Подменить требование к АС - Форум по вопросам информационной безопасности

Добрый день, коллеги.
Имеется АС 1Г, в которой для обработки КИ используется самописное ПО, сделанное на макросах в ms office. Заказчик отказаться от данного ПО категорически не согласен.
Насколько понимаю, получается, что исходные коды приложены, теоретически могут быть модифицированы и "трансляторы" не используются. Раньше с таким не сталкивался, возник вопрос: как выполнять соответствующее требование к целостности? В лоб насколько понимаю не выйдет, можно ли вместо "использованием трансляторов" и "отсутствием средств модификации" задействовать контроль целостности + ограничение прав сикретнетом, есть ли право на такие "замены"?
ps: АС аттестуется

ПО на проверку в ФСТЭК

to Raptyk
ФСТЭК сам занимается кокой-то проверкой ПО? И что проверяет, на что это повлияет в данной ситуации?
Уточнение чисто риторическое, т.к. даже если Вы ничего не перепутали сценарий малореальный.

Может я путаю, но целостность предъявляется только к СЗИ.

В АС можно применять самописное, а также СПО и прочее ПО, главное чтобы оно было приобретено на законных основаниях и имело лицензии. В случае СПО и самописного в техпаспорте указывается либо какая-нибудь лицензия GNU, либо ставится прочерк.

Пока писал, решил заглянуть в РД АС.
Читаем:

>>Должна быть обеспечена целостность программных средств СЗИ НСД, а также неизменность программной среды.

При этом:
- целостность СЗИ НСД проверяется при загрузке системы по контрольным суммам компонент СЗИ<<

Я так понимаю. Нужно обеспечить целостность только СЗИ НСД (СКЗИ Панцирь, SecretNet и т.п.), а также нужно обеспечить неизменность состава ПО. Т.е. если в техпаспорте указали Windows XP, Office, Adobe Photoshop и пр., то добавлять прочее ПО после аттетации можно будет только по согласованию с атт. органом.

Одним словом, мой личный ответ на поставленный вопрос темы: можно применять самописное ПО. Просто занесите его в техпаспорт и всё.

Если ставите СЗИ от НСД на АРМ, то можете в нем настроить проверку контроля целостности (вычисления контрольных сумм) для наиболее критичных файлов: файлы операционой системы, файлы СЗИ от НСД, файлы офиса и т.д.
Если СЗИ от НСД нет, то можно попробовать поставить hashtab со всеми вытекающими.
Есть вариант для этих целей продать заказчику, что-нибудь сертифицированное ФСТЭК России. =)

to Александр.
Путаете, РД "недочитали". Не думал что нужно приводить цитаты, ну да ладно:
"- целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации;"
Да, я тоже могу плюнуть и выдать аттестат не заворачиваясь, может быть (и вероятно) проверяющие даже не обратят внимания...
Однако, мне хочется иметь адекватное обоснование почему приведенное требование не выполнено/заменено другим.
ps: неужели никто из коллег не аттестовывал объекты с ПО в исходных кодах? Те же веб-серверы, для госуслуг с ПДн? Или обход обозначенной проблемой считается "ноу-хау"?

to Комрад.
Как я написал в исходном посте, я догадываюсь о подобных возможностях, вопрос в том, имею ли я право, и на каком основании, подменить ими явно прописанное требование.

Не все требования РД закрываются при помощи программных сертифицированных средств. Часть требований закрывается при помощи организационно-технических мер.

Пропишите в аттестате, что ответсвенный за эксплуатацию объекта обязан производить ежедневный контроль целостности ВСЕХ файлов компьютера для исполнения пункта такого-то РД.

Если хотите официального отпущения грехов - согласуйте методику аттестационных испытаний в региональном управлении ФСТЭК России.

to Комрад

Контроль целостности я могу и сертифицированным СЗИ сделать, вопрос был именно в том имею ли я право заменять им упомянутое требование. Если даже не придаваться формализму - нет гарантий что код не будет модифицирован после загрузки (=проверки целостности), а требование вроде как раз для защиты от этого. Какое-нибудь организационное мероприятие замещающее собой использование транслятора я бы прописал, но пока фантазии не хватило, буду благодарен если подскажете.

Вероятность согласования методики для обсуждаемой системы я оцениваю как бесконечно малую - важность системы не та, хотя возможно ошибаюсь? Никогда не приходилось.