ЖУРНАЛ СТА 1/2015

тем более строгие требования доверия предъявляются к ОО. Здесь важно отметить, что именно ЗБ (а не сам стандарт, как, скажем, в случае IEC 61508 и его производных) служит отправной точкой для серти- фикационных испытаний конкретно- го ОО. Из этого, кстати, напрямую сле- дует, что заявления производителей о сертификации своей продукции по «Общим критериям» на заданный ОУД на самом деле полной картины не дают, так как ОУД по определению не содержит информации о функцио- нальных требованиях безопасности, – необходима ссылка как минимум на применимые ПЗ. После введения в действие ГОСТ Р ИСО/МЭК15408 на его базеФСТЭКбы- ла разработана группа РД «Безопасность информационных технологий» (БИТ), регулирующих процессы разработки и принятия ПЗ и ЗБ в рамках «Общих кри- териев», а затем на их основе выпущен и утверждён ряд ПЗ, в частности, для си- стемобнаружения вторжений, средств ан- тивирусной защиты и межсетевых экра- нов [4]. На настоящий момент в качестве базы для сертификационных испытаний оценщиками используются как тради- ционные нормативно-методические до- кументы ФСТЭК (см. золотое правило «работает –не ремонтируй»), так и инно- вационные, созданные на базе РД БИТ. Ожидается, что по мере разработки и утверждения новых нормативно-методи- ческих документов они будут постепенно вытеснять старые, и роль «Общих крите- риев» в регулированиипроцесса сертифи- кационных испытаний будет расти. Следующим перспективным шагом совершенствования отечественной нор- мативной базы информационной без- опасности может послужить распростра- нение требований безопасности на все этапы жизненного цикла ОО – проект соответствующего РД («Положение по обеспечению безопасности в жизненном цикле изделий информационных техно- логий») был разработан ФСТЭК ещё в 2004 году и терпеливо ждёт своего часа. Подробный обзор российских систем сертификации по информационной безопасности, соответствующих норма- тивных документов и применимых ис- пытательных методик приведён в [5]. К ОМПЛЕКСНЫЙ ПОДХОД Упомянутая тенденция к комплексно- му рассмотрению задач функциональной и информационной безопасности посте- пенно находит воплощение в норматив- но-технической базе, причём как за рубе- жом, так и в России. Очевидно, что в за- рубежной практике точкой слияния будут методики управления рисками, так как это позволит вывести рассмотрение про- блемына системный уровень и ранжиро- вать задачи по приоритетам, естественно разрешая таким образом противоречия между обеспечением функциональной и информационной безопасности. В част- ности, в 2008 году была выпущена группа стандартов ISO/IEC 2700x, посвящённая управлению рисками информационной безопасности, входящий в эту группу стандарт ISO/IEC 27005 (российский аналог – ГОСТ Р ИСО/МЭК 27005) со- держит множество параллелей с подхо- дом к управлению рисками, используе- мым вМЭК61508. Хороший обзор на эту тему есть в статье «Конвергенция совре- менных стандартов функциональной и информационной безопасности в обла- сти информационных технологий» [6]. Со стороны отечественной норматив- но-технической базы зарождающийся комплексный подход к решению задач функциональной и информационной безопасности получил воплощение в ви- де приказа ФСТЭК России от 14.03.2014 № 31[7], устанавливающего требования 18 СТА 1/2015 ОБ ЗОР / П РОГ РАММНОЕ ОБ Е СП Е Ч Е НИЕ www.cta.ru ОФИЦИАЛЬНЫЙ ДИСТРИБЬЮТОР ПРОДУКЦИИ AAEON