Как известно, ФСТЭК России ведется масштабная работа по совершенствованию нормативной и методической базы сертификационных испытаний средств защиты информации: только за последние два года были разработаны и внедрены нормативные и методические документы, задающие требования к системам обнаружения вторжений и средствам антивирусной защиты, в настоящее время разрабатываются аналогичные требования с DLP-системам, средствам доверенной загрузки и т.д. Напомним, что разрабатываемые документы базируются на методологии «Общих критериев», требования к различным классам защиты задаются в соответствующих профилях защиты ФСТЭК России в виде совокупности функциональных требований безопасности и требований доверия. Со сравнительным анализом требований доверия, предъявляемых новыми документами ФСТЭК России, можно познакомиться в одной из предыдущих публикаций.
На месте не стоит и мировая сертификация, проводимая в соответствии с Common Criteria Recognition Arrangement: с 2012 года по инициативе NIAP (США) ведется коренная реформа сертификации, основным нововведением является отказ от понятия «оценочного уровня доверия».
Результаты сравнительного анализа требований доверия ФСТЭК России и NIAP показывают, что требования NIAP значительно ниже требований доверия, предъявляемых ФСТЭК России. Новые требования NIAP практически аналогичны требованиям, которые предъявляет классическая связка руководящих документов ФСТЭК России – «РД НДВ 4 уровень + РД СВТ 5 класс».
Отметим, существенное сокращение требований доверия класса «Разработка»: теперь NIAP не требует описывать объекты оценки в терминах подсистем и модулей, предоставлять доступ к исходным текстам.
При выполнении анализа уязвимостей (AVA_VAN.1) выполняется только поиск уязвимостей в открытых источниках и оценка их наличия в объекте испытаний – профили защиты ФСТЭК России требуют от испытательных лабораторий более детального анализа уязвимостей с учетом, в том числе и результатов динамического и статического анализа исходных текстов.
Указанные модификации ведут к существенному сокращению времени проведения сертификационных испытаний (с 1 года до нескольких месяцев), что является хорошим достижением в современных условиях и темпах разработки программного обеспечения – версии программ обновляются достаточно динамично, и программа, получавшая сертификат, не всегда являлась последней версией. Вместе с тем снижение времени проведения сертификационных испытаний ведет к снижению уровня доверия к сертифицируемой продукции и повышению вероятности наличия в ней уязвимостей и дефектов безопасности.