Сертификат на соответствие ТУ - Форум по вопросам информационной безопасности

Подскажите пожалуйста, что дает сертификат на соответствие ТУ. Например, защищенная ПЭВМ, есть сертификат ФСТЭК, что она соответствует ТУ и может использоваться для объектов 2 и 3 категории. Что дальше? Чем хуже например собрать такую же ПЭВМ с ПО, СЗИ от НСД и генератором шума и предложить Заказчику? Чем он может мотивировать отказ, что вот мол защищенная ПЭВМ с сертификатом лучше, чем комплект? в законе о техрегулировании сказано, что ТУ необязательный документ.

Во-первых именно ПЭВМ, сертифицированных на соответствие ТУ лично я ни разу не видел :) "На соответствие требованиям действующих НМД" - сколько угодно. Как говорят в Одессе - это две больших разницы.
В связи с вышеизложенным, полагаю, что Ваш вопрос поставлен некорректно.
Теоретически некая ПЭВМ в комплекте с неким генератором шума может быть и защищена. Но вот условия официализации именно такого варианта защищённости, допускаемые, опять же - действующими НМД, не позволяют такой "доработанный" комплект эксплуатировать где угодно без проведения дополнительных СИ. То есть напрочь теряется смысл "доработки". Почему? Читайте документы.
Прямой ответ на Ваш вопрос должен звучать так:
"Сертификат на соответствие ТУ" для ПЭВМ не даёт ничего".
Доработанная ПЭВМ, с Предписанием на эксплуатацию, удовлетворяющая требованиям НМД выгодна Заказчику тем, что при выполнении требований Предписания её можно установить на любом объекте и аттестовать либо совсем без проведения объектовых СИ, либо с весьма сокращённым их объёмом. И уж точно не надо проводить лабораторные СИ.
Насчёт необязательности ТУ - это вопрос дискуссионный. Так же, как и ГОСТ-ов. Если вписано заказчиком, если это оборонзаказ и т.д. - полно оговорок, когда эта "необязательность" не действует. Кстати, на мой взгляд - правильно. Я просто не знаю никакого документа, хоть в малой степени заменяющего ТУ. Разве что ТТХ, но это то же самое, только название иное. Где ж ещё указать все параметры, которым должно удовлетворять изделие? Да, в конце концов как не назови, но всё равно некий свод параметров и требований нужен.
Чак

1) Открываю реестр СЗИ ФСТЭКа и вижу сертификаты есть на ПЭВМ Обруч, Флагман, Панцирь-М на соответствие именно ТУ, а не на соответствие НМД
2) каким образом проводится доработка и насколько она легальна? по каким документам можно ПЭВМ дорабатывать? если взять допустим какие то экранированные кабели для монитора может "фонить" меньше будет, но где прописаны такие меры доработки?

Налицо "моя твоя не понимай".

ТУ, равно как и задание по безопасности ГОСТ 15408, - документы,.в которые разработчики включают произвольные требования. Хотя ТУ и согласовываются с ФСТЭК, согласующая подпись означает только то, что к данному СЗИ требования этих документов имеют какой-то смысл. Сертификация на Ту (ЗБ) означает только то, что СЗИ соответствует этому набору требований. В этом смысле "ТУ - необязательный документ" и "сертификат соответствия ТУ не значит ровным счетом ничего".

Создаваемая ИС должна соответствовать требованиям НМД. Если для выполнения требований НМД вы используете функции безопасности СЗИ, сертифицированного на соответствие ТУ (ЗБ), вы обязаны убедиться, что:
- используемые вами функции безопасности действительно заявлены в ТУ (ЗБ)
- вы используете их строго в соответствии с ТУ (ЗБ)

В этом смысле ТУ (ЗБ) обязательны для вас как для разработчика ИС.

Если для выполнения каких-то требований НМД в ТУ (ЗБ) нет соответствующих функций безопасности, вы обязаны выполнить эти требования помощью других сертифицированных СЗИ.

"Сертификат на соответствие ТУ" для ПЭВМ не даёт ничего"
Дает право использовать как ВТСС подключенные к сетям междунородного обмена в ВП.
Сильно облегчает объектовку на некотрых объектах.

"каким образом проводится доработка и насколько она легальна?"
Методов не так много: экранировка и фильтрация, выбор комплектующих/

"по каким документам можно ПЭВМ дорабатывать?"
По действующим методикам.

" если взять допустим какие то экранированные кабели для монитора может "фонить" меньше будет, но где прописаны такие меры доработки?"

Непонятно зачем они где то должны быть прописаны? Таких требований (по описанию технических мер доработки для ОТСС) нет в НМД.

А так для каждой из сертифицированных ПЭВМ есть паспорт там есть параметры и требования которым ПЭВМ соответствует в рамках сертификации.

Для sekira | 43604
"Сертификат на соответствие ТУ" для ПЭВМ не даёт ничего"
Дает право использовать как ВТСС подключенные к сетям междунородного обмена в ВП.
Сильно облегчает объектовку на некотрых объектах.

Можно хотя бы пример, какие есть сертификаты в этом направлении (абонентские пункты Интернет для ВП), кому (заявитель) и кем (регулятор) выданы, может быть ссылку на копию в сети.

Говорят, что Шевцов заявлял, что в текущем году должны появиться "требования к СВТ в защищённом исполнении" (типа такого), кто слышал?

> кто слышал

Да, действительно. Семейство профилей защиты взамен РД СВТ. Сроки выхода пока не знаю, недели через две уточню.

Доброго времени суток :)
Начёт сроков, да и относительно содержания финальной версии не осведомлён. Но проект рецензировал и уже довольно давно. Так же знаю, что не только наша фирма этим занималась. Правде это был проект сертификационных требований совместно с программой сертификационных же испытаний.
А вот "профилей" я не видел...
Так что ждём-с ;)
Для Кира | 43607:
А какой толк от ВТСС, если в его документации (а в ТУ такое, обычно, не вписывается) нет данных по r1? Нет данных по АЭП ... В ТУ именно этого никогда не встречал. А вот в Предписании - в первую очередь. Если же всё мною перечисленное (и ещё кое-что) вписать в ТУ (причём не просто вписать, а на основании требований соответствующих НМД) то получится, что "де юре" сертифицировано "по ТУ", а "де факто" - "по требованиям YVL@/ Тогда зачем городить промежуточную бумагу в виде ТУ? И, самое главное, где написано и чем подтверждено, что в ТУ вписаны "правильные" требования?
Нет, хоть круть-верть, хоть верть-круть, а сертификация должна быть именно и только на соответствие НМД. Иначе это просто бумажка и не более.
Кстати к этому всё и идёт, и в официальной позиции регулятора тоже.
Чак

> Тогда зачем городить промежуточную бумагу в виде ТУ?

Требования НМД, как правило, выполняются комплексом средств защиты. А каждое СЗИ этого комплекса сертифицируется отдельно. Поэтому сертифицировать СЗИ на соответствие НМД вы не можете в принципе.

Поэтому делается промежуточный документ, в который закладываются те требования НМД, которые выполняются сертифицируемым СЗИ.

К моменту аттестации совокупность функций безопасности сертифицированных СЗИ должна выполнять требования НМД, что и подтверждается аттестацией.

> И, самое главное, где написано и чем подтверждено, что в ТУ вписаны "правильные" требования?

Подтверждено согласующей подписью начальника 4 отдела 2 управления ФСТЭК России на титульном листе ТУ.

Добрый день.
Коллега, логика в рассуждениях имеется, не спорю. Тем не менее, как минимум, одна "закавыка" имеется. ТУ, как правило, особенно с таким контекстом, документ ограниченного распространения. Кроме как представить его в отдел сертификации - ни одного производителя никогда не заставить "засветить" сей документ покупателю. В результате у клиента так и не будет официализованного свидетельства того, что изделие удовлетворяет требованиям НМД. А сертификат - пожалуйста, копию - кому угодно. Разве что только на забор не вывешивают.
За исключением области, с которой началась тема (именно "доработанные" ПЭВМ) в сертификатах на все средства защиты (и контроля защищённости, кстати), производимые у нас (и не только у нас) всегда указывается и указывалось именно соответствие требованиям вполне конкретных НМД, причём с указанием наименований этих документов. Это - общая практика. Во многих случаях - и соответствие ТУ, и соответствие НМД. Но последнее - всегда.
Более того, намедни получили сертификат МО на одно изделие - абсолютно то же самое. Изготавливается по ТУ, а соответствует - полное и точное наименование НМД. Ну и ещё некоторые дополнительные "свойства". То есть всё традиционно.
Чак