Формально, если это не средство защиты, сертифицировать нельзя. Но ФСТЭК- хозяка своего слова, хочет разрешает сертификацию не-средств защиты, хочет не разрешает

Т.е. ФСТЭК при подачи заявки, либо разрешает сертификацию либо отказывает в ней? (Хотим провести сертификацию на встроенные средства защиты по УД)

Если средства защиты есть, пусть и встроенные, то проблем не будет. Это можно назвать средством защиты

Но решает, да, ФСТЭК всегда сама

Такого в реестре сертифицированных СрЗИ полно. Обычно называют «программное средство общего назначения со встроенными средствами защиты информации»

Подашь резюме?

https://www.tadviser.ru/index.php/Проект:ФСТЭК_(ресурс_уязвимостей_АСУ_ТП) - так вот в чем дело-то 😊

"И, учитывая, что у ФСТЭК уже есть опыт по организации банка данных угроз, и что это ее профильное направление деятельности, ведомство взяло на себя организацию работы по созданию ресурса"

Да простят меня коллеги из ФСТЭК, но может ситуация изменилась с 2018 или изменится с этой новой активностью и не будет как поисковик "Спутник" и подобное

Why Does FSTEC Publish so Few Vulnerabilities?

As the research above demonstrates, FSTEC broadly publishes only about 10 percent of known vulnerabilities. The larger question is, “Why?” Why waste resources on a vulnerability disclosure database that does not address 90 percent of vulnerabilities for its users? There are three likely hypotheses:...

https://www.recordedfuture.com/russian-vulnerability-analysis/

Так контрибуться

Дай ссылочку на GitHub ФСТЭК, буду, чем смогу

Цифровой дом Павлова? Это отсылка к Сталинграду?

"Кроме того, все отечественные средства контроля анализа защищенности ориентированы на этот источник уязвимостей и позволяют в автоматическом режиме объявлять уязвимость в конкретной системе и автоматически оповещать владельца системы."

Ориентацию ТОЛЬКО на этот источник, я бы назвал большой проблемой у такого средства анализа уязвимостей

Видимо да

Я на прошлой неделе писал про сканер уязвимостей который мапит к бду ФСТЭК?)) А тут ещё круче!)

Я к тому что не надо использовать только один источник, нужно несколько

Соответственно мапить TTP/угрозы/whatever к нескольким фрэймфоркам тоже

Так никто не мешает и другие использовать, просто они при выявлении будут или с cve или просто без идентификаторов

Вот это было бы совсем прямо круто. И описания все на русский перевести, чтобы мне в отчётах не корпеть через слэш выдумывать там...

Здорово. Т.е. бери уязвимость из открытой базы, и шантажируй любой не понравившийся завод. Классный бизнес.