ГОСТ Р ИСО/МЭК 18045—2013
пять сообщения о недостатках безопасности разработчикам, а разработчикам необходимо знать, каким
образом получать эти сообщения. Руководство по устранению недостатков, предназначенное для поль
зователя ОО. обеспечивает, что пользователи ОО осведомлены о том. как установить связь с разработ
чиком. а процедуры устранения недостатков описывают роль разработчика при таком взаимодействии.
12.6.3.2 Исходные данные
Свидетельствами оценки для этого подвида деятельности являются:
a) документация процедур устранения недостатков;
b
) документация руководств по устранению недостатков.
12.6.3.3 Действие ALC_FLR.3.1E
ИСО/МЭК 15408-3 ALC_FLR.3.1C: Документация процедур устранения недостатков должна со
держать описание процедур по отслеживанию всех ставших известными недостатков безопасности в
каждом релизе ОО.
12.6.3.3.1 Шаг оценивания ALC_FLR.3-1
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать
заключение, описывает ли она процедуры отслеживания всех ставших известными недостатков безо
пасности в каждом релизе ОО.
Эти процедуры описывают действия, которые предпринимаются разработчиком с момента сооб
щения о каждом предполагаемом недостатке безопасности до момента реализации решения по нему.
Это включает временные рамки всей деятельности, связанной с отдельным недостатком, начиная от
его обнаружения, включая выяснение, что недостаток является недостатком безопасности, и закан
чивая реализацией решения по нему.
Если выявленный недостатокне влияетна безопасность, то не понадобится выполнять {согласно тре
бованиям ALC_FLR «Устранение недостатков») процедуры устранения недостатков для его дальнейшего
отслеживания; только при этом необходимо объяснение, почему недостаток не влияет на безопасность.
ИСО/МЭК 15408-3 ALC_FLR.3.2C: Процедуры устранения недостатков должны содержать тре
бование представления описания сути и последствий каждого недостатка безопасности, а также
состояния процесса исправления этого недостатка.
12.6.3.3.2 Шаг оценивания ALC_FLR.3-2
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
сопровождается ли применение этих процедур описанием каждого недостатка безопасности с точки
зрения его сути и последствий.
Процедуры идентифицируют действия, которые приняты разработчиком для достаточно деталь
ного описания сути и последствий каждого недостатка безопасности, дающего возможность его вос
произведения. Описание сути недостатка безопасности раскрывает, является ли он ошибкой в доку
ментации, недостатком в проекте ФБО. недостатком в реализации ФБО и т.д. Описание последствий
недостатка безопасности идентифицирует фрагменты реализации ФБО. подвергаемые воздействию,
и результаты воздействия на эти фрагменты. Например, недостаток безопасности в реализации может
быть в том. что он влияет на идентификацию и аутентификацию, осуществляемую ФБО. разрешая
аутентификацию с паролем «ТАЙНЫЙВХОД».
12.6.3.3.3 Шаг оценивания ALC_FLR.3-3
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
будет ли идентифицировано при применении этих процедур состояние процесса исправления каждого
недостатка безопасности.
Процедуры устранения недостатков идентифицируют различные стадии недостатков безопас
ности. Эта дифференциация, по крайней мере, включает: предполагаемые недостатки безопасности, о
которых выпущено сообщение; предполагаемые недостатки безопасности, для которых подтвержде но,
что они на самом деле являются недостатками безопасности; недостатки безопасности, решение по
которым реализовано. Допустимо включение дополнительных стадий (например: недостатки, о ко
торых сообщено, но они еще не исследовались; недостатки, которые исследуются в настоящее время;
недостатки безопасности, для которых решение найдено, но пока не реализовано).
ИСО/МЭК 15408-3 ALC_FLR.3.3C: Процедуры устранения недостатков должны содержать тре
бование к тому, что длякаждого недостатка безопасности должны быть идентифицированыкоррек
тирующие действия.
12.6.3.3.4 Шаг оценивания ALC_FLR.3-4
Оценщик должен проверить процедуры устранения недостатков, чтобы сделать заключение, бу
дут ли идентифицированы при применении этих процедур корректирующие действия по каждому недо
статку безопасности.
139