ГОСТ Р 56939—2016
тивом программы и документацией наклейкой, разрываемой при первом вскрытии упаковки. Описание процедуры
передачи ПО пользователю следует разрабатывать в соответствии с требованиями семейства ALC_DEL «Постав ка»
по ГОСТ Р ИСО/МЭК 15408-3.
5.5.3.2В состав поставляемого ПО должны быть включены эксплуатационные документы в
объеме, достаточном для правильной настройки и безопасного применения программы.
Для организации работ, выполняемых в процессах жизненного цикла ПО. и подтверждения соот
ветствия требованиям настоящего стандартадолжны бытьоформлены эксплуатационныедокументы.
П р и м е ч а н и е — В эксплуатационных документах следует определить перечень и эталонные значения
конфигурационных параметров программы. Данную информацию можно использовать для выявления уязвимостей
программы, появившихся в результате определения конфигурации (параметров настройки) программы. Виды раз
рабатываемых эксплуатационных документов могут соответствовать ГОСТ 19.101. При наличии а программе функ
циональных возможностей, обеспечивающих реализацию мер защиты информации, эксплуатационные документы
следует разрабатывать в соответствии с требованиями семейств AGD_OPE «Руководство пользователя по эксппуа-
тации» и AGD_PRE «Подготовительные процедуры* по ГОСТ Р ИСО/МЭК 15408-3.
5.6 Меры по разработке безопасного программного обеспечения, реализуемые при
решении проблем в программном обеспечении в процессе эксплуатации
5.6.1 Меры по разработке безопасного программного обеспечения, подлежащие реали
зации
При выполнении решения проблем в ПО разработчикПОдолжен реализовать следующие меры:
- реализация и использованиепроцедурыотслеживания иисправленияобнаруженныхошибокПО
и уязвимостей программы;
- систематический поиск уязвимостей программы.
5.6.2 Цели и результаты реализации мер по разработке безопасного программного обес
печения
РеализациямерспособствуетдостижениюцелиустраненияошибокПО и уязвимостейпрограммы,
выявляемых в процессеэксплуатации ПО.
В результате успешной реализации мер ошибки ПО и уязвимости программы, обнаруженные в
процессе эксплуатации ПО. регистрируют, анализируют иустраняют.
5.6.3 Требования к реализации мер по разработке безопасного программного обеспечения
5.6.3.1 Разработчик ПОдолжен реализоватьпроцедуру, позволяющую выполнять отслеживание
и исправлениеобнаруженных ошибок ПО иуязвимостей программы. Процедураустранения ошибокПО и
уязвимостей программы должна обеспечивать прием и обработку сообщений от пользователей об
ошибках ПО иуязвимостяхпрограммы изапросовна ихустранение. По результатам обработкисообще
ний от пользователейобошибкахПО иуязвимостяхпрограммы можнопроводитьдоработкупрограммы.
Разработчик ПО должен обеспечить доведение до пользователей информации об уязвимостях
программы и рекомендаций по ихустранению, в том числе путем обновления ПО.
При реализацииданноймерыследуетопределитьпричиныошибокПО и уязвимостей программы и
принять меры по предотвращению подобныхошибок ПО иуязвимостей программы в будущем.
Для организации работ, выполняемых в процессах жизненного цикла ПО. и подтверждения соот
ветствия требованиям настоящего стандартадокументация разработчика ПОдолжна содержать:
- описание процедуры отслеживания и исправления обнаруженных ошибок ПО и уязвимостей
программы;
- описание методов приема и обработки сообщений от пользователей об ошибках ПО и уязви
мостях программы;
- описание методов доведениядо пользователей информации об уязвимостях программы и реко
мендаций по их устранению, в том числе путем обновления ПО;
- списоквыявленныхошибокПОиуязвимостей программы и описаниедействий, направленныхна
ихустранение, либо обоснование невозможности или отсутствия необходимости в их устранении.
РазработчикуПО следуетобеспечитьконфиденциальностьинформации, связанной свыявленны-
ми уязвимостями программы.
П р и м е ч а н и е — Документацию, отражающую вопросы устранения ошибок ПО и уязвимостей програм
мы. выявляемых а процессе эксппуатации ПО. следует разрабатывать в соответствии с требованиями семейств
ALC_FLR «Устранение недостатков» по ГОСТ
Р
ИСО/МЭК 15408-3.
5.6.3.2 Разработчик ПОдолжен предложить пользователю решение проблемы в ситуации, когда
неизвестная ранее уязвимость программы используется для проведения компьютерной или сетевой
атаки на информационную систему пользователя.
13