II. Требования к программному обеспечению средств удостоверяющего центра

2. Программное обеспечение средств удостоверяющего центра не должно содержать средств, позволяющих модифицировать или искажать алгоритм работы программного обеспечения средств удостоверяющего центра.

3. Прикладное программное обеспечение средств удостоверяющего центра и программное обеспечение средств криптографической защиты информации, используемых удостоверяющим центром, должны использовать только документированные функции системного программного обеспечения.

4. Системное и прикладное программное обеспечение средств удостоверяющего центра должно обеспечивать разграничение доступа системного администратора средств удостоверяющего центра, администратора сертификации средств удостоверяющего центра, операторов средств удостоверяющего центра и пользователей удостоверяющего центра к информации, обрабатываемой средствами удостоверяющего центра, в соответствии с правилами разграничения доступа, установленными системным администратором средств удостоверяющего центра.

5. В состав системного и (или) прикладного программного обеспечения средств удостоверяющего центра должен входить механизм, обеспечивающий очистку оперативной и внешней памяти, используемой для хранения информации ограниченного доступа.

6. Исходные тексты системного и прикладного программного обеспечения средств удостоверяющего центра должны пройти проверку реализации методов и способов защиты информации от атак, для подготовки и проведения которых используются возможности нарушителя безопасности информации, указанные в утверждаемой Евразийской экономической комиссией (далее - Комиссия) модели угроз безопасности информации и действий нарушителя в удостоверяющем центре службы доверенной третьей стороны.

7. В состав программного обеспечения средств удостоверяющего центра должен входить механизм, обеспечивающий устойчивость к компьютерным атакам из внешних сетей.

8. Исходные тексты системного и прикладного программного обеспечения средств удостоверяющего центра должны пройти формальную верификацию отсутствия недекларированных возможностей, а также формальную верификацию реализации методов и способов защиты информации противостояния атакам, для подготовки и проведения которых используются возможности нарушителя безопасности информации, указанные в утверждаемой Комиссией модели угроз безопасности информации и действий нарушителя в удостоверяющем центре службы доверенной третьей стороны.