Экспертиза

Как провести самостоятельный анализ уязвимостей ПО на ОУД4? Изначально этот вариант был доступен только НФО. Тем не менее Банком России в июле были подготовлены изменения в Положение 683-П, разрешающие кредитным организациям проводить анализ своими силами. В теме разбираются эксперты подразделения Aktiv Consulting.

Ранее мы узнали, как определить ПО для анализа по ОУД4 и какой комплект документов и исходного кода надо подготовить. Сегодня поговорим о том, с какими проблемами можно столкнуться во время подготовки к работе, и рассмотрим варианты, которые предлагает Банк России для обеспечения соответствия их требованиям.

Банки и некредитные финансовые организации все чаще задаются вопросом, как провести анализ программного обеспечения в соответствии с требованиями ОУД4 ГОСТ Р 15408-3. С января этого года вступили в силу требования положений Банка России 683-П, 684-П и 382-П об анализе уязвимостей ПО финансовых организаций в соответствии с ОУД4. Интерпретация этих требований вызывает противоречия и многочисленные дискуссии у экспертов сообщества. Своим мнением поделились Анастасия Харыбина, директор по развитию AKTIV.CONSULTING и Павел Семенов, консультант по информационной безопасности AKTIV.CONSULTING.