TR7 успешно получила сертификацию EAL 4+ (Evaluation Assurance Level 4 Augmented) Common Criteria после тщательной независимой оценки безопасности. Эта сертификация подтверждает архитектуру безопасности и реализацию TR7 в соответствии с высшими практическими стандартами для коммерческих продуктов.
Что это значит для вашей организации
При выборе инфраструктуры безопасности для корпоративных или государственных развертываний, как вы проверяете, что заявления продукта о безопасности действительно верны? Маркетинговые материалы и заявления поставщиков имеют свои ограничения. Именно здесь критически важна независимая сертификация.
Common Criteria (ISO/IEC 15408) — это международно признанная структура для оценки продуктов ИТ-безопасности. Сертификация TR7 EAL 4+ означает, что наши функции безопасности были независимо проверены путем анализа исходного кода, проверки проектной документации и комплексного тестирования на проникновение аккредитованными лабораториями.
Для организаций, требующих демонстрируемой гарантии безопасности — будь то для соответствия требованиям, государственных контрактов или внутренних политик безопасности — EAL 4+ предоставляет необходимые доказательства.
Глобальное признание с первого взгляда
Сертификация EAL 4+ обеспечивает международное признание через соглашения о взаимном признании, устраняя необходимость получения отдельных сертификатов для каждой страны.
Полное взаимное признание в рамках Common Criteria Recognition Arrangement
Common Criteria PortalВысший практический уровень для коммерческих продуктов
Глобально принятые критерии оценки
Понимание уровней EAL
Common Criteria определяет семь уровней гарантии оценки (EAL 1-7), каждый из которых представляет возрастающую строгость в оценке безопасности:
| Уровень | Название | Ключевые характеристики | Типичное использование |
|---|---|---|---|
| EAL 1 | Функционально протестирован | Базовое функциональное тестирование | Коммерческие продукты низкого риска |
| EAL 2 | Структурно протестирован | Структурный анализ, проверка тестирования разработчика | Стандартные коммерческие продукты |
| EAL 3 | Методически протестирован | Систематическое тестирование, управление конфигурацией | Среды умеренной безопасности |
| EAL 4 | Методически спроектирован, протестирован и проверен | Проверка исходного кода, независимое тестирование | Коммерческие продукты высокой безопасности |
| EAL 4+ | Расширенный (TR7) | EAL 4 плюс дополнительные компоненты гарантии | Государство и критическая инфраструктура |
| EAL 5-7 | Полуформально/формально верифицирован | Математические доказательства, формальные методы | Военные, разведывательные системы |
Что включает оценка EAL 4+
EAL 4+ значительно выходит за рамки базового тестирования. Вот что включает процесс оценки:
Анализ исходного кода
Независимые лаборатории проверяют фактический исходный код, а не только документацию. Критически важные для безопасности функции анализируются на корректность реализации и потенциальные уязвимости.
Независимое тестирование на проникновение
Оценщики проводят собственные тесты на проникновение на основе общедоступной информации об уязвимостях. Они не полагаются исключительно на результаты тестов, предоставленные поставщиком.
Проверка проектной документации
Проверяется полная документация по архитектуре безопасности, включая модели угроз, обеспечение политики безопасности и интерфейсы модулей.
Управление конфигурацией
Проверяются средства контроля жизненного цикла разработки, включая контроль версий, процессы сборки и механизмы безопасной доставки.
CCRA: признание в 31 стране
Common Criteria Recognition Arrangement (CCRA) — это основное международное соглашение о взаимном признании сертификатов ИТ-безопасности. Первоначально подписанное в 1998 году Канадой, Францией, Германией, Великобританией и США, CCRA расширилось и теперь включает 31 страну-участницу со всех континентов.
В рамках CCRA продукт, сертифицированный в одной стране-участнице, признается во всех других странах-участницах без необходимости дополнительной оценки. Это устраняет непомерные затраты и время на получение отдельных сертификатов для каждого рынка.
Страны-участницы CCRA включают основные рынки: США, Канада, Великобритания, Германия, Франция, Австралия, Япония, Южная Корея, Индия, Сингапур и многие другие. Для организаций, работающих на международном уровне, это означает, что сертификация TR7 действительна везде, где вы развертываете.
SOG-IS MRA: полное европейское признание до EAL 4+
Для европейских развертываний Соглашение о взаимном признании группы старших должностных лиц по безопасности информационных систем (SOG-IS MRA) обеспечивает дополнительный уровень признания. В отличие от CCRA, которое обеспечивает полное взаимное признание только до EAL 2 для новых сертификатов, SOG-IS MRA обеспечивает полное взаимное признание до EAL 4+.
Подписанты SOG-IS MRA включают Францию (ANSSI), Германию (BSI), Австрию, Испанию, Финляндию, Италию, Нидерланды, Норвегию, Швецию и Великобританию. Это означает, что сертификация TR7 EAL 4+ полностью признается в самых требовательных средах безопасности Европы.
Для организаций, которым требуются продукты для учреждений ЕС, европейских государственных контрактов или предприятий со штаб-квартирой в ЕС со строгими политиками безопасности, признание SOG-IS MRA часто является обязательным требованием.
Где EAL 4+ наиболее важен
Государство и оборона
- Федеральные агентства США (соответствие FedRAMP)
- Развертывания в странах-членах НАТО
- Требования безопасности учреждений ЕС
- Защита национальной критической инфраструктуры
Финансовые услуги
- Соответствие банковским нормативам
- Инфраструктура обработки платежей
- Безопасность торговых платформ
- Защита страховых данных
Здравоохранение и биология
- Защита данных пациентов (HIPAA)
- Подключение медицинских устройств
- Безопасность данных клинических испытаний
- Защита фармацевтической интеллектуальной собственности
Соответствие нормативным основам
Сертификация EAL 4+ поддерживает и укрепляет соответствие другим основным структурам безопасности:
PCI DSS v4.0
Требование 6.4.2 предписывает автоматизированную защиту WAF. Использование сертифицированного WAF EAL 4+ предоставляет доказательства эффективности средств контроля безопасности во время аудитов QSA.
NIST Cybersecurity Framework
Оценка Common Criteria согласуется с акцентом NIST CSF на использовании продуктов с проверенными свойствами безопасности в функции Protect.
ISO 27001
Сертифицированные EAL 4+ продукты предоставляют документальные доказательства для контролей Приложения A, связанных с приобретением, разработкой и обслуживанием систем.
SOC 2
Использование независимо сертифицированных продуктов безопасности поддерживает Common Criteria for Security, демонстрируя должную осмотрительность при выборе поставщика.
Многие поставщики заявляют, что их продукты «безопасны» или «готовы для предприятий», но немногие проходят тщательную независимую оценку, необходимую для сертификации Common Criteria. EAL 4+ — это не самооценка или контрольный список — это требует месяцев оценки аккредитованными лабораториями с полным доступом к исходному коду и проектной документации. При оценке поставщиков безопасности спросите: «Ваш продукт сертифицирован Common Criteria и на каком уровне?»
Сертифицированные возможности безопасности TR7
Сертификация TR7 EAL 4+ охватывает полную платформу ADC, включая:
Web Application Firewall
Защита OWASP Top 10 и API с независимо подтвержденными возможностями обнаружения и блокировки.
Доставка приложений
Балансировка нагрузки и управление трафиком с сертифицированными средствами контроля безопасности для обработки сессий и терминации SSL/TLS.
Управление доступом
Механизмы аутентификации, авторизации и контроля доступа, проверенные на соответствие функциональным требованиям безопасности.
Мониторинг безопасности
Журналирование аудита, оповещения и управление событиями безопасности с сертифицированной защитой целостности.
Часто задаваемые вопросы
Оценка EAL 4+ обычно занимает 12-18 месяцев от начала до сертификации. Это включает подготовку документации, лабораторное тестирование и проверку государственной схемой. Тщательные сроки отражают глубину требуемого анализа.
Требования варьируются в зависимости от страны и агентства. Во многих случаях EAL 4 или выше требуется для продуктов, обрабатывающих секретную или конфиденциальную информацию. Даже когда это не обязательно, сертификация EAL 4+ часто является дифференцирующим фактором при оценке государственных закупок.
CCRA обеспечивает взаимное признание среди 31 страны с обязательным признанием до EAL 2 для новых сертификатов. SOG-IS MRA — это европейское соглашение, обеспечивающее полное взаимное признание до EAL 4+ среди 17 стран-участниц. Сертификация TR7 признается в рамках обоих соглашений.
Сертификация обеспечивает гарантию того, что функции безопасности работают в соответствии с документацией и были протестированы против известных шаблонов атак. Она не гарантирует, что продукт неуязвим — ни один продукт не является таковым. Однако она демонстрирует, что безопасность была систематически спроектирована, реализована и проверена независимыми экспертами.
Сертификации Common Criteria специфичны для версии. TR7 поддерживает сертификацию через тщательный процесс управления изменениями, при этом обновления, связанные с безопасностью, оцениваются через процедуры Assurance Continuity для обеспечения постоянного соответствия.
Заключение
Сертификация TR7 EAL 4+ Common Criteria представляет собой значительные инвестиции в демонстрируемую безопасность. Для организаций, которым требуется больше, чем маркетинговые заявления — будь то из-за нормативных требований, государственных контрактов или внутренних политик безопасности — эта сертификация обеспечивает независимую проверку того, что архитектура безопасности и реализация TR7 соответствуют высшим практическим стандартам.
С признанием в 31 стране CCRA и полным признанием EAL 4+ в рамках SOG-IS MRA в Европе, TR7 предоставляет глобально развертываемое решение безопасности, подкрепленное международно признанной сертификацией. Когда гарантия безопасности имеет значение, выбирайте поставщика, который может это доказать.
Сертифицированная безопасность для вашего предприятия
Узнайте, как сертифицированная EAL 4+ платформа ADC TR7 может соответствовать требованиям безопасности и соответствия вашей организации. Наша команда может предоставить документацию о сертификации и обсудить конкретные сценарии развертывания.
Связаться с нашей командой