 "И все-таки мой продукт лучше, потому что он имеет сертификат по требованиям безопасности информации!" - так смело может заявить любой, кто выходит на рынок информационных технологий с программными решениями по безопасности информации, имеющими указанные сертификаты. Попробуем разобраться, насколько верно это утверждение. Так как вопросы полезности наличия на средство защиты сертификата как такового рассматривались автором в докладе на ежегодной конференции Ассоциации документальной электросвязи в декабре 2000 года и опубликованы в виде статьи в журнале АДЭ № 6(2001), то в данной статье основное внимание будет уделено тем преимуществам, которые дает наличие на программное обеспечения (ПО) сертификата, подтверждающего отсутствие в этом ПО так называемых недекларированных возможностей (НДВ).Небольшое отступление, чтобы, как говорят, определиться в тезаурусе. Сертификация на отсутствие недекларированных возможностей (программных закладок) ориентирована на специализированное ПО, предназначенное для защиты информации ограниченного доступа. На сегодняшний день суммарный объем такого ПО достаточно велик, что связано с необходимостью защиты самой разнообразной информации при ее порождении, обработке, транспортировке и т. п. Очевидно, что вопрос защиты информации актуален для организаций любой формы собственности, поэтому потенциальными потребителями такого специализированного ПО являются как государственные структуры, так и коммерческие.
Вместе с тем, следует иметь в виду, что сертификационные испытания, о которых будет сказано далее, законодательно не применимы (пока, во всяком случае) к программному обеспечению средств криптографической защиты информации. Сертификационные испытания на отсутствие недекларированных возможностей предполагают глубокое исследование ПО и связаны с анализом как исполняемого кода, так и исходного с целью установления факта отсутствия (либо наличия) в некотором программном решении функциональных возможностей, не документированных разработчиком. Методологической основой таких исследований являются общие принципы анализа программ с учетом аспектов, связанных с информационной безопасностью. Теоретические и практические работы в данной области известны не первый год. Однако, переход этих мероприятий в число регулируемых Российским государством в интересах информационной безопасности произошел, фактически, в 1999 году с появлением в системе сертификации Гостехкомиссии России нового руководящего документа "Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей".Данным документом предусмотрено четыре уровня контроля ПО, отличающихся глубиной, объемом и условиями проведения испытаний. Наличие нескольких уровней контроля ПО при проведении испытаний на отсутствие НДВ, с одной стороны, регламентирует степень конфиденциальности информации, защита которой осуществляется ПО, проверенным по тому или иному уровню. С другой стороны, разные уровни контроля позволяют дифференцировать степень вероятности отсутствия в исследуемом ПО этих самых недекларированных возможностей. Самый низкий уровень контроля - четвертый. Данный уровень предусмотрен для проверки ПО, используемого при защите конфиденциальной информации. Для ПО, используемого для защиты информации, отнесенной к государственной тайне, при проведении испытаний должен быть обеспечен уровень контроля не ниже третьего. Причем, в соответствии с требованиями отечественного законодательства для программных продуктов, предназначенных для обработки информации, составляющей государственную тайну, проведение испытаний по соответствующим уровням контроля отсутствия НДВ обязательно. Не вдаваясь в подробности относительно требований к первому и второму уровню контроля (которые предусмотрены при проверке ПО, используемого для защиты секретной информации с особо высокими грифами), рассмотрим различия в контроле по четвертому и третьему уровню контроля. Как уже упоминалось, основное идеологическое их различие состоит в том, что они ориентированы на проверку ПО, предназначенного для защиты качественно различной информации - конфиденциальной и секретной соответственно. Существенным различием между указанными уровнями контроля является то, что четвертый уровень предполагает мероприятия только по статическому анализу ПО, а при третьем уровне контроля выполняются мероприятия как по статическому анализу, так и по динамическому анализу. В терминах руководящего документа Гостехкомиссии России под статическим анализом понимается совокупность методов контроля несоответствия/несоответствия реализованных и декларированных в документации функциональных возможностей ПО. Данные методы основаны на структурном анализе и декомпозиции исходных текстов программ. Под динамическим анализом также понимается совокупность методов контроля соответствия/несоответствия реализованных и декларированных в документации функциональных возможностей ПО. Эти методы основаны на идентификации фактических маршрутов выполнения функциональных объектов (элементов программ) с последующим сопоставлением потенциальным маршрутам выполнения, построенным в процессе проведения статического анализа. Другими словами, на этапе статического анализа мы получаем вероятностную картину поведения ПО и проверяем, как это соответствует утверждениям разработчика. А на этапе динамического анализа появляется возможность реальной проверки поведения ПО в заявленных разработчиком режимах функционирования и производится сравнение реального и вероятностного поведения ПО.
|