Анализ уязвимостей программного обеспечения/онлайн сервиса по критериям безопасности AVA_VAN.2 в соответствии с ГОСТ 15408-3

Зачем нужно выявлять и анализировать уязвимости по критериям безопасности AVA_VAN.2?

Анализ уязвимостей по критериям безопасности AVA_VAN.2 преследует несколько ключевых целей:

1. Добавление в каталог «ГосТех»
   Подтверждает факт соответствия онлайн-сервиса стандартам безопасности, необходимым для включения в государственный реестр цифровых продуктов, что является предпосылкой для дальнейшего использования в государственных информационных системах.
2. Выявление и устранение уязвимостей
   Определение слабых мест позволяет предотвратить их эксплуатацию злоумышленниками, что снижает риск несанкционированного доступа к системе или данным и повышает общую безопасность продукта.
3. Улучшение качества и доверия
   Анализ уязвимостей способствует повышению качества программного обеспечения и онлайн-сервисов, а также укрепляет доверие потребителей, демонстрируя приверженность разработчиков безопасности и надежности своих продуктов.
4. Защита данных пользователей
   Систематический анализ уязвимостей помогает защитить чувствительные и конфиденциальные данные пользователей от утечек и злоупотреблений, что является критически важным аспектом в современном цифровом мире.

Таким образом, процесс идентификации и диагностики уязвимостей в соответствии с критериями безопасности AVA_VAN.2 является фундаментальным для обеспечения безопасности и надежности программного обеспечения и онлайн-сервисов, а также для поддержания высокого уровня доверия со стороны пользователей и государственных органов.

Нормативно-правовая база

Требования проводить анализ уязвимостей по критериям безопасности AVA_VAN.2 содержатся в следующих информационных источниках:

• Методические рекомендации по включению сервисов в единую цифровую платформу Российской Федерации «ГосТех» версия 1.0 (далее по тексту «Методические рекомендации»)
• Методические рекомендации «Базовые сервисы единой цифровой платформы Российской Федерации «ГосТех»
• Сайт платформы ГосТех в разделе, описывающем подготовительные процедуры по размещению онлайн-сервиса на платформе
• ГОСТ Р ИСО/МЭК 15408-3-2013 Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3

В каком программном обеспечении необходимо проверять уязвимости на соответствие критериям безопасности AVA_VAN.2?

Методические рекомендации сообщают о необходимости выявления и анализа уязвимостей в программном обеспечении/онлайн-сервиса по критериями безопасности AVA_VAN.2 в отношении:

1. Базовых/стандартных решений платформы «ГосТех», реализующих фундаментальную функциональность, связанную с идентификацией, аутентификацией пользователей, разграничением доступа, аудитом событий безопасности
2. Дополнительных решений платформы «ГосТех», охватывающих функциональность, выходящую за рамки типовых решений платформы с целью удовлетворения нетиповых потребностей пользователей

Какие действия необходимо выполнить для анализа уязвимостей программного обеспечения/онлайн-сервиса по критериям безопасности AVA_VAN.2?

Анализ уязвимостей по критериям безопасности AVA_VAN.2 включает в себя следующие шаги:

1. Подготовка документации разработчика
   Сбор и подготовка всех необходимых технических документов, которые описывают архитектуру, функции и безопасность программного обеспечения/онлайн-сервиса.
2. Разработка тестов
   Создание комплексного набора тестов, направленных на выявление потенциальных уязвимостей, которые могут быть использованы злоумышленниками.
3. Разработка тестовой документации
   Оформление документации, которая будет включать методики и процедуры проведения тестирования на проникновение.
4. Тестирование на проникновение
   Проведение тестов на проникновение с использованием разработанных методик для выявления уязвимостей.
5. Документирование результатов
   Фиксация всех обнаруженных уязвимостей и результатов тестирования в соответствующих документах.
6. Составление технического отчета, включающего в себя:
   • Информацию о проведенных тестах на проникновение
   • Данные обо всех обнаруженных уязвимостях
   • Оценку устойчивости программного обеспечения/онлайн-сервиса против действий нарушителя с базовым уровнем потенциала нападения

Кому полезна данная услуга?

Услуга, направленная на анализ уязвимостей по критериям безопасности AVA_VAN.2, может пригодится различным организациям и предприятиям, желающим разместить программное обеспечение/онлайн-сервис на платформе «ГосТех».

К ним относятся:

• Государственные организации и ведомства, осуществляющие перевод своих программных решений на платформу «ГосТех»
• Частные IT-компании, желающие перенести существующее программное решение на платформу «ГосТех»
• Частные IT-компании, желающие разработать новый онлайн-сервис для платформы «ГосТех»

Что требуется, чтобы выполнить анализ уязвимостей AVA_VAN.2?

Для оказания услуги необходима следующая информация и материалы:

1. Документация разработчика в составе:
   • Задание по безопасности
     Документ, в котором изложены основные требования к безопасности ПО, реализация которых позволяет устранить актуальные угрозы.
   • Описание архитектуры безопасности
     Документ, в котором описываются особенности архитектуры ПО с точки зрения защиты от вмешательства в процессы безопасности
   • Базовая функциональная спецификация
     Документ, в котором описаны основные интерфейсы, обеспечивающие и поддерживающие выполнение функциональности, связанной с безопасностью ПО.
   • Базовый проект объекта оценки
     Документ, описывающий структуру ПО на уровне подсистем, которые реализуют и поддерживают выполнение функциональности, связанной с безопасностью ПО.
   • Руководство пользователя по эксплуатации
     Документ, в котором описаны основные функциональные возможности ПО для каждой роли пользователя в соответствии с матрицей доступа.
   • Руководство по подготовительным процедурам
     Документ, предоставляющий описание подготовительных процедур, необходимых для корректной установки программного продукта.

2. Исходный код программного обеспечения/онлайн-сервиса

Почему RTM Group?

• RTM Group имеет значительный опыт в выявлении и анализе уязвимостей по критериям безопасности (от AVA_VAN.1 до AVA_VAN.5), что позволяет компании эффективно справляться с самыми сложными задачами в этой области;
• Специалисты RTM Group активно участвуют в проектах по улучшению качества и безопасности программных продуктов, что подтверждает их высокую квалификацию;
• Гибкие сроки проведения работ (от 2 недель до 3 месяцев) позволяют компании индивидуально подходить к каждому клиенту и проекту.
• Мы обладаем лицензиями:
  • Лицензия ФСТЭК России на деятельность по технической защите конфиденциальной информации
  • Лицензия ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации
  • Лицензия ФСБ России на работу со средствами криптозащиты