Получение заветного сертификата

Получение заветного сертификата

О сертификации некриптографических информационно-телекоммуникационных систем по требованиям ФСБ

И.Г. Шапошников, директор ООО «Центр сертификационных исследований», к.ф.-м.н.
В.А. Мыльцев, заместитель директора по лицензированию и сертификации ООО «Центр сертификационных исследований»

ОДНИМ из направлений деятельности ФСБ (ранее — ФАПСИ) является сертификация средств криптографической защиты информации. Сами сертификационные исследования проводятся в аккредитованных лабораториях и центрах. При этом подтверждается соответствие продукции требованиям безопасности информации. ООО «Центр сертификационных исследований» (ЦСИ) создавалось как организация, занимающаяся сертификацией шифротехники. Поэтому с первыми полученными лицензиями центр приобрел статус испытательной лаборатории по сертификации шифротехники в соответствии с требованиям безопасности связи, установленными ФАПСИ. Сертификация шифротехники — область деятельности, в которой необходимо наличие у заказчика сертификации четкого понимания порядка ее проведения. Последние, как правило, осведомлены о том, какие действия им необходимо предпринять, чтобы успешно пройти процедуру сертификации, какие материалы представить. Указанный порядок законодательно зафиксирован в ряде нормативных документов (например, ПКЗ-2005).

В соответствии с новыми требованиями

В последнее время область сертифицируемых изделий по требованиям информационной безопасности ФСБ значительно расширилась. Сейчас сертифицируется не только телекоммуникационное оборудование, включающее криптографические средства защиты, но и не имеющее таковых.

В настоящее время кроме шифротехники в ФСБ сертифицируются:

• цифровые АТС;
• межсетевые экраны;
• оборудование плезиохронной цифровой иерархии;
• программное обеспечение, используемое в автоматизированных системах ИТКС специального назначения;
• антивирусные средства.

При осуществлении сертификационных исследований используются нормативные документы (требования, методики) ФСБ. В настоящее время такие документы существуют для всех видов вышеперечисленного телекоммуникационного оборудования, не содержащего средств криптографической защиты информации. ЦСИ стал первопроходцем в проведении сертификационных исследований в соответствии по этим новым требованиям, принимал участие в создании регулирующих методических документов и работает в строгом соответствии с ними.

Отметим, что сертификация указанной техники признана необходимой, поскольку это гарантирует определенный уровень устойчивости работы информационно-телекоммуникационных систем перед компьютерными атаками, несанкционированным доступом к информационным ресурсам, неправомерными или ошибочными действиями обслуживающего персонала. Именно поэтому сертифицированная техника, как правило, востребована госзаказчиком, что важно для ее разработчиков.

Цель предлагаемой вашему вниманию статьи — дать некоторое представление о существующих трудностях в проведении сертификации оборудования, не содержащего шифротехники. Необходимо также остановиться на тех требованиях, которые предъявляются к создателям данной техники.

В последние годы появилось много новых негосударственных фирм-разработчиков, как правило, незнакомых с этой процедурой. Играет свою отрицательную роль дефицит широко распространенных (например, как ПКЗ-99 и ПКЗ-2005) государственных документов, регламентирующих разработку и проведение аттестации по требованиям безопасности. В их отсутствие порядок проведения определяется существующей практикой. Ниже мы попытаемся отразить наиболее важные моменты процедуры, исходя из опыта работы ЦСИ.

От заявки — до сертификата

Итак, проведение сертификации включает в себя следующие необходимые этапы:

• подача в ФСБ заявки на проведение сертификации — с указанием схемы проведения сертификации и наименований стандартов и иных нормативных документов, на соответствие требованиям которых должна проводиться сертификация;
• согласование уровня требований сертификации;
• разработка ТЗ и заключение договора с испытательной лабораторией;
• представление образцов сертифицируемой продукции и всей необходимой документации на испытания;
• проведение сертификационных испытаний;
• доработка (при необходимости) продукции по требованиям безопасности с последующей проверкой;
• подготовка отчета и направление его в ФСБ; » подготовка заключения в ФСБ и выдача сертификата.

Уровень требований к сертифицируемой продукции, как правило, определяется заказчиком сертификации совместно с ФСБ и заказчиком той системы, где будет стоять аттестуемая техника. При этом также происходит ограничение функциональных возможностей аппаратуры — остаются только функции, используемые в данном применении, иные удаляются или блокируются на программном либо аппаратном уровне. Самый высокий уровень требований по защите информации связан с обработкой информации, содержащей сведения, которые составляют государственную тайну. Соответственно при сертификации технических средств, предназначенных для их обработки, проводится максимальное количество видов испытаний, и каждый проходит по максимально жестким стандартам. Это, естественно, влечет за собой большую продолжительность и трудоемкость исследований. А от разработчика аппаратуры (заявителя) требуется представление наиболее подробных и полных материалов (документации) по сертифицируемой аппаратуре.

Перечень представляемой документации по сертифицируемой аппаратуре

1. Подробная схема архитектуры сертифицируемого объекта, в которой должны быть представлены все функциональные блоки и связи между ними.

2. Описание работы всего изделия.

3. Для каждой платы (субблока) должно быть представлено:

• техническое описание;
• инструкция по настройке;
• инструкция по эксплуатации;
• схема электрическая принципиальная;
• перечень элементов;
• функциональная схема.

4. Подробное описание ПО, которое должно содержать:

• архитектуру ПО;
• функциональную схему;
• алгоритмы наиболее значимых процедур и функций;
• перечень всех модулей и их значение;
• перечень всех процедур, функций, констант и переменных и их назначение;
• все исходные тексты с комментариями;
• средства разработки для работы с исходными текстами ПО;
• конфигурационные файлы для средств разработки;
• средства компиляции, методика и порядок сборки итогового проекта ПО;
• схемы тестирования сертифицируемого оборудования и всех заявленных функциональных возможностей на сертифицируемом оборудовании.

Эталоны не изменяются

Необходимо особо подчеркнуть тот факт, что сертификация предполагает «замораживание» процесса развития аппаратуры на определенном этапе, соответствующем потребностям заказчика специальной телекоммуникационной системы. Следовательно, вся вышеперечисленная документация должна относиться к этой одной «замороженной» модификации. Последняя пройдет весь комплекс испытаний, получит сертификат и станет образцом. По нему будет изготавливаться аппаратура, на которую станет распространяться понятие «сертифицированная».

Разработчики телекоммуникационной техники регулярно изменяют ПО аппаратуры с целью исправления ошибок, расширения выполняемых функций или для отслеживания трансформирующейся аппаратной части (например, элементной базы), то есть происходит непрерывная модернизация аппаратуры. Однако распространение действия сертификата на оборудование с какими-либо преобразованиями требует дополнительных исследований. Здесь-то, как правило, и возникает непонимание между разработчиком и сертифицирующей организацией. Сначала первый подает документацию, разные части которой относятся к разным этапам «развития» аппаратуры, а после проведения сертификации считает возможным внести незначительные, с его точки зрения, изменения, что не отвечает высоким требованиям, предъявляемым к сертифицированному оборудованию.

Столь жесткие критерии обеспечения информационной защиты в телекоммуникационном оборудовании по требованиям ФСБ обусловлены областью его использования. Сертификат ФСБ предоставляет возможность эксплуатировать оборудование в высших органах власти. Поэтому разработчику аппаратуры, прежде чем начинать сертификацию, следует подумать о ее необходимости. Не исключено, что достаточно будет получить сертификат ФСТЭК, который позволяет использовать аппаратуру в государственных структурах. Если же решение о сертификации по требованиям ФСБ принято, то следует начинать работу со специалистами сертифицирующей лаборатории по составлению ТЗ, определению уровня защиты, составлению перечня документации и оборудования для сертификации. В ЦСИ, например, подобная подготовка проводится еще до заключения договора с организациями.

Цена вопроса

Важным моментом дальнейшей совместной работы сертифицирующей организации и заказчика является определение объема исследований и соответственно стоимости работ. Из-за сложности исследуемого оборудования порой бывает трудно установить этот объем без проведения предварительных исследований. Тогда вначале заключается договор лишь на первый этап работы, когда проводится предварительный анализ документации, разрабатываются программа и методики испытаний, которые согласуются с соответствующим подразделением ФСБ. Согласованная программа исследований становится тем объективным документом, на основании которого определяется объем предстоящих исследований, сроки их проведений и стоимость работ.

Следует отметить еще один важный момент осуществления сертификационных исследований — экспертизу представленных отчетов в экспертной организации (подразделение 8-го Центра ФСБ). Этот этап не включается в договор на проведение сертификации (так как ФСБ не может быть участником договора), но на его реализацию тратится, как правило, до двух месяцев. Результатом экспертизы считается заключение 8-го Центра ФСБ о выполнении требований по безопасности. Конечно, положительные выводы отчетов сертифицирующей лаборатории не гарантируют таких же положительных оценок заключения. Однако практика работы нашей испытательной лаборатории показывает, что совпадение выводов бывает почти стопроцентным. А положительное заключение дает право на получение сертификата.