Eset NOD32 получил сертификат ФСТЭК класса «К1»

[DWState 30]

В сертификате четко сказано - 4 уровень, исключающий защиту информании составляющей гос тайну. (тут все верно 4 уровень).

Про какие К1 идет речь. Да может оно (К1) и фигурирует где-то но это иная градация уровней котрая, как и сказал Илья, напрямую не относится к другим 4ем уровням. В информации же Исет как мне видится преднамеренно спутали карты, так сказать "начали про баранов, а плавно съехали на коров". Опять таки в стиле Исета - говори правду но не договаривай и работают на домохозяек, которые отроду незнали ни прокакие ФСТЭКи.

Сертификата ФСБ нет, это вот точно факт

http://www.anti-malware.ru/node/651 а вот это о чем поясните мне

[Alexander M. 0]

http://www.anti-malware.ru/node/651 а вот это о чем поясните мне

Имелось ввиду, что у Исета его нет.

[Вадим Волков 176]

"Сертификат ФСТЭК класса «К1» распространяется на комплект ESET NOD32 Platinum Pack 4.0, включающий версии Антивируса ESET NOD32 и ESET NOD32 Smart Security для корпоративных пользователей, а также программные продукты ESET для защиты файловых серверов Linux, BSD, Solaris."

Интересно было бы посмотреть на ТУ, в котором расписаны условия применения и состав комплекта более подробно.

Судя по построению фразы, продукты для персонального использования и почтновых серверов под действие этого сертификата не попадают?

Кстати, про Solaris в сертификате упоминания нет. Возможно в ТУ упомянуто.

[Иван 290]

мнение господина Лукацкого на эту тему

http://lukatsky.blogspot.com/

Гротек опубликовал опус про получение Eset NOD32 сертификата ФСТЭК "высшего класса К1". Даже и не знаю, кто этот бред писал ;-( Непонимание не только термина "конфиденциальная информация", но и ФЗ "О персональных данных", системы сертификации ФСТЭК и "четверокнижия" ФСТЭК.

....................

..........................

Вернусь опять к ESET. Многие его партнеры на днях получили письмо следующего содержания (выдержка): "Согласно закону ФЗ № 152 «О персональных данных», к 1 января 2010 года все организации, обрабатывающие персональные данные физических лиц, обязаны привести свои информационные системы в соответствие с требованиями регулирующих органов. В случае нарушения закона деятельность организаций может быть приостановлена, а ее должностным лицам грозит административная, дисциплинарная или уголовная ответственность. Решения ESET NOD32 – единственные средства антивирусной безопасности, которые могут использоваться для обработки персональных данных".

Ну это уже пошел откровенный обман и надувательство. Я понимаю, что вписать в ТУ требования к антивирусу для ИСПДн К1, а потом сертификационной лаборатории проверить их реализацию, - это глубоко интеллектуальная работа. Но зачем же врать и называть свой продукт единственным? То, что у него одного в сертификате есть приписка про ИСПДн К1, еще не делает его единственным подходящим продуктом. Зато клиенты и партнеры напуганы уголовной ответственностью... Наступает замечательное время для втюхивания любого merde (как говорят французы).

[Alexander M. 0]

Насколько я понял, ФТЭК как правило НДВ 4-го уровня контроля приравнивается к К2, для получение категории К1 необходимо получить соответствие НДВ 3-го уровня или выше.

Нашел-таки про требования антивирусным подсистемам ИСПДн, и требованиям в зависимости от класса обрабатываемых данных, читаем здесь с 4-го пункта. Видим множество требований, по большей части к функционалу антивируса. Запоминаем и двигаемся на эту страницу, где перечислены требования к уровню контроля НДВ (отсуствие программых закладок, и многое другое). Понимаем, что это СОВЕРШЕННО разные вещи и перестаем понимаем, что уровень НДВ никак не обеспечивает определенный уровень ИСПДн. Также можем посмотреть пункт 4.3 первого документа, где видим: "для программного обеспечения, используемого при защите информации в ИСПДн, должен быть обеспечен соответствующий уровень контроля отсутствия в нем НДВ". Я делаю вывод, что наличие сертификата на НДВ - обязательное, но не достаточное условия для использования системы в ИСПДн определенного класса.

[Сергей Ильин 1538]

Alexander M., вы хотите сказать, что если в сертификате к ПО не написано ничего про уровень защиты ИСПДн, то его нельзя для этого использовать?

[Иван 290]

хрень всё это

в требованих к антивирусам по РД ФСТЭК по закону "о персональных данных" необходима сертификация по уровню контроля НДВ. Их существует всего четыре: 4-ый самый маленький и достаточен для защиты любой конфиденциальной информации к которой и относится персональная информация. То есть, имея сертификат по 4-му уровню контроля продукт имеет право устанавливаться для защиты персональной информации в системах любого класса (К4-К1).

всё, тут ничего сложного

при этом, если сертификат есть только по ТУ (как у Симантека или как раньше был у Исет), то такой продукт может устанавливаться для защиты персональной информации в системах до К2 (без К1)

у ЛК и Доктора сертификаты по 3-му уровню контроля, а это включет возможность защиты любой конфиденциальной информации (в том числе по уровням К4-К1 по 152 ФЗ) плюс может быть использован для защиты информации с грифом "секретно".

далее идет 2-ой уровень контроля (это типа "сов. секретно"), а далее 1-й уровень контроля - это гос. тайна.

есть отдельная сертификация ФСБ по гос. тайне и именно такой сертификат есть и у ЛК и у Доктора

[Вячеслaв 0]

Уважаемые!

Я безусловно понимаю, что у чиновника, который придёт проверять будет высшее образование.

Есть простая поговорка- без бумажки ты букашка, с - человек.

Так вот- придя и увидев бумажку, что у используемого АВ обеспечения есть лицензия, сертификат, в котором написано чёрным по белому, что класс защиты такой-то по документам лицензирования и класс защиты используемого АВ соответствует, то всё хорошо. Иначе (и в случае поломого датчика наглости) наступает <сенсореД>

По поводу гаданий есть или не есть. Будет или не будет.

Взгляните на список партнёров (отсортируйте от наиболее крупного и уважаемого и смотрите с начала) И всё станет понятно без заморочей.

Троллям и холиварщикам читать дальше настоятельно не рекомендуется.

1. Моё сугубо субъективное мнение- Сертификат ФСБ на охрану гос.тайны является эпической вершиной всех этих законов.
2. Разбираться во всех этих аморфно-абстрактных буквосочетаниях и размышлять почему так вышло- не по мне. (У меня не гуманитарное образование)
3. Верьте- всё будет хорошо

[Сергей Ильин 1538]

То есть, имея сертификат по 4-му уровню контроля продукт имеет право устанавливаться для защиты персональной информации в системах любого класса (К4-К1).

Именно так и есть. Вопрос только, где четко прописано какой класс защиты ИСПДн должен ставить ФСТЭК?

Вот сравните. Eset получил за свой ESET NOD32 сертификат соответствия на НДВ4 и класс К1, например, а у InfoWatch для Traffic Monitor тоже получил сертификат на НДВ4, но класс защиты ИСПДн ему дали К2.

http://esetnod32.ru/partner/pdf/sertifikat.pdf

http://infowatch.ru/img/content/company/li...stek_tm_new.jpg

Вот теперь смотрим на эти 2 сертификата, сравниваем и пытаемся найти логическое или юридическое обяснение

[Alexander M. 0]

Alexander M., вы хотите сказать, что если в сертификате к ПО не написано ничего про уровень защиты ИСПДн, то его нельзя для этого использовать?

Я хочу сказать, что судя по всему, дело обстоит следующим образом: требования к антивирусным подсистемам, перечисленные в приведенном мною выше документе, должны быть отражены в ТУ, на соответствие которому продукт проверяет сертифицированная лаборатория ФСТЭК. Если требования отражены и они соответствуют действительности, то в сертификате пишется про возможность использования в ИСПДн определенного класса. Также, в соответствии с документом, должен быть определенный уровень контроля НДВ, но уровень НДВ не является достаточным условием для присвоения какого-либо уровня ИСПДн (потому что требования РАЗНЫЕ) вроде 4-го, согласно требованиям.

вроде 4-го, согласно требованиям.

*кроме 4-го

[Вадим Волков 176]

Вот теперь смотрим на эти 2 сертификата, сравниваем и пытаемся найти логическое или юридическое обяснение

NOD32 - антивирус, а ITW - СЗИ(от НСД).

Подтверждение, что защитное средство имеет определённый уровень НДВ не является достаточным условием для его применения в ИСПДн.

Необходимо выполнить ещё и требования по защите ПД. А они для разных типов средств - разные. Для антивирусного ПО требований меньше, чем к СЗИ или МЭ. Причем, эти требования отличаются в зависимости от режима обработки ПД(однопользовательский или многопользовательский режимы)

Исходя из этого, средство защиты может получить и НДВ3, а по персданным проходить только по К2.

Сертификат по 4-му уровеню НДВ получить не так уж и сложно, хотя и требует определённых финансовых и временных затрат.

Сравните для примера с требованиями к 3-му уровню. Здесь приведу только для четвертого.

http://www.fstec.ru/_docs/doc_3_3_010.htm

ТРЕБОВАНИЯ К ЧЕТВЕРТОМУ УРОВНЮ КОНТРОЛЯ

3.2.1.Контроль состава и содержания документации

В состав документации, представляемой заявителем, должны входить:

Спецификация (ГОСТ 19.202-78), содержащая сведения о составе ПО и документации на него;

Описание программы (ГОСТ 19.402-78), содержащее основные сведения о составе (с указанием контрольных сумм файлов, входящих в состав ПО), логической структуре и среде функционирования ПО, а также описание методов, приемов и правил эксплуатации средств технологического оснащения при создании ПО;

Описание применения (ГОСТ 19.502-78), содержащее сведения о назначении ПО, области применения, применяемых методах, классе решаемых задач, ограничениях при применении, минимальной конфигурации технических средств, среде функционирования и порядке работы.

Исходные тексты программ (ГОСТ 19.401-78), входящих в состав ПО.

Для ПО импортного производства состав документации может отличаться от требуемого, однако содержание должно соответствовать требованиям указанных ГОСТ.

3.2.2. Контроль исходного состояния ПО

Контроль заключается в фиксации исходного состояния ПО и сравнении полученных результатов с приведенными в документации.

Результатами контроля исходного состояния ПО должны быть рассчитанные уникальные значения контрольных сумм загрузочных модулей и исходных текстов программ, входящих в состав ПО.

Контрольные суммы должны рассчитываться для каждого файла, входящего в состав ПО.

3.2.3. Статический анализ исходных текстов программ

Статический анализ исходных текстов программ должен включать следующие технологические операции:

- контроль полноты и отсутствия избыточности исходных текстов ПО на уровне файлов;

- контроль соответствия исходных текстов ПО его объектному (загрузочному) коду.

3.2.4. Отчетность

По окончании испытаний оформляется отчет (протокол), содержащий результаты:

- контроля исходного состояния ПО;

- контроля полноты и отсутствия избыточности исходных текстов контролируемого ПО на уровне файлов;

- контроля соответствия исходных текстов ПО его объектному (загрузочному) коду.

[Little Brother 35]

удалено автором

[A. 876]

Скажите, а в чем глубинный смысл сертификата на отсутствие не документированных возможностей антивирусного ПО, кроме формальности?

Вот взяли мы ПО, всесторонне и тщательно исследовали исходный код, закладок и явных ошибок не нашли. Также исследовали бинарные модули на функционал и соответствие исходникам, все отлично выдаем сертификат. Но это же антивирусное ПО, через день/час оно обновилось и вот у нас уже непроверенный програмный модуль в системе, бинарник этот никто не проверял, коды не смотрел. С важной бумажкой Сертификат можно идти в туалет.

Я так понимаю, что после такой сертификации, ПО должно быть подписано ЭЦП центра сертификации (каждый програмный модуль, библиотека) и полностью исключена вазможность запуска модифицираванных компонентов с алертом пользователю. Только в этом случае есть смысл и хоть какие то гарантии безопасности.

Иначе самообман.

А это как с техосмотром.

Вот прошли вы техосмотр, получили документ, что у вашей машины все четыре колеса на месте. А потом у вас баах и одно колесо отвалилось. Через месяц. И что - в этом виноват тот, кто вам справку о пройденном техосмотре выдал ? Нет, не виноват. Влияет ли техосмотр на исключение таких случаев ? Не влияет. Но проходить техосмотр надо ? Надо.

[Alexander M. 0]

Но это же антивирусное ПО, через день/час оно обновилось и вот у нас уже непроверенный програмный модуль в системе, бинарник этот никто не проверял, коды не смотрел. С важной бумажкой Сертификат можно идти в туалет.

Насколько я знаю, все эти моменты указываются и учатываются в формулярах, прикладываемых к сертификатам ФСТЭКа. Например, в некоторых продуктах можно обновлять только антивирусные базы без обновления программных модулей. Во ФСТЭКе не идиоты совсем сидят, Вы не подумайте

[Little Brother 35]

удалено автором

[Cooller 20]

«Лаборатория Касперского» публично ответила на многочисленные запросы пользователей, вызванные недавним заявлением ЗАО «Исет» о получении сертификата ФСТЭК, который, по утверждениям производителя, делает продукт этого антивирусного производителя «уникальным решением» на российском рынке.

Как отметил управляющий директор «Лаборатории Касперского» в России и странах Закавказья Сергей Земков, «заявления такого рода свидетельствуют либо о незнании представителями «Исет» законов РФ, либо о желании дезинформировать пользователей».

Процедура, которую недавно прошла компания «Исет», осуществлена в соответствии с руководящими документами ФСТЭК России на предмет отсутствия в данном ПО недекларированных возможностей (НДВ). Эту процедуру должны проходить все продукты, предназначенные для защиты информации ограниченного доступа (к ней относится конфиденциальная информации, а также информация, составляющая государственную тайну).

В процессе оценки соответствия установленным требованиям эксперты ФСТЭК осуществляют проверку программного продукта по определенному уровню контроля безопасности, подтверждающему, что данный продукт не содержит недекларированных возможностей и пригоден для защиты конфиденциальной информации (4-й уровень контроля) и информации, составляющей государственную тайну (от 3-го до 1-го уровня контроля, в зависимости от степени секретности). Продукты ЗАО «Лаборатория Касперского» еще в 2007 году успешно прошли процедуру соответствия по третьему уровню контроля, получив соответствующие сертификаты 11 мая 2007 года.

С принятием закона ФЗ №152 «О персональных данных» процедура оценки соответствия не изменилась, не появилось никаких новых требований к программным продуктам. Согласно постановлению Правительства РФ №781 от 17.11.2007, производители систем защиты информации обязаны пройти процедуру соответствия ранее установленным требованиям, которые были прописаны руководящим документом ФСТЭК. А в нем идет речь все о той же сертификации по НДВ, которую продукты «Лаборатории Касперского» уже прошли. Соответственно, информация о том, что продукты «Исет», получившие лишь четвертый уровень контроля безопасности, имеют уникальное право на защиту персональных данных, не соответствует действительности.

Вместе с тем немаловажно уточнить, что, согласно новому приказу Министерства связи и массовых коммуникаций РФ № 104 от 25 августа 2009 года (зарегистрировано в Минюсте РФ 25 сентября 2009 года), полученный ЗАО «Исет» сертификат не дает права использовать антивирусные средства данной компании для защиты информации в органах государственной власти. Для этого необходимо пройти сертификацию Федеральной службы безопасности России, сертификаты которой «Лаборатория Касперского» получила 13 июня 2007 года. Кроме этого, наличие сертификатов ФСБ России дает право использовать продукты ЛК для защиты информации, составляющей государственную тайну.

[Вадим Волков 176]

Eset продолжает расхваливать уникальность своих продуктов и опубликовал очередной пресс-релиз.

Актуальные вопросы сертификации антивирусного ПО в свете закона ФЗ № 152 «О персональных данных»

Очень интересный сплав черного пиара и "копипаста" из официальных документов получился. Рассчитан пресс-релиз видимо на не слишком квалифицированных пользователей.

Все-таки зря Eset вернулся к таким пиар-методам. Ну "запудрят" мозги некоторому количеству пользователей и партнёров, ну порадуются "виталики" очередному "первому месту". Но тех, кто будет заниматься проектами по персданным, не получится ввести в заблуждение.

В пресс-релизе более подробно указан состав комплекта. В нем так и не оказалось продуктов по защите почты. Интересно, как будет строиться защита ПД в организации поставивших у себя продукцию ESET? На станции и файловые сервера - NOD32, а на почтовый - продукт конкурентов?

PS. Ни у кого ещё нет ТУ или формуляра по Platinum Pack? Очень интересно было бы посмотреть на условия и огранияения его применения.

[Иван 290]

чо-то ребята совсем заврались

вот даже их 2 пресс-релиза

вот первый

Решения ESET NOD32 – единственные средства антивирусной безопасности, которые могут использоваться для обработки персональных данных любой категории и могут быть установлены на предприятиях, где ведется работа с персональными данными высшего класса.

«Получение сертификата ФСТЭК высшего класса «К1» делает ESET NOD32 уникальным решением на российском рынке. Ведь в настоящий момент это единственный антивирусный продукт, который позволяет привести подсистему антивирусной защиты любой организации в соответствие с требованиями закона ФЗ № 152 «О персональных данных»,

вот второй

В государственном реестре обозначено, что пакет программ ESET NOD32 Platinum Pack 4.0 может использоваться при построении автоматизированных систем класса до 1Г включительно (высший класс защиты АС, не предназначенных для обработки информации, составляющей государственную тайну) и может использоваться для защиты информации в ИСПДн до 1 класса включительно (при условии несущественных ограничений организационного порядка). Согласно государственному реестру, по состоянию на 30 октября 2009 года другие антивирусные продукты могут использоваться для защиты информации в ИСПДн только до 2-го, 3-го и 4-го классов.

Исключение составляют продукты «Программный комплекс антивирусной защиты «VBA32» версии 3.12» (сертификат № 1671, действует до 26.08.2011) и «ПО Антивирус Касперского для «Дионис» 2.0 G6383» (сертификат № 1570, действует до 06.03.2011), которые также имеют запись в Реестре, позволяющую использовать их в ИСПДн класса до К1 включительно.

в первом написано,что они единственные, а во втором они неожиданно обнаруживают, что есть VBA

надож ведь не задача, у VBA в сертификате про ИСПДн ни слова, а согласно ФСТЭК всё равно можно его использовать до К1, удивительно, не правда ли товарисч Албитов?

о сколько им открытий чудных ещё предподнесёт судьба

кончится тем, что придётся признать, что единственное отличие Есета - явное указание на ИСПДн в сертификате, что связано с его свежестью

а у остальных такой строчки нет, а использовать всё равно можно

[Alexander M. 0]

С принятием закона ФЗ №152 «О персональных данных» процедура оценки соответствия не изменилась, не появилось никаких новых требований к программным продуктам. Согласно постановлению Правительства РФ №781 от 17.11.2007, производители систем защиты информации обязаны пройти процедуру соответствия ранее установленным требованиям, которые были прописаны руководящим документом ФСТЭК. А в нем идет речь все о той же сертификации по НДВ, которую продукты «Лаборатории Касперского» уже прошли. Соответственно, информация о том, что продукты «Исет», получившие лишь четвертый уровень контроля безопасности, имеют уникальное право на защиту персональных данных, не соответствует действительности.

Вот это, простите, откровенная ложь. Все новые требования есть в руководящем документе. А так как касперский получал свой сертификат вообще давно, в 2007 году - когда требования еще не были даже сформулированы - я подозреваю, что его сертификат 100% не подходит под новый закон.

[Alexander M. 0]

а у остальных такой строчки нет, а использовать всё равно можно

Соответственно это также вызывает у меня очень серьезные сомнения.

[DWState 30]

Вот это, простите, откровенная ложь. Все новые требования есть в руководящем документе. А так как касперский получал свой сертификат вообще давно, в 2007 году - когда требования еще не были даже сформулированы - я подозреваю, что его сертификат 100% не подходит под новый закон.

думаю если возникнет у кого-либо вопрос о соответствии при очередной покупке или продлении, то он быстро решится не вызвав особых сомнений.

Ну и так же интересует вопрос - подлежат ли обязательной замене сертификаты выданные ранее как в случае с ЛК и какого положение ранее выданных сертификатов? Я не думаю, что ФСТЭК вот так сразу придумало новый сертификат и тут же отменила действия ранее выданных, нет просто со временем новую форму получат все (желающие), а старые формы продолжают действовать.

[Alexander M. 0]

думаю если возникнет у кого-либо вопрос о соответствии при очередной покупке или продлении, то он быстро решится не вызвав особых сомнений.

Я думаю, наверняка мы это узнаем только после 1-го января. Пока ровным счетом ничто не говорит, что этот вопрос решится.

Ну и так же интересует вопрос - подлежат ли обязательной замене сертификаты выданные ранее как в случае с ЛК и какого положение ранее выданных сертификатов? Я не думаю, что ФСТЭК вот так сразу придумало новый сертификат и тут же отменила действия ранее выданных, нет просто со временем новую форму получат все (желающие), а старые формы продолжают действовать.

Ранее выданные сертификаты говорят ровным счетом о том, что в них написано. А требования к подсистемам сформулированы без малого 2 года назад. Я подозреваю, что предполагается что у всех было достаточно времени чтобы добавить необходимый функционал в свои продукты и обновить сертификаты.

[Олег Гудилин 95]

Вот это, простите, откровенная ложь. Все новые требования есть в руководящем документе. А так как касперский получал свой сертификат вообще давно, в 2007 году - когда требования еще не были даже сформулированы - я подозреваю, что его сертификат 100% не подходит под новый закон.

Вам придётся взять свои слова назад. Также как и господам из ЗАО "Исет"

[Сергей Ильин 1538]

Плохо, что регуляторы создают ситуации, когда без таких вот писем большинству разобраться в тонкостях сертификации нереально. А ведь вся идея сертификации изначально состоит в том, чтобы облегчить жизнь клиенту ...

[AM_Bot 48]

Согласно закону ФЗ № 152 «О персональных данных», к 1 января 2010 года все организации (как государственные компании, органы власти, так и коммерческие организации) обрабатывающие персональные данные физических лиц, обязаны привести свои информационные системы в соответствие с требованиями регулирующих органов. В случае нарушения закона деятельность организаций может быть приостановлена, а ее должностным лицам грозит административная, дисциплинарная или уголовная ответственность.

В связи в ступлением в силу этого закона, пользуясь недостаточными знаниями заказчиков, ряд компаний начали спекулировать на теме персданных. К сожалению, среди тех, кто решил половить рыбку в мутной воде, оказалось ЗАО Исет - российское представительство разработчика средств антиврусной защиты компании Eset.

читать дальше