Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

5.3. Для подтверждения результатов всех видов инструментальных исследований ОО в протоколы исследований должны быть включены технические результаты, необходимые для подтверждения выполненных действий и пояснения достигнутых результатов, а именно: файлы конфигураций и журналы (логи) запуска инструментов анализа, журналы (логи) работы с результатами анализа, разметка результатов анализа, скриншоты, а также результаты в соответствии с требованиями соответствующих пунктов разделов 3 и 4 настоящей Методики.

Каждое размеченное предупреждение должно быть снабжено комментарием, поясняющим принятое решение. Комментарий должен быть достаточен, чтобы другой участник процессов сертификационных испытаний мог понять основания для принятого решения без проведения тщательного анализа исходного кода или конфигурации ОО. Формулировка пояснений общего вида, таких как «Не эксплуатируемо», «Не несет угроз безопасности информации», «Не применимо» и иные формулировки, а также применение единообразной групповой разметки общего вида в отношении не полностью идентичных причин срабатывания анализатора не допускается и расценивается как некачественно выполненная разметка.