ないものをキャッチする方法。 パート5、フラクション2：認定製品を購入するために知っておくべきこと。 よくある質問

どんなに悲しいことでも、認定された保護具を使用しない可能性について考えても、状況はよく知られたアプローチとほぼ完全に一致します。「監査の結果に同意しませんか？ あなたの権利！ それまでの間、アカウントをブロックします。」 そのため、遅かれ早かれ（そして政府機関や国の秘密の保護を常に必要とする企業の場合-常に）、適切なソフトウェアについてベンダーに連絡する必要があります。 そして、ここから楽しみが始まります。



私たちは何を求められていると思いますか？ 出くわした人にとって、答えは謎ではありません。「認定製品が必要です。」 知識のない人にとって、そのような要求は実際には有名なジョークに対応しています。「ペトカ、デバイス！ 45！ 45とは何ですか？ デバイスはどうですか？」



しかし、文句を言わないでください！ 認定されたウイルス対策ツールを使用することを希望する顧客によって攻撃される典型的なレーキのリストを提供します。



注意！ 認証、配信、およびサービスの規則は、市場で事業を行うすべての企業で同じであるという事実にもかかわらず、認証バージョンの構成、認証レベルなどにわずかな変動が生じる可能性があります。これに関連して、特定のケースが言及されている場合は常に企業名が示されます。 事実、認証された製品の配達は箱でのみ可能であるため、著者はすべてのサプライヤーのすべての箱に手を触れることができませんでした。 Habrazhiteliがエラーを見つけた場合、または企業の別のアプローチを示した場合、対応する修正が感謝されて受け入れられ、記事に加えられます。



認定製品が必要です！



残念ながら、これはサプライヤーに何も言わない。 Doctor Webは製品ライン全体を認定しています（http://company.drweb.ru/licenses_and_certificates/?lng=en)。KasperskyLabは個々の製品を認定しています（http://www.kaspersky.ru/about/why/証明書/証明書-政府）、残りのベンダーとともに、原則として、ベストセラー製品の1つが認定されています。 Doctor Webはすべての製品を最大レベルで認証し、Kaspersky Labはさまざまなレベルの製品ごとにさまざまな製品を認証し、他のベンダーは最低限必要なレベルで製品を認証します。 などなど。



顧客が見逃さないために、どのような情報をサプライヤに提供する必要がありますか（サプライヤは何でも提供できますが、展開中に購入した製品が機能しないことに気付いたときに顧客が満足することはほとんどありません）？

1. 証明書のタイプ。 FSTEC、FSB、MO、1C、ガスプロムなど、製品の認証要件を確認してください。多くの場合、顧客自身が必要な証明書を決定していません。 そしてその違いは非常に重要です。 たとえば、モスクワ地域でFSTECの要件に従って認証された製品は、システム要件と認証システム要件に関して一致しない場合があります。 MO認証システムでは、とりわけ、文書に記載されている実際の機能および宣言された機能に準拠するための認証が実行されます。
2. 保護レベル。 証明書ごとにレベルが異なります。 FSTECによって認定された製品が必要な場合、ほとんどの場合、極秘、チップボードなどの機密レベルを指定するだけで十分です。顧客は法律の変更を監視せず、キャンセルされたレベルを呼び出しません。たとえば、個人データのファーストクラスの認定製品を求めます。
3. 保護する必要があるもの。 ワークステーション、ファイルサーバー、メールサーバー、ゲートウェイ-私たちはシャー​​マンではなく、顧客のネットワークの構成を推測することはできません。 かなり頻繁に彼らは私達に言う：あなたは私達を提供し、私達はそれを自分自身で理解する。 何らかの理由で、すべての保護オプションを最大20分間プレゼンテーションで提示できるとお客様は考えています。 動作しません。 その結果、多くの苦しみの後、顧客が（たとえば）かなり珍しいメールサーバーまたはオペレーティングシステムを使用していることが突然判明しました。
4. オペレーティングシステム、メールサーバーの名前、ゲートウェイ（ビットレート、サービスパックなど）。 この点でプロテクションプロファイルが引き起こした問題についてお話します。他の誰もサポートしていない古いオペレーティングシステムをよく使用すると言います。 DOS、NT4、古いバージョンのLinuxなど。
   
   そのため、MSVS 3.0 OSには、使用するコンポーネント（カーネル、glibcライブラリ、Squidバージョンなど）が大きく異なる多くのアセンブリがありますが、OSバージョンは同じです。 したがって、製品を購入または提供する前に、Doctor WebソリューションがMSVS 3.0と互換性があることを確認する必要があります。 MSVS 3.0 OSのサポートされているバージョンのリストは、製品ドキュメントにあります。
5. 認定バージョンのオペレーティングシステム、メールサーバーゲートウェイなどを使用します。残念ながら、ソフトウェアを開発および認定するすべての企業が、この認定ソフトウェアにインストールされるソフトウェアのメーカーと連携するわけではありません。 コンポーネントはありません。また、次の検査制御まで何もする必要はありません。 また、検査制御は高価で時間がかかります。
6. ソフトウェアの動作を制限するツールの使用。 信頼できるダウンロード、資格情報へのアクセス、データ領域からのコードの実行の禁止-このリストのいずれかを使用する場合は、必ず指定してください！ 信頼できるダウンロードを頻繁に使用するようになりました。 しかし、MOは要件での使用を定義しませんでした。 その結果、証明書を使用する際の作業の可能性についての言葉はありません。 そして、顧客に何をしますか？
   
   

152-FZの要件に認定された製品はありますか？



最も人気のある質問は、かつては始まったものの、仕事を続けて終了しました。



連邦法152-には製品の要件が含まれていないため、この法律に準拠して製品を認証することはできません。 神話はEsetによって打ち出されました。 カスペルスキーは即座に反論を発表しました。 Doctor Webも同じことをしました。 しかし、神話はすでにその生活を癒しました。 その結果、すべての企業は、FSTECから、そのような製品が使用できるという通知を受け取るよう求められました... K1まで。



そのようなリクエストの流れは無意味になりましたが、神話が単純に作成される方法の例として、リストに質問を含めました。



認定ソリューションについて知るには？



認定ソリューションの完全なリストは、証明機関のWebサイトで入手できます。 そのため、ロシア連邦技術輸出管理局（FSTEC）のリストは、「情報保護ツールの認証および情報セキュリティ要件に関する情報化施設の認証に関するドキュメント」（http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumentyのセクションにあります。 -po-sertifikatsii / 153-sistema-sertifikatsii）。



製品がレジストリにないのはなぜですか？



認定SZIのFSTEC登録は、3か月ごとに登録されます。 認定SISに関する情報の次の更新は12月に行われるとしましょう。 したがって、企業が証明書を受け取ったり更新した場合、このイベントに関する情報は最大3か月間正式に存在しない可能性があります。



認定バージョンが必要です！/リリースに製品バージョンxxxがありますが、yyy認定されているのはなぜですか？



認証は非常に高価なだけでなく、非常に時間がかかります。 基本的な証明書（FSTECおよびFSB）を取得するには、少なくとも6か月かかります。 そして8ヶ月です。 さらに、認証の完了は、証明書自体が会社に表示されることを意味するものではありません-これも時間がかかります。 官僚制。



多くの場合、次のはるかに機能的で効果的なバージョンの開発が終了すると、製品認証は終了します。 その結果、認証されたバージョンのユーザーは、認証されていないバージョンよりもセキュリティが低い可能性があります。



サイトにMOの証明書がないのはなぜですか？



ロシア連邦国防省の証明書は、パーティクルボード文書のステータスがあるため、ウェブサイトに掲載されていません。 これらの証明書の認証されたコピーは、公式のリクエストに応じて入手できます。



そして、脆弱性を発見しました！ 更新されたバージョンが必要です！



更新された認定バージョンのリリースは、検査管理手順を通じてのみ可能です。 それは時間の面で約3ヶ月かかり、また多くのお金がかかります。 したがって、認証製品の寿命における検査管理はめったにありません。



FSTECはかつて、認証製品の更新手順に関するドラフト命令を作成し、理論的にはこの手順を簡素化することを可能にしました。 しかし、この文書によって導入された問題のレベルは、明らかに、標準化に精通した専門家でさえ驚いたようです。



FSTEC証明書とFSB証明書の両方が必要です！



当然、同じ製品が認証を取得しますが、微妙な違いがあります。 FSTECの要件に従って認証された製品は、ほぼすべての企業が提供でき、ベンダーが管理する通常の更新ゾーンから更新されます。 また、FSBの場合、製品の認定バージョンの受け取りと保守に関するすべての問題については、軍事ユニット43753に連絡する必要があります。しかし、それほど前ではありませんが、サプライヤー、特にDoctor Webはベンダーを介した配送に同意することができました。 したがって、FSBの要件に従って認定製品を更新すると、クライアントがポータルのサブスクライバーになった場合、FSBが制御する特別なゾーンを通過します（クライアントが認定ソフトウェアを購入し、ソフトウェアメンテナンスの承認手続きを行わなかった場合、更新はベンダーゾーンから送信されます）。



認定バージョンの購入方法は？



Doctor Webの場合、ロシアのFSTECの要件に従って認証された製品は、開発会社の認定パートナー（partner.drweb.ru/?lng=en）またはオンラインストア（ estore.drweb.ru/home/?lng=en ）から購入できます。 ） カスペルスキーの場合、パートナーを通じて取得できます（ www.kaspersky.ru/products/business/certified-version ）。



ロシア連邦警備局/ロシア連邦国防省の要件によって認定された製品は、中央集権化された配送の一部としてベンダーから直接配送できます。



認定バージョンを購入しました。どこからディストリビューションをダウンロードできますか？



どこにもありません。 インターネット上の認定バージョンはレイアウトされていません。 Doctor Webの場合（他のベンダーは異なる規則を持っている可能性があります）、製品自体の認定バージョンと非認定バージョンでライセンス自体に違いはありません。 ただし、電子配布は不可能であるため（FSTECのバージョンの場合-キットにはホログラフィックステッカーが含まれている必要があるため）、ライセンスに加えて、配布キットとパッケージに含まれているドキュメントが入った箱も購入する必要があります。



認定製品を試してみたい！



ああ。 前の質問で説明した問題に関連して、ボックスを購入することによってのみ正式に製品を試すことができます。 解体自体は自然に無料です。 箱は有形の媒体であり、経理部は理解できないため、箱を無料で配達することはできません。



そして、箱には何が含まれていますか？



FSTECまたはFSB（Doctor Webの場合）の要件に従って認証されたソフトウェアの配信パッケージには、次のものが含まれます。

• 提供されたソフトウェアの申請者の印鑑によって認定された適合証明書FSTECまたはFSBのコピー。
• 認定製品の検証済みの配布を含むCD。
• FSTECの要件に従って認証されたソフトウェアを配信する場合、-ロシアのFSTECの特別なホログラフィック適合マークでマークされた、配布キットのチェックサムを示すフォーム。
• 技術文書に記載されている認定パラメーターに従ってソフトウェアをセットアップするための文書と資料。
  
  
  • ユーザー/管理者マニュアル。
  • 技術的条件。

認定ソフトウェアの各インスタンスには、この認定システム用に確立された手順に従ってセキュリティツールを識別する一意の番号が付いています。



ホログラフィックステッカーの接着層の品質は、CD / DVDドライブでの操作中にディスク上に残ることを保証するものではないため、ステッカーを剥がすと、機器の故障に至るまで、さまざまな負の結果を招く可能性があるため、フォームに接着されますロシアのFSTEC。



Dr.Webの認定バージョンのチェックサムの参照値は、対応する製品のフォームに記載されており、パブリックドメインでは公開されていません。 チェックサムは、「Fix」ソフトウェアパッケージ（バージョン2.0.1）の初期状態である「Level-1」アルゴリズムの固定および制御プログラムを使用して計算されます。



カスペルスキーの場合、供給範囲の説明は短くなりますが、全体として、Doctor Webはゲームルールの統一のために同様の供給と異なることはできません（ www.kaspersky.ru/products/business/certified-version ）



RF防衛省向けに認定されたソフトウェアの配信の場合、配信には以下が含まれます。

• すべてのDr.Web製品のシリアル番号付きのライセンス証明書。
• ロシア国防省のDr.Web認定製品の配布が記録されているDVD-ROMと、それらのPDF形式のドキュメントの完全版。
• ロシア国防省によって認定されたDr.Web製品のチェックサムの参照値を含むフォーム。
  
  

認定ソフトウェアを更新できますか？

• コンポーネントの更新：保護コンポーネントの変更は許可されていません。 これは、試験機関が認証機関を通じて検査した後にのみ行われます。 その後、テストされたコンポーネントは、更新領域とフォーム（新しいチェックサムを含む）に分類されます。
• ウイルスデータベースの更新：チェックサムは実行可能ファイルおよびライブラリに対してのみ作成され、ウイルスデータベースには実行可能モジュールが含まれないため、ウイルスデータベースは認証中にチェックサムの対象になりません。 したがって、ウイルスデータベースの更新は、製品の認定機能です。
  
  

更新自体は、特別に作成された領域から行われます。



注意！ 認定されていないアップデートは、認定されたソフトウェアにインストールできません。



認定バージョンのユーザーは、セキュリティアップデートと、認定アップデートを含むCDの両方でセキュリティアップデートを受け取ることができます（非常に大きな構造でこのようなアップデートの例を知っている人は黙ってください！）。



アンチウイルスはネットワーク内にインストールされており、インターネットにアクセスできません。 アップデートを受け取る方法は？



公式-ネットワークの外部からアンチウイルス製品をインストールし、更新を手動で内部に転送することによってのみ。 実際には、オプションは可能です-郵便で基地を送り、宅配便サービスを使用するまで。



ファイアウォールは、関連するプロファイルへの準拠が認定されているアンチウイルスに含まれていますか？



ロシアのFSTEC （ fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/120-normativnye-dokumenty ）によって開発されたファイアウォールプロファイルは、ネットワーク境界にインストールされた企業レベルのファイアウォールのみの機能を記述しています。 ウイルス対策製品に含まれるパーソナルファイアウォールはこれらのプロファイルに該当せず、ウイルス対策ソリューションの一部として認定されているため、認定されたものとして使用できます。



証明書の有効期限が切れた製品を購入して使用できますか？



在庫の箱がある場合は、製品の任意のバージョンを購入できます。 しかし、ルールに従って公式に使用する-いいえ。



いわゆる「アンチウイルス保護プロファイル」が現在有効であるという事実により、TUおよびNDVに従って以前に認証された製品を使用することは可能ですか？



2012年7月30日のFSTEC No. 240/24/3095の命令に従い、2012年8月1日から、ウイルス対策ソフトウェアは「ウイルス対策の要件」（2012年3月20日のFSTEC No. 28の命令）に準拠する必要性を確立し、14 2012年7月、「ウイルス対策保護プロファイル」。 4年生、5年生、6年生のプロファイルはfstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/120-normativnye-dokumenty/470-metodicheskie-dokumenty-utverzhdeny-fstekevrossi-3のページに掲載されています-g-2 。 オープンアクセスの1番目、2番目、3番目のクラスのプロファイルがレイアウトされました。



これに伴い、認定されたウイルス対策ソフトウェア製品の新しい分類が導入されました。目的別（AG）および保護レベル（6-1）です。



これまで、ウイルス対策の要件はなく、技術仕様（TU）およびNDV（未宣言の機能の欠如）の認定を受けていました。



FSTECの手紙によると、プロファイルのリリース前に作成され、FSTEC証明書（および特に注文に関係のないFSBとMO）を持つ製品は正当性を保持します。



認定ソフトウェアとは何ですか？



認定ソフトウェアは次のとおりです。

• 州の基準および情報セキュリティに関する規制文書の要件に従って、情報セキュリティ手段の認証システムの適合チェックに合格したソフトウェアは、適合証明書によって確認されます。
  
  このソフトウェアは、技術文書（RD、TUなど）への準拠が認定されており、この文書で指定されたパラメーターに従っています。 最も有名な証明書は、ロシアのFSTEC、ロシア国防省、ロシアのFSBの証明書だけではありません。
• ソフトウェアの配布は、認証テストを受けた参照コピーに対応します。これは、認証ソフトウェア（フォーム）および（FSTECの）付属文書の対応するエントリによって確認され、認証製品の状態会計システムでこのコピーを識別する一意の番号との特別なホログラフィックマークが付いています。
• 認定されたパラメーターに従ってインストールおよび構成されたソフトウェア。
• ソフトウェアには、セキュリティに重要なすべての変更（更新）も、ユーザーに送信される前に認証テストの対象となります。 認定製品のセキュリティシステムで更新および修正をリリースする場合、製造業者は認定更新を提供し、消費者に情報を提供する必要があります。
  
  正直なところ、アンチウイルスにとって素晴らしいことです-もちろん、誰もデータベースを更新しません（ちなみに、それ自体は認証されていません）。誰も認証テストにさらされません。 1時間に3回まで更新を行うような手順を実行するのは非現実的です。
• 操作中に制御されるソフトウェア。
  
  認定ソフトウェアには、整合性制御の分野の要件を満たすように設計された組み込みツールまたはスーパーインポーズツールが必要です。ソフトウェアのセキュリティ更新プログラムの実装イベントを考慮し、運用中のセキュリティを監視します。 コンシューマには、チェックサムを使用してセキュリティ更新の整合性を検証するメカニズムが必要です。
• 各認定コピーが認定製品の登録簿に記録されているソフトウェア。 製造業者は、保護具にラベルを付け、認証された保護具の管理を実行している団体の代表者が会計情報に妨げられないようにアクセスすることを保証する必要があります。
  
  

したがって、認定ソフトウェアとは、認定された要件に従って以前に認定、インストール、構成、および保守されたソフトウェアです。



認定された保護装置を単独で使用するだけでは、機密データのセキュリティ要件を満たすのに十分な条件ではありません。以下も必要です。

• セキュリティシステムのパラメーターが、自動化システム全体のセキュリティシステムに関するガイド文書の要件を満たしていること。
• これらのセキュリティパラメータは、情報化の対象の認証中に認定機関によって確認されます。
  
  

ソフトウェアを独立して認証できますか？



RDの要件を満たす選択されたSZIを個別に認証できます。 情報セキュリティ要件に関する情報セキュリティツールの認証に関する規制（1995年10月27日付けロシア国家技術委員会委員長第199号）に従って、ST、TU、またはSZIの要件を定義するその他の文書について、ロシアのFSTECに同意して、試験所に提出する必要がありますすべての認証費用を支払うために必要な一連の設計および運用文書、SZIサンプル。 この場合、申請者は、SZIの開発および生産に関して、FSTECおよび（または）ロシアのFSBのライセンシーでなければなりません。



当然、この質問のリストは完全ではありません。 たとえば、Astra Linuxを使用する場合など、非常に多くの質問が関連しています。 しかし、ほとんどの場合、彼らはそれを尋ねます。



伝統的な結果を失望させません。 私が言いたい唯一のこと：

• 認定製品のベンダーまたはサプライヤへのリクエストを準備する場合、どこでどのように使用するかについて可能な限り完全な情報を提供してください。 微妙な違いがたくさんあります。
• サプライヤーはお客様の要件に従って納品することに注意してください。 そして、間違ったものをリクエストしたことが判明した場合、問題はあなたの側にあります。
• 認定製品のアップグレードを事前に計画します。 すべてがすでに設計されているときに、ウイルス対策ソリューションを提供するためにサプライヤーに来るケースは珍しくありません。 そして、顧客のこちら側で、現時点まで、ソフトウェアの展開、更新、および管理の問題がまったく考慮されていない場合が少なくありません。
• 認定ソフトウェアはデフォルトでは廃止されていることを忘れないでください。 既知の脆弱性がある可能性があります。