Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении (Выписка)

5.1. Результаты проведения исследований по выявлению уязвимостей и НДВ ОО оформляются отдельным протоколом исследований, разрабатываемым в соответствии с Положением о системе сертификации средств защиты информации, утвержденным приказом ФСТЭК России от 3 апреля 2018 г. № 55. В протоколе должны быть отражены условия и результаты подготовительных действий и исследований, проведенных в соответствии с требованиями разделов 3 и 4 настоящей Методики.

Результаты, представленные в цифровой форме, должны прилагаться к протоколам на одном или нескольких электронных носителях.

5.3. Для подтверждения результатов всех видов инструментальных исследований ОО в протоколы исследований должны быть включены технические результаты, необходимые для подтверждения выполненных действий и пояснения достигнутых результатов, а именно: файлы конфигураций и журналы (логи) запуска инструментов анализа, журналы (логи) работы с результатами анализа, разметка результатов анализа, скриншоты, а также результаты в соответствии с требованиями соответствующих пунктов разделов 3 и 4 настоящей Методики.

Каждое размеченное предупреждение должно быть снабжено комментарием, поясняющим принятое решение. Комментарий должен быть достаточен, чтобы другой участник процессов сертификационных испытаний мог понять основания для принятого решения без проведения тщательного анализа исходного кода или конфигурации ОО. Формулировка пояснений общего вида, таких как «Не эксплуатируемо», «Не несет угроз безопасности информации», «Не применимо» и иные формулировки, а также применение единообразной групповой разметки общего вида в отношении не полностью идентичных причин срабатывания анализатора не допускается и расценивается как некачественно выполненная разметка.