ФСБ хочет упростить процедуру сертификации приложений банков
Участвующие в пилоте цифрового рубля банки смогут загружать свои мобильные приложения в магазины, не дожидаясь результатов проверки софта криптографической лабораторией Федеральной службы безопасности (ФСБ). Сейчас такой порядок прорабатывается, пишут «Ведомости» со ссылкой на заявление начальника экспертного подразделения ФСБ Алексея Петрова, сделанной на конференции Ассоциации пользователей стандартов по информационной безопасности (АБИСС).
«Так как банковские приложения обновляются достаточно часто, повторение этой процедуры через лабораторию и ФСБ – это долго», — рассказал Алексей Петров. Поэтому, по его словам, «было согласовано решение, по которому при первоначальной сертификации средства в документации будут определены функции, связанные с криптографией, в случае изменения которых при новом обновлении необходимо будет проводить полную сертификацию». «Если обновление не затрагивает эти функции, то лаборатория в течение нескольких дней рассматривает [заявку] и напрямую сообщает банку о том, что все хорошо и этот продукт можно использовать», – отметил он.
При встраивании криптосредств в мобильные приложения требуются исследования каждой версии мобильного приложения в лаборатории с получением заключения службы. Как уточняет руководитель департамента расследований T.Hunter, эксперт рынка НТИ SafeNet Игорь Бедеров, лаборатория оценивает код, наличие уязвимостей, иностранных интеграций и риски бэкдоров.
У ФСБ шесть классов сертификации средств криптографической защиты и чем выше класс, тем более жесткие требования по безопасности предъявляются, и количество проверок также возрастает, что влияет на длительность самой проверки. Проверки могут занимать несколько месяцев, а банкам зачастую бывает нужно выпускать обновленные приложения каждый месяц или каждую неделю, в связи с чем экспертами регулярно обсуждается вопрос о подходах к оптимизации порядка проведения таких исследований
Читать статью в полной версии «Ведомости»
