Контроль на наличие НДВ - Форум по вопросам информационной безопасности

Уважаемые специалисты, проясните, пожалуйста, что подразумевается под понятием "контроль на наличие недекларированных возможностей в ПО"?

Это имеется ввиду только сертификация ПО или же возможны иные варианты?

И ещё вопрос. Есть документ "Руководящий документ. Защита от несанкционированного доступа к информации Часть 1. Программное обеспечение средств защиты информации
Классификация по уровню контроля отсутствия недекларированных возможностей". Существует ли Часть 2.?

Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации
от 4 июня 1999 г. № 114

Не наличия, а отсутствия :)

Проводится только в рамках соответствующей сертификации - заявитель утверждает, что в программном коде нет ничео некорректного/опасного. Части 2 нет.

Все очень просто - это когда Вам впаривают иностранную софтину которая должна обеспечить шифрование на приемлимом для потребителя уровне.
А в результате покупаете нечто что быстро работает но ничего не защищает а попутно ...(1....287...)
Вот эти 287... и есть НДВ.
А Вы думали как пиндосты Ирак побили?
РЭБ+НДВ в оборонном софте от НАТО+много мычания о злобных кознях законного лидера станы.

>>>Не наличия, а отсутствия :)<<<
С Вами полностью согласен, однако "основных мерояприятиях...", которые утратили уже силу, есть запись:
"Кроме этого, в ИСПДн должен проводиться контроль на наличие недекларированных возможностей в программном и программно-аппаратном обеспечении и анализ защищенности системного и прикладного программного обеспечения."

Значит, насколько я понял, такой контроль возможен, только исключительно, при проведении сертификационных действий. Жалко, хотя всё логично.

Коллеги, имею желание уточнить - проверка на НДВ проводится на сертификационных испытаниях только для ПО средств защиты информации.

> однако "основных мерояприятиях..."

Отсюда мораль - не надо читать всякую каку :) E;t даже ФСТЭК выпустило распоряжение о неприменении этого документа.

> когда Вам впаривают иностранную софтину

Как раз с иностранными софтинами фиг вы контроль отсутствия НДВ пройдете. Случаи есть, но редкие.

У нас и своего мусора достаточно, но без НДВ.
Так стоит ли тащить чужой чтобы мучиться еще и при контроле на НДВ?
Когда на коллегии в Минсвязи (это года три назад было) Реймана спросили - а сколько в процентах от всего импортированного и установленного В России оборудования (и софта в т.ч.) гарантированно чисто от НДВ - он на голубом глазу ответил - до 7%.
Ну не прелесть?
Толпа идиотов растет...все хотят хапнуть ....
На родину нас.... когда платят...

Ещё возник вопрос, уже больше из интереса.

Существуют ли материалы по практике проведения контроля на отсутствие НДВ? Т.е., где можно почитать/посмотреть как и чем проводят сертификационные испытания. Какой анализатор кода использую, какую эмулирующую среду для запуска ПО и т.п.
К тому же интересно как проверяется ПО, с помощью которого будут проводиться испытания, например тот же анализатор кода сам может иметь НДВ. Есть ли "эталонное" ПО для сертификайционных испытаний.

> У нас и своего мусора достаточно, но без НДВ.
> Так стоит ли тащить чужой чтобы мучиться еще и при контроле на НДВ?

Стоит - хотя бы для того, чтобы не оказаться в ситуации "без портков, но в шляпе". Что-то я как-то не наблюдаю на российском рынке российских промышленных СУБД. И отечественных АСУ ТП у нас тоже не густо.

И причина вполне очевидна: российский разработчик просит денег на создание в обозримом будущем продукта неизвестного качества, а импортный разработчик предлагает уже имеющийся продукт уже известного (хорошего или плохого, но известного и приемлемого) качества.

>Толпа идиотов растет...все хотят хапнуть ....
>На родину нас.... когда платят...

Профинансируйте из своего кармана (или своими трудозатратами) разработку с нуля отечественной операционной системы - получите право на подобные заявления. Лозунгами на форумах кидаться - все мастера. Только толку от ваших лозунгов.

> Существуют ли материалы по практике проведения контроля на отсутствие НДВ?

В открытом доступе нет. Злые языки говорят, что некоторые методики не стоит публиковать, иначе у потребителя может возникнуть резонный вопрос, а на фига кому-то сдалось? :)

> Какой анализатор кода использую,

В основном - мозги и метод пристального взгляда. Некоторые частные задачи (поиск "лишних" фрагментов кода или потенциально опасных конструкций) решают с помощью АИСТа, но это - небольшая часть работы.

> какую эмулирующую среду для запуска ПО и т.п."

Операционную систему общего назначения.

Чудес не бывает :)