Актуальность вопросов тестирования безопасности и защищённости программных продуктов

Меры по обеспечению  безопасности и защищённости ПП 

       Для предупреждения воздействия угроз, перечисленных в разделе «Источники проблем информационной безопасности программных продуктов», следует применять следующие меры:

       а) для защиты интересов потребителей от угроз со стороны разработчика ПП — независимая компетентная экспертиза (тестирование) безопасности и защищённости решений разработчика;

       б) для защиты интересов разработчика при распространении собственных  программных решений — внутреннее всестороннее и компетентное тестирование безопасности и защищённости ПП, до его публикации и распространения.

       В качестве независимой экспертизы может  применяться процедура добровольной аттестации объектов информатизации по требованиям безопасности информации (см. «Положение по аттестации объектов информатизации по требованиям безопасности информации»), которую в соответствии с положением проводит Гостехкомиссия России. Так же в сети Интернет можно найти примеры использования услуг коммерческих организаций.

       Будущее вопросов независимой аттестации объектов информатизации связывают с новым стандартом ГОСТ Р ИСО/МЭК 15408-1-3 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» (национальная версия международного стандарта ISO/ IEC 15408, общеизвестного под названием "Common criteria"). В РФ сделаны серьезные шаги по практическому применению этих стандартов, на пример, — сертификация продуктов компании Microsoft.

       Однако, независимое тестирование безопасности и защищённости ПП разработчика —  достаточно сложная процедура, на которую пойдёт далеко не каждый производитель. В данной статье хотелось бы сделать акцент на более доступной для разработчика ПП процедуре — внутреннем тестировании безопасности и защищённости ПП, как составной части более общей задачи тестирования программного обеспечения. Следует отметить, что тестирование безопасности и защищённости ПП в литературе, посвящённой вопросам тестирования и обеспечения качества ПО рассматривается лишь номинально, что и является одной из причин современной беззащитности ПП перед злоумышленниками (цифры и факты были приведены во введении этой статьи). Основной целью данной публикации автор видит — формирование понимания в необходимости развития и применения методов и средств тестирования защищённости и безопасности ПП.  

Заключение

       Недостижимость  гарантированной безопасности и  защищённости ПП приводит к необходимости  разработки методов моделирования угроз, оценки величин риска, потенциального ущерба, связанных с эксплуатацией ПП. Подобные методы следует применять для определения приоритетов защиты информации в ПП и требований к уровню их защиты.

       Универсальность принципов безопасности и защищённости ПП приводят к необходимости ориентации разработчиков ПП на обеспечение  безопасности и защищённости ПП с  самого начала процесса их разработки, что означает необходимость разработки методов и средств разработки безопасных и защищённых приложений.

       Сложность современных ПП и многообразие вариантов  их использования (как безопасных, так  и нет), а также многообразие средств, которые могут быть использованы злоумышленниками для анализа и взлома ПП — приводят к необходимости разработки средств и методов тестирования безопасности и защищённости ПП.

       Многосвязность  и системность (принцип слабейшего звена) проблемы безопасности ПП приводит к необходимости в разработке формальных подходов к определению понятий защищённости и безопасности ПП, а также формальных методов анализа свойств защищённости и безопасности ПП (формальных методов тестирования безопасности и защищённости ПП).

       Потребности пользователей ПП в гарантиях безопасности и защищённости ПП должны, в конечном итоге, сводиться к развитию услуг экспертизы (независимой оценки, тестирования) защищённости и безопасности используемых ПП.

Литература

1. Голдовский  И., Безопасность платежей в Интернете
2. Письмо Билла Гейтса о новых взглядах Microsoft на вопросы обеспечения информационной безопасности
3. Смирнов С., "Краденое — со скидкой", портал "Права человека в России", 28 февраля 2003 г.
4. Банковской тайны в России больше не существует.
5. Смирнов С., Кочева О., Приватность в российском Интернете
6. Середа С., О необходимости защиты прав потребителя в сфере информационных технологий.
7. Gartner Recommends Against Microsoft IIS