Обязательно ли тестирование для доверенного статуса ПО

Материал давал чёткий и полезный ответ на частый вопрос об обязательности экспертизы, с наглядной таблицей, что именно центр тестирования проверяет, а что остаётся за пределами его компетенции. Портили его только вымышленная статистика, цена и контакты. Оставляем практически весь содержательный разбор.

Главное: экспертиза в аккредитованном центре тестирования — обязательный элемент процедуры получения доверенного статуса по постановлению №1937, без исключений. Без положительного заключения центра правительственная комиссия не может принять решение о присвоении статуса. Именно техническая проверка отличает доверенный статус от обычной реестровой записи: реестр подтверждает происхождение продукта по документам, доверенный статус дополнительно подтверждает реальную работоспособность продукта на доверенных ОС, отсутствие известных уязвимостей и функциональную корректность.

Почему тестирование обязательно: логика требования

Доверенный статус отличается от реестрового именно наличием технической экспертизы. Включение в реестр российского ПО — преимущественно документальная процедура: проверяется принадлежность прав и российское происхождение. Доверенный статус добавляет к этому реальную техническую проверку: продукт действительно работает на доверенных операционных системах, действительно не содержит известных уязвимостей, действительно функционирует в соответствии с заявленной документацией. Именно эта техническая проверка составляет смысл слова «доверенный». Если бы статус присваивался только на основании документов без реального испытания продукта, он не давал бы государственным заказчикам никакой дополнительной уверенности по сравнению с обычным реестровым ПО.

Получить доверенный статус без прохождения экспертизы в аккредитованном центре невозможно ни при каких обстоятельствах. Центр направляет заключение в Минцифры, и только на его основании правительственная комиссия рассматривает заявление. Без заключения нет рассмотрения комиссией, а значит, нет и присвоения статуса. Регламент постановления №1937 не предусматривает исключений — ни репутация компании, ни наличие сертификатов ФСТЭК, ни многолетнее присутствие в реестре не заменяют технической экспертизы.

Что именно проверяет центр тестирования

Экспертиза охватывает три блока — и только их. Совместимость с доверенными ОС: центр разворачивает продукт на двух выбранных доверенных ОС и проверяет корректность установки штатным способом по документации, работоспособность всей заявленной функциональности, стабильность работы, корректность отображения интерфейса, причём нативная работа без слоёв эмуляции остаётся обязательным условием. Информационная безопасность: отсутствие известных уязвимостей в компонентах по базе CVE, отсутствие недокументированных функций и скрытых каналов передачи данных, корректность механизмов аутентификации и разграничения доступа, применение российской криптографии при наличии криптофункций. Функциональная корректность: соответствие реального поведения продукта его документации и реестровой записи — если в записи заявлена функция, она должна работать именно так, как описано, расхождение между заявленным и фактическим становится замечанием.

Что центр тестирования не проверяет

Столь же важно понимать границы экспертизы — что находится за её пределами и проверяется другими участниками процедуры.

Есть ли исключения из требования об экспертизе

Регламент не предусматривает исключений из требования об экспертизе в центре тестирования: не существует категорий продуктов, правообладателей или ситуаций, при которых статус присваивается без прохождения этого этапа. Наличие сертификата ФСТЭК на соответствие требованиям безопасности нередко воспринимается разработчиками как основание для упрощения или пропуска блока ИБ при экспертизе. Это заблуждение. Сертификат ФСТЭК подтверждает соответствие продукта конкретным профилям защиты или требованиям доверия, а экспертиза для доверенного статуса проверяет совместимость с конкретными доверенными ОС, отсутствие CVE в актуальном компонентном стеке и функциональную корректность по реестровой записи. Области пересекаются, но не совпадают. Наличие сертификата ФСТЭК облегчает прохождение блока ИБ при экспертизе, но не отменяет её.

Как снизить стоимость и сложность экспертизы

Если вопрос об обязательности тестирования задаётся из-за желания сократить бюджет, правильный ответ не «избежать экспертизы», а пройти её максимально эффективно: стоимость экспертизы фиксируется каждым центром в договоре, а полные расходы на этот этап определяются числом циклов проверки. Устранение проблем до экспертизы, а не во время неё, — самый прямой способ экономии: каждый цикл повторной экспертизы после замечаний стоит дополнительных денег и времени, предварительный технический аудит и внутреннее тестирование на стенде с доверенными ОС обходятся значительно дешевле, а компании с качественной подготовкой платят за экспертизу один раз. Выбор центра со специализацией именно в вашей категории ПО снижает число нерелевантных замечаний — минимальная разница в стоимости между центрами не повод выбирать центр без нужного опыта, если это увеличивает риск замечаний в итоге. Предварительное согласование программы тестирования исключает расхождение между тем, как тестировал разработчик внутри, и тем, как тестирует центр официально. Назначение ответственного за коммуникацию с центром с обязательством отвечать в течение одного рабочего дня — простая организационная мера, прямо влияющая на срок экспертизы, задержки с ответами на уточняющие вопросы экспертов останавливают процесс на период ожидания.

Внутреннее тестирование как подготовка к официальному

Внутреннее тестирование на стенде с доверенными ОС не заменяет официальную экспертизу и не учитывается при оценке заявления, но остаётся наиболее эффективным способом подготовки — позволяет выявить и устранить проблемы в рабочем режиме, пока это не стоит дополнительных циклов проверки. Сначала стоит развернуть стенд с теми же ОС, что будут использованы при официальной экспертизе, уточнив у выбранного центра конкретные версии, — тестирование на «похожей» ОС или более старой версии нерелевантно: результаты будут отличаться от официальных. Затем провести тестирование по тем же сценариям, что использует центр, по возможности согласовав программу заранее: при совпадении сценариев расхождение между внутренними результатами и результатами центра становится редкостью. Каждый цикл устранения проблем стоит завершать повторным прогоном всех сценариев, а не только тех, где была обнаружена проблема, — исправление одного дефекта иногда проявляет другой, и цикл продолжается до полного прохождения всех сценариев без замечаний.

Источники

• КонсультантПлюс, порядок формирования перечня доверенного ПО: обязательность экспертизы аккредитованного центра по постановлению №1937.
• Реестр российского программного обеспечения, Минцифры России: перечень аккредитованных центров тестирования.