ГОСТ Р ИСО/МЭК 18045—2013
ка» при включении компонента этого семейства в требования доверия. Например, если аппаратная
часть ОО была изначально доставлена курьерской связью, то при обновлении аппаратных средств
для устранения недостатков по аналогии ожидалось бы их распределение курьерской связью. Обнов
ления. не связанные с устранением недостатков, выполнялись бы согласно процедурам, сформулиро
ванным в документации, удовлетворяющей требованиям ADO_DEL «Поставка».
ИСО/МЭК 15408-3 ALC_FLR.3.8C: Процедуры обработки ставших известныминедостатков без
опасности должны обеспечить такие защитные меры, чтобы любые исправления этих недостатков
не приводили к появлению новых недостатков.
12.6.3.3.11 Шаг оценивания ALC_FLR.3-11
Оценщик должен исследовать процедуры устранения недостатков, чтобы сделать заключение,
предусматривает ли применение этих процедур такие защитные меры, что предполагаемые исправле
ния не приведут к нежелательным последствиям.
Применяя анализ, тестирование или их сочетание, разработчик может уменьшить вероятность
того, что исправление недостатка безопасности повлечет за собой нежелательные последствия. Оцен
щик определяет, предусматривают ли процедуры во всех деталях, как для данного исправления уста
навливается необходимое сочетание анализа и действий по тестированию.
Для случая, когда источником недостатка безопасности является ошибка в документации, оцен
щик делает также заключение, включают ли процедуры защитные меры по предотвращению противо
речий с остальной документацией.
ИСО/МЭК 15408-3 ALC_FLR.3.9C: Руководство по устранению недостатков должно описывать
средства, посредством которых пользователи ООмогут сообщать разработчикам олюбых предпо
лагаемых недостатках безопасности в ОО.
12.6.3.3.12 Шаг оценивания ALC_FLR.3-12
Оценщик должен исследовать руководство по устранению недостатков, чтобы сделать заключе
ние. предоставляет ли применение этого руководства пользователю ОО способ представления сооб
щений о предполагаемых недостатках или запросов на исправление таких недостатков.
Данное руководство предоставляет пользователям ОО описание способа связи с разработчиком
ОО. Располагая таким способом связи, пользователь может сообщить о недостатках безопасности, спра
виться о статусе недостатков безопасности или запросить материалы по исправлению недостатков.
ИСО/МЭК 15408-3 ALC_FLR.3.10C: Руководство по устранению недостатков должно описывать
средства, посредством которых пользователи ОО могут регистрироваться у разработчика, чтобы
иметь право получать сообщения о недостатках безопасности и исправления.
12.6.3.3.13 Шаг оценивания ALC_FLR.3-13
Оценщикдолжен исследовать руководство по устранению недостатков, чтобы сделать заключение,
описан ли в нем способ предоставления пользователям ОО возможности регистрации у разработчика.
Предоставление пользователям ОО возкюжностирегистрации у разработчика означает всего
лишь наличие у каждого пользователя ОО возможности предоставить разработчику свои контактные
данные; эти контактные данные используются для обеспечения пользователя ОО информацией, свя
занной как с недостатками безопасности, которые могли бы иметь последствия для этого пользователя
ОО. так и с исправлениями недостатков безопасности. Регистрация пользователя ОО может осущест
вляться как часть стандартных процедур, которые выполняются пользователями ОО. чтобы идентифи
цировать себя у разработчика, зарегистрировать лицензию на программное обеспечение или получать
обновления идругую полезную информацию.
Нет необходимости в отдельном зарегистрированном пользователе для каждой инсталляции ОО;
в организации вполне достаточно иметь одного зарегистрированного пользователя ОО. Например,
корпоративный пользователь ОО может иметь централизованную службу комплектования для всех
мест его размещения. В этом случае достаточно осуществлять контакт через службу комплектования
для всех мест размещения ОО у корпоративного пользователя и, таким образом, обеспечить для
каж дой пользовательской инсталляции ОО зарегистрированные контактные данные.
В любом случае необходимо иметь возможность ассоциировать каждый поставленный ОО с кон
кретной организацией, чтобы обеспечить наличие зарегистрированного пользователя для каждого ОО.
Для организаций, имеющих несколько различных адресов, это позволит удостовериться в отсутствии
пользователей, которые ошибочно будут считаться охваченными регистрацией.
Следует отметить, что пользователи ОО не обязаны регистрироваться, но такую возможность им
необходимо предоставить. Тем не менее, пользователям, выбравшим регистрацию, необходимо прямо
посылать информацию (или уведомление о ее доступности).
142