La certificazione presso il Servizio federale per il controllo tecnico e delle esportazioni (FSTEC) viene eseguita quando è necessario confermare la conformità dei prodotti sviluppati ai requisiti di sicurezza delle informazioni.
Il laboratorio di prova di CJSC IBTrans testa da più di dieci anni il software nel sistema di certificazione degli strumenti di sicurezza delle informazioni secondo i requisiti di sicurezza delle informazioni. Vengono eseguiti test per verificare la conformità ai requisiti dei documenti disciplinanti della Commissione tecnica statale della Russia e comprendono ispezioni dei prodotti e relativa documentazione.
Nel trasporto ferroviario, di norma, i controlli del software vengono eseguiti secondo i requisiti del documento regolamentare “Protezione contro l'accesso non autorizzato alle informazioni Parte 1. Software degli strumenti di sicurezza delle informazioni. Classificazione in base al livello di controllo dell'assenza di capacità non dichiarate.
Disponibilità del richiedente
Disponibilità della documentazione del programma secondo GOST ESPD (ESKD)
Disponibilità dei codici sorgente del software
Disponibilità di software funzionalmente completo (versione software stabile)
*Il richiedente è un'organizzazione di sviluppatori di software, utente di software, rappresentante ufficiale di una società di sviluppatori straniera nella Federazione Russa, che richiede la certificazione di software
Raccolta di informazioni
Definizione del nome e designazione del prodotto software
Determinazione della quantità di codice sorgente da analizzare per l'assenza di NDV
Indirizzi per il test del software
Strumenti di sviluppo hardware e software
*NDV - opportunità non dichiarata
Trasferimento di informazioni
Il richiedente si rivolge al laboratorio di analisi con le informazioni raccolte. Il laboratorio prove, sulla base dei dati ottenuti, valuta la possibilità di realizzare l'opera, i tempi ed i costi.
*Laboratorio di test - un'organizzazione accreditata dal FSTEC della Russia per i test di certificazione degli strumenti di sicurezza delle informazioni.
Offerta commerciale
Il laboratorio di prova forma un'offerta commerciale indicando la sequenza dei lavori, la procedura di calcolo, il costo e i tempi delle prove, giustificati dai documenti regolamentari e dalla pratica lavorativa.
Preparazione della domanda
Il richiedente (con il supporto informativo del Laboratorio di prova) redige una "Domanda di certificazione del software per l'assenza di capacità non dichiarate" su carta intestata con il timbro dell'organizzazione e la invia all'FSTEC della Russia.
Informazioni contenute nella domanda: indirizzo; nome e coordinate bancarie del Richiedente; nome dei prodotti soggetti a certificazione; schema di certificazione; requisiti di conformità ai quali viene effettuata la certificazione; indirizzo del tuo Laboratorio di Test preferito.
Puoi scaricare il modulo per la richiesta di certificazione QUI.
*FSTEC della Russia - Organismo federale per la certificazione dei prodotti per i requisiti di sicurezza delle informazioni
Ottenere una decisione
L'organismo federale di certificazione (FSTEC della Russia) esamina la richiesta di certificazione entro un mese, determina lo schema di certificazione degli strumenti di sicurezza delle informazioni, il laboratorio di prova, tenendo conto delle proposte del richiedente e nomina l'organismo di certificazione.
Sulla base dei risultati dell'esame della Domanda, l'FSTEC della Russia invia al richiedente, all'Organismo di Certificazione e al Laboratorio di Prova designato per la certificazione, le Decisioni sulla domanda di certificazione. La Decisione di Certificazione specifica il nome del prodotto, lo schema di certificazione, il Laboratorio di Prova che testa i prodotti e l'Organismo di Certificazione che controlla il processo di certificazione.
*Organismo di certificazione - un'organizzazione (persona) autorizzata che monitora lo stato di avanzamento dei test e conduce un esame dei materiali di prova di certificazione
Conclusione di un accordo
Coordinamento di tutte le condizioni di lavoro tra il Richiedente e il Laboratorio di Prove. Sulla base delle consultazioni tra le parti, viene formato un programma di lavoro. La firma del contratto determina l'inizio delle prove di certificazione.
Inoltre, viene concluso un accordo con l'organismo di certificazione per l'esame dei materiali di prova. Un accordo con l'Organismo di Certificazione può essere concluso sia dal Laboratorio di Prova che dal Richiedente. L'opzione consigliata è quella di concludere un accordo tra il Laboratorio di prova e l'Organismo di certificazione.
Analisi della documentazione
Trasferimento da parte del Richiedente della documentazione di programma del prodotto oggetto delle prove di certificazione al Laboratorio Prove.
La documentazione del programma comprende il seguente elenco di documenti, sviluppati tenendo conto dei requisiti degli standard ESPD (ESKD):
Modulo (GOST 19.501-78)
Specifica (GOST 19.202-78)
Descrizione del programma (GOST 19.402-78)
Descrizione dell'applicazione (GOST 19.502-78)
Testo del programma (GOST 19.401-78)
Sviluppo di un programma di test
Sulla base dei risultati dell'analisi della documentazione, gli specialisti del Laboratorio di prova sviluppano un "Programma e metodologia per l'esecuzione di test di certificazione" del prodotto.
Il programma e la metodologia di test determinano la sequenza di controlli effettuati da specialisti di laboratorio per valutare la conformità di un prodotto software ai requisiti dei documenti normativi pertinenti dell'FSTEC della Russia.
Il programma e la metodologia di prova sono concordati con il Richiedente e approvati dall'Organismo di Certificazione.
Se il prodotto oggetto di certificazione viene sviluppato con la partecipazione di un'organizzazione estera, il Programma e i Metodi di Test vengono inoltre concordati con l'Ente Federale di Certificazione.
Test
Dopo aver concordato il Programma e la Metodologia di Test, gli specialisti di laboratorio iniziano a testare il prodotto software. I test prevedono le seguenti fasi principali:
analisi della documentazione del software,
correggere lo stato iniziale del software,
test del prodotto software (test statico del codice sorgente, analisi dinamica)
Gli specialisti del Laboratorio di test visitano il luogo di test (nell'organizzazione che sviluppa il prodotto software)
Risultati del test
Sulla base dei risultati di tutte le ispezioni dei prodotti certificati, il laboratorio di prova forma un pacchetto di documenti, tra cui:
rapporti di prova del prodotto,
conclusione tecnica,
atti di campionamento, build di software e altri documenti.
L'intero pacchetto documentale, compresa la documentazione del programma del Richiedente, viene sottoposto all'esame dell'Organismo di Certificazione. Al Richiedente viene inviato il parere tecnico del Laboratorio Prove.
Certificazione recentemente ottenuta per la conformità ai requisiti FSTEC della Russia. Il data center Rucloud è progettato secondo la categoria di affidabilità TIER III secondo lo standard TIA-942 (ridondanza N + 1 con un livello di tolleranza ai guasti del 99,98%). L'ottenimento del certificato FSTEC è stato un passo logico in linea con la politica RUVDS: garantire la protezione dei dati dei clienti rimane una delle aree più importanti del nostro sviluppo. Cos'è FSTEC e perché è necessaria la certificazione? Cosa significa questo per noi e i nostri clienti? Maggiori informazioni su questo argomento di seguito.
Nell'attuale periodo turbolento viene prestata particolare attenzione alla sicurezza delle informazioni. Le questioni relative alla sicurezza delle informazioni sono una parte importante dei compiti risolti da agenzie e organizzazioni governative, società commerciali nello sviluppo e nel funzionamento di sistemi informativi, banche dati personali. A questo proposito, è necessario tenere conto dei requisiti della legislazione internazionale e russa per i sistemi informativi progettati per funzionare con tali informazioni.
Ogni anno i requisiti delle autorità nazionali di regolamentazione vengono inaspriti: il Servizio federale per il controllo tecnico e delle esportazioni, il Servizio federale di sicurezza, il Ministero della difesa, il Servizio di intelligence straniero, il Servizio federale di sicurezza, il Ministero delle telecomunicazioni e delle comunicazioni di massa, la Banca di Russia. Ciascuno di essi opera nel proprio ambito di competenza, descritto dalla legge.
Se, ad esempio, l'FSB è "responsabile" della crittografia e l'FSTEC è "responsabile di tutto il resto" (firewall, antivirus, sistemi di prevenzione delle intrusioni, ecc.).
Esistono vari requisiti FSTEC per la protezione di alcuni tipi di informazioni riservate. Sulla base dei risultati della procedura di conferma della conformità di un particolare software o firmware ai requisiti di sicurezza, viene rilasciato un certificato. O non rilasciato, dipende dal risultato.
La valutazione della conformità viene utilizzata in molte aree e la sicurezza delle informazioni non fa eccezione. Nella pratica estera esiste lo standard ISO IEC 15408:2009, progettato specificamente per descrivere i criteri di valutazione dell'IT in termini di sicurezza delle informazioni. La Russia ha i propri mezzi di protezione.
Il data center è soggetto ai requisiti degli ordini 21, 17 e 31 dell'FSTEC russo, ai requisiti dell'FSB russo per la protezione delle informazioni crittografiche, ai requisiti della Banca di Russia, FZ-256 “Sulla sicurezza dei dati impianti complessi per combustibili ed energia”. E questi sono solo i requisiti fondamentali.
Ad esempio, secondo 152-FZ "Sui dati personali", i sistemi per l'elaborazione e l'archiviazione delle informazioni personali dei russi non devono solo essere ubicati sul territorio del nostro Stato, ma anche rispettare i requisiti di sicurezza imposti dalla legge. Ciò è particolarmente vero per gli operatori di data center commerciali, per i quali la sicurezza e la protezione delle informazioni sui clienti è uno dei criteri chiave per valutare la qualità.
Dall'entrata in vigore della 152-FZ, il trattamento dei dati personali contenuti nei sistemi informativi viene effettuato in conformità con questa legge, il che implica l'adempimento da parte degli operatori di tutti i requisiti per il software utilizzato.
Secondo la legge federale 149-FZ, tutto il software nelle strutture statali, delle forze dell'ordine, finanziarie e di altro tipo che elaborano informazioni proprietarie è soggetto alla certificazione FSTEC. La legge consente a tali organizzazioni di utilizzare solo software certificato.
Se i dati personali vengono archiviati in un data center commerciale, aziendale o governativo, i requisiti di legge comportano, tra le altre cose, anche le misure necessarie per la loro protezione fisica. L'insieme specifico di tali misure dipende dal livello di riservatezza stabilito per i dati trattati. Sulla base di ciò, la classe di sicurezza del data center viene selezionata secondo le norme della legge federale e della FSTEC e viene fornita, compresa quella fisica. Il modo più equilibrato per garantire la sicurezza fisica del data center è implementare una protezione multilivello (con diversi perimetri di sicurezza). Come nel caso della difesa in profondità, sfondare un livello non significherà sfondare il sistema di sicurezza.
Insieme alle misure organizzative e alla documentazione, un insieme di misure per proteggere i dati personali comporta l'introduzione di mezzi tecnici di protezione. Secondo la pratica consolidata, si tratta della presenza 24 ore su 24 nel data center e sul suo territorio di guardie armate appositamente addestrate, nonché di apparecchiature di videosorveglianza che coprono il perimetro esterno del data center e dei locali interni.
Anche le organizzazioni che possiedono dati personali dei cittadini sono responsabili della sicurezza di tali dati. Le necessarie misure di protezione fisica derivano direttamente o indirettamente anche da altri standard e regolamenti - internazionali e nazionali, come TIA-942, Sarbanes-Oxley, SSAE 16 / SAS 70, ecc.
Per quanto riguarda la sicurezza fisica, si distinguono i seguenti requisiti: organizzazione di un regime per garantire la sicurezza dei locali, controllo dell'accesso fisico alle infrastrutture, compresi locali e strutture, controllo dell'ingresso e della rimozione delle apparecchiature, compresi i mezzi meccanici. Particolare attenzione viene prestata all'accesso non autorizzato alle informazioni. La corretta costruzione e documentazione delle procedure di controllo degli accessi consentono di soddisfare i requisiti necessari per garantire la sicurezza fisica.
Quali sistemi e strumenti sono certificati nel nostro data center?
Tutte le azioni vengono costantemente registrate, l'attività sul posto di lavoro viene controllata per individuare eventuali sospetti e, se necessario, può essere bloccata con notifica alle persone responsabili. Viene utilizzato software certificato, a partire dal sistema operativo Windows certificato FSTEC e software specializzato per il controllo degli accessi e il filtraggio del traffico fino alla protezione antivirus e un hypervisor.
Pertanto, lo spazio di lavoro, che è direttamente correlato ai dati del cliente, è protetto. Ciò avviene utilizzando strumenti del sistema operativo su workstation, database, prodotti antivirus e di sicurezza specializzati, firewall, strumenti di controllo degli accessi (ACS), backup e ripristino, distruzione dei dati e controllo dell'eliminazione delle informazioni.
Se il cliente chiede di spostare la sua infrastruttura su una macchina separata, puoi proteggerla completamente, ad esempio installando lì VipNet, SecretNet e alcuni antivirus speciali. E allo stesso tempo, i servizi che forniamo saranno certificati e il nostro parere sul lavoro svolto per proteggere l'infrastruttura del cliente sarà sufficiente affinché lui possa riferire alle autorità di regolamentazione.
La fase di certificazione dell'infrastruttura IT del cliente viene eliminata, riducendo così fino al 50% i costi e i tempi di manodopera richiesti, l'importo degli investimenti richiesti viene significativamente ridotto e il processo di certificazione dei sistemi informativi viene notevolmente facilitato.
Per quanto riguarda i dati personali, i nostri server sono fisicamente ubicati nella Federazione Russa, RUVDS dispone anche delle licenze del Servizio federale per la supervisione delle comunicazioni, dell'informatica e delle comunicazioni di massa n. 137295 del 30/10/2015 (“Servizi di comunicazione telematica”) e n. 137296 del 30.10.2015 ("Servizi di comunicazione dati, esclusi i servizi di comunicazione dati per scopi vocali"), quindi potete stare tranquilli sull'attuazione di questa legge federale.
Ottenere una licenza FSTEC è un investimento nello sviluppo strategico dell'azienda. La licenza FSTEC non solo conferma la competenza dell'azienda a lavorare con dati personali, ma consente anche di offrire servizi alle aziende, comprese quelle del settore pubblico, tenute a rispettare i requisiti per la protezione delle informazioni riservate, ad esempio, loro stessi dispongono di una licenza FSTEC e ci trasferiscono come fornitore di servizi dati che sono soggetti a protezione secondo gli standard FSTEC.
Oltre al backup a livello di data center e alla certificazione da parte di FSTEC, RUVDS dei dati personali e delle informazioni aziendali di terzi. Oltre all'assicurazione generale, RUVDS insieme ad AIG intende offrire ai propri clienti condizioni uniche per l'assicurazione individuale delle loro attività e dei dati aziendali.
E, naturalmente, le tue risorse saranno nel nostro data center: il traffico di rete viene analizzato 24 ore su 24, 7 giorni su 7, e la protezione ti consente di resistere stabilmente ad attacchi con una capacità fino a 1500 Gbps. Il sistema analitico filtra il traffico in entrata al tuo indirizzo, rimuove le informazioni dannose, trasferendo solo il traffico legittimo e sicuro al tuo fianco.
tag:
Il Servizio federale per il controllo tecnico e delle esportazioni è un organo esecutivo federale che svolge attività di ispezione e controllo nel campo della sicurezza statale. Oggi, ogni proprietario di laptop, quando acquista un particolare programma o software antivirus, ha sentito più di una volta un'espressione come la certificazione FSTEC. Ma poche persone sanno di cosa si tratta Certificato FSTEC.
Oggi la questione della sicurezza informatica è strettamente intrecciata con gli interessi della società, dell’economia e dello Stato. Di solito, ogni stato cerca di controllare le informazioni relative alla sicurezza nazionale. Pertanto, di anno in anno, si pone il compito principale di sviluppare, gestire sistemi informativi ben protetti, banche dati personali. In tali sistemi, viene archiviata ed elaborata un'enorme quantità di informazioni relative a quasi tutti i tipi di attività statali. È per questo motivo che i produttori di software devono tenere conto dei requisiti legali imposti ai sistemi informativi coinvolti nelle attività governative. La procedura di certificazione FSTEC viene effettuata per verificare il rispetto dei principali indicatori di sicurezza.
Certificato FSTEC rilasciato dopo aver superato le seguenti fasi:
Il sistema di certificazione del software russo è fondamentalmente diverso dalla certificazione occidentale. Innanzitutto, ogni copia del software afferma di esserlo Certificato FSTEC, viene sottoposto ad una serie di prove ed esami a cui è stato sottoposto il prodotto originale. In secondo luogo, ogni azienda che ha acquistato un prodotto certificato ha accesso sicuro alla base informativa di questo software, da dove l'organizzazione riceverà gli aggiornamenti.
Dal 2004, l'organo esecutivo federale ha i seguenti poteri:
FSTEC non è coinvolta nelle attività di certificazione, è il principale organizzatore della certificazione. La parte del leone nelle azioni viene eseguita dai suoi concessori di licenza: laboratori di prova e centri esperti. I laboratori esaminano il software e organizzazioni di esperti controllano la qualità dei test effettuati. Naturalmente, il richiedente può presentare domanda Certificato FSTEC sulla base di test di terze parti. Ma in questo caso, prima di emettere certificato, FSTEC si riserva il diritto di nominare un ricontrollo dei risultati di un'altra organizzazione di esperti. Per questo motivo l'istituto del richiedente opera nel sistema FSTEC. Confrontano le copie dei prodotti che vendono con i programmi ricevuti in precedenza. Certificato FSTEC.
Considera un elenco approssimativo di azioni per la certificazione nell'FSTEC della Russia.
La domanda specifica:
Il richiedente dichiara nella domanda di impegnarsi:
Importante: il richiedente deve avere una licenza FSTEC per il tipo di attività in questione!
Un esempio di richiesta di certificazione di un pacchetto software è mostrato nella Figura 5.1.
FSTEC, entro un mese dal ricevimento della domanda, invia al richiedente, all'organismo di certificazione designato e al laboratorio di prova una decisione di condurre test di certificazione, che contiene quanto segue:
L'organismo di certificazione ed il laboratorio di prova possono essere modificati in accordo con il Cliente. La decisione funge da base per l'inizio delle prove e come "motivo" per la conclusione di un accordo tra il richiedente e il laboratorio di prova. Un esempio di decisione di condurre la certificazione è mostrato nella Figura 5.2.
Il contratto con il laboratorio di prova per i test di certificazione stabilisce i termini, la procedura per lo svolgimento dei test di certificazione, nonché il costo del lavoro. Di solito, il laboratorio di prova prepara prima un'offerta commerciale con la giustificazione dei termini e dei costi del lavoro, nonché una bozza di contratto. Di norma, l'insieme dei documenti contrattuali comprende: un contratto, termini di riferimento per il lavoro, una dichiarazione di prestazione, un protocollo per concordare un prezzo. Oltre alle informazioni specificate, si raccomanda che il contratto preveda elementi quali la responsabilità per danni ai campioni di prova o la procedura per la sospensione dei test in caso di eventuali modifiche.
Questa fase comprende lo sviluppo, il coordinamento e l'approvazione del programma e della metodologia dei test di certificazione.
Il laboratorio di prova sviluppa un programma e una metodologia per condurre test, trasferisce al richiedente informazioni su quali dati sono necessari per i test. Inoltre, il programma e la metodologia vengono inviati all'organismo di certificazione per l'approvazione.
Il richiedente riceve dal laboratorio di prova un programma e una metodologia di prova, lo coordina e prepara tutti i dati iniziali necessari. Fornisce al laboratorio di prova gli strumenti di sicurezza delle informazioni in un pacchetto che soddisfa le specifiche tecniche o un modulo, nonché una serie di tutta la documentazione necessaria in conformità con l'ESPD o l'ESKD.
Il laboratorio di analisi seleziona campioni di prodotti certificati, li identifica e conduce test di certificazione dei prodotti secondo il programma e la metodologia approvati. Contestualmente il Richiedente predispone ed allestisce uno stand per le prove di certificazione. È importante notare che è vietato apportare modifiche alla composizione o al design dell'oggetto di certificazione, nonché alla documentazione durante le prove. Ciò può comportare l'interruzione delle prove e la loro completa “ripartenza”, che influirà sui costi e sui tempi dei lavori.
I risultati dei test sono documentati sotto forma di rapporti di prova di certificazione e rapporti tecnici. Questi documenti vengono inviati all'organismo di certificazione e le copie al richiedente. In assenza di ragionevoli commenti sui risultati forniti dal laboratorio di prova da parte del Richiedente o dell'organismo di certificazione, il suo lavoro ai sensi del contratto è considerato completato.
Il laboratorio di prova stipula con l'organismo di certificazione un accordo sull'esame dei risultati dei test di certificazione, in cui vengono specificati i termini (di solito 1 mese), la procedura e il costo. A volte l'organismo di certificazione richiede di concludere un accordo con il richiedente e non con il laboratorio di prova. Questo punto è controverso e non regolamentato. È meglio discutere inizialmente questo problema con il laboratorio di analisi.
L'organismo di certificazione, in conformità al contratto, effettua un esame dei risultati dei test di certificazione, nonché dei documenti tecnici e operativi per i prodotti certificati. Il risultato è l'esecuzione di una perizia che, insieme al parere tecnico, ai materiali dei test di certificazione, a una serie di documentazione tecnica e operativa necessaria per l'oggetto della certificazione, viene sottoposta all'FSTEC russo per la decisione sul rilascio del certificato. .
Sulla base dei documenti ricevuti dall'organismo di certificazione, vale a dire il parere tecnico e il parere degli esperti, FSTEC decide di emettere un certificato. Come accennato in precedenza, la durata del certificato è di 3 anni. Un esempio di certificato di conformità nella Figura 5.3.
Se, a seguito dell'ispezione, l'FSTEC rivela una discrepanza tra i risultati dei test e i requisiti della legislazione, verrà presa la decisione di rifiutare di rilasciare un certificato. In tal caso al Richiedente verrà inviato un parere motivato. In caso di disaccordo con il rifiuto, il richiedente ha il diritto di rivolgersi alla commissione di ricorso dell'organismo federale di certificazione per un ulteriore esame dei materiali di certificazione. Il ricorso viene esaminato entro un mese con il coinvolgimento delle parti interessate e di esperti indipendenti. La decisione viene comunicata al ricorrente.
