ГОСТ Р ИСО/МЭК 18045—2013
сообщений разработчику, кроме идентифицированных им. лежат вне области этого шага оценивания,
поэтому нет необходимости рассматривать сообщения, созданные другими способами.
ИСО/МЭК 15408-3 ALC_FLR.3.6C: Процедуры устранения недостатков должны включать
процедуру своевременного реагирования для автоматического распространения сообщений о не
достатках безопасности и материалов по их исправлению зарегистрированным пользователям,
для которых эти недостатки могут иметь последствия.
12.6.3.3.7 Шаг оценивания ALC_FLR.3-7
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
предусматривает ли применение этих процедур способ своевременного доведения сообщений о не
достатках безопасности и материалов по их исправлению зарегистрированным пользователям ОО,
для которых эти недостатки могут иметь последствия.
Вопрос своевременности относится к выпуску как сообщений о недостатках безопасности, так
и связанных с ними материалов по исправлению. Однако нет необходимости выпускать их одновре
менно. Считается, что сообщения о недостатках следует формировать и выпускать, кактолько найдено
промежуточное решение, даже если это решение так же радикально, как «Выключить ОО». Аналогич
но, когда найдено более долговременное (и менее радикальное) решение, его следует издать без лиш
ней задержки.
Нет необходимости в ограничении числа получателей сообщений и исправлений только теми
пользователями ОО. для которыхданный недостаток безопасности может иметь последствия; допусти
мо. чтобы до всех пользователей ОО доводились такие сообщения и исправлениядля всех недостатков
безопасности при условии, что это делается своевременно.
12.6.3.3.8 Шаг оценивания ALC_FLR.3-8
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
будет ли результатом применения этих процедур автоматизированной рассылки сообщений о недостат
ках безопасности и материалов по их исправлению зарегистрированным пользователям, для которых
эти недостатки могут иметь последствия.
Автоматизированная рассылка не подразумевает полного исключения участия человека в рас
сылке. В действительности метод рассылки может состоять полностью из выполняемых вручную про
цедур. возможно, с использованием строго контролируемой процедуры, предписывающей усиление
мер контроля за выпуском сообщений или материалов по исправлению.
Нет необходимости в ограничении числа получателей сообщений и исправлений только теми
пользователями ОО. для которых данный недостаток безопасности может иметь последствия; допу
стимо. чтобы до всех пользователей ОО доводились такие сообщения и исправления всех недостатков
безопасности при условии, что это делается автоматически.
ИСО/МЭК 15408-3 ALC_FLR.3.7C: Процедуры обработки ставших известными недостатков
безопасности должны обеспечить, чтобы любые ставшие известными недостатки были исправле
ны. а для пользователей ОО выпущены процедуры по исправлению.
12.6.3.3.9 Шаг оценивания ALC_FLR.3-9
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
помогает ли применение этих процедур обеспечить исправление каждого недостатка, о котором полу
чено сообщение.
Процедуры устранения недостатков распространяются на те недостатки безопасности, которые
обнаружены и о которых получено сообщение как от участников разработки, так и от пользователей
ОО. Процедуры детализированы в достаточной степени для описания того, как обеспечивается исправ
ление каждого недостатка, о котором получено сообщение. Процедуры содержат обоснованные шаги,
которые демонстрируют прогресс в принятии окончательного решения.
Процедуры описывают процесс, начиная с момента признания предполагаемого недостатка безо
пасности реальным и до момента принятия решения по нему.
12.6.3.3.10 Шаг оценивания ALC_FLR.3-10
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
помогает ли применение этих процедур обеспечить доведение до пользователей ОО действий по ис
правлению каждого недостатка безопасности.
Процедуры описывают процесс, выполняемый от момента принятия решения по недостатку
безопасности до момента предоставления действия по исправлению. Процедуры о действиях по ис
правлению должны быть согласованы с целями безопасности; они не обязательно идентичны проце
дурам, используемым для поставки ОО. документированным для удовлетворения ADO_DEL «Постав-
141