ГОСТ Р ИСО/МЭК 18045—2013
Корректирующие действия могут заключаться как в восстановлении аппаратных средств, про
граммно-аппаратных средств или программ, входящих в ОО. так и во внесении изменений в руковод
ства по ОО. или же могут включать и то. и другое. Корректирующие действия, приводящие к внесе нию
изменений в руководства ОО (например к детализации процедурных мер. которые необходимо
предпринять для нейтрализации недостатка безопасности), включают меры, обеспечивающие как одни
лишь промежуточные решения (пока исправление не закончено), так и окончательное решение (для ко
торого определено, что данная процедурная мера является наилучшим решением).
Если источником недостатка безопасности является ошибка в документации, то корректирующее
действие сводится к обновлению соответствующего руководства ОО. Если корректирующее действие
является процедурной мерой, то эта мера будет включать обновление соответствующего руководства
ОО для отражения этих процедур.
ИСО/МЭК 15408-3 ALC_FLR.3.4C: Документация процедур устранения недостатков должна
содержать описание методов, используемых для предоставления пользователям ОО информации о
недостатках, материалов исправлений и руководства по внесению исправлений.
12.6.3.3.5 Шаг оценивания ALC_FLR.3-5
Оценщик должен исследовать документацию процедур устранения недостатков, чтобы сделать
заключение, содержит ли она описание методов, используемых для предоставления пользователям
ОО необходимой информации о каждом недостатке безопасности.
Необходимая информация о каждом недостатке безопасности состоит из его описания (не обя
зательно такого же подробного, как это предусматривается на шаге оценивания ALC_FLR.3-2). пред
писанного корректирующего действия и соответствующего руководства по реализации исправления.
Такая информация, материалы по исправлению и обновленная документация могут быть предо
ставлены пользователям ОО любым способом, например путем размещения их на веб-сайте, рассылки
пользователям ОО или заключения соглашения об установке и внедрении необходимых исправлений
разработчиком. В тех случаях, когда способ предоставления этой информации требует действий, ини
циируемых пользователем ОО. оценщик исследует руководство ОО. чтобы удостовериться, содер
жит ли оно инструкции по получению такой информации.
Наиболее подходящая метрика оценки достаточности метода, используемого для предоставления
информации, материалов по исправлению и руководств — это та. которая дает основание надеяться,
что пользователи ОО смогут получить их. Например, рассмотрим метод рассылки, прикотором необходи
мые данные размещаются на веб-сайте на один месяц, а пользователи ОО осведомлены о том. что это
произойдет и когда это произойдет. Он может быть не так уж приемлем или эффективен (как, скажем, при
постоянном размещении на веб-сайте), но все же позволяет пользователю ОО получить необходи мую
информацию. С другой стороны, если бы информация была размещена на веб-сайте всего лишь на один
час. причем пользователи ОО никак не оповещались об этом и не знали бы заранее о времени
размещения, то получение ими необходимой информации было бы практически невозможно.
Для пользователей ОО. зарегистрированных у разработчика (см. шаг оценивания ALC_FLR.3-12),
простого обеспечения доступности этой информации недостаточно. Разработчикам необходимо самим
целенаправленно рассылать данную информацию (или уведомление о ее доступности) зарегистриро
ванным пользователям ОО.
ИСО/МЭК 15408-3 ALC_FLR.3.5C: Процедуры устранения недостатков должны описывать сред
ства. с помощью которыхразработчик получает от пользователей ОО сообщения изапросы о пред
полагаемых недостатках безопаоюсти в ОО.
12.6.3.3.6 Шаг оценивания ALC_FLR.3-6
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
описывается ли в них порядок получения разработчиком от пользователей ОО сообщений о предпо
лагаемых недостатках безопасности или запросов на исправление таких недостатков.
Процедуры обеспечивают наличие у пользователей ОО способа связи с разработчиком ОО. Рас
полагая таким способом, пользователь может сообщить о недостатках безопасности, справиться о ста
тусе недостатков безопасности или запросить материалы по исправлению недостатков. Этот способ
связи может быть в общем случае частью общих услуг связи для сообщения о проблемах, не относя
щихся к безопасности.
Использование этих процедур не ограничивается пользователями ОО: однако только пользова
телям ОО данные процедуры доводятся во всех подробностях. Другие лица из числа имеющих доступ к
ОО или возможность ознакомиться с ним могут использовать эти же процедуры представления сооб
щений разработчику для их предполагаемой последующей обработки. Любые способы представления
140