ISO 15408: зачем нужен для IT-безопасности

В условиях цифровизации экономики защита информации становится критически важной задачей для бизнеса различных отраслей. Компании, которые выпускают программное обеспечение, сетевые устройства или комплексные IT-решения, сталкиваются с необходимостью доказывать безопасность своих продуктов как на российском, так и на международном уровне. Одним из наиболее авторитетных инструментов в этой сфере является стандарт ISO 15408, известный также как Common Criteria. Мы, специалисты центра по сертификации товаров и услуг «СертКонтроль», ежедневно работаем с этим стандартом и готовы поделиться профессиональным опытом и практическими рекомендациями.

Что такое ISO 15408 и почему он важен?

ISO 15408 — это международный стандарт оценки безопасности IT-продуктов и систем. Документ определяет общие критерии для анализа, тестирования и верификации функций безопасности. Сертификация по этому стандарту подтверждает, что продукт прошел независимую экспертизу и соответствует заявленным требованиям по защите информации.

В России стандарт ISO 15408 гармонизирован с национальными требованиями (например, ГОСТ Р ИСО/МЭК 15408-1-2014, ГОСТ Р 57580.1-2017 и др.), а также учитывается в ряде государственных постановлений (например, Постановление Правительства РФ № 1236 и № 719).

• Международное признание (включая участие в соглашении CCRA — Common Criteria Recognition Arrangement);
• Возможность участия в государственных и корпоративных тендерах;
• Доверие заказчиков и партнеров;
• Повышение конкурентоспособности на рынке;
• Соответствие требованиям регуляторов (ФСТЭК, ФСБ, Минцифры РФ).

Кому нужна сертификация по ISO 15408?

Сертификация востребована в различных секторах:

Сфера применения	Примеры продуктов
Государственные органы	Системы документооборота, защищённые базы данных
Банки и финансы	Платежные приложения, банкоматы, POS-терминалы
Промышленность	SCADA-системы, промышленные контроллеры
Телеком	Маршрутизаторы, VPN-решения
IT-разработчики	Операционные системы, антивирусы, средства шифрования

Как проходит сертификация: этапы и сроки

Процедура сертификации в нашем центре включает несколько ключевых этапов:

1. Анализ требований. Определяем, какие профили безопасности (Protection Profiles, PP) и цели безопасности (Security Targets, ST) применимы к вашему продукту.
2. Подготовка документации. Формируем пакет документов: описание архитектуры, функций безопасности, документация по эксплуатации, отчеты по тестированию.
3. Оценка независимым органом. Продукт проходит комплексное тестирование и анализ у аккредитованного испытательного центра.
4. Выдача сертификата. После успешного прохождения всех проверок заказчик получает официальное свидетельство о соответствии ISO 15408.

В среднем процесс сертификации занимает от 6 до 12 месяцев. Все зависит от сложности изделия, уровня оценки (EAL 1-7) и качества исходной документации.

Стоимость и порядок оформления документов

Финальная стоимость зависит от объема работ, числа функций безопасности, уровня EAL и требований заказчика. В 2024 году средняя цена оформления полного комплекта документов на сертификацию по ISO 15408 составляет:

• Разработка профиля и целей безопасности (PP, ST): 300 000 – 600 000 руб.
• Сопровождение испытаний: 200 000 – 400 000 руб.
• Сбор и подготовка технической документации: 100 000 – 250 000 руб.
• Сертификационный аудит и выдача сертификата: 400 000 – 1 200 000 руб.

Полная стоимость «под ключ» обычно варьируется от 1,2 до 2,5 млн рублей.

В «СертКонтроль» вы можете заказать полный цикл работ — от составления профиля безопасности до сопровождения прохождения испытаний и получения всех официальных документов. Для консультации и расчета стоимости обращайтесь по телефону +7 900 574 66 01 или электронной почте sertkontrol@bk.ru.

Часто задаваемые вопросы

Вопрос: Обязательно ли получать сертификат ISO 15408 для работы с госзаказчиком?
Ответ: Во многих случаях — да. В частности, если ваш продукт входит в реестр российского ПО (Постановление № 1236) или используется в критической инфраструктуре, наличие сертификата становится обязательным условием допуска к тендерам.

Вопрос: Чем ISO 15408 отличается от ФСТЭК и ФСБ сертификации?
Ответ: Сертификация ФСТЭК и ФСБ ориентирована на национальные стандарты и требования, тогда как ISO 15408 признается международным сообществом. Часто для крупных проектов требуется наличие обеих сертификаций.

Вопрос: Можно ли сертифицировать уже существующее ПО?
Ответ: Да, но потребуется провести аудит текущей реализации и доработать документацию. В ряде случаев — доработать архитектуру для соответствия целевому уровню EAL.

Практические кейсы: опыт наших клиентов

В 2023 году мы сопровождали сертификацию ПО для одного из ведущих российских банков. Продукт — система управления доступом, интегрированная с внутренними учетными системами. Ключевые этапы включали:

• Анализ угроз и формирование профиля безопасности по ISO 15408;
• Подготовку технической документации на русском и английском языках;
• Проведение независимого тестирования в аккредитованной лаборатории;
• Согласование с регулятором и получение сертификата EAL4+.

В результате клиент смог не только выполнить требования Банка России (ГОСТ Р 57580), но и выйти на зарубежные рынки, где Common Criteria является обязательным стандартом.

Реальные нормативные документы

• ГОСТ Р ИСО/МЭК 15408-1-2014 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель»
• ГОСТ Р 57580.1-2017 «Защита информации финансовых организаций»
• Постановление Правительства РФ № 1236 от 16.11.2015 г. (о приоритете российского софта)
• Постановление Правительства РФ № 719 от 17.07.2015 г. (о подтверждении производства ПО в РФ)

Почему стоит обратиться в «СертКонтроль»

Мы имеем более 10 лет опыта сопровождения сертификаций по ISO 15408 и другим стандартам IT-безопасности. Наша команда включает экспертов, участвовавших в разработке ГОСТ и национальных профилей безопасности. Мы гарантируем:

• Комплексный подход: от предварительной консультации до получения сертификата;
• Работу «под ключ» без лишних бюрократических проволочек;
• Экспертную поддержку на каждом этапе;
• Прозрачное ценообразование и индивидуальный подход.

Для получения бесплатной консультации или расчета стоимости оформления документов свяжитесь с нашими специалистами по телефону +7 900 574 66 01 или электронной почте sertkontrol@bk.ru. Мы поможем сделать ваш продукт безопаснее и открыть новые возможности для развития на внутреннем и зарубежном рынках!