Прикладное ПО может содержать уязвимости, которые не видны ни при настройке, ни при сканировании. Анализ по ОУД4 нужен, когда к программе предъявлены требования доверия: при сертификации средств защиты, поставке ПО для чувствительных систем, подтверждении качества разработки перед использованием в защищенных информационных системах. Выбор уровня доверия определяется требованиями к объекту или условиями сертификации.

• Определить объект оценки, границы функций безопасности и требования доверия, которые необходимо подтвердить.
• Получить от разработчика документацию: функциональную и проектную спецификации, описание архитектуры, руководства, материалы по управлению конфигурацией и поставке.
• Проверить соответствие документации заявленным требованиям доверия и фактической реализации.
• Провести анализ исходных текстов и сборки, выявить ошибки реализации и уязвимости, проверить использование сторонних компонентов.
• Выполнить динамические проверки и тестирование функций безопасности, проверку устойчивости к типовым атакам.
• Оформить заключение: выявленные недостатки, их опасность, рекомендации разработчику и итоговый вывод.
• После устранения недостатков повторить проверку и зафиксировать результат.

Заключение (отчет) об анализе программного обеспечения по ОУД4 с перечнем выявленных уязвимостей и недостатков, оценкой их опасности, рекомендациями разработчику и результатами повторной проверки.

Анализ проводит независимая организация с экспертами по анализу ПО и опытом работы по ГОСТ Р ИСО/МЭК 15408; для работ в рамках сертификации необходимо учитывать требования испытательной лаборатории. Разработчик предоставляет документацию и исходные тексты, участвует в устранении недостатков.

• Уточнить, какой уровень доверия и какая процедура нужны по условиям сертификации или требованиям заказчика, прежде чем заказывать работы.
• Проверить опыт исполнителя в анализе исходных текстов и работе по ГОСТ Р ИСО/МЭК 15408.
• Согласовать доступ к исходным текстам, условия конфиденциальности и права на результаты.
• Уточнить, что входит в работы: документация, статический и динамический анализ, тестирование функций безопасности, повторная проверка.
• Заложить время на устранение недостатков разработчиком и повторную проверку.