Новый перечень КИО на деятельность по разр. и произ. СЗКИ от 29.08.17 - Форум по вопросам информационной безопасности

Здравствуйте! Подскажите, кто разбирался в теме, какие конкретно модели можно применить по следующим пунктам перечня:
п.16 - датчик переменной силы
п. 23 - рефлектометр
п.24 - оптический тестер
п. 31 - средство анализа программного кода
п.36 - программатор
п.37 - система управления изменениями программного обеспечения
п.38 - средства для автоматизации процессов тестирования средств ЗИ

Здравствуйте! Смотрю, никто человеку в этой теме не ответил, может, мне больше повезёт)

Вопрос по ПО, указанному в п.31 - средство анализа программного кода, сертификат ФСТЭК должно иметь это ПО или необязательно? В самом перечне про сертификат нет ни слова.

Научитесь уже искать аналогичные темы на этом форуме. Поэтому никто и не помогает - все уже расписано, обсуждено и указано сотни раз...
Читайте: http://itsec.ru/forum.php?sub=12957&from=0. И конкретно, раз "не сказано", значит, "не должно"...
А что касается рефлектометров и датчиков... В перечне ФСТЭК четко указаны требования (причем весьма кривые, но либеральные). Подобрать аппаратуру, которую потом можно без проблем поверить, не сложно. И форум в этом явно не помощник...

>>Вопрос по ПО, указанному в п.31 - средство анализа программного кода, сертификат ФСТЭК должно иметь это ПО или необязательно? В самом перечне про сертификат нет ни слова.

Необязательно.

Сертифицированных анализаторов программного кода всего один-два продукта, да и те для распространенных языков программирования. Поэтому логично, что сертификат ФСТЭК является необязательным.

для око:
что ж вы такой злой, уважаемый?) Хлебом не корми, дай нравоучения вставить) Здесь конкретно под интересующий меня перечень тема, а там под ТЗКИ. Разницу улавливаете?)


Но всё равно спасибо вам, господин око, и вам, господин Влад, за ответы, благодарю.

to интересующийся
Не злой, а, скорее, невнимательный. С другой стороны, ни за советы, ни за ссылки ответной услуги не прошу, так что имею право...
Согласен, прошел мимо СЗКИ. Но аналогичные темы (лицензирования всего и вся, ага) раз от раза поднимаются, и это не повод не "Яндексить" форум. + главный ответ <"не сказано", значит, "не должно"> все равно актуален...
А что до нравоучений... Не профессор же какой-нибудь, а рядовой комментатор Сети. Разницу улавливаете? :)

для око

я видел тему, которую вы мне в ссыль поставили, ещё до того, как задал вопрос...Ответа я там не увидел, может тоже потому, что не очень внимательный)

А кстати, раз пошла такая пьянка, и вы завели тему про рефлектометры, то заодно скажите, что вы используете согласно п.16 Перечня, какой именно тип датчика переменной силы? Обычный аксель здесь не применить же?

to интересующийся
Тут хохма в том, что мы дополнительно лицензиаты ГТ и оборудования посему у нас *зачеркнуто* слишком */зачеркнуто* много разного (и несуразного, ага). Поэтому рефлектометр+оптитестер у нас реализует ПАК "Сапфир" (как заверяет коллега). Что там есть еще на рынке из более-менее доступных средств, честно говоря, не смотрел - аппаратная часть КИО не моя кафедра...

для око
понятно...вдруг время будет у вас, не сочтите за труд, спросите у этого коллеги вашего, какой тип датчика переменной силы у вас имеется)

Подниму тему, т.к. весьма актуальна.

Коллеги, тоже попытаю удачу, вдруг с третьей попытки в данной теме появится знаток.
Что подразумевается под п. 36 в Перечне ФСТЭК для деятельности по разработке и производству СЗКИ:

"36 Программатор - Должен обеспечивать запись информации в постоянные запоминающие устройства и считывание информации из них"

Что это за зверь? И для чего он ОБЯЗАТЕЛЬНО лицензиату по разработке и производству СЗКИ?

Ну и мои предложения (во всяком случае мы будем подавать информацию во ФСТЭК именно об этих средствах) в ответ на вопрос топикстартера:

п. 31 - Средства анализа программного кода: CppCheck, SonarQube, PMD, FindBugs
п. 37 - система управления изменениями программного обеспечения: Microsoft TFS, GIT, JIRA + BAMBOO + Fisheye
п. 38 - средства для автоматизации процессов тестирования средств ЗИ (средства тестирования проникновения): KaliLinux, Metasploit Framework, Burp Suite, Nessus, Nmap

У кого есть опыт прохождения проверки ФСТЭК по новому перечню? Удовлетворят ли надзорный орган средства, перечисленные выше?


И еще мне непонятно требование из п. 36:
п. 36 - Средства антивирусной защиты (не менее 3 средств разных производителей)

Для каких целей лицензиату необходимо наличие НЕ МЕНЕЕ 3-х сертифицированных средств АВЗ различных производителей?