ГОСТ Р ИСО/МЭК 18045—2013
Процедуры устранения недостатков распространяются на те недостатки безопасности, которые
обнаружены и о которых получено сообщение как от участников разработки, так и от пользователей
00. Процедуры детализированы в достаточной степени для описания того, как обеспечивается исправ
ление каждого недостатка, о котором получено сообщение. Процедуры содержат обоснованные шаги,
которые показывают прогресс в получении окончательного решения.
Процедуры описывают процесс, начиная с момента признания предполагаемого недостатка без
опасности реальным до момента принятия решения по нему.
12.6.2.3.8 Шаг оценивания ALC_FLR.2-8
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
помогает ли применение этих процедур обеспечить доведение до пользователей ОО действий по ис
правлению для каждого недостатка безопасности.
Эти процедуры описывают процесс, выполняемый от момента принятия решения по недостатку
безопасности до момента предоставления действия по исправлению. Процедурам для поставки дей
ствий по исправлению следует быть согласованными в целях безопасности; они не обязательно иден
тичны процедурам, используемым для поставки ОО. документированным для удовлетворения ALC_
DEL при включении компонента этого семейства в требования доверия. Например, если аппаратная
часть ОО была изначально доставлена курьерской связью, то при обновлении аппаратных средств
для устранения недостатков по аналогии ожидалось бы их распределение курьерской связью. Обнов
ления, не связанные с устранением недостатков, выполнялись бы согласно процедурам, сформулиро
ванным в документации, удовлетворяющей требованиям ALC_DEL «Поставка».
ИСО/МЭК 15408-3 ALC_FLR.2.7C: Процедуры обработки ставших известныминедостатков без
опасности должны обеспечить такие защитные меры, чтобы любые исправления этих недостатков
не приводили к появлению новых.
12.6.2.3.9 Шаг оценивания ALC_FLR.2-9
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
предусматривает ли применение этих процедур такие защитные меры, что предполагаемые исправле
ния не приведут к нежелательным последствиям.
Применяя анализ, тестирование или их сочетание, разработчик может уменьшить вероятность
того, что исправление недостатка безопасности повлечет за собой нежелательные последствия. Оцен
щик определяет, предусматривают ли процедуры во всех деталях, как для данного исправления уста
навливается необходимое сочетание анализа и действий по тестированию.
Для случая, когда источником недостатка безопасности является ошибка в документации, оцен
щик делает также заключение, включают ли процедуры защитные меры по предотвращению противо
речий с остальной документацией.
ИСО/МЭК 15408-3 ALC_FLR.2.8C: Руководство по устранению недостатков должно описывать
сродства, с помощью которых пользователи ОО могут сообщать разра6оп->чикам о любых предпо
лагаемыхнедостатках безопасности в ОО.
12.6.2.3.10 Шаг оценивания ALC_FLR.2-10
Оценщик должен исследовать руководство по устранению недостатков, чтобы сделать заключе
ние. предоставляет ли применение этого руководства пользователю ОО способ представления сооб
щений о предполагаемых недостатках или запросов на исправление таких недостатков.
Данное руководство предоставляет пользователям ОО описание способа связи с разработчиком
ОО. Располагая таким способом связи, пользователь может сообщить о недостатках безопасности, спра
виться о статусе недостатков безопасности или запросить материалы по исправлению недостатков.
12.6.3 Подвид деятельности по оценке (ALC_FLR.3)
12.6.3.1 Цели
Цель данного подвида деятельности — сделать заключение, установил ли разработчик проце
дуры устранения недостатков, которые описывают отслеживание недостатков безопасности, иденти
фикацию действий по устранению и доведение информации об этих действиях до пользователей ОО.
Дополнительно по этому подвиду деятельности делается заключение, предусматривают ли процедуры
разработчика исправление недостатков безопасности, получение сообщений о недостатках от пользо
вателей ОО, обеспечение уверенности, что исправления не приведут ни к каким новым недостаткам
безопасности, определение контактных данных каждого пользователя ОО и своевременное доведение до
пользователей ОО действий по их исправлению.
Чтобы разработчики имели возможность соответствующим образом реагировать на сообщения
пользователей ОО о недостатках безопасности, пользователям ОО необходимо понимать, как представ-
138