ГОСТ Р ИСО/МЭК 18045—2013
ментация оценщика может быть некорректной. Не соответствующие ожидаемым фактические резуль
таты тестирования могут потребовать внесения корректив в ОО или тестовую документацию, а также,
возможно, повторного выполнения вызвавших коллизию тестов, модификации размера и состава вы
борки тестов. Это решение, как и его логическое обоснование, остается за оценщиком.
13.6.2.5.6 Шаг оценивания ATEJND.2-11
Оценщик должен привести в ТОО информацию об усилиях по тестированию, кратко изложив под
ход к тестированию, тестируемую конфигурацию, глубину и результаты тестирования.
Информация оценщика о тестировании, приводимая в ТОО, позволяет оценщику передать общий
подход к тестированию и усилия, затраченные в течение оценки на вид деятельности по тестирова
нию. Смысл предоставления этой информации состоит в том, чтобы привести содержательный краткий
обзор усилий по тестированию. Не имеется в виду, чтобы информация о тестировании в ТОО была
точным воспроизведением конкретных шагов тестирования или результатов отдельных тестов. Целью
является предоставить достаточные подробности, чтобы позволить другим оценщикам и сотрудникам
органов оценки получить некоторое понимание выбранного подхода к тестированию, объема выпол
ненного оценщиком тестирования, объема выполненного разработчиком тестирования, тестируемых
конфигураций ОО и общих результатов вида деятельности по тестированию.
Информация, относящаяся к усилиям оценщика по тестированию, которая обычно представлена
в соответствующем раздело ТОО. включает:
a) тестируемые конфигурации ОО. Конкретные конфигурации ОО. которые тестировались;
b
) выбранный размер подмножества. Количество протестированных в течение оценки интерфей
сов и логическое обоснование этого размера;
c) критерии выбора интерфейсов, которые составляют тестируемое подмножество. Краткое из
ложение факторов, рассмотренных при отборе интерфейсов для включения в подмножество;
d) протестированные интерфейсы. Краткий перечень интерфейсов, обоснованно включенных
в подмножество;
e) выполненные тесты разработчика. Количество выполненных тестов разработчика и краткое
описание критериев, использовавшихся для выбора данных тестов;
0 вердикт по виду деятельности. Общий вывод по результатам тестирования, проведенного в те
чение оценки.
Данный перечень ни в коем случае не является исчерпывающим и предназначен только для того,
чтобы предоставить некоторое представление о типе информации, касающейся тестирования, выпол
ненного оценщиком в процессе оценки, которую следует привести в ТОО.
13.6.3 Подвид деятельности по оценке (ATEJND.3)
Общее руководство отсутствует; за консультациями по выполнению данного подвида деятельно
сти следует обращаться в конкретную систему оценки.
14 Класс AVA: Оценка уязвимостей
14.1 Введение
Вид деятельности «Оценка уязвимостей» предназначен для того, чтобы сделать заключение
о возможности использования недостатков или уязвимостей в ОО в среде функционирования. Это за
ключение выносится на основании анализа свидетельств оценки и поиска оценщиком общедоступных
материалов и поддерживается тестированием проникновения, проводимым оценщиком.
14.2 Анализ уязвимостей (AVA_VAN)
14.2.1 Подвид деятельности по оценке (AVA_VAN.1)
14.2.1.1 Цели
Цель данного подвида деятельности — сделать заключение, имеет ли ОО. находящийся в своей
среде функционирования, легко идентифицируемые уязвимости, пригодные для использования.
14.2.1.2 Исходные данные
Свидетельствами оценки для данного подвида деятельности являются:
a ) З Б ;
b
) документация руководств:
c) ОО, пригодный для тестирования;
d) общедоступная информация, для поддержки идентификации потенциальных уязвимостей.
169