دستورالعمل‌های افتا چیست؟ 49382-021

در یک نگاه، «دستورالعمل‌های افتا»‌ مجموعه‌ای از اسناد فنی و رویه‌ای هستند که مسیر اخذ، نگه‌داری و تمدید گواهی امنیتی محصول و پروانه خدمات امنیتی را استاندارد می‌کنند. این اسناد – از «آیین‌نامه ساماندهی خدمات افتا» گرفته تا «سند تداوم گواهی» و «دستورالعمل ارزیابی متقاضیان» – همگی روی پرتال امنیت سازمان فناوری اطلاعات ایران (sec.ito.gov.ir) منتشر می‌شوند و به-روز‌رسانی مستمر دارند.

۱. لایهٔ مقررات مادر

۱.۱ آیین‌نامه ساماندهی خدمات افتا

این آیین‌نامه در سال ۱۳۹۴ تصویب و چهار حوزهٔ خدمات (مدیریتی، عملیاتی، فنی، آموزشی) را تعریف کرد؛ مبنای صدور همهٔ مجوزها و گواهی‌ها همین سند است. 

۱.۲ سند راهبردی امنیت فضای تبادل اطلاعات

«سند افتا» (۱۳۸۶) نقش‌ها و وظایف کلان دستگاه‌های حاکمیتی را برای امن-سازی زیرساخت‌ها مشخص می‌کند. 

۲. دستورالعمل‌های صدور پروانه خدمات افتا

۳. دستورالعمل‌های گواهی امنیتی محصول

۳.۱ بسته مستندات اولیه

پرتال افتا یک بستهٔ ۸ فایلی فراهم کرده است: «فرم مشخصات محصول»، «نمونه تکمیل‌شده»، سه بخش ISO 15408، «طرح ارزیابی امنیتی»، «سند راهنمای کاربری» و «سند تداوم گواهی». 

• فرم مشخصات جزئیات نسخه، معماری و الگوریتم‌های رمزنگاری را طلب می‌کند.

• طرح ارزیابی امنیتی گام‌های تست آزمایشگاهی و نقش‌ها را موشکافانه شرح می‌دهد. 

۳.2 سند تداوم گواهی

پس از صدور گواهی، این راهنما روال‌های «نگه‌داری سالانه» و «ارزیابی مجدد» را تشریح می‌کند؛ عدم بارگذاری گزارش وصله‌ها در بازهٔ ۱۲ ماهه می‌تواند به تعلیق بیانجامد. 

۳.۳ پروفایل‌های حفاظتی (PP)

هر دسته محصول (مثلاً UTM، SIEM، مسیریاب) پروفایل مختص خود را دارد. این PP-ها الزامات حداقلی و سطح EAL مورد‌نظر (۱ تا ۳) را تعیین می‌کنند. 

۳.۴ راهنمای تکمیل مستندات و ویدئوهای آموزشی

اداره‌کل «اِرم» برای تولیدکنندگان، ویدئوهای گام‌به‌گام و چک‌لیست تکمیل مدارک را منتشر کرده است.