Оценка СКЗИ
Под оценкой СКЗИ могут пониматься два вектора:
- Оценка влияния СКЗИ (оценка встраивания СКЗИ или же тематические исследования СКЗИ)
- Оценка соответствия СКЗИ требованиям ФСБ России (сертификация / декларирование соответствия СКЗИ)
Так как второй вектор мы подробно разобрали в отдельной статье, то сегодня поговорим про вектор оценки влияния СКЗИ.
Так что же такое оценка влияния СКЗИ?
Это оценка встраивания СКЗИ, иными словами оценка корректности встраивания СКЗИ в программное обеспечение, совместно с которым предполагается штатное функционирование средств криптографической защиты информации (СКЗИ), на выполнение предъявленных к ним требований.
Такие работы относятся к системе обязательной сертификации средств защиты информации по требованиям безопасности информации ФСБ России № РОСС RU.0003.01БИ00.
Требования по оценке влияния СКЗИ
Основным нормативным документом, регламентирующим необходимость проведения оценки влияния СКЗИ является:
Особое внимание стоит обратить на пункты: 31, 32, 33, 34, 36, 37, 39, 40, 46, 47.
Но также, указание о необходимости проведения тематических исследований имеется и в документе:
В частности, это приведено в пятом пункте.
Зачем нужна оценка влияния СКЗИ
Согласно ПКЗ 2005:
Пункт 32: «Тематические исследования СКЗИ выполняются в процессе всего цикла создания, производства и эксплуатации СКЗИ организациями, имеющими право на осуществление отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами (далее — специализированные организации)».
Т.е. оценка влияния СКЗИ проводится не только на этапе создания и производства СКЗИ, но и на этапе эксплуатации.
Пункт 46: «СКЗИ эксплуатируются в соответствии с правилами пользования ими. Все изменения условий использования СКЗИ, указанных в правилах пользования ими, должны согласовываться с ФСБ России и специализированной организацией, проводившей тематические исследования СКЗИ».
Т.е. при использовании СКЗИ вне рамок, установленных эксплуатационной документацией — необходимы повторные тематические исследования.
Пункт 47: «СКЗИ, находящиеся в эксплуатации, должны подвергаться контрольным тематическим исследованиям, конкретные сроки проведения которых определяются заказчиком СКЗИ по согласованию с разработчиком СКЗИ, специализированной организацией и ФСБ России».
Т.е. да и в принципе любое СКЗИ должно подвергаться контрольным тематическим исследованиям.
А теперь давайте посмотрим, что говорит об этом приказ ФСБ 117:
Пункт 5: «В случае если это предусмотрено документацией на СКЗИ в отношении аппаратных, программно-аппаратных и программных средств, с которыми в ИС предполагается штатное функционирование СКЗИ, должна быть проведена оценка их влияния на выполнение предъявляемых к СКЗИ требований».
Т.е. при использовании в информационной системе СКЗИ, необходимо внимательно изучить эксплуатационную документацию на СКЗИ на предмет необходимости проведения тематических исследований.
Оценка влияния СКЗИ Vipnet CSP
Конкретным примером необходимости проведения оценки влияния — является встраивание Vipnet CSP в программные комплексы.
Вот конкретная выдержка из формуляра на Vipnet CSP 4.4:
«При встраивании Vipnet CSP в прикладное ПО необходимо проводить (по согласованному с ФСБ техническому заданию) оценку влияния прикладного ПО на встроенное Vipnet CSP (исполнение 1, 2, 4, 5)…»
«Для Vipnet CSP (исполнение 3, 6) указанная оценка влияния проводится в обязательном порядке».
Т.е. если вы встраиваете Vipnet CSP в разработанное ПО — практически всегда необходимо проводить оценку влияния СКЗИ.
Порядок оценки влияния СКЗИ
Для того, чтобы пройти оценку влияния СКЗИ (тематические исследования) — сначала нужно подготовиться.
Общий порядок подготовки к оценке встраивания СКЗИ можно представить следующим образом:
- Оценка применяемых СКЗИ и эксплуатационной документации на нее, на предмет требований к аппаратно-программному обеспечению (к среде функционирования) и указаний о необходимости проведения тематических исследований в заданных случаях.
- Оценка программного обеспечения, в котором планируется эксплуатация СКЗИ — на предмет соответствия эксплуатационной документации на СКЗИ.
- Подготовка комплекта документации на ПО для предоставления в испытательную лабораторию ФСБ.
- Разработка технического задания на оценку влияния СКЗИ и его согласование с ФСБ.
- Оценка наличия лицензии ФСБ России для работы со средствами криптографической защиты (если ИС создается юр. лицом на коммерческой основе — не для собственных нужд).
По результатам подготовки, можно будет смело подавать заявку на тематические исследования — не переживая за отрицательный результат.
Что предлагаем мы?
Мы специализируемся на оценке соответствия СЗИ и СКЗИ много лет, в том числе, в части оценки влияния СКЗИ.
С целью подготовки программного обеспечения к оценке встраивания СКЗИ — рекомендуем заказать полный спектр консультационных услуг:
1. Обследование и оценка готовности объекта исследований к оценке влияния, включая:
- консультирование по нормативной документации в заданной области
- оценка применяемых заказчиком криптографических средств и необходимости проведения оценки влияния
- оценка наличия полного пакета программной документации
2. Обследование и оценка готовности соискателя заключения к прохождению оценки влияния, включая:
- консультирование по нормативной документации в заданной области
- оценка правообладания ПО и СКЗИ (наличия законного права владения)
- оценка наличия необходимых лицензий
3. Разработка отчетной документации по п. 1 и 2 проекта
Срок оказания услуг — до 1 мес.
На выходе вы получите полное понимание процесса оценки встраивания СКЗИ, а также будете готовы подать заявку в подобранную для вас испытательную лабораторию — после устранения выявленных недостатков.
