Услуги

Оценка соответствия по ОУД4

Целью проведения анализа уязвимостей программного обеспечения по требованиям к оценочному уровню доверия 4 является оценка его текущего уровня защищенности, поиск уязвимостей.

Получить консультацию
image
Оценочный уровень доверия ОУД 4, установленный ГОСТ Р ИСО/МЭК 15408-3-2013, подразумевает достижение максимального уровня доверия к прикладному программному обеспечению через надлежащее проектирование его безопасности и последующую проверку полученных результатов. Для защиты критически важных данных и предотвращения взломов необходимо проводить всесторонний анализ исходного кода на безопасность. Анализ уязвимостей программного обеспечения по требованиям к оценочному уровню доверия 4 (ОУД.4) подразумевает высокий уровень уверенности в безопасности системы и требует выполнения целого ряда мероприятий, направленных на детальную проверку и устранение уязвимостей.

Целью проведения анализа уязвимостей программного обеспечения по требованиям к оценочному уровню доверия 4 является оценка его текущего уровня защищенности, поиск уязвимостей и способов их эксплуатации для последующей выработки мероприятий, направленных на повышение уровня защищенности программного обеспечения.

Далее приведено краткое описание работ, выполняемых в рамках анализа уязвимостей:

1. Анализ нормативной документации.

  • Изучение сопроводительной документации программного продукта;
  • Оценка полноты и достоверности документации;
  • Анализ документации для идентификации потенциальных уязвимостей в объекте оценки;
  • Разработка и согласование подхода к проведению тестирования;
  • Планирование процедуры анализа уязвимостей по новым доработкам ПО один раз в полгода;
  • Анализ нормативной документации для проведения сертификационных испытаний.

2. Тестирование на проникновение ПО из сети Интернет

  • Сбор информации о доступных сервисах и веб-приложениях тестируемого ресурса;
  • Анализ и возможность обхода применяемых защитных мер на тестируемом ресурсе;
  • Поиск уязвимостей тестируемого ресурса с использованием различных сканеров;
  • Ручной поиск всех доступных сервисов внешней инфраструктуры и их уязвимостей;
  • Оценка парольной политики на тестируемом ресурсе;
  • Анализ защищенности веб-приложения ручным способом и с использованием автоматических сканеров веб-уязвимостей (Burp Suite Professional и др.).

3. Анализ исходного кода ПО

  • Анализ программного продукта (ПО) на предмет наличия актуальных угроз безопасности и программных закладок;
  • Выявление уязвимостей и программных закладок на основе проведённого анализа составных частей приложения;
  • Проведения статического и динамического анализа исходного кода;
  • Ручной анализ кода, представляющий функции безопасности продукта;
  • Анализ исходных кодов на предмет потенциальных уязвимостей нулевого дня (zero day);
  • Анализ мер по безопасности, используемых в информационной системе;
  • Анализ фактической реализации мер по безопасности;
  • Анализ корректности внедрения мер по безопасности;
  • Анализ корректности взаимодействия подключаемых к ПО сторонних модулей;
  • Анализ корректности взаимодействия приложения с сторонними информационными ресурсами;
  • Анализ ПО на наличие незадокументированных возможностей;
  • Оценка найденных потенциальных уязвимостей и проверка их эксплуатабельности;
  • Планирование проведения ежеквартальных процедур по анализу кода по выполненным доработкам ПО.

4. Подготовка отчетной документации

  • Формирование полноценного отчета о проведении анализа уязвимостей программного обеспечения в соответствии с требованиями ОУД4, включающий в себя:
    • Краткое описание найденных уязвимостей для высшего руководства;
    • Протокол проведения тестирования на проникновение;
    • Протокол анализа кода ПО и сред функционирования;
    • Техническое заключение по результатам проведения анализа уязвимостей по требованиям к оценочному уровню доверия;
    • Подробное описание каждой найденной уязвимости, риска и потенциального ущерба.
  • Разработка рекомендаций по устранению выявленных уязвимостей с использованием организационных, технических и административных мер;
  • Взаимодействие с представителями Банка для помощи в устранении уязвимостей;
  • Взаимодействие с представителями Банка для помощи в разработке технической документации продукта.
У Вас есть вопросы?
Вы находитесь:

Оценка соответствия по ОУД4

Важность и процесс проведения анализа уязвимостей программного обеспечения.

Оценочный уровень доверия ОУД 4, установленный ГОСТ Р ИСО/МЭК 15408-3-2013, подразумевает достижение максимального уровня доверия к прикладному программному обеспечению через надлежащее проектирование его безопасности и последующую проверку полученных результатов. Для защиты критически важных данных и предотвращения взломов необходимо проводить всесторонний анализ исходного кода на безопасность. Анализ уязвимостей программного обеспечения по требованиям к оценочному уровню доверия 4 (ОУД.4) подразумевает высокий уровень уверенности в безопасности системы и требует выполнения целого ряда мероприятий, направленных на детальную проверку и устранение уязвимостей.

Значимость анализа уязвимостей программного обеспечения:

  • Оценка текущего уровня защищенности;
  • Поиск уязвимостей и способов их эксплуатации;
  • Выработка мероприятий по повышению уровня защищенности.

Процесс анализа уязвимостей

1. Анализ нормативной документации:

  • Изучение сопроводительной документации программного продукта;
  • Оценка полноты и достоверности документации;
  • Анализ документации для идентификации потенциальных уязвимостей в объекте оценки;
  • Разработка и согласование подхода к проведению тестирования;
  • Планирование процедуры анализа уязвимостей по новым доработкам ПО один раз в полгода;
  • Анализ нормативной документации для проведения сертификационных испытаний.

2. Тестирование на проникновение ПО из сети Интернет:

  • Сбор информации о доступных сервисах и веб-приложениях тестируемого ресурса;
  • Анализ и возможность обхода применяемых защитных мер на тестируемом ресурсе;
  • Поиск уязвимостей тестируемого ресурса с использованием различных сканеров;
  • Ручной поиск всех доступных сервисов внешней инфраструктуры и их уязвимостей;
  • Оценка парольной политики на тестируемом ресурсе;
  • Анализ защищенности веб-приложения ручным способом и с использованием автоматических сканеров веб-уязвимостей (Acunetix Vulnerability Scanner, Burp Suite Professional и др.).

3. Анализ исходного кода ПО:

  • Анализ программного продукта (ПО) на предмет наличия актуальных угроз безопасности и программных закладок;
  • Выявление уязвимостей и программных закладок на основе проведенного анализа составных частей приложения;
  • Проведение статического и динамического анализа исходного кода;
  • Ручной анализ кода, представляющий функции безопасности продукта;
  • Анализ исходных кодов на предмет потенциальных уязвимостей нулевого дня (zero day);
  • Анализ мер по безопасности, используемых в информационной системе;
  • Анализ фактической реализации мер по безопасности;
  • Анализ корректности внедрения мер по безопасности;
  • Анализ корректности взаимодействия подключаемых к ПО сторонних модулей;
  • Анализ корректности взаимодействия приложения с сторонними информационными ресурсами;
  • Анализ ПО на наличие незадокументированных возможностей;
  • Оценка найденных потенциальных уязвимостей и проверка их эксплуатабельности;
  • Планирование проведения ежеквартальных процедур по анализу кода по выполненным доработкам ПО.

4. Подготовка отчетной документации:

  • Формирование полноценного отчета о проведении анализа уязвимостей программного обеспечения в соответствии с требованиями ОУД4;
  • Краткое описание найденных уязвимостей для высшего руководства;
  • Протокол проведения тестирования на проникновение;
  • Протокол анализа кода ПО и сред функционирования;
  • Техническое заключение по результатам проведения анализа уязвимостей по требованиям к оценочному уровню доверия;
  • Подробное описание каждой найденной уязвимости, риска и потенциального ущерба;
  • Разработка рекомендаций по устранению выявленных уязвимостей с использованием организационных, технических и административных мер;
  • Взаимодействие с представителями Банка для помощи в устранении уязвимостей;
  • Взаимодействие с представителями Банка для помощи в разработке технической документации продукта.

Заключение

Оценка соответствия по ОУД4 является важным процессом, который позволяет оценить текущий уровень защищенности программного обеспечения и выявить уязвимости. Правильное проведение анализа уязвимостей требует выполнения различных этапов, включая анализ документации, тестирование на проникновение и анализ исходного кода. Результатом анализа должна быть разработка отчетной документации с детальным описанием найденных уязвимостей и рекомендаций по их устранению. Этот процесс играет важную роль в обеспечении безопасности программного обеспечения и защите критически важных данных.

Оставить заявку

Мы всегда рады ответить на любые Ваши вопросы

* Обязательные поля для заполнения

Отправить резюме

* Обязательные поля для заполнения

Спасибо!

Благодарим за обращение. Ваша заявка принята

Наш специалист свяжется с Вами в течение рабочего дня
У Вас есть вопросы?

Политика конфиденциальности и согласие на обработку персональных данных

Настоящая Политика конфиденциальности описывает основы того, как мы будем обрабатывать персональную информацию, которую мы собираем в отношении вас или которую вы предоставляете нам в связи с использованием сайта BSSYS.COM. Данный сайт принадлежит Обществу с ограниченной ответственностью «Бэнкс Софт Системс» (Далее Компания BSS), адрес места нахождения: 117105, г. Москва, Нагорный проезд, д. 5. Используя сайт BSSYS.COM, вы соглашаетесь с условиями настоящей Политики.


Персональная информация

Компания BSS с уважением относится к конфиденциальности вашей персональной информации и прилагает всяческие усилия для её защиты. Для нас имеет первостепенное значение поддержание конфиденциальности любых личных данных, которые вы нам предоставляете.


Под персональной информацией в настоящей Политике понимается:

Информация, которую вы самостоятельно предоставляете при регистрации, подписке, оформлении заявки или авторизации, а также в процессе дальнейшего использования сайта BSSYS.COM, включая персональные данные.

Обязательная для предоставления услуг информация явно обозначена. К такой информации отнесены: имя, адрес электронной почты, контактный телефон.

Иная информация предоставляется пользователем на его усмотрение или может быть обязательна для предоставления, если это связано со спецификой отдельного сервиса Компании BSS, о чём явно указывается.

Данные, которые передаются в автоматическом режиме в зависимости от настроек используемого вами программного обеспечения, включая IP-адрес, cookie, данные об используемом оборудовании, параметрах и настройках браузера, операционной системе, URL-адресе, с которого был осуществлён переход, просмотры страниц, время доступа и ваше местонахождение. Эта информация привязана к устройству, которым вы пользуетесь для доступа к услугам BSSYS.COM.

Компания BSS не осуществляет проверку достоверности предоставляемой вами персональной информации, полагая, что вы действуете добросовестно, осмотрительно и прилагаете все необходимые усилия к поддержанию такой информации в актуальном состоянии. Вы можете в любой момент изменить (обновить, дополнить) предоставленную вами персональную информацию или её часть.


Цели обработки

Мы будем использовать хранящуюся у нас информацию относительно вас для следующих целей:

— Предоставление персонализированного сервиса;
— Получение вами доступа к услугам, которыми вы выразите желание воспользоваться;
— Связь с вами, в том числе для направления вам уведомлений, запросов и информации, касающихся использования сайта, обработки ваших запросов и заявок, для отправки вам по электронной почте маркетинговых сообщений Компании BSS, относящихся к нашим услугам или услугам наших партнёров;
— Улучшение качества сайта, клиентского сервиса и повышение удобства его использования.


Принципы работы с персональной информацией

Мы ни в коем случае не будем передавать вашу персональную информацию третьим лицам. В некоторых случаях Компания BSS может предоставить её третьим лицам в соответствии с настоящей Политикой либо компетентным органам по их запросу.

Мы можем передавать вашу персональную информацию некоторым третьим лицам для её обработки от нашего имени или когда это необходимо для оказания вам услуг с учётом описанных выше целей. Мы требуем от таких третьих лиц строгого соблюдения конфиденциальности передаваемой информации и запрещаем использование вашей персональной информации в собственных коммерческих целях этих компаний. Использование вами сайта BSSYS.COM означает ваше согласие с данными условиями.

Мы будем хранить вашу персональную информацию в нашей системе всё время, пока вы пользуетесь сайтом, и удалим её, как только предоставление услуги закончится либо когда вы выразите желание отказаться от услуг. По соображениям безопасности и в целях соблюдения законодательства Компания BSS хранит в течение определённого времени данные о ваших сообщениях и запросах (в том числе содержимое сообщений, время и даты написания сообщений), оставленных на сайте, а также лог-файлы о действиях, совершённых вами в рамках использования сайта.


Обеспечение безопасности персональной информации

Мы делаем всё возможное для того, чтобы обезопасить сайт BSSYS.COM и вашу персональную информацию от несанкционированных попыток доступа, изменения, раскрытия или уничтожения.

Для этого мы:

— Храним вашу персональную информацию на защищённых серверах и предотвращаем неавторизированный доступ к системам, в которых хранится персональная информация;
— Постоянно совершенствуем способы сбора, хранения и обработки данных, включая физические меры безопасности для противодействия несанкционированному доступу к нашим системам;
— Ограничиваем нашим сотрудникам, подрядчикам и агентам доступ к персональным данным, когда такой доступ не требуется для целей, указанных в настоящей Политике, а также накладываем на них строгие договорные обязательства, за нарушение которых предусмотрены серьёзная ответственность и штрафные санкции.


Использование cookie

Во время просмотра любой страницы сайта BSSYS.COM на ваш компьютер загружается сама страница, а также небольшой текстовый файл под названием cookie. Информация, которую мы получаем посредством cookie-файлов, помогает нам предоставлять услуги в наиболее удобном для вас виде. Файл cookie представляет собой небольшое количество данных, среди которых часто содержится уникальный анонимный идентификатор, посылаемый вашему браузеру компьютером сайта и сохраняемый на жёстком диске вашего компьютера. Использование сайта с помощью веб-браузера, который принимает данные из cookies, означает ваше согласие с тем, что Компания BSS может собирать и обрабатывать данные из cookies в целях, предусмотренных настоящей Политикой, а также на передачу данных из cookies третьим лицам в случаях, перечисленных в настоящей Политике. Отключение или блокировка вами опции веб-браузера по приёму данных из cookies означает запрет на сбор и обработку Компанией BSS данных из cookies в соответствии с условиями настоящей Политики конфиденциальности.


Персональные данные

Компания BSS обрабатывает ваши персональные данные с соблюдением действующего законодательства, в том числе Федерального закона от 27.07.2006 N 152-ФЗ «О персональных данных».


Вы имеете право на получение в любое время информации, касающейся обработки ваших персональных данных в Компании BSS, для чего вправе направить письменный запрос на адрес: 117105, г. Москва, Нагорный проезд, д. 5, Обществу с ограниченной ответственностью «Бэнкс Софт Системс», с пометкой «запрос информации о порядке обработки персональных данных». Для исполнения данного положения Компания BSS может потребовать от вас подтверждения личности в любой непротиворечащей закону форме.


Прекращение обработки персональных данных

Вы вправе в любой момент отозвать своё согласие на обработку Компанией BSS ваших персональных данных путём направления письменного уведомления на адрес: 117105, г. Москва, Нагорный проезд, д. 5, Обществу с ограниченной ответственностью «Бэнкс Софт Системс», с пометкой «отзыв согласия на обработку персональных данных». Отзыв вами согласия на обработку персональных данных влечёт за собой уничтожение записей, содержащих ваши персональные данные, в системах обработки персональных данных Компании BSS, что может сделать невозможным пользование сервисами и услугами Компании BSS. Для исполнения данного положения Компания BSS может потребовать от вас подтверждения личности в любой непротиворечащей закону форме.


Отписка от рассылки

В любое время вы можете отказаться от получения рекламных и маркетинговых сообщений Компании BSS по электронной почте, нажав ссылку отказа от подписки в нижней части таких сообщений.