Какие есть сертификаты для веб-серверов?

Question

[tartakai]

Есть веб-сервер с установленной на нём геоинформационной системой. Заказчики иногда спрашивают, какая у него категория защищенности? Мы гордо отвечаем, что первая. Беда в том, что никаких сертификатов на него у нас нет и сам сервер достаточно дырявый.
Вопрос: есть ли какие-то программы сертификации веб-серверов? Чтобы в конце получить документ, подтверждающий степень защищенности.

Comments

[Drno]

Нет. Тк все пользуются апачем или нжинксом, а они опенсорсные)

[tartakai]

Drno, у нас тоже nginx.

[Drno]

tartakai, ну это один из 3х самых популярных вебсерверов. С чего он дырявый то?

[Василий Банников]

Drno, так дыры могут быть на уровне приложения и инфраструктуры.

[Drno]

Василий Банников, так это уже не относится к веб серверу, а относится к приложению и их разработчикам
А инфраструктура - к сисадмину. Кто настроивал тот и должен учитывать эти тонкости

[Василий Банников]

Drno, информационная система - это и приложение, и инфраструктура, и даже регламенты работы.

[CityCat4]

Drno, категория защищенности информационной системы != категории защищенности веб-сервера. Это значительно больше, охватывает не только сам сервер, но и множество процессов вокруг него. Бизнес в детали того, apache там или nginx - не вдается. Бизнесу важно, чтобы защищена была система.

Answer 1

[Василий Банников]

Мы гордо отвечаем, что первая.

Заявлять о категории защищённости, зная, что у вас есть критические уязвимости, и никаких реальных исследований не проводя (хотябы внутренних) - наглая ложь.
И за такое по-хорошему надо гнать ссаными тряпками.

Вопрос: есть ли какие-то программы сертификации веб-серверов? Чтобы в конце получить документ, подтверждающий степень защищенности.

Скорее всего, вас интересует сертификация ФСТЭК, если ваша система будет работать с гостайной и всяким таким.
https://softline.ru/about/blog/sertifikatsiya-fste...

Но есть ещё варианты:
- Аудит ИБ (если сертификат не нужен, но надо проверить защищённость)
- PCI DSS (если собираетесь принимать платежи)
- Сертификация от ФСБ (если вы разрабатываете средства защиты информации)

Answer 2

[Николай Савельев]

Мы гордо отвечаем, что первая.

А теперь гордо сообщите своё настоящее имя и название компание.
Не слышу ответа.
Это и понятно - боитесью Zbw e dfc ytn