Сертификация ПО - Форум по вопросам информационной безопасности

Подскажите пожалуйста. Для обеспечения 3-его уровня защищенности, от угроз НДВ прикладного ПО должно ли всё подряд ПО сертифицироваться?
Radmin, Finereader и т.п.? Желательно подтвердить ответ нормами закона!

Не должны. И норм в НМД по СЗИ ИСПДн нет. Как можно привести того чего нет!?
Как вариант ФСТЭК писал. Но только как вариант.

Александр,
прикладное ПО может ВООБЩЕ не сертифицироваться на НДВ (да и ни на что другое тоже). Требования к сертификации предъявляются только к ПО СЗИ.

"Требования к сертификации предъявляются только к ПО СЗИ"

пункт 12 - 21 приказ - там только для 1 и 2 уровня и 3 с оговоркой.

2 sekira
Оно, конечно. Но вопрос-то был про прикладное ПО, причем тут вообще этот пункт? В нем речь идет о ПО СЗИ.
Вот если функции защиты прикладного ПО использовать в целях ЗИ, тогда другой вопрос.

Наличие/остутствие (вернее, актуальность) НДВ в ППО влияет на исходный уровень защищенности.

Влияет. Но это вовсе не значит, что если нет сертификата на НДВ, то угроза актуальна.

Если не проводятся своевременное обновление ПО и анализ защищенности, а также, если софт "самописный" - угроза 2 типа вполне актуальна.

При определении актуальности угроз НДВ в ППО не мешает ещё руководствоваться и моделью нарушителя, потому как воспользоваться данными угрозами может только нарушитель с высоким потенциалом

Складывается впечатление, что на форуме в последнее время говорят об одном и том же, ни в какую не соглашаясь друг с другом. Не прав был мудрец, говоря, что в споре рождается истина...
Нет в стране методики определения угроз НДВ в ИСПДн ни для 1 типа (ОПО), ни для 2 типа (ППО). Типовая позиция ФСТЭК при отсутствии методики в любом случае - ты в любом случае не прав. Но, в то же время, идею с НДВ 1 и 2 типов постановило Правительство РФ. Т.е. любой владелец ИС имеет право на выпады норморегуляторов отвечать, что "я решил, что НДВ у меня в ИСПДн нет" (в случае, когда не зарегистрированы атаки на ИСПДн с использованием НДВ - против факта, как говорится, не попрешь). И указать ему, что он не прав может только Правительство РФ, а не ФСТЭК или ФСБ или РКН или еще кто-либо. А Правительство с каждой конкретной ИСПДн разбираться не будет. Как-то так...
Хотите реальную безопасность? Разрабатывайте ППО в соответствии с правилами "защищенного программирования" (ГНИИ ПТЗИ курсы проводит в этой области, в частности). Ставьте сертифицированную ОС, либо ОС отечественной разработки из доверенного источника (тоже вопрос, да). Либо проводите реальную оценку нарушителей и рисков безопасности и доказывайте нецелесообразность рассмотрения НДВ в своей ИСПДн.