Программное обеспечение «МДЗ-Эшелон» успешно прошло инспекционный контроль в системе сертификации Минобороны России!

Введение

Отечественный рынок средств и модулей доверенной загрузки уже весьма давно сформирован, и он активно развивался (и развивается) не только за счёт постоянных внешних информационных угроз, но и благодаря регуляторам, которые своевременно вносят новые требования по защите информации и неустанно следят за соблюдением уже существующих.

На российском рынке СДЗ и МДЗ представлено значительное количество таких продуктов, и все они в той или иной степени уникальны. Описание многих решений в этой области мы публиковали в “Обзоре рынка средств (модулей) доверенной загрузки”.

В процессе выбора конкретного варианта возникает множество вопросов. Чем принципиально отличаются эти продукты друг от друга? Какая из разработок наиболее полно удовлетворит потребности компании? Этим сравнительным анализом мы попытаемся дать ответы на многие часто возникающие вопросы.

Как показывает практика, универсальных решений не существует. Всегда приходится идти на компромисс для достижения конечных целей. Мы попытаемся структурировать все исходные данные сравниваемых продуктов и свести их воедино. Также стоит отметить, что в данном материале мы не сможем сравнить представленные решения по эффективности или удобству применения, так как это повлечёт за собой несоизмеримо большие временные и финансовые затраты.

2021: сертификат фстэк россии продлён

1 декабря 2021 года НПО «Эшелон» объявила о продлении срока действия сертификата ФСТЭК России на программное обеспечение «МДЗ-Эшелон» до 10 июля 2021 года.

Сертификат ФСТЭК России подтверждает: программное обеспечение «МДЗ-Эшелон» – средство идентификации и аутентификации пользователей и контроля целостности информационных массивов, соответствует требованиям руководящего документа «Защита от несанкционированного доступа к информации. Часть 1.

2021: инспекционный контроль в системе сертификации минобороны россии

Программное обеспечение «МДЗ-Эшелон» прошло инспекционный контроль в системе сертификации Минобороны России. Сертификат Минобороны России №815 на программный модуль доверенной загрузки «МДЗ-Эшелон» продлен до 29 сентября 2021г.

В рамках инспекционного контроля «МДЗ-Эшелон» был обновлен перечень поддерживаемых платформ: добавлены архитектуры «Эльбрус» и SPARC. Обновленный модуль доверенной загрузки отличает улучшенный интерфейс.

Программное обеспечение «МДЗ-Эшелон» предназначено для обеспечения доверенной загрузки компьютера, контроля целостности, идентификации и аутентификации пользователя до передачи управления операционной системе. Решение является исключительно программным модулем доверенной загрузки (интегрируется с UEFI) и не использует какие-либо внешние аппаратные устройства, эффективно используется для защиты виртуальных сред.

«МДЗ-Эшелон» включен в единый реестр российских программ для электронных вычислительных машин и баз данных (реестр российского ПО). Приказ Минкомсвязи России от 18.03.2021.

Лицензирование

Методология сравнения средств доверенной загрузки и модулей доверенной загрузки

В основе любого сравнения лежит набор критериев. Их количество определяет глубину исследования. В то же время стоит учитывать, что избыток параметров может только запутать и сделать материал малопригодным с практической точки зрения.

Мы попытаемся выделить только основные и наиболее значимые критерии, которые будут самыми информативными и полезными, смогут сыграть решающую роль при выборе продукта конечным пользователем.

При разработке критериев были учтены требования нормативно-правовых документов ФСТЭК России:

• Руководящий документ “Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей”. Гостехкомиссия России, 1992 г. (РД НДВ).
• Информационное сообщение ФСТЭК России от 06.02.2021 г. № 240/24/405 “Об утверждении Требований к средствам доверенной загрузки”.
• Методический документ “Профиль защиты средства доверенной загрузки уровня базовой системы ввода-вывода четвёртого класса защиты ИТ.СДЗ.УБ4.ПЗ”, утверждён ФСТЭК России 30.12.2021 г.
• Методический документ “Профиль защиты средства доверенной загрузки уровня платы расширения четвёртого класса защиты ИТ.СДЗ.ПР4.ПЗ”, утверждён ФСТЭК России 30.12.2021 г.
• Методический документ “Профиль защиты средства доверенной загрузки уровня загрузочной записи шестого класса защиты ИТ.СДЗ.336.ПЗ”, утверждён ФСТЭК России 30.12.2021 г.
• Методический документ “Профиль защиты средства доверенной загрузки уровня загрузочной записи шестого класса защиты ИТ.СДЗ.335.ПЗ”, утверждён ФСТЭК России 30.12.2021 г.
• Приказ ФСТЭК России от 14.03.2021 г. № 31 “Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально важных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды” (в ред. Приказа ФСТЭК России от 23.03.2021 г. № 49 и от 09.08.2021 г. № 138).
• Приказ ФСТЭК России от 18.02.2021 г. № 21 “Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных” (в ред. Приказа ФСТЭК России от 23.03.017 г. № 49).
• Приказ ФСТЭК России от 25.12.2021 г. № 239 “Об утверждении требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации” (в ред. Приказа ФСТЭК России от 26.03.2021 г. № 60).
• Приказ ФСТЭК России от 11.02.2021 г. № 17 “Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах” (в ред. Приказов ФСТЭК России от 15.02.2021 г. № 27 и от 28.05.2021 г. № 106).

Для удобства все сравнительные критерии были разделены на следующие категории.

1. Общие сведения о компании и продукте.
2. Системные требования.
3. Функциональный набор СДЗ и МДЗ.
4. Лицензирование.

Для участия в сравнении мы выбрали следующие компании и их средства и модули доверенной загрузки:

• “Аладдин Р.Д.” (Aladdin TSM);
• АНКАД (“Криптон-замок”);
• “АльтЭль” (ALTELL TRUST);
• “Газинформсервис” (Safe Node System Loader);
• “ИнфоТеКС” (ViPNet SafeBoot);
• “Конфидент” (Dallas Lock);
• “Код Безопасности” (“Соболь”);
• “Крафтвей” (“Витязь”);
• НПО “РусБИТех” (“Максим-М1”);
• НПО “Эшелон” (“МДЗ-Эшелон”);
• ОКБ САПР (“Аккорд-АМДЗ”, “Аккорд-МКТ”, “Инаф”);
• ЦНИИ ЭИСУ (“Центурион”).

Можно отметить, что все средства и модули доверенной загрузки, представленные в сравнении, на момент выхода этого материала серийно производятся, а их изготовители осуществляют техническую поддержку своих продуктов. Исключением является “Максим-М1” от НПО “РусБИТех”, изготовление которого с конца 2021 года прекращено.

Однако, по заявлению разработчиков, это средство доверенной загрузки всё ещё активно реализуется из складских остатков, а техническое обслуживание и поддержка уже проданных экземпляров будут осуществляться вплоть до истечения сроков действия сертификатов соответствия, выданных регуляторами. В связи с этим “Максим-М1” решено оставить в сравнительном анализе.

Новости производителя эшелон

Общие сведения о компании и продукте

Применение продукта

Сзи мо рф

Сертифицированные в Минобороны России средства защиты информации  (СЗИ МО РФ) –  для предприятий промышленности и оборонно-промышленного комплекса, организаций, подразделений и учреждений Вооруженных Сил РФ, Министерства обороны РФ, воинских подразделений силовых министерств, ведомств, служб и агентств, а также для других случаев, когда предъявляются особые требования к продукции.

ЗАО «НПО «ЭШЕЛОН» предлагает уникальный перечень средств защиты информации, имеющих сертификат Министерства обороны РФ, а имено:

– средство мониторинга и анализа защищенности (от угроз, программно-аппаратных воздействий, программно-математических воздействий) «Сканер-ВС»;
– средство доверенной загрузки «МДЗ-Эшелон»;
– средство анализа безопасности кода и проведения сертификационных испытаний «АК-ВС»;
– средство управления и генерации паролями «Генератор»;
– средство контроля целостности версий программ и докуменов на машинных носителях, а также проведения инспекционного контроля «ПИК-Эшелон»;
– средство контроля и проверки целостности “КС-ВС”;
– межсетевой экран (сертифицированный по 3 классу) и другие.

Кроме того, ЗАО «НПО «Эшелон» предлагает сертифицированный комплекс средств проведения сертификационных испытаний и инспекционного контроля (АК-ВС, Сканер-ВС, ПИК-Эшелон).

Примечания:
1. В системе сертификации Министерства обороны РФ в Перечень СЗИ МО РФ попадают все технические изделия в защищенном исполнении, информационные системы, защищенное программное обеспечение, программные средства общего назначения, программные средства обработки информации в АСУ, парольные системы, ТСЗИ, в том числе уничтожители, и др.

Требования по обязательной сертификации изделий по требованиям безопасности информации в системе Министерства обороны РФ определены законодательными и нормативными документами:
– Положение о сертификации СЗИ, утвержденное постановлением Правительства РФ от 26 июня 1995 года № 608 (с изменениями и дополнениями)

,
– Приказы МО РФ 54 и 58,
– другие Приказы МО РФ, Директивы Начальника ГШ ВС РФ,
– руководящие документы Гостехкомисссии России, проведенные в Минобороны России указанными Приказами МО РФ,
– национальные стандарты РФ, в том числе: ГОСТ Р 51189.

Порядок разработки программных средств систем вооружения (Приложение В), ГОСТ Р 51583-2000 Порядок создания автоматизированных систем в защищенном исполнении (п.4.15) и др.,
– методические документы ВС РФ, управлений и родов войск Минобороны России и др.

2. Деятельность в области создания (проектирование, разработка, реализация, испытания, сопровождение и др.) средств защиты информации в Минобороны России подлежит обязательному лицензированию. В МО РФ выдается только одна лицензия – это лицензия МО РФ.

Системные требования

Функциональный набор средств доверенной загрузки и модулей доверенной загрузки

Выводы

В рамках сравнения мы не подводили конкретных итогов и не делали выводов по каждому из продуктов. Каждое решение по-своему уникально, и его выбор определяется в первую очередь потребностями и приоритетами потребителя.

Мы надеемся, что эта информация будет интересной для читателя и позволит принять правильное решение при выборе такого средства (модуля) доверенной загрузки, которое наиболее полно реализовывало бы поставленные цели и задачи.