Значения уровней доверия ФСТЭК

Классификация средств защиты информации (СЗИ) в Российской Федерации, особенно для разработчиков, опирается на установленные уровни доверия. Эти уровни определены приказом №76 Федеральной службы по техническому и экспортному контролю (ФСТЭК) России от 2 июня 2020 года. Указанные требования характеризуют безопасность использования информационных систем при работе с государственными секретами, информацией ограниченного доступа и для обеспечения защиты критически важной инфраструктуры.

6 уровней доверия к ПО

Всего существует шесть ступеней доверия, начиная от шестого (наименее строгого) до первого (наиболее строгого). Информация, касающаяся уровней с первого по третий, носит закрытый характер и не подлежит открытому распространению согласно законодательству.

Приказ №76 включает таблицу с детальным описанием требований к каждому уровню. На шестом и пятом уровнях доверия не требуется проводить анализ скрытых каналов передачи информации. На четвёртом уровне этот анализ становится обязательным, фокусируясь на утечках через память.

Требования по уровню доверия ФСТЭК

Ряд требований, включая разработку архитектуры безопасности, собственно проектирование продукта, использование инструментов разработки, создание эксплуатационной документации, процедуры устранения недостатков и информирование о прекращении поддержки, являются едиными для шестого, пятого и четвертого уровней.

Документация, связанная с безопасной разработкой, различается: для шестого и пятого уровней она унифицирована, тогда как для четвертого уровня требования расширяются, включая аспекты безопасной разработки аппаратной платформы.

Требования к функциональной спецификации, проектной документации, управлению конфигурацией, тестированию, поиску уязвимостей, устранению недостатков и обновлению продукта возрастают с каждым последующим, более низким уровнем доверия.

Например, процесс тестирования на шестом уровне включает план, сценарии, описание ресурсов, соответствие тестов функциональным спецификациям, ожидаемые и фактические результаты. На пятом уровне добавляется сопоставление тестов с подсистемами, согласно эскизному проекту. На четвертом уровне к этому добавляется анализ влияния других модулей на компоненты, реализующие функции безопасности, согласно техническому проекту.

Уровни доверия с первого по третий предназначены для защиты информации, составляющей государственную тайну.

Решения, соответствующие определенным уровням доверия ФСТЭК, применяются для защиты объектов критической информационной инфраструктуры, государственных информационных систем, систем управления технологическими процессами и систем, обрабатывающих персональные данные.

Если рассматривать операционную систему «Альт СП» на четвертом уровне доверия ФСТЭК, то её сертификация подтверждает соответствие требованиям приказа №76, а также другим нормативным документам, касающимся безопасности операционных систем, профилям защиты и требованиям к средствам контейнеризации, виртуализации и базам данных.

Основной принцип информационной безопасности заключается в том, чтобы защитные меры не препятствовали работе пользователя. Обеспечение доступности, целостности и конфиденциальности данных требует комплексного подхода, включающего применение подходящих средств, соблюдение установленных принципов и обучение персонала.