РАРИБ Форум Игорного Бизнеса

Давайте все-таки попробуем разобраться с пресловутыми «недекларированными возможностями».

Вся путаница и все наши непонятки связаны с тем, что на данный момент в нашей отрасли, применительно к игровому оборудованию, используются два различных понятия недекларированных возможностей игровых программ.

В Постановлении № 603 «О лицензировании деятельности по производству … игрового оборудования» одно из лицензионных требований (п. 3 д) предполагает «использование в игровых автоматах игровых программ, не содержащих недекларированных возможностей (функциональных объектов и средств, не указанных в сопроводительной технической документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации).

Здесь подразумевается основное,  «классическое» понятие «недекларируемости», определенное в нормативном документе
РД (Руководящий Документ) «Защита от несанкционированного доступа к информации». Часть 1. «Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей».
Из Введения:  «Настоящий Руководящий документ (РД) устанавливает классификацию программного обеспечения (ПО) (как отечественного, так и импортного производства) средств защиты информации (СЗИ), в том числе и встроенных в общесистемное и прикладное ПО, по уровню контроля отсутствия в нем недекларированных возможностей».
Не совсем, правда, понятно, каким образом это применимо к игровому ПО, хотя может быть это: «в том числе и встроенных в общесистемное и прикладное ПО»

Но вся идеология и терминология взята именно оттуда (сравн. с п. 3д Положения о лицензировании):
2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ
       2.1. Недекларированные возможности - функциональные возможности ПО, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.
       Реализацией недекларированных возможностей, в частности, являются программные закладки.
       2.2. Программные закладки – преднамеренно внесенные в ПО функциональные объекты, которые при определенных условиях (входных данных) инициируют выполнение не описанных в документации функций ПО, приводящих к нарушению конфиденциальности, доступности или целостности обрабатываемой информации.
       2.3. Функциональный объект – элемент программы, осуществляющий выполнение действий по реализации законченного фрагмента алгоритма программы.
Ну и так далее.

Сам документ устанавливает четыре уровня контроля отсутствия недекларированных возможностей:
      1.4. Самый высокий уровень контроля - первый, достаточен для ПО, используемого при защите информации с грифом «ОВ».
       Второй уровень контроля достаточен для ПО, используемого при защите информации с грифом «CC».
       Третий уровень контроля достаточен для ПО, используемого при защите информации с грифом «C».
       1.5. Самый низкий уровень контроля - четвертый, достаточен для ПО, используемого при защите конфиденциальной информации.

Каждый уровень характеризуется определенной минимальной совокупностью требований, которая обязательна к исполнению при исследовании ПО на отсутствие недекларируемости.
Обязательны к представлению «Тексты программ, входящих в состав ПО (ГОСТ 19.401-78)», после чего проводится:
Контроль исходного состояния ПО; статический анализ исходных текстов программ; контроль полноты и отсутствия избыточности исходных текстов; контроль соответствия исходных текстов ПО его объектному (загрузочному) коду; контроль связей функциональных объектов по управлению; контроль связей функциональных объектов по информации; контроль информационных объектов; контроль наличия заданных конструкций в исходных текстах; формирование перечня маршрутов выполнения функциональных объектов; анализ критических маршрутов выполнения функциональных объектов; анализ алгоритма работы функциональных объектов на основе блок-схем, диаграмм и т. п., построенных по исходным текстам контролируемого ПО; контроль выполнения функциональных объектов; сопоставление фактических маршрутов выполнения функциональных объектов и маршрутов, построенных в процессе проведения статического анализа.

В общем, муть страшная, нудная и, надо думать, недешёвая.

Второе понятие «недекларируемости» было недавно введено г-ном Шаталовым в его знаменитом письме ФНС.

Причем сначала он пишет как бы правильные, бесспорные вещи: «при производстве игровых автоматов предусмотрено наличие документа, содержащего результаты экспертизы игровых программ, используемых в игровых автоматах, с целью установления отсутствия в них недекларированных возможностей - на каждую единицу программного продукта» (хотя это – просто цитата из Положения о лицензировании производства).

А потом вдруг из этого следует совершенно ничем не подтвержденный вывод о том, что «При проверке соответствия технически заложенного среднего процента выигрыша игрового автомата следует проверять наличие документа (сертификата), подтверждающего значение технически заложенного среднего процента денежного выигрыша (не ниже девяносто процентов) и отсутствия в программном обеспечении недекларированных возможностей по изменению указанного процента выигрыша в процессе эксплуатации игрового оборудования».

На самом деле, достаточно хорошо понятно, откуда в данном несоответствии растут ноги, достаточно просто взглянуть, на соответствие чему проводились экспертизы программ тех фирм, которые уже прошли процесс лицензирования и получили лицензию на производство.

Проведение всех этих экспертиз захватила в свои руки некая «Евро-Азиатская Ассоциация производителей товаров и услуг в области безопасности» (ЕВРААС). И все проведенные ею экспертизы игровых программ были именно «На отсутствие недекларированных возможностей изменения технологически заложенного среднего процента денежного выигрыша». При этом деятели ЕВРААСа совершенно четко представляют себе, что такое на самом деле «недекларированные возможности» в их «классическом» виде, и уже провели немало экспертиз на соответствие многих программ Руководящему Документу «Защита от несанкционированного доступа к информации». Часть 1. «Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей», упомянутому в предыдущем посте.

Ну вот, например (одна из многих), Учрежденческо-производственная автоматическая телефонная станция SI2000/VEGA(M), изготовленная ЗАО «ИскраУралТЕЛ», г. Екатеринбург, была ими сертифицирована на соответствие именно этому нормативному документу, по 4-му уровню контроля, так что люди, вообще говоря, полностью в теме.
И совершенно непонятно, на соответствие чему были сертифицированы игровые программы, прошедшие у этого ЕВРААСа испытания для лицензирования производства, в каком нормативном документе определено понятие «Отсутствия недекларированных возможностей изменения технологически заложенного среднего процента денежного выигрыша» ??

И что теперь делать Роспрому с уже выданными лицензиями, ведь, по сути дела, лицензии были выданы с грубыми нарушениями следующих требований «Положения о лицензировании»:

3. Лицензионными требованиями и условиями при производстве и реализации игровых автоматов являются:
д) использование в игровых автоматах игровых программ, не содержащих недекларированных возможностей (функциональных объектов и средств, не указанных в сопроводительной технической документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации).

5. К заявлению о предоставлении лицензии ……… прилагаются копии:
г) документа, содержащего результаты экспертизы игровых программ, используемых в игровых автоматах, с целью установления отсутствия в них недекларированных возможностей – на каждую единицу программного продукта.

6. Лицензирующий орган не вправе требовать от соискателя лицензии представления документов, не предусмотренных настоящим Положением.
(А ведь потребовали, причем потребовали документ, подтверждающий совсем не то, что прописано в п. 3д.)

7. Лицензирующий орган проводит проверку полноты сведений, указанных в заявлении соискателя лицензии, и документов, прилагаемых к нему.
(А ведь не проверили, и не потребовали переделать или исправить)

13. Грубыми нарушениями лицензионных требований и условий являются неоднократные или неустранимые нарушения лицензиатом требований, предусмотренных подпунктами «в», «г» и «д» пункта 3 настоящего Положения.

И уж совершенно непонятно, как это Роспром (контора вполне официальная и государственная) принимает к лицензированию документы, выданные какой-то частной лавочкой, которая придумала какую-то свою, внутреннюю (внутри своей ассоциации) систему ДОБРОВОЛЬНОЙ сертификации, и выдает на испытанные (причем испытанные не на то, что прописано в Положении) программы не «Документ, содержащий результаты экспертизы игровых программ», а целый СЕРТИФИКАТ, со всеми вытекающими из этого последствиями – ежегодными инспекционными проверками, соответствующими денежными суммами за это и т.д. и т.п.

Некисло ребятишки из этого ЕВРААСа устроились! Ясен пень, что гораздо проще, вместо экспертного заключения по недекларируемым возможностям (а там ой-ой какие процедуры надо проводить), выдать липовую бумаженцию, Сертификат системы, которая к игровому оборудованию и отношения не имеет. Называется – «Система Добровольной Сертификации средств информационных технологий по требованиям информационной безопасности («АйТиСертифика»)». И чего нам, игровикам, эта информационная безопасность?

Причем этот Сертификат, ничего не значащий и ничего не стоящий по трудозатратам на исследование ПО, стОит у них порядка 1000 у.ё. НА КАЖДУЮ ИГРОВУЮ ПРОГРАММУ, а не на автомат в целом, как хотелось бы. Нормальный такой порядок цен, а?

И представьте себе, какие же цены они выкатили бы за документы, указанные в п.п. 3«в» и 3«г» «Положения о лицензировании производства» – испытания и контроль ИА утвержденному типу! Нынешние метрологи со своими 10 000 руб за испытания 1 программы нервно курят д-а-а-а-а-леко в сторонке!!!!!
Да и за контроль одного автомата уж наверняка никак не штуку деревом бы брали.

И кстати, эта ЕВРААС в данный момент ужом извивается, всех и вся окучивает, лишь бы оттяпать себе этот кусок, даже несмотря на то, что у метрологов Правила, по которым они работают, являются официальным ГОСУДАРСТВЕННЫМ нормативно-правовым актом, утвержденным в установленном порядке и зарегистрированным в МинЮсте, в отличие от их ДОБРОВОЛЬНОЙ, внутри их ассоциации действующей, системы сертификации.

Вот вам и вопрос, кто и с какой целью загоняет нас всех в эти непонятные рамки?

Еще чуток про письмо Шаталова.

Вот тоже перец, сам-то он понял, что подписал? Или как всегда, не глядя подмахнул?
Ну ладно, по порядку.

Первое. Вот он пишет: «При проверке соответствия технически заложенного среднего процента выигрыша игрового автомата следует проверять ………»Â 
То есть уже как бы всё, идем и проверяем. А разве у ФНС где-то в их инструкциях или там Положениях, прописано, что они имеют полномочия по контролю игрового оборудования?

Второе. Ну ладно, примут по-бырому какой-никакой документ, и поскакают проверять. А чего проверять-то будут? Опять же Шаталов пишет: «При проверке соответствия технически заложенного среднего процента выигрыша игрового автомата следует проверять наличие документа (сертификата), подтверждающего значение технически заложенного среднего процента денежного выигрыша (не ниже девяносто процентов) и отсутствия в программном обеспечении недекларированных возможностей по изменению указанного процента выигрыша в процессе эксплуатации игрового оборудования»
Это что ж за документ такой должен быть? Ведь не говорят, что «копия документа (сертификата)», а именно «документ» в чистом виде должен быть. Это что, мне теперь оригинал «Сертификата утверждения типа» каждого автомата у себя иметь надо?

Тут мне на днях шепнули, что метрологи скоро будут по новым каким-то Актам контроля работать, с указанием прямо в акте игрушки и процента. Было бы классно! Так ведь, если формально на письмо смотреть, не прокатят такие акты для проверяющих налоговиков, им согласно письму СЕРТИФИКАТ надо. Или круглые скобки, в которых заключено слово «сертификат», накладывают на него печать необязательности?
А какой документ подтверждает «отсутствие в программном обеспечении недекларированных возможностей по изменению процента выигрыша»? Тот самый Сертификат ЕВРААСа? Так он пока что еще только на несколько новых игрушек 2х – 3х производителей есть, да и где мне, опять же, ОРИГИНАЛ его взять (да пусть даже и копию)?

Третье. Меня вообще убивает эта фраза «наличие документа (сертификата)»!!! Особенно – сертификата!!!
Уже сейчас менты конкретно достают с требованиями о наличии у владельца ЗИА копий (слава богу, что не оригиналов) Сертификата утверждения типа ИА, причем требуют каких-то «живых» печатей, заверяющих, якобы, «чистоту» происхождения автомата. Чушь дебильная, блин! Метрологи уже тысячу писем раздали, всем желающим, что ЕДИНСТВЕННЫМ документом, подтверждающим соответствие игрового оборудования утвержденному типу является метрологический АКТ КОНТРОЛЯ ИА, и вс-ё-ё-ё-ё-ё-ё!!!!!
А теперь еще и налоговики будут требовать наличие СЕРТИФИКАТА!!!  Сертификата на что, кто б еще объяснил?!!!

Причем, как пишет Шаталов, «Копии документов (сертификатов) и указанное в них игровое оборудование маркируются специальными защитными знаками (знаками соответствия) организацией, выдавшей данные документы».
Так все-таки «наличие документа (сертификата)» они будут проверять, или достаточно только «Копии документов (сертификатов)»?
Опять же, что, КОПИИ документов будут маркироваться специальными защитными знаками (знаками соответствия)? Это где ж это такая процедура прописана?
И кто это будет делать? «Организация, выдавшая данные документы»? Организация, выдавшая КОПИИ данных документов?

В общем, полный капец, жить дальше с такими документами просто невозможно !!!!! Хоть бы метрологи чего-нибудь подсказали, письмецо что-ли какое-нибудь накропали ……

Ладно, у кого какие мыслишки будут?

Что за "письмо Шаталова"?

Как, однако, всё запущено!!!

http://www1.minfin.ru/chance/pismo05030301ot160107.htm

Н-н-нуизвини ::)
Только неясно, чего хочешь, сочувствия, что нет документа, которого нет ни у кого (правила проведения испытаний не переутверждены)?
Все наши аргументы сейчас не катят. По этому письму уже налоговики в регионах актируют "отсутствие документа".
Никакого нормативного материала, регулирующего статус "Сертификата-90", нет, поэтому дискутировать просто непродуктивно. Разве что обсуждать кто какую лапшу вешал проверяющим :-X

Изменения в ПР 50.2.023-2000  "ПРАВИЛА ПРОВЕДЕНИЯ ИСПЫТАНИЙ ИГРОВЫХ АВТОМАТОВ С ДЕНЕЖНЫМ ВЫИГРЫШЕМ С ЦЕЛЬЮ УТВЕРЖДЕНИЯ ТИПА И КОНТРОЛЯ ЗА ИХ СООТВЕТСТВИЕМ УТВЕРЖДЕННОМУ ТИПУ" (если вы о них) утверждены Госстандартом 15-го февраля 2007 г.  Ждут регистрации в МинЮсте.

Я вообще-то считал, что не только об этом спрашивал, а захватил достаточно широкий круг вопросов, по которым можно не без пользы пообщаться.

Я о них. Спасибо :)
Но пока в силу не вступили, насколько понимаю ;)
К сожалению, для предметного анализа нужен их текст - можете переслать:
ssd77@mail.ru ?

Пока есть только инфа о принятии изменений. 

Genka,не нагоняй тоски. Примут документ, тады поговорим. А на письмо Шаталова плюнь,  он (Шаталов) уже сам забыл какую пургу он подписал, если он ваще  ее читал-то, а ты будешь грузить нас ею. Мало нам мусоров! Достали уже этим письмом. Млин, что за жизнь! Им больше уже с начала миллениума делать нечего стало, только что мониторить сайты наши и законодательство. :-\

Гуль, на письмо Шаталова можно было бы плюнуть, если бы налоговики не шастали б уже по залам и не размахивали им, как знаменем. :'(

Alex17 писал(а): Гуль, на письмо Шаталова можно было бы плюнуть, если бы налоговики не шастали б уже по залам и не размахивали им, как знаменем. :'(

Да идут они............. Запарили уже. Лично у меня уже "болевой порог" на эти проверки пройден. Все выдумки, из пальца высосано. Даже возразить не могу. Надоели они мне. Не интересно. Вот появятся нормативки, тогда можно поработать.  >:(

Давно собирался написать по этому поводу - но вот наконец-то и собрался.

Что же получается с экспертизой на отсутствие недекларированных возможностей и довеском к "классическому" определению "по изменению процента выигрыша"?

Похоже, в данном случае изначально законодатель просто немного поленился:
РД, который  «Настоящий Руководящий документ (РД) устанавливает классификацию программного обеспечения (ПО) (как отечественного, так и импортного производства) средств защиты информации (СЗИ), в том числе и встроенных в общесистемное и прикладное ПО, по уровню контроля отсутствия в нем недекларированных возможностей», он не очень-то подходит в случае программы ИА - программа ИА не обрабатывает информацию, а генерирует информацию независимо от входных данных!!! Все входные данные для ИА - лишь команды запуска процесса генерации этой самой информации и управления формой ее вывода!

Вместо этого документа должен быть похожий, но не такой, а написанный специально про ИА - чтобы в нем было определено, какие функциональные блоки обязательно содержит программа ИА, какие из них подлежат какому контролю и какие требования к какому блоку предъявляются.

Но этого не сделано, взят "похожий" документ.... Но на основании этого документа предъявляются требования к автоматам отечественного производителя СОВЕРШЕННО ИНЫЕ, нежели к автоматам производителя зарубежного. Что есть не совсем хорошо.

Как быть? Требовать "буржуев" пройти сертификацию своих ИА в ЕВРААС? Так пошлют, это с их точки зрения нелогичное требование. Многие из них засертифицированы в "более других" конторах, занимающихся именно сертификацией оборудования для ИБ, и предъявляющих для сертификации очень четкие вполне обоснованные требования как к конструкции оборудования, так и к программам.

Об отмене "написанного пером", речи, разумеется, не идет.

И тогда делается простой ход: "замыливание" использованного понятия - путем добавления разъяснения, каких именно недекларированных возможностей быть не должно.
То бишь дали "задний ход", но не так, как следовало бы - просто внести изменения в "Положение о лицензировании производства...", а именно так, как делается: "по изменению %" сначала появляется в письме Шаталова, затем в метрологическом акте, ну и становится как бы "общепринятым". Хотя действительно нигде оно НЕ ОПРЕДЕЛЕНО.

При этом остаются и волки сыты, и овцы целы:
1) "Положение о лицензировании производства..." остается действовать в неизменном виде
2) Роспром , выдавший уже лицензии, как правильно было подмечено, де-юре НЕЗАКОННО - остается в белом костюме, равно как и получившие эти лицензии.
3) ЕВРААС, получающий непосредственную выгоду от своей "добровольной сертификации" становится весьма управляемой извне организацией, которая не будет делать в отношении "нежелательных" производителей никаких поблажек...

Все как и раньше - получилась нормативка, нацеленная на соблюдение интересов определенной узкой группы лиц, как бы это ни прикрывалось необходимостью защиты прав игроков и т.д.

Почему я так говорю?
Потому что я уверен, что будет или уже есть, например, лицензия на производство автоматов ЧИ с программами игрософта.
А в то же время я могу запросто раз в несколько (да даже ежедневно) инитить и наигрывать плату игрософта - и реальный % отдачи (для клиентов) будет далек даже от старых 75%... И ни по какому закону меня, как владельца ИА нельзя будет привлечь к ответственности!!!

А вот в результате изначальной лени ли это или так и было задумано  (я не про игрософт, а про получившуюся нормативку) - знают только те, кто это сделал...

Genka писал(а): И совершенно непонятно, на соответствие чему были сертифицированы игровые программы, прошедшие у этого ЕВРААСа испытания для лицензирования производства, в каком нормативном документе определено понятие «Отсутствия недекларированных возможностей изменения технологически заложенного среднего процента денежного выигрыша» ??

И что теперь делать Роспрому с уже выданными лицензиями, ведь, по сути дела, лицензии были выданы с грубыми нарушениями следующих требований «Положения о лицензировании»:

Совершенно правильный вопрос - А что теперь делать Роспрому с уже выданными лицензиями?
Наверное допишут и МФ потребует еще одного документа, а Еврааас будут печатать свои акты контроля... ???

Это какие такие "СВОИ" Акты контроля ??

Кто-нибудь разве уполномачивал Евраас заниматься этим на ГОСУДАРСТВЕННОМ уровне ??

Ну а что, интересно, там с этой самой экспертизой-то?
Кроме ЕВРААСа ее можно уже еще где-нибудь сделать, или как?

Идут какие-то движения, результат пока непредсказуем ...... :-\

Алексей, не появилось ли новой информации об этих недекларированных возможностях?
Нет ли у Вашего ЦИ полномочий на проведение подобной экспертизы и, соответственно, выдачи подтверждающего документа?

А разве акт нового образца не подтверждает отсутствие недекларируемых возможностей?
Строки из акта:
автомат бла-бла-бла прошёл контроль. Результаты признаны положительными. В игровом автомате отсутствуют недекларированные возможности по изменению процента выигрыша.
Игровой автомат пригоден к применению.
Далее подписи и так далее...

Сема, читайте 603-е постановление, и ффсе, что написано выше.

В постановлении речь идет о недекл. возможностях в чистом виде, а в Акте контроля - о возможностях ПО ИЗМЕНЕНИЮ ПРОЦЕНТА ВЫИГРЫША,

Как бы - две большие разницы, как говорят в Одессе. :P

Это че , мало нам проблем с первичкой, ждем вторую волну маразма и загибания лопат по "недекларированным возможностям" ??? :o :-X

Неее, эти возможности в чистом виде нужны тока производителю автоматов для лицензии на производство... Эксплуататору пофик, ему все что надо - в акте написано)

Ну тады ладно........

AR_Favorit писал(а): Неее, эти возможности в чистом виде нужны тока производителю автоматов для лицензии на производство... Эксплуататору пофик, ему все что надо - в акте написано)

Слава всевышнему....

И все же, кто уполномочен проводить испытания на предмет таких возможностей?
А также, может быть кто-то обладает информацией о сроках и стоимости подобных испытаний?