Совершенствование реестра ФСТЭК России

2019-03 13 7 мин на чтение

Данный пост перенесён автоматически с предыдущего варианта сайта. Возможны артефакты. Если информация этого поста важна для вас, свяжитесь со мной для получения полного содержимого.

Государственный реестр сертифицированных средств защиты информации N РОСС RU.0001.01БИ00, размещённый на сайте ФСТЭК, конечно, мог бы предоставлять больше информации, да и обновляться почаще, но и сейчас он уже является вполне рабочим инструментом, который, к тому же, продолжает совершенствоваться.

Кстати, уже давно сделал удобную именованную короткую ссылку, чтобы быстро открывать Реестр в любом браузере, не пользуясь закладками и поиском: https://bit.ly/reestr-fstec

Если вы, как и я, не мониторите Реестр каждый день, а пользуетесь им по необходимости от случая к случаю, то, возможно, пока не обратили внимание на недавние нововведения. Мне они, к слову, очень даже понравились.

Указание срока окончания технической поддержки

Вступившее в силу с 01 августа 2018 года утверждённое приказом ФСТЭК России №55 от 03.04.2018 «Положение о системе сертификации средств защиты информации» ввело важное новшество - согласно п.15 данного Положения:

Средство защиты информации может применяться по окончании срока действия сертификата соответствия при условии соблюдения требований по безопасности информации и осуществления заявителем его технической поддержки.

Именно поэтому теперь в Реестре ФСТЭК России появилась новая колонка:

Пока срок окончания техподдержки указан лишь у небольшого числа сертифицированных средств защиты информации, но уже видно, что некоторые производители решают вместо продления срока действия сертификата продлевать лишь техническую поддержку.

Так, в определённом смысле, конечно, удобнее.

Стандартизация наименований требований

Второе нововведение, конкретную дату появления которого не берусь определить точно, касается использования в столбце “Наименование документов, требованиям которых соответствует средство” удобных аббревиатур.

Начало этому положило, пожалуй, появление стандартизированных наименований профилей защиты в формате: ИТ.«вид».«тип»«класс».ПЗ, где:

«вид» - определяет, о каком средстве защиты идёт речь (МЭ, СОВ и т.д.);
«тип» - обозначается буквой и, по сути, задаёт подвид средства защиты (А, Б, В, Г, Д, С, У и т.д.);
«класс» - обозначается цифрой и устанавливает класс защиты: чем выше класс (1 — самый высокий, 6 — самый низкий), тем больше к ним требований и тем в более высокого класса систем (ГИС, АСУ, ИСПДн, системы значимых объектов КИИ) они могут применяться.

На сегодняшний день утверждены и действуют перечисленные ниже профили защиты (по указанным для конкретных профилей ссылкам можно перейти в пополняемый Каталог СрЗИ, чтобы отфильтровать подходящие средства защиты информации).

Для межсетевых экранов (МЭ):

МЭ типа «А» – это МЭ, применяемый на физической границе(периметре) информационной системы или между физическими границами сегментов информационной системы:
ИТ.МЭ.А1.ПЗ, ИТ.МЭ.А2.ПЗ, ИТ.МЭ.А3.ПЗ, ИТ.МЭ.А4.ПЗ, ИТ.МЭ.А5.ПЗ, ИТ.МЭ.А6.ПЗ;
МЭ типа «Б» – это МЭ, применяемый на логической границе(периметре) информационной системы или между логическими границами сегментов информационной системы:
ИТ.МЭ.Б1.ПЗ, ИТ.МЭ.Б2.ПЗ, ИТ.МЭ.Б3.ПЗ, ИТ.МЭ.Б4.ПЗ, ИТ.МЭ.Б5.ПЗ, ИТ.МЭ.Б6.ПЗ;
МЭ типа «В» – это МЭ, применяемый на узле (хосте) информационной системы:
ИТ.МЭ.В1.ПЗ, ИТ.МЭ.В2.ПЗ, ИТ.МЭ.В3.ПЗ, ИТ.МЭ.В4.ПЗ, ИТ.МЭ.В5.ПЗ, ИТ.МЭ.В6.ПЗ;
МЭ типа «Г» – это МЭ, применяемый на сервере, обслуживающем сайты, веб-службы и веб-приложения, или на физической границе сегмента таких серверов (сервера). Межсетевые экраны типа «Г» могут иметь программное или программно-техническое исполнение и должны обеспечивать контроль и фильтрацию информационных потоков по протоколу передачи гипертекста, проходящих к веб-серверу и от веб-сервера:
ИТ.МЭ.Г4.ПЗ, ИТ.МЭ.Г5.ПЗ, ИТ.МЭ.Г6.ПЗ (1-3 классы не предусмотрены);
МЭ уровня промышленной сети (тип «Д») – это МЭ, применяемый в автоматизированной системе управления технологическими или производственными процессами. МЭ типа «Д» может иметь программное или программно-техническое исполнение и должен обеспечивать контроль и фильтрацию промышленных протоколов передачи данных (Modbus, Profibus, CAN, HART, Industrial Ethernet и (или) иные протоколы):
ИТ.МЭ.Д4.ПЗ, ИТ.МЭ.Д5.ПЗ, ИТ.МЭ.Д6.ПЗ (1-3 классы не предусмотрены).

Для антивирусов (САВЗ):

САВЗ типа «А» – средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для централизованного администрирования средствами антивирусной защиты, установленными на компонентах информационных систем (серверах, автоматизированных рабочих местах):
ИТ.САВЗ.А1.ПЗ, ИТ.САВЗ.А2.ПЗ, ИТ.САВЗ.А3.ПЗ, ИТ.САВЗ.А4.ПЗ, ИТ.САВЗ.А5.ПЗ, ИТ.САВЗ.А6.ПЗ;
САВЗ типа «Б» – средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для применения на серверах информационных систем:
ИТ.САВЗ.Б1.ПЗ, ИТ.САВЗ.Б2.ПЗ, ИТ.САВЗ.Б3.ПЗ, ИТ.САВЗ.Б4.ПЗ, ИТ.САВЗ.Б5.ПЗ, ИТ.САВЗ.Б6.ПЗ;
САВЗ типа «В» – средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для применения на автоматизированных рабочих местах информационных систем:
ИТ.САВЗ.В1.ПЗ, ИТ.САВЗ.В2.ПЗ, ИТ.САВЗ.В3.ПЗ, ИТ.САВЗ.В4.ПЗ, ИТ.САВЗ.В5.ПЗ, ИТ.САВЗ.В6.ПЗ;
САВЗ типа «Г» – средства антивирусной защиты (компоненты средств антивирусной защиты), предназначенные для применения на автономных автоматизированных рабочих местах:
ИТ.САВЗ.Г1.ПЗ, ИТ.САВЗ.Г2.ПЗ, ИТ.САВЗ.Г3.ПЗ, ИТ.САВЗ.Г4.ПЗ, ИТ.САВЗ.Г5.ПЗ, ИТ.САВЗ.Г6.ПЗ.

Для систем обнаружения вторжений (СОВ):

СОВ уровня сети: Датчики (сенсоры) собирают информацию о пакетах данных, передаваемых в пределах информационной системы(ИС) (сегмента ИС), в которой (котором) установлены эти датчики. Датчики СОВ уровня сети могут быть реализованы в виде программного обеспечения (ПО), устанавливаемого на стандартные программно-технические платформы, а также в виде программно-технических устройств, подключаемых к ИС (сегменту ИС):
ИТ.СОВ.С1.ПЗ, ИТ.СОВ.С2.ПЗ, ИТ.СОВ.С3.ПЗ, ИТ.СОВ.С4.ПЗ, ИТ.СОВ.С5.ПЗ, ИТ.СОВ.С6.ПЗ;
СОВ уровня узла: Датчики СОВ уровня узла представляют собой программные модули, устанавливаемые на защищаемые узлы информационной системы (ИС) и предназначенные для сбора информации о событиях, возникающих на этих узлах:
ИТ.СОВ.У1.ПЗ, ИТ.СОВ.У2.ПЗ, ИТ.СОВ.У3.ПЗ, ИТ.СОВ.У4.ПЗ, ИТ.СОВ.У5.ПЗ, ИТ.СОВ.У6.ПЗ.

Для средств доверенной загрузки (СДЗ):

СДЗ УБ - средства доверенной загрузки уровня базовой системы ввода-вывода (БСВВ):
ИТ.СДЗ.УБ1.ПЗ, ИТ.СДЗ.УБ2.ПЗ, ИТ.СДЗ.УБ3.ПЗ, ИТ.СДЗ.УБ4.ПЗ;
СДЗ ПР - средства доверенной загрузки уровня платы расширения:
ИТ.СДЗ.ПР1.ПЗ, ИТ.СДЗ.ПР2.ПЗ, ИТ.СДЗ.ПР3.ПЗ, ИТ.СДЗ.ПР4.ПЗ;
СДЗ ЗЗ - средства доверенной загрузки уровня загрузочной записи:
ИТ.СДЗ.ЗЗ5.ПЗ, ИТ.СДЗ.ЗЗ6.ПЗ.

Для операционных систем (ОС):

ОС типа «А» - операционная система, предназначенная для функционирования на средствах вычислительной техники общего назначения (автоматизированные рабочие места, серверы, смартфоны, планшеты, телефоны и иные):
ИТ.ОС.А1.ПЗ, ИТ.ОС.А2.ПЗ, ИТ.ОС.А3.ПЗ, ИТ.ОС.А4.ПЗ, ИТ.ОС.А5.ПЗ, ИТ.ОС.А6.ПЗ;
ОС типа «Б» - операционная система, встроенная (прошитая) в специализированные технические устройства, предназначенные для решения заранее определенного набора задач:
ИТ.ОС.Б1.ПЗ, ИТ.ОС.Б2.ПЗ, ИТ.ОС.Б3.ПЗ, ИТ.ОС.Б4.ПЗ, ИТ.ОС.Б5.ПЗ, ИТ.ОС.Б6.ПЗ;
ОС типа «В» - операционная система, предназначенная для обеспечения реагирования на события в рамках заданных временных ограничений при заданном уровне функциональности:
ИТ.ОС.В1.ПЗ, ИТ.ОС.В2.ПЗ, ИТ.ОС.В3.ПЗ, ИТ.ОС.В4.ПЗ, ИТ.ОС.В5.ПЗ, ИТ.ОС.В6.ПЗ.

Для средств контроля съемных машинных носителей информации (СКН):

средства контроля подключения съемных машинных носителейинформации:
ИТ.СКН.П1.ПЗ, ИТ.СКН.П2.ПЗ, ИТ.СКН.П3.ПЗ, ИТ.СКН.П4.ПЗ, ИТ.СКН.П5.ПЗ, ИТ.СКН.П6.ПЗ;
средства контроля отчуждения (переноса) информации со съемных машинных носителей информации:
ИТ.СКН.Н1.ПЗ, ИТ.СКН.Н2.ПЗ, ИТ.СКН.Н3.ПЗ, ИТ.СКН.Н4.ПЗ.

Требования для других типов средств защиты информации (СрЗИ):

Однако, помимо сокращений для профилей защиты, в Реестре используются и другие полезные облегчающие поиск аббревиатуры, обозначающие документы, на соответствие требованиям которых проведена сертификация:

ТУ - технические условия;
ЗБ - задание по безопасности;
РД СВТ(2), РД СВТ(3), РД СВТ(4), РД СВТ(5), РД СВТ(6) - руководящий документ "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" (30 марта 1992 г.);
РД НДВ(2), РД НДВ(3), РД НДВ(4) - руководящий документ "Защита от несанкционированного доступа к информации Часть 1. Программное обеспечение средств защиты информации Классификация по уровню контроля отсутствия недекларированных возможностей" (о4 июня 1999 г. №114);
РД МЭ(2), РД МЭ(3), РД МЭ(4) - руководящий документ "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа. Показатели защищенности от несанкционированного доступа к информации" (25 июля 1997 г.);
РД САЗ ПЭМИН-87, НМД ПЭМИН-1998, САЗ ПЭМИН-2014, ПСЗ ПЭМИН-2015 - требования к системам или средствам активной защиты и системам или средствам пассивной защиты от побочных электромагнитных излучений и наводок, "Нормы защиты речевой информации, обрабатываемой техническими средствами, от утечки за счет побочных электромагнитных излучений и наводок" (Гостехкомиссия России, 1998);
НМД АРР, НМД АРР-2000 - "Сборник нормативно-методических документов по противодействию акустической речевой разведке" (Гостехкомиссия России, 2000)";
СВАЗ(1), СВАЗ(2) - требования к системам виброаккустической защиты;
РД СПФ - требования к сетевым помехоподавляющим фильтрам;
РД СЗЗ(2), РД СЗЗ(3), РД СЗЗ(8), РД СЗЗ(9) - руководящий документ "Защита информации. Специальные защитные знаки. Классификация и общие требования" (25 июля 1997 г.);
МВТР-2010 - документ о методике оценки возможности (радио-, радиотехнической и акустической речевой) иностранных техническихразведок.

Удобство стандартных наименований в том, что через строку поиска на сайте ФСТЭК России можно быстро найти в Реестре, например, все сертифицированные по новым требованиям межсетевые экраны - “ИТ.МЭ”, экраны конкретного типа - “ИТ.МЭ.Б” или даже класса “ИТ.МЭ.Б4”. К сожалению, не работают символы подстановки вроде “*” или “?”, но это компенсируется возможностью скачать Реестр целиком в формате ODS-файла.

Описания не всех средств защиты информации в Реестре актуализированы и содержат упомянутые выше аббревиатуры. Например, можно ещё встретить “соответствует 4 уровню РД НДВ” или “соответствует РД НДВ - по 4 уровню” вместо “Соответствует требованиям документов: РД НДВ(4)”.

Думаю, впрочем, что со временем это поправят.

--- === @zlonov === ---