Как расшифровывается оуд? Значения аббревиатур и сокращений на сайте

Добрый день.

Перечня документов предусмотренного нормативными документами нет. В то же время для оценки необходимы сведения о программном продукте. В каких документах будут содержаться данные сведения — не имеет значения. Перечень сведений и примерных документов, содержащих их ниже:

Задание по безопасности:

• Функциональные требования безопасности
• Требования доверия к безопасности

Функциональная спецификация:

• Назначение и методы всех интерфейсов функций безопасности
• Перечень и описание всех параметров каждого интерфейса функций безопасности
• Перечень и описание всех действий, связанных с каждым интерфейсом функций безопасности
• Описание сообщений обо всех непосредственных ошибках, которые могут возникнуть при вызове каждого интерфейса функциональных возможностей безопасности объекта оценки.
• Прослеживание функциональных требований безопасности к интерфейсам функциональных возможностей безопасности объекта оценки

Проект объекта оценки:

• Перечень подсистем
• Перечень модулей
• Описание модулей

Описание архитектуры безопасности:

• Перечень функций безопасности (идентификация, аутентификация и пр.)
• Перечень механизмов собственной защиты от вмешательства.
• Описание защищённости процесса инициации функций безопасности
• Описание невозможности обхода функциональных возможностей, осуществляющих выполнение функциональных требований безопасности

Представление реализации:

• Определение функциональных возможностей безопасности объекта оценки на таком уровне детализации, что функциональные возможности безопасности объекта оценки могут быть созданы без дополнительных проектных решений.
• Демонстрация соответствия между выборкой представления реализации и описанием проекта объекта оценки

Руководство пользователя по эксплуатации:

• Описание доступных пользователям функций, возможных прав и обязанностей, которыми следует управлять в защищенной среде функционирования, а также уместных предупреждений.
• Описание принципов безопасной работы с предоставленными в объекте оценки интерфейсами.
• Описание доступных для каждой пользовательской роли функций и интерфейсов, особенно всех параметров безопасности под управлением пользователя, с указанием безопасных значений
• Для каждой пользовательской роли должно быть представлено четкое представление каждого типа имеющих значение для безопасности событий, связанных с доступными пользователю обязательными для выполнения функциями, включая изменение характеристик безопасности сущностей, находящихся под управлением функциональных возможностей безопасности объекта оценки
• Возможные режимы работы объекта оценки (включая операции после сбоев и ошибок эксплуатации), их последствия и участие в обеспечении безопасного функционирования
• Для каждой пользовательской роли должно быть описание всех мер безопасности

Руководство по подготовительным процедурам:

• Шаги для безопасной установки
• Шаги для безопасной подготовки среды функционирования
• Шаги для безопасной приёмки поставленного объекта оценки

Инструментальные средства и методы (описание):

• Перечень инструментальных средств разработки
• Опции инструментальных средств разработки
• Описание языковых конструкций, используемых в реализации

Разумеется, эксперты РТМ готовы помочь в подготовке данной документации.

В нормативных документах Центрального Банка 382-П, 683-П указано, что для проведения анализа прикладного программного обеспечения по ОУД4 организации должны привлекать лицензиата ФСТЭК, имеющего лицензию на деятельность по технической защите конфиденциальной информации с указанным в ней видом работ и услуг предусмотренных подпунктами «б», «д» или «е» пункта 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2022 года N 79 «О лицензировании деятельности по технической защите конфиденциальной информации», а именно: «контроль защищенности конфиденциальной информации в информационных системах», «работы и услуги по проектированию в защищенном исполнении», а также «услуги по установке, монтажу, наладке, испытаниям, ремонту средств защиты информации» (https://rasshifrui.ru/licenses/). То есть банку необходимо привлекать сторонние организации имеющие соответствующие лицензии ФСТЭК.

Однако, для некредитной финансовой организации актуальны требования 684-П, такая Организация принимает решение: самостоятельно ли проводить ей оценку по ОУД4 или с привлечением проверяющей организации.

Добрый день.

В 683-П и 382-П указано, что Организация обязана использовать программное обеспечение (далее — ПО), предоставляемое клиентам, которое используется для осуществления банковских операций (ДБО) и ПО, используемое для осуществления переводов денежных средств, а также в котором происходит процесс обработки защищаемой информации на участках, используемых для приема электронных сообщений (отдельные компоненты АБС), сертифицированное по ОУД4.

Исходя из вышеуказанных требований можно сделать вывод, что анализу по ОУД.4 должно подвергаться ПО в функции которого входит совершение банковских операций (предоставляемое клиентам), а также ПО используемое для операции по переводу денежных средств и обработки защищаемой информации на участках, используемых для приема электронных сообщений.

Следовательно, ответ на Ваш вопрос – да, системы ДБО и отдельные компоненты АБС, используемые для приема электронных сообщений с использованием сети интернет, должны подвергаться анализу по ОУД4 в банке.

Меры наказаний строго не регламентированы, но известно, что недавно ЦБ оштрафовал 17 банков за несоответствие требованиям ИБ. Какие банки, за что оштрафовали и на какие суммы — неизвестно. Среди наших клиентов таких не было. Здесь ЦБ занимает лояльную позицию и не выписывает штрафы сразу, а дает время на устранение. Отдельно отметим, что провести анализ уязвимостей за 30 дней стоит гораздо дороже, чем провести нормальный аудит за 3-4 месяца. В этом аспекте существенную роль играет не сумма штрафа, а последствия, сопутствующие наказанию. Сумма штрафа может быть и 30 000 рублей, а аудит с 1 500 000 рублей вырастет в цене до 5 000 000 рублей.