Уровень защищенности - Форум по вопросам информационной безопасности

2Владимир

Вот вам разжевыалка - первое что попалось под руку
http://www.software-testing.ru/library/testing/security/86
Еще раз советую - Перечитайте стандарты ISO - quality testing
и не мучайтесь так больше - пустое это

Проблема защищённости и безопасности программных продуктов

Определения для основных понятий, которые будут использоваться в статье. Обоснование определений для понятий защищённости и безопасности ПП можно найти в [13].

Программный продукт — множество компьютерных программ, процедур вместе с соответствующей документацией и данными (Международный стандарт ISO / IEC 14598-1-6:1998-2001 «Software engineering — Product evaluation» ).

Программа — данные, предназначенные для управления конкретными компонентами системы обработки информации в целях реализации определенного алгоритма (ГОСТ 19781-90 «Программное обеспечение систем обработки информации. Термины и определения»).

Защищенность ПП — способность противодействовать несанкционированному вмешательству в нормальный процесс его функционирования, а также попыткам хищения, незаконной модификации, использования, копирования или разрушения самого ПП, его составляющих, данных и информации, входящих в состав ПП, доступных ему в процессе выполнения или заложенных в него во время разработки.

Безопасность ПП — способность ПП достигать приемлемого уровня риска для здоровья и наследственности людей, их бизнеса, компьютерных систем (в том числе, находящимся в них данным и программного обеспечения), имущества или окружающей среды в отсутствие нарушений законов и норм права при данном способе (контексте) применения.

Вот вам и Некто подтвердил - пустое это и хлопоты не о чем

Что то Вы меня не в ту степь повели
В том то и суть, что в программном продукте уже реализованы элементы по матрице из РД АС для соотв. уровня защищенности
Разговор был о том, чтобы об этом официально заявить
В испытательную лабораторию я обращался, объяснил что есть такой-то продукт, есть такая-то необходимость, сказали, что для начала надо получить лицензию на разработку, а потом уже можно писать заявку и сертифицироваться, не на НДВ (так как оно мне не надо) а как раз по РД АС

Сейчас изучаю статью, которую Вы порекомендовали. Спасибо

Вот еще один аспект
Еще один недостаток существующей системы сертификации - пересертификация. Практически любое ПО требует изменений, а уж системы защиты - тем более. Поэтому изменение даже одной строчки кода требует пересертификации, что приводит к новым затратам и т.д. Кстати, с этим связан и еще один недостаток. Сертифицировать можно единичный экземпляр, партию или производство системы защиты. Для зарубежных продуктов, которые очень широко используются в России, предусмотрено только для первых варианта. А теперь представьте себе вполне реальную ситуацию - мы имеем два межсетевых экрана, поставляемых на одинаковых носителях, в одинаковой комплектности и даже контрольные суммы у них совпадают. Но... серийный номер одного МСЭ прописан в сертификате, а серийный номер второго - нет. С точки зрения потребителя, да и любого специалиста, разницы между этими продуктами нет. Они оба реализуют одинаковые защитные функции. Но один имеет сертификат, а второй нет.

Значит вам еще доверенную загрузку надо будет прикручивать или вы совсем без патчей будете жить?

Тут геморов не перечесть если покопаться - тяжело вам Владимир будет!

Владимир,

вас сейчас окончательно запутают. Возьмите для примера нас с Некто. Один из нас пишет лажу. Наличие в природе действующих сертификатов на пакет Microsoft Office, который, как гласит сертификат "может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно", поджсказывает нам, кто именно, но точно вы не знаете.

Поэтому на на вашем месте я бы поступил очень просто:
1. позвонил бы в отдел сертификации и лиццензирования ФСТЭК и задал оба интересующих вас вопроса
2. не получив ответ или не поняв его, обратился бы в три испытательные лаборатории из реестра ФСТЭК с предложением провести сертификацию и запросил бы у них требования к составу необходимой программной документации.

malotavr, обижаете :)
Все сказанное вами не противоречит тому, что говорил я. Есть некие разногласия, которые вызваны нюансами в понимании требований нормативных документов и наличием собственного опыта (обстоятельств здесь не оглашаемых). Но уж сразу и ЛАЖА?! :) Не пугайте юношество. Пусть само разберется. Там более, что я также адресовал к перечню аттестованных испытательных лабораторий.

Про юношество это Вы хорошо сказали :D
В общем выводы сделал, большое спасибо за ответы, всё было очень полезно
Итога правда нет. Как и до создания темы - на все сто никто сейчас в этой области не ответит
Так правда и не уловил, какой перечень документов по сертификации в моем случае, нето куда ни глянь - гос.тайна
Про необходимость лицензии я конечно позвоню и уточню, уверен что лучше получить, чем потом доказывать, что не верблюд
Что не нужна аттестация - это отлично
А как сертифицировать - ну что, придется разбираться уже с регулирующими органами
Что хочу получить я хорошо понимаю, осталось правильный путь выбрать, чтобы "коня не потерять и самому целым остаться"

Однозначно еще буду вопросы задавать, всё равно у кого-то опыт есть и он не маленький, это ведь хорошо видно

Еще раз спасибо

> Владимир, ваше ПО - это СЗИ? Если нет, то возможна сертификация только на НДВ. И никакого 1Г вы туда не присобачите.

:) "Лажа - ..., неправда, вымысел, ..., дезинформация" (Словарь синонимов русского языка).

Microsoft Office не является средством защиты информации, и тем не менее сертифицирован по ГОСТ 15408. Я вам в реестре сертификатов еще с десяток подобных примеров найду. Разумеется, если в программе вообще нет никаких функций безопасности (как в случае виндового калькулятора), ни о какой сертификации речи быть не может. Но топикстартер спрашивал про сертификацию "защищенного программного средства".

malotavr,
не передергивайте!
Кстати, в 15408 ни о каких 2В, 3А и даже 1Г речи не идет.

> Кстати, в 15408 ни о каких 2В, 3А и даже 1Г речи не идет.

Естественно.

Софт вообще нельзя сертифицировать по этим классам, поскольку это классы АС. Поэтому софт сертфицируют по ГОСТ 15408 или ТУ, а уже испытательная лаборатория, на основании заявленных в документе функций безопасности, делает заключение о том, в АС какого класса заявлленые функции безопасности можно использовать. В сертификате делается соответствующая отметка.

Недавно проходили процедуру сертификации во ФСТЭК продуктов западного производителя. Продукт не подходил по описанию и функциональным характеристикам под РД СВТ, коды естественно никто давать не хотел, поэтому был предложен вариант ТУ (что удовлетворяет большинство заказчиков).
При обращении в различные испытательные лаборатории нам было сказано, что для подачи заявления на сертификацию (независимо от размера партии) заявитель должен иметь лицензию на деятельность по разработке СЗКИ. Примерный срок сертификации - 6 месяцев.
Для получения лицензии нам потребовалось аттестовать помещение, автоматизированную систему, предоставить документы о профильном образовании сотрудников и арендовать КИО (тоже есть нюансы)