Порядок аттестации объектов

Регламентом стандарта предусмотрено, что сначала владелец ИС создает ее профиль защиты или задание по безопасности. Формализовать критерии выбора - что именно писать, профиль или задание по безопасности, довольно трудно. Если организация небольшая, то более эффективной будет разработка задания по безопасности. Если информационная система очень велика - возьмем для примера ведомство с огромным количеством филиалов, причем требования к подсистеме информационной безопасности примерно одинаковы для всех филиалов, но информационные системы в филиалах построены с некоторыми различиями, - то эффективнее разработать профиль защиты. Такой профиль описывает функции безопасности, которые должны обеспечиваться в ИС каждого филиала независимо от того, с помощью каких ОС, СУБД и прикладного ПО они построены. А для каждого филиала в данном случае необходимо написать отдельное задание по безопасности.

После разработки задания в соответствии со списком необходимых функций безопасности подбираются средства или системы защиты информации, реализующие данные функции. Выбранные системы должны быть сертифицированы по ГОСТ 15408 на соответствие разработанным заданиям по безопасности. В подсистеме защиты информации применяются выбранные средства или СЗИ в той конфигурации, в которой они описаны в задании по безопасности на ИС. И, наконец, подсистема информационной безопасности сертифицируется на соответствие заданию безопасности по ГОСТ 15408.

Учитывая все вышесказанное, нетрудно заметить, что для аттестации ИС недостаточно простой установки сертифицированной ОС (например, Windows XP) на всех компьютерах организации. Необходимо разработать профиль (как минимум - задание по безопасности) на автоматизированную систему с непротиворечивой моделью угроз, политик и предположений безопасности. После этого нужно подобрать такие сертифицированные по "Общим критериям" программные продукты, функции безопасности которых позволяют защититься от описанных угроз (и вот в числе этих продуктов уже может использоваться ОС Windows XP).

Сертификация Windows XP по "Общим критериям"

Как сообщалось, 22 января 2004 г. ОС Microsoft Windows XP прошла сертификацию. Сертификат № 844 подтверждает, что Windows XP Professional (Service Pack 1a) соответствует заданию по безопасности MS.Win_XP_SP1a.ЗБ. Но: внимание! В сертификате указано, что сертифицирована партия Windows XP из 300 штук. Заявитель - ФГУП "Предприятие по поставкам продукции Управления делами Президента Российской Федерации". Вывод: на рынке сейчас отсутствует сертифицированная ОС Windows XP.

Последствия для рынка

Для производителей СЗИ

Чтобы уяснить себе последствия перехода на сертификацию СЗИ по ГОСТ 15408-2000 для производителей СЗИ, необходимо вкратце описать некоторые стороны порядка сертификации по "старым" нормативам. Ранее существовали (и пока продолжают действовать) несколько РД Гостехкомиссии, которые определяли требования, например, для межсетевых экранов, для систем защиты информации от несанкционированного доступа, для антивирусов и т. д. Данные требования, однажды созданные, содержали небольшой и при этом статичный набор, который не изменялся со временем, несмотря на появление новых угроз, видов атак и даже функций безопасности самого продукта.

При этом два средства защиты, например, два межсетевых экрана, могли быть сертифицированы по одному документу и с формальной точки зрения обладали одинаковым функционалом. Однако на практике между ними могли быть значительные различия: например, один межсетевой экран управляется локально, не имеет горячего резервирования, не выполняет трансляцию адресов и т. д., а у второго все эти функции есть. В то же время с точки зрения сертификата данные межсетевые экраны одинаковы и могут использоваться для защиты конфиденциальной информации.

Теперь же, после принятия ОК, на каждый из таких межсетевых экранов можно создать собственный профиль для сертификации. Но технологически более слабый продукт не сможет быть сертифицирован по тому же профилю, что и функционально превосходящее его средство защиты. И хотя ясно, что на рынке ИБ существует конкуренция, после введения ОК конкурентные преимущества тех или иных продуктов будут уже формально зафиксированы в сертификате Гостехкомиссии России. Это очень и очень важный факт при выборе системы защиты информации, особенно для госструктур.

Кроме того, если будет введено постановление о взаимопризнании сертификатов, российский рынок СЗИ (но только тех, которые не предоставляют криптографических функций) становится открытым для конкуренции с зарубежными производителями и поставщиками.

Таким образом, можно прогнозировать, что наиболее востребованными станут услуги в области информационной безопасности, которые предоставляют российские специализированные интеграторы, и программные продукты, реализующие криптографические функции в соответствии с российскими стандартами (средства для создания виртуальных частных сетей, криптопровайдеры и т. д).