Требования к ТУ на СрЗИ - Форум по вопросам информационной безопасности

> НДВ тут не причем, хотя только на НДВ пока сертифицировать нельзя

Не надо фантазировать. Можно, и всегда было можно - загляните в реестр сертифицированных СЗИ

> Положение о сертификации СрЗИ требует документации по ЕСКД и ЕСПД.

При сертификации программного СЗИ состав документации определяется только ЕСПД, а ТУ в ЕСПД не входит. При сертификации СВТ - да, согласно ГОСТ 2.102 ТУ являются состовной частью основного комплекта РКД.

> У Вас вот в каком документе даны Гарантии
проектирования?

Вы бы для начала почитали РД, на который ссылаетесь ;)

Согласно РД, гарантия проектирования заключается в наличии модели защиты, которая даже в случае наивысшего класса должна содержать:
- непротиворечивые правила изменения ПРД;
- правила работы с устройствами ввода и вывода;
- формальную модель механизма управления доступом.

По ЕСПД место такой модели - либо в отдельном документе, либо в "Описании программы". По ЕСКД место такой модели - либо в отдельном документе, либо в "Пояснительной записке". В обоих случаях включать этот материал в ТУ неуместно - см. структуру ТУ в ГОСТ 2.114.

> А само Изделие разрабатывалось в соответствии с Временным положением о разработке?

При сертификации оценивается изделие, а не порядок его разработки.

> В любом случае, неоднозначность требований и "недосказанность"...

Вот только не надо "бороздить просторы". Фактический порядок сертификации известен и аккредитованным ИЛ, и органам по сертификации: ТУ обязательны только для сертификации на ТУ.

Плохо разобрались.
- Цитата - Не надо фантазировать. Можно, и всегда было можно - загляните в реестр сертифицированных СЗИ

Вы плохо разобрались.
Сертифицировать на НДВ можно только СрЗИ - где доказательство, что Изделие является СрЗИ если нет Сертификата? А если СрЗИ - то нужен сертификат обязательно. НДВ только дополнение к проверкам по НСД.
Цитата из РД НДВ: "Руководящий документ разработан в дополнение:
- РД «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации», М., Военное издательство, 1992 г.;"

Плохо разобрались.
- Цитата "При сертификации программного СЗИ состав документации определяется только ЕСПД, а ТУ в ЕСПД не входит. При сертификации СВТ - да, согласно ГОСТ 2.102 ТУ являются состовной частью основного комплекта РКД".
- Все бы было так гладко, не требовали ТУ. Поищите требование на ЕСКД.

Плохо разобрались.
Цитата: "Согласно РД, гарантия проектирования заключается в наличии модели защиты, которая даже в случае наивысшего класса должна содержать:
- непротиворечивые правила изменения ПРД;
- правила работы с устройствами ввода и вывода;
- формальную модель механизма управления доступом".
- Гарантии проектирования должны быть отражены в конструкторской документации, как пример ТУ ЕСКД. Документы по ЕСПД ничего не гарантируют потребителю, кроме документа Формуляр )), так в Формуляре модель защиты не описывается.


Опять ошибаетесь.
Ответ на два последних замечания.
При сертификации серийного производства проводится предварительная проверка производства, в дальнейшем аттестация. РД и НМД как это делать нет за исключением Временного положения мало относящегося к производству.

Поэтому...Вы не сталкивались в полной мере с "глубокими" экспертами из органов по сертификации.

> Вы плохо разобрались.

"Я вас ни фига и не убеждаю. Это - факт" ;)

Это в юридических вопросах я теоретик, а практической стороной сертификации занимаюсь с 2000 года и, к сожалению, по сей день.

Что могу скзать...странно, что Вы не знаете и не понимаете требований НМД....узнайте во ФСТЭК России, можно ли сертифицировать на НДВ Изделие не являющее средством защиты.

> узнайте во ФСТЭК России, можно ли сертифицировать на НДВ Изделие не являющее средством защиты

Фи, было бы, что узнавать.

Берем Microsoft Office, декларируем у него хоть какие-то функции безопасности, и он превращается в "программное средство общего назначения со встроенными средствами защиты от несанкционированного доступа к информации". Которое можно сертифицировать хоть на ТУ, хоть на НДВ, хоть на ГОСТ 15408.

Как-то раз довелось наблюдать за сертификацией софтины, которая тупо выполняла обработку изображений. Из всех функций безопасности была только аутентификация единственного пользователя по PINу. И ничего ;)