Положение № 719-П: новые требования Банка России к прикладному ПО и оценка соответствия по ОУД4
Размещено на сайте 05.03.2022
С 1 января 2022 года вступили в силу требования Положения № 719-П. Разработчики систем дистанционного банковского обслуживания, карточных процессингов и платежных шлюзов в ближайшее время должны провести оценку программного обеспечения по оценочному уровню доверия 4 (ОУД4) ГОСТ 15408. Расскажем, зачем нужна оценка по ОУД4, что в нее входит и как к ней подготовиться.
Виталий КРИВОНОС, компания «БИФИТ», руководитель направления аудита и консалтинга
Алексей ЛЕВИН, компания «БИФИТ», руководитель направления пентеста и анализа уязвимостей
Приводятся извлечения из статьи.
Полную версию материала читайте в журнале.
Подписаться
Вариант с сертификацией прикладного программного обеспечения в системе сертификации ФСТЭК разработчики, скорее всего, рассматривать не будут.
|
ГОСТ 15408 не является переводом последней версии стандарта ISO/IEC 15408, а соответствует редакции 3 версии 3.1 Common Criteria от 2008–2009 гг.
|
Требования безопасности по ГОСТ 15408 могут быть двух типов: функциональные требования безопасности и требования доверия. Первые предъявляются непосредственно к безопасности объекта оценки, вторые — к процессу разработки и эксплуатации объекта оценки.
|
Элементы процесса безопасной разработки следует внедрять в цикл разработки как можно раньше — в идеале на этапе выдвижения требований к продукту.
|
Для проведения оценки по ОУД4 требуется задание по безопасности. В части требований доверия задание по безопасности может соответствовать ГОСТ 15408-3 или включать усиленные и расширенные по отношению к ГОСТ 15408-3 требования доверия.
|
Для выполнения требований доверия разработчику прикладного ПО нужно подробно описать в документации само ПО, его функциональность и процесс разработки.
|
Оценщик должен проверить в офисе разработчика, что реальные процессы и процедуры разработки ПО соответствуют процессам и процедурам, описанным в полученной от разработчика документации.
|
Проведение оценки соответствия по требованиям ОУД4 ГОСТ 15408-3 может подтверждаться любым соответствующим документом: техническим заключением, протоколом испытаний и сертификатом добровольной системы сертификации.
|
