Недокументированные (недекларированные) возможности системного и прикладного ПО - Форум по вопросам информационной безопасности

И Постановления правительства РФ от 01.11.2012 г. N 1119 следует, что бы определить уровень защищенности (исходя из которого - прыгать дальше) необходимо сначала понять какое используемое в ИСПДн ПО (системное и прикладное) имеет/не имеет "недокументированные (недекларированные) возможности".
И вот вопрос, а как это понять?
М/б есть какая-нибудь методика определения или как?

Буду благодарен за помощь в решении данного вопроса.

Априоре, угрозы НДВ присутствуют как в СПО, так и в ППО. Вопрос в их актуальности при разработке МУ.
Мне кажется, что, как и для ПЭМИН, актуальность угроз НДВ можно будет определять на основе "экспертного" заключения (хотя это вилами по воде).

Я то исхожу из требований 1119, которое распространяется на всех, кто вообще работает с ПД.
Потому и интересен опыт данной классификации, как то определял, если конечно методики нет, хотя, судя по всему, её нет, точнее это не просто посчитать, сложить вычесть.

1119 - бумага ради бумаги.
Никогда не заработает без подзаконнных НПА, с разъяснениями разной дури типа этой и других
там много наверчено через....
Ждите пока ФСБ и ФСТЭК разъяснялки родят
оно 781 отменило?
Значит должна быть замена...
Для ГоС интересны рыбы от УИ мэрии...правда что-то их сайт сейчас неживой совсем

вот ссылка на копию
http://hghltd.yandex.net/yandbtm?text=%D0%9C%D0%B5%D1%82%D0%BE%D0%B4%D0%B8%D1%87%D0%B5%D1%81%D0%BA%D0%B8%D0%B5%20%D1%80%D0%B5%D0%BA%D0%BE%D0%BC%D0%B5%D0%BD%D0%B4%D0%B0%D1%86%D0%B8%D0%B8%20%D0%BE%D1%80%D0%B3%D0%B0%D0%BD%D0%B0%D0%BC%20%D0%B8%D1%81%D0%BF%D0%BE%D0%BB%D0%BD%D0%B8%D1%82%D0%B5%D0%BB%D1%8C%D0%BD%D0%BE%D0%B9%20%D0%B2%D0%BB%D0%B0%D1%81%D1%82%D0%B8%20%D0%B3%D0%BE%D1%80%D0%BE%D0%B4%D0%B0%20%D0%9C%D0%BE%D1%81%D0%BA%D0%B2%D1%8B%20%D0%BF%D0%BE%20%D0%BE%D1%80%D0%B3%D0%B0%D0%BD%D0%B8%D0%B7%D0%B0%D1%86%D0%B8%D0%B8%20%D0%B7%D0%B0%D1%89%D0%B8%D1%82%D1%8B%20%D0%BA%D0%BE%D0%BD%D1%84%D0%B8%D0%B4%D0%B5%D0%BD%D1%86%D0%B8%D0%B0%D0%BB%D1%8C%D0%BD%D0%BE%D0%B9%20%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8%20%D0%B8%20%D0%BF%D0%B5%D1%80%D1%81%D0%BE%D0%BD%D0%B0%D0%BB%D1%8C%D0%BD%D1%8B%D1%85%20%D0%B4%D0%B0%D0%BD%D0%BD%D1%8B&url=http%3A%2F%2Fui.mos.ru%2Fru%2Flibraly%2Frecomendations%2F%3Fid19%3D112%26i19%3D1&fmode=inject&mime=html&l10n=ru&sign=9fb48ff2db3ee3ad738a415131ce85fc&keyno=0
вставьте в браузер...когда заработает посмотрите нормальные
а пока вот вам рыбное мясо...на пока посмотрите не оглавление

2Прохожий
За "рыбу" спасибо, только про НДВ вопрос она не снимает. )))

Выпускаете приказ о назначении комиссии по классификации ИСПДн.
Комиссия, своим "экспертным" заключением, признает угрозы НДВ неактуальными.

ustav
А потом приходит ФСТЭК и СвоиМ экспертным мнением признает данные угрозы актуальными и впаяет за невыполнение требований.
))

Не переживайте, сразу не "впаяют" )) Сначала предписание на устранение выдадут.

А вообще хорошо, что хоть СП не заставляют делать!

Ну я понял бы если у вас сплошняком ПО с открытым кодом или открытое.
А на остальное положите на стол лицензии или договора.
Что Вас пугает?
Если все серьезно - наймите каких-то там лисси или других котттэ у которых это профильная лицензированная деятельность.
Они вам за отдельные деньги проведут исследования и выдадут гамаги

А ведь ustav 42438 вам дело предложил - у буржуев это называется дельфийский метод.
Если один эксперт не прав и два не правы - у пятерых-семерых есть шанс...заставьте работать ПДТК со своими ИСПДН если они такие важные для вас и не будете бояться фстэка