В среду 26 июня на площадке «Армии 2019» мне удалось поучаствовать в круглом столе, посвященном вопросам противодействия киберугрозам и безопасной разработки.
Вел круглый стол Арутюн Ишханович Аветисян — Директор ИСП РАН.

Что интересно, в круглом столе принял участие и Дмитрий Николаевич Шевцов (Начальник 2 Управления ФСТЭК России), который рассказал нам о последних событиях по совершенствованию системы сертификации ФСТЭК России.  

Остановлюсь подробнее на некоторых моментах этого доклада.

Приказом ФСТЭК России от 30 июля 2018 г. N 131 утверждены Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий (далее – Требования к уровням доверия). Эти требования пришли на смену РД НДВ, который использовался с 1999 года.

В соответствии с информационным сообщением от 29 марта 2019 года N 240/24/1525 (https://fstec.ru/normotvorcheskaya/informatsionnye-i-analiticheskie-materialy/1812-informatsionnoe-soobshchenie-fstek-rossii-ot-29-marta-2019-g-n-240-24-) Требования к уровням доверия обязательны к применению с 1 июня 2019 года.

Любая сертификация по линии ФСТЭК России теперь возможна только с учетом выполнения требований этого документа. Таким образом, даже при сертификации только на соответствие требованиям технических условий или заданию по безопасности, теперь необходимо дополнительно проводить проверки на соответствие Требованиям к уровням доверия (как минимум по 6 уровню контроля).

Основные требования доверия:

Применимость Требований доверия к СЗИ использующимся в информационных системах, обрабатывающих персональные данные, системах ГИС, АСУТП и КИИ теперь достаточно прозрачная:

Помимо Требований к уровням доверия была также разработана и утверждена Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении.

Требования к уровням доверия — актуальный документ для повышения безопасности разрабатываемого программного обеспечения.

Теперь также необходимо выполнять и требования ГОСТа по безопасной разработке (ГОСТ Р 56939-2016 Защита информации. Разработка безопасного программного обеспечения. Общие требования), требования которого должны реализовывать все разработчики средств защиты информации.

Нам также напомнили о необходимости своевременного исправления уязвимостей и доведения обновлений до пользователей сертифицированной версии программного обеспечения.

По этому вопросу есть соотвествующий регламент в БДУ (https://bdu.fstec.ru/site/regulations). Его необходимо придерживаться  всем Заявителям сертифицированных решений.

Также в соответствии с информационным сообщением ФСТЭК России от 29 марта 2019 года N 240/24/1525 всем разработчикам СЗИ необходимо провести оценку соответствия своих решений требованиям доверия до января 2020 года. После этого срока планируют начать приостановления действия сертификатов соответствия, не соответствующих Требованиям к уровням доверия.

Еще нам рассказали о том, что недавно прошло обучение 20 экспертов испытательных лабораторий по новой Методике выявления уязвимостей и неделарированных возможностей в ПО на базе ГНИИ ПТЗИ ФСТЭК России совместно с ИСП РАН.

Кстати, в этом обучении приняли участие и наши эксперты испытательной лаборатории «Эшелон».

C июля начнется следующее обучение еще 20 специалистов.

В области безопасной разработки уже утверждены два стандарта и ведется разработка третьего — по оценке безопасной разработки.

Дмитрий Николаевич упомянул и оценил вклад нашей компании «Эшелон» как разработчиков указанных стандартов.

Не так давно был разработан и стандарт по классификационным меткам (ГОСТ Р 58256-2018 Защита информации. Управление потоками информации в информационной системе. Формат классификационных меток) для применения в системах с мандатным управлением доступом.

Теперь средства защиты информации с модулями мандатного управления доступом должны выполнять требования этого стандарта в обязательном порядке, иначе их сертификация будет невозможна.

Также нам рассказали о ведущейся разработке еще двух стандартов про формальную модель защиты и ее верификацию. Нас всех призвали активнее участвовать в их обсуждении в рамках ТК 362.

После чего в рамках круглого стола также выступил с интересным докладом Виталий Вареница (Директор департамента сертификации и тестирования компании «Эшелон») по  теме поиска уязвимостей в WEB-приложениях:

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *