Експертиза Г-3 — Softline Defense

Що таке рівень Г-3

Рівень гарантій Г-3 — це третій (найвищий у поточній шкалі) рівень довіри, який Адміністрація Держспецзв'язку присвоює засобам захисту інформації за результатами державної експертизи захищеності. Шкала має три рівні: Г-1 (базова експертиза), Г-2 (розширена), Г-3 (глибока з аналізом вразливостей).

На рівні Г-3 експертиза включає:

Аналіз архітектури на відповідність заявленим функціям безпеки
Аналіз вихідного коду у частині, що реалізує функції безпеки
Тестування функцій безпеки на тестових сценаріях, наданих заявником
Аналіз вразливостей — пошук відомих класів вразливостей у реалізації
Тестування на проникнення — оцінка стійкості до спроб обходу функцій безпеки
Аналіз процедур розробки заявника — наявність контролю змін, тестування, реагування на вразливості

Експертний висновок видається на конкретну версію платформи з конкретним складом функцій безпеки. При суттєвому оновленні платформи висновок продовжується через додаткову експертизу — це постійний цикл, не разова формальність.

Чому це важливо інженеру

В Україні низка регуляторних режимів вимагає, щоб засоби захисту, які використовуються у системі, мали експертний висновок Держспецзв'язку. Це не «бажано» — це обов'язкова вимога для:

Систем, що обробляють службову інформацію згідно з Законом про доступ до публічної інформації
Систем органів державної влади з обробкою персональних даних державного значення
Об'єктів критичної інформаційної інфраструктури згідно з Законом № 1882-IX
Систем, що працюють з державною таємницею (тут є додаткові вимоги)
Систем, що проходять авторизацію за КМУ № 712 (нова ризик-орієнтована методологія 2025)

Якщо ваш проект потрапляє у будь-який з цих режимів — використання засобів без експертного висновку означає, що систему просто не буде допущено до промислової експлуатації. Це не питання якості — це питання регуляторної прохідності.

Що покриває експертиза UBD

Експертний висновок UnityBaseDefense поширюється на функції безпеки платформи. Конкретно — на 5 категорій:

Категорія	Що перевіряється	Стан
Автентифікація та авторизація	Парольна політика, токени, ЕЦП, RBAC/ABAC, гранулярність прав	Г-3
Журналювання та аудит	Незмінність журналу, повнота записів, захист від модифікації адміністратором	Г-3
Захист каналу клієнт-сервер	TLS, перевірка сертифікатів, захист від MITM	Г-3
Захист даних у БД	Шифрування чутливих полів, контроль цілісності	Г-3
Інтеграція з засобами КЗІ	Робота з засобами криптозахисту, сертифікованими Держспецзв'язку	Г-3

Що НЕ покриває експертиза: прикладну логіку конкретного впровадження (наприклад, конкретні правила доступу до запису у вашій системі), фізичну безпеку об'єкту, організаційні заходи (КСЗІ), оцінку ризиків. Це — окремі напрями, які регулюються іншими нормативами та залежать від замовника.

Г-3 і EAL 4 — чи можна порівнювати

У міжнародному вимірі рівень Г-3 орієнтовно відповідає EAL 4 за ISO/IEC 15408 (Common Criteria). Це порівняння ми застосовуємо для пояснення замовникам, які звикли до міжнародних рамок. Однак тут є важливі застереження.

Що спільного: обидва рівні передбачають аналіз архітектури, аналіз коду у частині функцій безпеки, тестування, аналіз вразливостей. Обсяг експертизи приблизно зіставний.

Чим різниця:

CC — модульний стандарт з selectable assurance components; Г-3 — інтегрований з фіксованим переліком перевірок
CC оперує концептом Security Target та Protection Profile; українська система — концептом профілю захисту з НД ТЗІ
EAL 4 формально визнається в усіх країнах-учасницях CCRA; Г-3 — це українська національна оцінка
Криптографічні вимоги різні: для Г-3 — українські ДСТУ, для EAL 4 — те, що задано у Security Target

Висновок: Г-3 ↔ EAL 4 — це орієнтовний інженерний mapping для пояснення рівня вимог, не формальне взаємне визнання. Системи з Г-3 не отримують автоматичного визнання як EAL 4 за межами України, і навпаки.

Як ми перевіряємо технічні твердження

На сторінках платформи ми робимо конкретні твердження: «50 000 одночасних користувачів», «20 000 транзакцій на хвилину», «p99 latency ≤ 280 мс», «робота на каналах від 64 кбіт/с». Це не маркетинг — це результати замірів. Ось як ми їх отримуємо.

Навантажувальне тестування

Інструменти: Apache JMeter, Gatling. Тест-стенд: Intel Xeon Gold 6248R 24c × 2, 192 GB RAM, NVMe SSD. СУБД: MS SQL Server 2022 на окремому хості з рівноцінною конфігурацією. Профіль навантаження: чергові операції з записами кадрового модуля (CRUD з авторизацією, формування звіту, відкриття документа з підписаною історією) — як ближче до реальних production-сценаріїв.

Тест 2 годин стійкого навантаження. Цифри: 50 000 одночасних користувачів через один сервер застосувань, 20 000 транзакцій на хвилину, p99 latency ≤ 280 мс на запит.

Тестування каналів

Робота на повільних каналах перевіряється у реальних умовах систем з територіальними підрозділами на каналах GSM CSD (64 кбіт/с). Якщо тонкий клієнт коректно працює там — він працює всюди.

Тестування масштабування

Кластер з 4 серверів застосувань тестувався на навантаженні 180 000 одночасних користувачів (45 000 на сервер) з рівномірним розподілом через L7 балансер. Це підтверджує лінійність масштабування — додавання серверів дає пропорційний приріст пропускної здатності.

Тестування відмов

Stateless серверний шар тестується відключенням довільного сервера у кластері під навантаженням. Сесії користувачів автоматично перебалансовуються на інші вузли без потреби повторного входу — це наслідок stateless-архітектури, не окремий «failover module».

Хто перевіряє ці цифри

Внутрішні тести проводить команда розробки платформи на спеціально виділеному стенді. Зовнішні підтвердження — це експертиза Держспецзв'язку (для функцій безпеки), а також обстеження конкретних впроваджень державними та галузевими комісіями (Аудиторська палата, регуляторні органи у секторах банків, телекому).

Якщо вам потрібен письмовий звіт про продуктивність для обґрунтування технічного завдання — звертайтесь у команду. Документ містить детальну методологію, графіки навантаження, профілі запитів.

Як отримати експертизу для своєї системи

Експертний висновок UBD не звільняє замовника від необхідності експертизи власної прикладної системи, якщо така вимагається. Залежно від типу системи і регуляторного режиму, ваша прикладна частина теж може потребувати окремої експертизи.

Типовий ланцюг: експертний висновок UBD (платформа) + експертний висновок прикладної системи замовника (її конфігурація платформи) + експертний висновок КСЗІ підприємства (організаційна частина). Усі три рівні разом формують повну регуляторну прохідність.

Команда розробки UBD супроводжує клієнтів у процесі підготовки до експертизи прикладної системи — це звичайна частина проекту, не окрема послуга.