ГОСТ Р ИСО/МЭК 18045—2013
ществуют некоторые проблемные конструкции, тодо окончания исследования исходных текстов следу
ет вынести неокончательный вердикт.
Оценщику в процессе исследования исходных кодов следует верифицировать, что любое исполь
зование проблемных конструкций не вносит уязвимостей. Оценщику следует также удостовериться,
что конструкции, не предусмотренные соответствующим стандартом, не используются.
В документации по инструментальным средствам разработки следует определять все формули
ровки. условности, директивы, использованные в представлении реализации.
ИСО/МЭК 15408-3 А1_С_ТАТ.2.3С: В документации по инструментальным средствам разработ
ки должны быть однозначно определены значения всех опций, обусловленных реализацией.
12.8.3.4.3 Шаг оценивания ALC_TAT.2-3
Оценщик должен исследоватьдокументацию инструментальных средств, чтобы сделать заключе
ние. однозначно ли определены в ней значения всех опций, обусловленных реализацией.
В документацию инструментальных средств разработки программного обеспечения следует
включать определения опций, обусловленных реализацией, которые могут повлиять на содержание
выполняемого кода, и тех, которые отличаются от стандарта используемого языка. В случаях, когда
оценщику предоставляется исходный код. ему также следует предоставить информацию по используе
мым опциям компиляции и сборки.
В документации инструментальных средств проектирования и разработки аппаратных средств
следует описать использование всех опций, которые влияют на результаты применения инструменталь
ных средств (например детальные аппаратные спецификации или сами аппаратные средства).
12.8.3.5 Действие ALC_TAT.2.2E
12.8.3.5.1 Шаг оценивания ALC_TAT.2-4
Оценщик должен исследовать аспекты процесса реализации, чтобы сделать заключение о том.
что были применены документированные стандарты реализации.
Этот шаг оценивания требует, чтобы оценщик проанализировал предоставленное ему представ
ление реализации 0 0 для вынесения заключения о том. были ли применены документированные стан
дарты реализации.
Оценщику следует верифицировать, что конструкции, исключенные из документированного стан
дарта. не используются.
Кроме того, оценщику следует проверить процедуры разработчика, которые обеспечивают при
менение определенных стандартов в пределах процесса проектирования и реализации ОО. Поэтому,
помимо получения письменного свидетельства, оценщику следует посетить среду проектирования. По
сещение среды проектирования позволит оценщику:
a) наблюдать за применением определенных стандартов:
b
) исследовать письменное свидетельство применения процедур, описывающих использование
определенных стандартов;
c) провести интервью с сотрудниками, ответственными за разработку, чтобы проверить наличие
у них понимания относительно применения определенных стандартов и процедур.
Посещение участка разработки — полезное средство для приобретения доверия к используемым
процедурам. Решение не совершать такой визит следует принимать только после консультации с орга
ном оценки.
Оценщик сравнивает предоставленное ему представление реализации с описанием применяе
мых стандартов реализации и верифицирует их использование.
На этом уровне доверия не требуется, чтобы всё представление реализации ФБО было целиком
основано на стандартах реализации: требование касается только тех частей, которые непосредственно
разработаны самим разработчиком ОО. Оценщик может сверяться со списком конфигурации, требуе
мым в семействе «Область УК» (ALC_CMS), для получения информации о том. какие части разработа ны
непосредственно разработчиком ОО. а какие — сторонними разработчиками.
Если стандарты реализации, на которые ссылаются, не применяются хотя бы к части предостав
ленного оценщику представления реализации, то результат данного шага оценивания отрицательный.
Следует отметить, что части ОО. которые не относятся к ФБО. не должны исследоваться.
Этот шаг оценивания может быть выполнен в сочетании с действиями оценивания поADVJMP.
12.8.4 Подвид деятельности по оценке (ALC_TAT.3)
12.8.4.1 Цели
Цель данного подвида деятельности — сделать заключение, использовал ли разработчик или его
субподрядчики полностью определенные инструментальные средства разработки (например языки
148