05/06/2020
Хотелось поделиться положительным опытом по сертификации «Информационной системы электронного документооборота и автоматизации бизнес-процессов «Documentolog» Версия 7, разработанной ТОО «Documentolog» на соответствие требований стандарта СТ РК ISO/IEC15408-3-2017 по четвертому оценочному уровню доверия (ОУД4).
На протяжении 2 месяцев, в тесном контакте специалистов испытательного центра Инфосерт и разработчиков со стороны Documentolog, проверены функции безопасности, реализованные в программном продукте. Так же, проведена оценка пользовательской документации, проанализирована внутренняя структура информационной системы, проверено соответствие и выполнение процедур по обеспечению безопасности при разработке, включая процедуры поставки информационной системы от разработчика до конкретного пользователя. Нами, проведен анализ исходных кодов на уязвимости, а также тестирование на проникновения с моделью злоумышленника обладающим усиленным базовым потенциалом нападения.
Для выполнения, всех необходимых требований и для соответствия СТ РК ISO/IEC15408-3-2017, специалисты Documentolog, предоставили пакет программной документации на свою информационную систему, задание по безопасности с полностью определенными целями и угрозами безопасности, а также функциональными требованиями безопасности, как для самого продукта, так и для среды функционирования. В результате изучения документации, мы провели идентификацию реализованных функций безопасности, и в рамках проведения функционального тестирования подтвердить их работоспособность.
По результатам сертификационных испытаний Информационная система электронного документооборота и автоматизации бизнес-процессов «Documentolog» Версия 7 была признана соответствующей требованиям четвертого уровня доверия СТ РК ISO/IEC 15408-3-2017, и выдан сертификат соответствия установленного образца с регистрацией в реестре выданных сертификатов.
Данный опыт показывает, что все больше отечественных производителей заинтересованы в получении независимой оценки своих продуктов по информационной безопасности.
Дополнительным стимулом, для получения сертификата по 15408 для производителей, безусловно является реестр доверенного программного обеспечения, который ведет Министерство цифрового развития, инноваций и аэрокосмической промышленности Республики Казахстан. Данный реестр, является высокоэффективным механизмом в реализации требований по информационной безопасности, а также в поддержке производителей программного обеспечения. Нахождение программного обеспечения в реестре, помимо прямых конкурентных преимуществ, дает право получения определенного статуса доверия на государственном уровне.
