Комментарии 3
Формуляры в Линуксе! Кафка на сервере!
(почему-то второе звучит более техноорганично, даже лучше, чем кролик).
+1
Как известно — использование сертифицированных версий программного обеспечения прописано в самых разных документах регуляторов.
Наверное все же не ПО в целом, а средств защиты информации в частности.
согласно которым необходимо использовать сертифицированные (или иначе «прошедшие процедуру проверки соответствия»)
«Сертифицированные» и «прошедшие оценку соответствия» это не одно и то же.
Из актуальных приказов ФСТЭК явно сертификация прописана только в 17
Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации
В 239 же приказе (КИИ) явно прописаны альтернативы:
28. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.
Подборка типичных проблем была сформирована в ходе подготовки к одной из конференций на основе обращений в нашу техподдержку.
Блог не корпоративный, поэтому хотелось бы уточнение о чьей техподдержке речь (интересно же).
По проблеме №1
Это прям вообще беда. Особенно с СКЗИ. Пример с ViPNet Client 4. На сайте производителя поддержка Windows 10 помечена звездочкой и написано, что по факту продукт прекрасно работает в этой ОС, но в формуляре его нет. А какой смысл в том, что он прекрасно работает, если СКЗИ в явном виде предписано использовать в строгом соответствии с формуляром? Можно сказать — переходите на отечественный линукс. Тут проблема в том что в версии ViPNet Client для Linux не реализована необходимая многим заказчикам функция «Деловая почта». Есть мнение, что ФСБ вообще никогда не сертифицирует ни одно СКЗИ под Windows 10 из-за телеметрии, собираемой этой ОС.
Если у клиента несколько удаленных филиалов, нужно столько медиакомплектов, сколько филиалов. При проверке со стороны регулятора удобнее иметь сертифицированный медиапакет на месте.
Правда. Здесь просто хотел бы поделиться своей болью. У нас почему-то очень часто центр конфискует медиакомплекты с филиалов. На вопрос «Зачем?» ответ «Так надежнее», на вопрос «А как будут в филиале при необходимости переустанавливать с сертифицированного дистрибутива», частый ответ «Их проблемы».
0
Естественно речь о средствах защиты.
О сертификации и прошедших процедуру соответствия. Все верно и даже веселее. Если интересно, то я в одной из прошлых статей разбирал формулировки из разных документов регуляторов. В одних требуется одно, в других другое. С тез пор неразберихи только добавилось в связи с появлением документов по КИИ
Примеры по обращению в Доктор Веб
С проверками куча проблем. В основном по причине того, что ни проверяющие, ни проверяемые не соблюдают процедуры. Не знают, что запрещенные ссылки в кеше браузера — это норма и тд.
Вы можете запросить ссылки на дистрибутивы в электронной форме и в электронной форме же формуляр. Хоть что-то будет на руках. Буду в офисе, уточню, имеют ли право отбирать у вас меакомплекты
О сертификации и прошедших процедуру соответствия. Все верно и даже веселее. Если интересно, то я в одной из прошлых статей разбирал формулировки из разных документов регуляторов. В одних требуется одно, в других другое. С тез пор неразберихи только добавилось в связи с появлением документов по КИИ
Примеры по обращению в Доктор Веб
С проверками куча проблем. В основном по причине того, что ни проверяющие, ни проверяемые не соблюдают процедуры. Не знают, что запрещенные ссылки в кеше браузера — это норма и тд.
Вы можете запросить ссылки на дистрибутивы в электронной форме и в электронной форме же формуляр. Хоть что-то будет на руках. Буду в офисе, уточню, имеют ли право отбирать у вас меакомплекты
0
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Сертифицированные версии — грабли, которые нам выбирают