Сертификация и аттестация ИС

Сертификация ИС 

Сертификация программного обеспечения – это процедура, направленная на подтверждение соответствия данного компонента нормам и стандартам, действующим на территории России (и стран Таможенного союза). Сертификация проводится на основе требований ГОСТ 19781-90 (содержит термины и определения) и не является обязательной. Добровольная процедура контроля повышает конкурентоспособность товаров, поскольку вызывает доверие со стороны потребителей. Она осуществляется в органах по сертификации, имеющих аккредитацию Госстандарта. Однако, если ПО продаётся за рубеж или по деловому соглашению в стране, требуется оформление Отказного письма, которое также выдаёт по запросу Госстандарт. Органы сертификации используют для оценки ПО стандарт ГОСТ 28195-99 (или 28195-89), содержащий показатели качества программных средств вычислительной техники (ПС). Для технического писателя в этом стандарте важны следующие показатели: 

Показатели надёжности ПС. Характеризуют способность ПС в конкретных областях применения выполнять заданные функции в соответствии с программными документами в условиях возникновения отклонений в среде функционирования, вызванных сбоями технических средств, ошибками во входных данных, ошибками обслуживания и другими дестабилизирующими воздействиями. 

Работоспособность. Способность программы функционировать в заданных режимах и объёмах обрабатываемой информации в соответствии с программными документами при отсутствии сбоев технических средств. 

Показатели сопровождения. Характеризуют технологические аспекты, обеспечивающие простоту устранения ошибок в программе и программных документах и поддержания ПС в актуальном состоянии 

Наглядность. Наличие и представление в наиболее легко воспринимаемом виде исходных модулей ПС, полное их описание в соответствующих программных документах. 

Показатели удобства применения.  1) Лёгкость освоения. Представление программных документов и программы в виде, способствующем пониманию логики функционирования программы в целом и ее частей 2) Доступность эксплуатационных программных документов Понятность, наглядность и полнота описания взаимодействия пользователя с программой в эксплуатационных программных документах.

Показатели корректности  1) Полнота реализации. Полнота реализации заданных функций ПС и достаточность их описания в программной документации 2) Согласованность. Однозначное, непротиворечивое описание и использование тождественных объектов, функций, терминов, определений, идентификаторов и т.д. в различных частях программных документов и текста программы.

Испытание ИС на информационную безопасность 

В настоящее время информационная безопасность выделилась в отдельную область информационных технологий в силу своей востребованности (активная работа населения в сети Интернет, обмен данными через эту сеть, облачные технологии и переход финансовых организаций на мобильные платформы обслуживания). Основными стандартами в этой области, применимыми к ИС, являются стандарты ISO, которые адаптируются к особенностям стран СНГ и Таможенного Союза. Основными, имеющими отношение к производству информационных систем и документации к ним, следует считать группы стандартов ГОСТ Р ИСО/МЭК 15408 и  Испытания (аттестационные испытания) являются комплексной проверкой защищаемого объекта информатизации для оценки соответствия применяемого комплекса мер и средств защиты требуемому уровню безопасности информации. 

Согласно приказа ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»: в части государственных информационных систем, в которых обрабатываются персональные данные, оценка эффективности принимаемых мер по обеспечению безопасности персональных данных проводится в рамках обязательной аттестации государственной информационной системы (и муниципальной информационной системы) по требованиям защиты информации в соответствии с Требованиями, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. № 17, национальными стандартами ГОСТ РО 0043-003-2012 и ГОСТ РО 0043-004-2013 «Защита информации. Аттестация объектов информатизации. Программа и методики аттестационных испытаний». Приказа ФСТЭК России от 11 февраля 2013 г. № 17 не отменяет действие методических документов «Специальные требования и рекомендации по технической защите конфиденциальной информации» (далее – СТР-К) и «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования о защите информации» (далее – РД АС). Для ИС не использующих и не обрабатывающих персональные данные аттестация по ИБ не предусмотрена, но может быть проведена в виде добровольной аттестации по заявке владельца системы. Для банковских ИС испытания проводятся по стандарту Банка России СТО БР ИББС1.2-2014 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Методика оценки соответствия информационной безопасности организаций банковской системы Российской Федерации требованиям СТО БР ИББС-1.02014». Примечание по РК. В Казахстане испытания государственных ИС и организаций, взаимодействующих с государственными ИС, проводятся по «Методике проведения испытаний сервисного программного продукта, информационно-коммуникационной платформы «электронного правительства», интернет-ресурса государственного органа и информационной системы на соответствие требованиям информационной безопасности» (Приказ и.о. Министра по инвестициям и развитию Республики Казахстан от 26 января 2016 года № 63). Эта методика входит в состав мероприятий по проведению аттестации ИС по ИБ согласно «Единым требованиям в области информационно-коммуникационных технологий и обеспечения информационной безопасности» (утверждены Постановлением Правительства Республики Казахстан от 20 декабря 2016 года № 832). 

Аттестация ИС по информационной безопасности 

Аттестация по требованиям безопасности является завершающей стадией ввода в действие системы защиты информации и выступает подтверждением эффективности комплекса мер и средств защиты информации, используемых на конкретном объекте информатизации. При проведении аттестации оцениваются в совокупности все средства защиты информации, а также конкретные условия эксплуатации рассматриваемого объекта. В качестве объекта информатизации выступают автоматизированные и информационные системы, выделенные и защищаемые помещения, системы связи, отображения и размножения информации. Обязательная аттестация имеет место в случае: обработки информации, составляющей государственную тайну; управления экологически опасными объектами; ведения секретных переговоров; при организации защиты информации, содержащейся в государственных информационных ресурсах («СТР-К», Гостехкомиссия России); при обработке информации в государственных и муниципальных информационных системах (Приказ ФСТЭК России № 17); 

при проведении лицензирующей деятельности по ТЗКИ и СКЗИ (Постановления Правительства РФ № 79 и № 313). В остальных случаях аттестация носит добровольный характер и представляет собой способ официального подтверждения соответствия вашего объекта информатизации требованиям по безопасности информации (иного способа нормативная база не предусматривает). Основным документом, определяющим цели и задачи, порядок и условия проведения аттестации объектов информатизации, является руководящий документ Гостехкомиссии РФ «Положение об аттестации объектов информатизации по требованиям безопасности информации». Согласно приказа ФСТЭК России от 11 февраля 2013 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»: в части государственных информационных систем, в которых обрабатываются персональные данные, оценка эффективности принимаемых мер по обеспечению безопасности персональных данных проводится в рамках обязательной аттестации государственной информационной системы (и муниципальной информационной системы) по требованиям защиты информации в соответствии с Требованиями, утверждёнными приказом ФСТЭК России от 11 февраля 2013 г. № 17, национальными стандартами ГОСТ РО 0043-003-2012 «Защита информации. Аттестация объектов информатизации. Общие положения» и ГОСТ РО 0043 -004-2013 «Защита информации. Аттестация объектов информатизации. Программа и методики аттестационных испытаний». Приказа ФСТЭК России от 11 февраля 2013 г. № 17 не отменяет действие методических документов «Специальные требования и рекомендации по технической защите конфиденциальной информации» (далее – СТР-К) и «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования о защите информации» (далее – РД АС). Для ТП важно то, что проведение аттестационных испытаний объекта информатизации включает: - анализ структуры объекта информатизации, информационных потоков, комплекса технических средств и программного обеспечения, системы защиты информации и разработанной документации. 

 Ввод ИС в промышленную эксплуатацию 

Ввод ИС в промышленную эксплуатацию производится только после успешно завершенной опытной эксплуатации и оформления Акта приемо-сдаточных испытаний. Для ИС государственного сектора ввод в промышленную эксплуатацию возможен только по итогам прохождения аттестации по ИБ.