Сертифицированные версии — грабли, которые нам выбирают

[amarao]

Формуляры в Линуксе! Кафка на сервере!

(почему-то второе звучит более техноорганично, даже лучше, чем кролик).

[Loreweil]

Как известно — использование сертифицированных версий программного обеспечения прописано в самых разных документах регуляторов.

Наверное все же не ПО в целом, а средств защиты информации в частности.

согласно которым необходимо использовать сертифицированные (или иначе «прошедшие процедуру проверки соответствия»)

«Сертифицированные» и «прошедшие оценку соответствия» это не одно и то же.
Из актуальных приказов ФСТЭК явно сертификация прописана только в 17

Для обеспечения защиты информации, содержащейся в информационной системе, применяются средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации

В 239 же приказе (КИИ) явно прописаны альтернативы:

28. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.

Подборка типичных проблем была сформирована в ходе подготовки к одной из конференций на основе обращений в нашу техподдержку.

Блог не корпоративный, поэтому хотелось бы уточнение о чьей техподдержке речь (интересно же).

По проблеме №1

Это прям вообще беда. Особенно с СКЗИ. Пример с ViPNet Client 4. На сайте производителя поддержка Windows 10 помечена звездочкой и написано, что по факту продукт прекрасно работает в этой ОС, но в формуляре его нет. А какой смысл в том, что он прекрасно работает, если СКЗИ в явном виде предписано использовать в строгом соответствии с формуляром? Можно сказать — переходите на отечественный линукс. Тут проблема в том что в версии ViPNet Client для Linux не реализована необходимая многим заказчикам функция «Деловая почта». Есть мнение, что ФСБ вообще никогда не сертифицирует ни одно СКЗИ под Windows 10 из-за телеметрии, собираемой этой ОС.

Если у клиента несколько удаленных филиалов, нужно столько медиакомплектов, сколько филиалов. При проверке со стороны регулятора удобнее иметь сертифицированный медиапакет на месте.

Правда. Здесь просто хотел бы поделиться своей болью. У нас почему-то очень часто центр конфискует медиакомплекты с филиалов. На вопрос «Зачем?» ответ «Так надежнее», на вопрос «А как будут в филиале при необходимости переустанавливать с сертифицированного дистрибутива», частый ответ «Их проблемы».

[teecat]

Естественно речь о средствах защиты.

О сертификации и прошедших процедуру соответствия. Все верно и даже веселее. Если интересно, то я в одной из прошлых статей разбирал формулировки из разных документов регуляторов. В одних требуется одно, в других другое. С тез пор неразберихи только добавилось в связи с появлением документов по КИИ

Примеры по обращению в Доктор Веб

С проверками куча проблем. В основном по причине того, что ни проверяющие, ни проверяемые не соблюдают процедуры. Не знают, что запрещенные ссылки в кеше браузера — это норма и тд.

Вы можете запросить ссылки на дистрибутивы в электронной форме и в электронной форме же формуляр. Хоть что-то будет на руках. Буду в офисе, уточню, имеют ли право отбирать у вас меакомплекты