Эксперт по сертификации средств защиты информации (ФСТЭК России)

Мы — компания-разработчик средств защиты информации. Нам нужен эксперт, который возьмет на себя организацию и сопровождение полного цикла сертификации наших СЗИ в системе ФСТЭК России — от подготовки доказательной базы до получения сертификата, выстроит взаимодействие с испытательной лабораторией и органом по сертификации, подготовит весь комплект документов, организует и проконтролирует все виды испытаний, сроки и устранение замечаний.

Ключевые задачи:

• Организация и сопровождение полного цикла сертификации СЗИ по требованиям ФСТЭК России (включая необходимые уровни доверия и профили защиты).
• Выстраивание и координация взаимодействия с испытательной лабораторией, органом по сертификации и ФСТЭК России.
• Организация и контроль всех видов тестирования: статический и динамический анализ, функциональное тестирование, анализ уязвимостей, контроль отсутствия не декларированных возможностей (НДВ) — в части, применимой к заявленному уровню доверия и схеме сертификации.
• Подготовка и сопровождение процесса безопасной разработки: участие в выстраивании и документировании процессов, требований к сборке, контролю версий, управлению уязвимостями, анализ сторонних компонентов.
• Разработка и приведение в соответствие документации: технические условия, формуляры, описание архитектуры ПО, модель угроз, модель нарушителя, руководства по безопасной разработке и эксплуатации, документы по контролю НДВ и иные документы.
• Ведение перечня замечаний: анализ, распределение по исполнителям, контроль устранения, подготовка ответов и обоснований для лаборатории и органа по сертификации.
• Планирование и контроль сроков сертификационных проектов, отчетность перед руководством.
• Участие во внутренних аудитах и подготовке к инспекционному контролю после получения сертификата.

Требования:

• Практический опыт организации и сопровождения сертификации СЗИ по требованиям ФСТЭК России — обязательно; опыт работы в испытательной лаборатории или консалтинге по сертификации СЗИ — сильное преимущество.
• Знание нормативной базы: требования ФСТЭК России к СЗИ, уровни доверия, профили защиты, порядок сертификации, требования к испытаниям и контролю НДВ.
• Понимание процессов безопасной разработки ПО и умение выстроить их и документировать.
• Опыт подготовки документации: ТУ, формуляры, описание архитектуры, модели угроз и нарушителя, документы по НДВ.
• Понимание методов статического и динамического анализа, анализа уязвимостей и инструментов, применяемых при испытаниях.
• Опыт взаимодействия с испытательными лабораториями, органами по сертификации и регулятором.
• Системность, умение вести несколько параллельных процессов и контролировать сроки.
• Готовность к командировкам (при необходимости — взаимодействие с лабораторией на её площадке).

Будет плюсом:

• Опыт сертификации по нескольким классам/уровням доверия и профилям защиты.
• Опыт подготовки к инспекционному контролю сертифицированных СЗИ.
• Технический бэкграунд разработчика, тестировщика или ИБ-аналитика.
• Знание смежных требований (ГОСТ, требования регуляторов по защите информации).