Сертификационный анализ и оценка доверия ПО (ОУД.4)

Проверим процессы разработки ПО, исполнение требований по безопасности и наличие необходимой документации. Выявим несоответствия и подготовим план корректирующих действий.

Когда необходимо проводить

Оценка соответствия требованиям к оценочному уровню доверия необходима для подтверждения безопасности продукта. Оценку доверия необходимо проводить перед запуском в эксплуатацию и при внесении изменений в механизмы безопасности.

Для организаций финансового сектора введена обязанность использования ПО, прошедшее оценку соответствия по ОУД4, либо сертифицированное в системе ФСТЭК. Требование установлено Положениями Банка России № 821-П, 851-П, 757-П, 742-П.

Отличие ОУД.4 от простого поиска уязвимостей

Поиск уязвимостей — это список найденных проблем: ошибок кода, слабых мест конфигурации, известных уязвимостей.

ОУД.4 — оценка глубже: архитектура безопасности, документация, выполнение требований из задания по безопасности, процесс разработки, работа защиты. Итог — не просто уязвимости, а вывод о соответствии требованиям, остаточные риски и рекомендации по повышению доверия.

Когда необходимо проводить

Оценка соответствия требованиям к оценочному уровню доверия необходима для подтверждения безопасности продукта. Оценку доверия необходимо проводить перед запуском в эксплуатацию и при внесении изменений в механизмы безопасности.

Для организаций финансового сектора введена обязанность использования ПО, прошедшее оценку соответствия по ОУД4, либо сертифицированное в системе ФСТЭК. Требование установлено Положениями Банка России № 821-П, 851-П, 757-П, 742-П.

Отличие ОУД.4 от простого поиска уязвимостей

Поиск уязвимостей — это список найденных проблем: ошибок кода, слабых мест конфигурации, известных уязвимостей.

ОУД.4 — оценка глубже: архитектура безопасности, документация, выполнение требований из задания по безопасности, процесс разработки, работа защиты. Итог — не просто уязвимости, а вывод о соответствии требованиям, остаточные риски и рекомендации по повышению доверия.

Что входит в оценку

Анализ архитектуры

Проверяем описание встроенной системы безопасности продукта на предмет потенциальных архитектурных уязвимостей.

Анализ результатов тестирования

Анализируем отчёты о тестировании и анализе уязвимостей. Проверяем устранение выявленных уязвимостей или оцениваем выбор мер, минимизирующих выявленные риски.

Процессы разработки и сопровождения

Оцениваем процессы жизненного цикла разработки ПО: подготовка требований, анализ, проектирование, разработка, тестирование, развертывание, поддержка и сопровождение.

Документы

Анализируем необходимый комплект документов: задание по безопасности, описание архитектуры безопасности; функциональную спецификацию, эксплуатационную документацию, документацию по безопасности разработки.

Анализ архитектуры

Проверяем описание встроенной системы безопасности продукта на предмет потенциальных архитектурных уязвимостей.

Анализ результатов тестирования

Анализируем отчёты о тестировании и анализе уязвимостей. Проверяем устранение выявленных уязвимостей или оцениваем выбор мер, минимизирующих выявленные риски.

Процессы разработки и сопровождения

Оцениваем процессы жизненного цикла разработки ПО: подготовка требований, анализ, проектирование, разработка, тестирование, развертывание, поддержка и сопровождение.

Документы

Анализируем необходимый комплект документов: задание по безопасности, описание архитектуры безопасности; функциональную спецификацию, эксплуатационную документацию, документацию по безопасности разработки.

Какие документы нужны от разработчика

1. Задание по безопасности.

2. Проектная и архитектурная документация.

3. Документация жизненного цикла разработки ПО.

4. Эксплуатационная документация.

5. Программа тестирования и методика проводимых испытаний.

6. Отчет по результатам тестирования.

7. Отчет об анализе уязвимостей.

8. Тестовый стенд.

1. Задание по безопасности.

2. Проектная и архитектурная документация.

3. Документация жизненного цикла разработки ПО.

4. Эксплуатационная документация.

5. Программа тестирования и методика проводимых испытаний.

6. Отчет по результатам тестирования.

7. Отчет об анализе уязвимостей.

8. Тестовый стенд.

В итоге вы получите

Детализированный отчет

Формируем отчет с результатами проверки, выявленными несоответствиями и практическими рекомендациями по их устранению.

Детализированный отчет

Формируем отчет с результатами проверки, выявленными несоответствиями и практическими рекомендациями по их устранению.

Этапы проведения аудита

Предварительный анализ

Предварительный сбор данных. Подтверждаем установленные границы выполнения работ и перечень артефактов.

Активная фаза

Анализируем корректность и полноту реализации процессов жизненного цикла ПО, соответствие документации реальной практике, проводим интервьюирование персонала. Оцениваем выбор методов анализа и проверяем устранены ли выявленные риски.

Аналитика и разработка

Анализируем данные, собранные во время активной фазы. Оцениваем, артефакты и документы, предоставленные разработчиком. Разрабатываем детальные рекомендации.

Формирование отчета

Подготавливаем отчет, формируем реестр нарушений, план исправлений и повторной проверки.

Предварительный анализ

Предварительный сбор данных. Подтверждаем установленные границы выполнения работ и перечень артефактов.

Активная фаза

Анализируем корректность и полноту реализации процессов жизненного цикла ПО, соответствие документации реальной практике, проводим интервьюирование персонала. Оцениваем выбор методов анализа и проверяем устранены ли выявленные риски.

Аналитика и разработка

Анализируем данные, собранные во время активной фазы. Оцениваем, артефакты и документы, предоставленные разработчиком. Разрабатываем детальные рекомендации.

Формирование отчета

Подготавливаем отчет, формируем реестр нарушений, план исправлений и повторной проверки.

Особенности нашей работы

Работаем очно и дистанционно

При необходимости выезжаем на площадку, чтобы глубже понять бизнес и выявить реальные риски.

Долгосрочное партнёрство

Становимся доверенным партнером по ИБ, а не разовым подрядчиком.

Смежная экспертиза

Объединяем опыт различных ИБ направлений и ИТ: пентесты, мониторинг инцидентов, внедрение любых СЗИ

Не ограничиваемся отчетом

Помогаем внедрить изменения до результата и перепроверить на соответствие требованиям 757-П и ГОСТ Р 57580

Работаем очно и дистанционно

При необходимости выезжаем на площадку, чтобы глубже понять бизнес и выявить реальные риски.

Долгосрочное партнёрство

Становимся доверенным партнером по ИБ, а не разовым подрядчиком.

Смежная экспертиза

Объединяем опыт различных ИБ направлений и ИТ: пентесты, мониторинг инцидентов, внедрение любых СЗИ

Не ограничиваемся отчетом

Помогаем внедрить изменения до результата и перепроверить на соответствие требованиям 757-П и ГОСТ Р 57580

ITG Security - это

Всё в одном окне

Полный спектр услуг — от аудитов и пентестов до круглосуточного мониторинга и интеграции решений

Партнёрство и сопровождение

Мы внимательно слушаем, объясняем сложное простым языком и сопровождаем вас на каждом этапе

Разультативность, а не формальности

Обеспечиваем практическую защиту бизнеса, давая измеримые результаты, а не только отчёты

Прозрачность и надёжность

Работаем открыто, честно и быстро решаем возникающие вопросы, обеспечивая стабильное сотрудничество

Индивидуальный подход

Решения максимально адаптированы к специфике и культуре вашего бизнеса, без шаблонов

Всё в одном окне

Полный спектр услуг — от аудитов и пентестов до круглосуточного мониторинга и интеграции решений

Партнёрство и сопровождение

Мы внимательно слушаем, объясняем сложное простым языком и сопровождаем вас на каждом этапе

Разультативность, а не формальности

Обеспечиваем практическую защиту бизнеса, давая измеримые результаты, а не только отчёты

Прозрачность и надёжность

Работаем открыто, честно и быстро решаем возникающие вопросы, обеспечивая стабильное сотрудничество

Индивидуальный подход

Решения максимально адаптированы к специфике и культуре вашего бизнеса, без шаблонов

Лицензии

Лицензия ФСБ РФ

Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.

Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.

Лицензия ФСТЭК РФ

Лицензия ФСБ РФ

Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.

Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.

Лицензия ФСТЭК РФ

Лицензия ФСТЭК на техническую защиту конфиденциальной информации позволяет ITG Security оказывать услуги по:

контролю защищённости от НСД и модификации в системах информатизации;
проектированию защищённых средств, систем и помещений;
установке, монтажу, испытаниям и ремонту СЗИ;
разработке П(ПТ)СЗИ, защищённых средств обработки и контроля защищённости.
услуги по мониторингу информационной безопасности средств и систем информатизации;

Проверить лицензию

Лицензия ФСБ РФ

Лицензия ФСБ на разработку, производство и распространение криптографических средств, защищённых ИС и телекоммуникационных систем.

Виды работ по ч. 2 ст. 12 ФЗ «О лицензировании отдельных видов деятельности»: пп. 12, 13, 14, 15, 20, 21, 22, 23, 24.

Нам доверяют

Часто задаваемые вопросы

Когда необходимо проводить оценку доверия ПО (ОУД.4)?

Чем оценка доверия ПО (ОУД.4) отличается от пентеста или анализа уязвимостей?

Какие артефакты нужны от разработчика?

Что будет на выходе?

Какие документы нужны от разработчика

Сертификационный анализ и оценка доверия ПО (ОУД.4)

Когда необходимо проводить

Отличие ОУД.4 от простого поиска уязвимостей

Когда необходимо проводить

Отличие ОУД.4 от простого поиска уязвимостей

Готовим ПО к запуску: оценка доверия ОУД.4 «под ключ»

Что входит в оценку

Анализ архитектуры

Анализ результатов тестирования

Процессы разработки и сопровождения

Документы

Анализ архитектуры

Анализ результатов тестирования

Процессы разработки и сопровождения

Документы

Какие документы нужны от разработчика

В итоге вы получите

Рекомендации по устранению нарушений

Детализированный отчет

Рекомендации по устранению нарушений

Детализированный отчет

Получите чёткий план соответствия ОУД.4 и отчёт для руководства

Этапы проведения аудита

Предварительный анализ

Активная фаза

Аналитика и разработка

Формирование отчета

Предварительный анализ

Активная фаза

Аналитика и разработка

Формирование отчета

Особенности нашей работы

Работаем очно и дистанционно

Долгосрочное партнёрство

Смежная экспертиза

Не ограничиваемся отчетом

Работаем очно и дистанционно

Долгосрочное партнёрство

Смежная экспертиза

Не ограничиваемся отчетом

ITG Security - это

Всё в одном окне

Партнёрство и сопровождение

Разультативность, а не формальности

Прозрачность и надёжность

Индивидуальный подход

Всё в одном окне

Партнёрство и сопровождение

Разультативность, а не формальности

Прозрачность и надёжность

Индивидуальный подход

Лицензии

Лицензия ФСБ РФ

Лицензия ФСТЭК РФ

Лицензия ФСБ РФ

Лицензия ФСТЭК РФ

Лицензия ФСБ РФ

Лицензия ФСТЭК РФ

Нам доверяют

Похожие услуги

Соответствия ГОСТ Р 57580.1-2017

Оценка соответствия 716-П

Оценка соответствия 742-П

Оценка соответствия 757‑П

Оценка соответствия 779-П

Оценка соответствия 802-П

Оценка соответствия 821-П

Оценка соответствия 833-П

Соответствия ГОСТ Р 57580.1-2017

Оценка соответствия 716-П

Оценка соответствия 742-П

Оценка соответствия 757‑П

Оценка соответствия 779-П

Оценка соответствия 802-П

Оценка соответствия 821-П

Оценка соответствия 833-П

Часто задаваемые вопросы

Когда необходимо проводить оценку доверия ПО (ОУД.4)?

Чем оценка доверия ПО (ОУД.4) отличается от пентеста или анализа уязвимостей?