Контроль на наличие НДВ - Форум по вопросам информационной безопасности

> Во-первых, что такое ТУ?

Технические условия.

> Подготовить документацию на ПО согласно ГОСТ 19.xxx-78, включая список файлов дистрибутива с контрольными суммами.
Достаточно проблематичный пункт...

Тем не менее, его придется выполнить.

> Вопрос №1 - на какой Уровень Контроля ориентироваться и как он связан с Классами защищенности АС по ФСТЭК?

Если мне не изменяет мой склероз, уровень контроля определяется нормативными документами по защите информации соответствующего уровня секретности. Т.е. для информации, не составляющей гос. тайну (для АС это класс 1Г) вам достаточно нзшего уровня контроля, а на более высокий класс вы вряд ли сможете претендовать.

> Вопрос №2 - кто должен подготавливать программную документацию по ГОСТу

Абсолютно не важно, главное - чтобы она была утверждена либо разработчиком, либо заявителем и была передана испытательной лаборатории.

> Для этого нужно пройти сертификацию по ЗБ/ТУ (?).

Или ЗБ, или ТУ.

> Для этого нужно: 3) оформить Профили Защиты... 4) оформить Задание по Безопасности (ЗБ)

Актуально только для сертификации по ГОСТ 15408.

ПЗ - не нужно. ПЗ - документ, устанавливающий минимальные требования к определенной группе решений в том случае, если при выполнении этих требований уже неважно, какое именно из сертифицированных решений этой группы будет использоваться. При этом сертификация все равно проводится по ЗБ, просто ЗБ ссылается на ПЗ и включает в себя все его требования. Это наверняка не ваш случай.

В сертификации по ТУ эти самые ТУ играют роль ЗБ.

> Вопрос №3- если по каким-то параметрам возможности программы в плане авторизации, аутентификации и аудита (СЗИ НСД) не соответствуют требуемым профилям защиты...

Если они не соответствуют ребованиям ЗБ(ТУ), вы не получите сертификат. Если ЗБ не соответствует требованиям ПЗ, на который ссылаются, ФСТЭК не согласует вам ЗБ и отправит вас переписывать ЗБ.

Ели вы хотите получить заветную приписку "сожет использоваться в АС класса X или ИСПД класса Y", продукт должен реализовывать часть функций, установленных методическими документами ФСТЭЕ для АС и ИСПД этих уровней. Приписка означает, что продукт может использоваться в этих системах как средство защиты, реализующее эти (и только эти) функции.

> Вопрос №4 - на какой Оценочный Уровень Доверия...

Однофигствено. В российских системах сертификации парадигма ГОСТ 15408 извращена, и ОУД рояля не играет. Поэтому и произволится дополнительно сертификация по НДВ, частично компенсирующая этот момент.

> 5) построить некий комплекс,...

Нет, только описать в документаци требования к необходимому программному и аппаратному обеспечению. Тестовый стенд - проблема испытательной лабораории, хотя на практике бывает проще предоставить им доступ к своему стенду (если требуется что-то, отличное от офисных писбков).

> Вопрос №5 - программная документация на ПО описывает только собственное ПО, но не сторонние системы/железо.

ГОСТ 19.402 "Описание программы", раздел "Использумые техничские средства". Плюс руководство по инсталляции. Если в этих разделах нет свеждений, достаточных для развертывания стенда, вместо сертификата получите замечания от испытательной лабюолратории и приостановку работ по сертификации до их устранения.

> Сертификат будет означать, что автоматизированная система в составе такого-то ПО

Сертификационые испытания, которые проведет испытательная лаборатория, покажут, что заявленные в ЗБ/ТУ функции безопасности реаизованы и соответствуют ребованиям ЗБ/ТУ. Если эти функции, к тому же, соответствуют части требований, предъявляемых к АС или ИСПД определенных классов, по вашей просьбе испытательная лаборатория может написать в своем заключении рекомендацию "... может использоваться в ...". На основании этой рекомендации ФСТЭК может сделать в сертификате соответствующую приписку.

> В итоге получается 2 сертификата - по НДВ и по ЗБ.

В итоге получится один сертификат, но по двум нормативам - НДВ и ЗБ/ТУ.

Забыли, что для НДВ и ЗБ с ОУД 4 понадобятся исходные коды, а для ЗБ с ОУД выше первого - тестовая документация разраболтчика и еще много чего, чего они давать категорически не любят.

Мда, не простой процесс. Матчасть еще учить и учить :(

>Ели вы хотите получить заветную приписку "сожет использоваться в АС класса X или ИСПД класса Y", продукт должен реализовывать часть функций, установленных методическими документами ФСТЭЕ для АС и ИСПД этих уровней...
Означает ли это, что, например, если требуется функция идентификации пользователя по жетонам или биометрии, а в программе реализована только парольная авторизация (причем простейшая), то требуется дорабатывать программу, а не устанавливать сертифицированное ПО для выполнения этой функции?

P.S. знаете ли вы об успешных сертификациях зарубежных систем на класс защищенности 1А-1Б? Или 1Г максимальный?

Спасибо,

Еще вопрос: сертификация по ЗБ, или по ТУ, или по ГОСТ 15408 - взаимоисключающие, или дополняющие друг друга?

>...если требуется функция идентификации пользователя по жетонам или биометрии

Кому требуется?
Требования к функциям безопасности вы определяете сами. Если вы хотите ориентироваться на определенный класс АС, то и требования вы формулируете так, чтобы они соответствовали требованиям соответствующего класса, которые выполняет ваш продукт. Если ваш продукт не выплняет какие-то требования, то вы их не предъявляете, а при внедрении продукта они должны быть выполнены каким-то другим средством. В ЗБ для этого есть даже специальный раздел - "требования к средже объекта оценки" - куда эти требования нужно поместить. В ТУ это не требуется.

Т.е., вам нужно четко представлять, какое место ваш продукт займет в создаваемой с его помощью системе, и соответствующим образом позиционировать его функции безопасности. Остальные функции могут быть реализованы другими прдуктами.

> знаете ли вы об успешных сертификациях зарубежных систем на класс защищенности 1А-1Б?

Посмотрите здесь: http://www.fstec.ru/_doc/reestr_sszi/_reestr_sszi.xls

>сертификация по ЗБ, или по ТУ, или по ГОСТ 15408 - взаимоисключающие, или дополняющие друг друга?

ГОСТ 15408 опредеоояет, как именно писать ЗБ и как именно оценивать продукт при сертификации. Пожтому "сертификацияч по ГОСТ 15408" - не совсем корректное словосочетание, это всегда сертификация на соответствие ЗБ.

ЗБ и ТУ - два разных способа представления одних и тех же требований, поэтому выбирают что-то одно. Сертифицировать по ТУ проще, потому что в низ требования пишутся в свободной форме. В ЗБ фиксированные формулировки требований с небольглй возможностью их кастомизаци. Сперва разработчик ломает мохг над тем, тобы написать человеческое требование в терминах части 2 ГОСТ 15408, а потом сертификатор ломает голову над тем, что же разработчик в этом требовании имео в виду. Обычно сертификацию по ЗБ делают тогда, когда есть уже готовое англоязычное ЗБ на этот продукт.

Спасибо.

В реестре ФСТЭК обратил внимание, что один и тот же продукт проходил сертификацию несколько раз (например, 'Страж NT'), причем ограниченное количество экземпляров. Значит ли это, что программный продукт должен быть сертифицирован под каждого заказчика, или же можно сертифицировать продукт непосредственно вендору и использовать сертификат для всех заказчиков? И если сертифицировано 10 экземпляров продукта, для 11-го клиента нужно получать новый сертификат?

Также обратил внимание, что сертификация абсолютно разная: кто-то сертифицируется на соответствие неким ТУ, кто-то - на определенный уровень контроля НДВ, кто-то еще добавляет классы СВТ, ОУД и МЭ. Почему такой разброд? И каким документов регламентируется написание ТУ?

Спасибо,
С уважением
Евгений

> начит ли это, что программный продукт должен быть сертифицирован под каждого заказчика, или же можно сертифицировать продукт непосредственно вендору и использовать сертификат для всех заказчиков?

Есть три схемы сертификации - единичный образец, серия и производство.

В единичном образце вы сертифицируете один образец, полуаете один знак соответствия, и можете продать только один сертифицированный дистрибутив. Остальные дистрибутивы (идентиные ему) бедет считаться несертифицированными

В серии вы сертифицируете фиксированную партию, и получаете соовтетствующее число знаков соответствия. Дальше принцип тот же - кончилась серия - милости просим на инспекционый контроль ("досертификация" в случае, когада в продукте ничего не изменилось).

В производстве вы получаете право при соблюдении ряда организационых мер, тиражировать дистрибутивы и лицензию на использование знаков соовтетствия в неограниченном количестве.

> Почему такой разброд?

Бардак-с. Потому что сертификация СЗИ построена "по понятиям" - в смысле, недетерминирована. К примеру, МЭ вы можете сертифицировать на соответствие РД МЭ, а можете - на ТУ или ЗБ с аналогичными требованиями. В 2001 г. начался процесс перевода сертификации строго на ГОСТ 15408, потом он заглох, но сейчас внутри ФСТЭК ходяи упорные слухи о том, что в ближайгую пару лет он все-таки будет ловеден до конца. ОУД (оценочный уровень доверия) - атрибут ЗБ.

> И каким документов регламентируется написание ТУ?

Структура - ГОСТ 2.114, содержание рахздела "Технические требовния" - здравым смыслом.