих процедур не ограничивается пользователями ОО; однако только пользова
телям ОО данные процедуры доводятся во всех подробностях. Другие лица из числа имеющих доступ к
ОО или возможность ознакомиться с ним могут использовать эти же процедуры представления сооб
щений разработчику для их предполагаемой последующей обработки. Любые способы представления
сообщений разработчику, кроме идентифицированных им, выходят за рамки этого шага оценивания,
поэтому нет необходимости рассматривать сообщения, созданные другими способами.
ИСО/МЭК 15408-3 ALC_FLR.2.6C: Процедуры обработки ставших известными недостатков
безопасности должны обеспечить, чтобы любые ставшие известными недостатки были исправле
ны. а для пользователей ОО выпущены процедуры по исправлению.
12.6.2.3.7 Шаг оценивания ALC_FLR.2-7
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
помогает ли применение этих процедур обеспечить исправление каждого недостатка, о котором полу
чено сообщение.
137