تاییدیه افتا چیست؟ 49382-021

۳. مسیر دریافت تأییدیه افتا قدم‌به‌قدم

۳.۱ ثبت درخواست

1. ثبت درگاه امنیت (sec.ito.gov.ir) و انتخاب گزینه «درخواست گواهی محصول/آزمایشگاه». 

2. بارگذاری مستندات فنی (معماری، کد منبع مشروط، راهنمای امن‌سازی) و مدارک حقوقی محصول. 

۳.۲ ارزیابی آزمایشگاهی

1. انتخاب آزمایشگاه تایید-شده متناسب با رده محصول (شبکه، رمزنگاری، صنعتی). 

2. اجرای تست‌های نفوذ، آنالیز کد و آزمون کارکرد مطابق «پروفایل حفاظتی» محصول. 

۳.۳ تطبیق و بازبینی نهایی

1. ارسال گزارش آزمون به اداره‌کل توسعه صنعت افتا.

2. کمیتۀ فنی افتا نتایج را صحت سنجی و در صورت کفایت، گواهی را صادر می‌کند. 

۳.۴ صدور و درج در فهرست عمومی

• پس از صدور، شناسه گواهی در «لیست گواهی‌های صادر شده» منتشر می‌شود که خریداران دولتی ملزم به کنترل آن هستند.

• ۴. الزامات کلیدی برای اخذ تأییدیه

  محور	الزامات شاخص
  مستندسازی	ST (Security Target)، طراحی تهدید، رویه مدیریت کلید، خط‌مشی به­روزرسانی
  آزمون فنی	تست نفوذ شبکه / وب، تحلیل کد ایستا، تست بار و مقاوم‌سازی سخت‌افزار
  پروفایل‌های حفاظتی	رعایت «PP»های منتشرشده توسط افتا برای رده محصول (مثلاً فایروال صنعتی، کارت ملی هوشمند).
  تعهدات سازنده	انتشار وصله‌های امنیتی، ارائه سورس در صورت نیاز تیم بررسی، عدم وجود backdoor عمدی.

   

  ---

  ۵. مدت اعتبار، تمدید و مراقبت

  • اعتبار پایه: ۳ سال از تاریخ صدور، مشروط به عدم تغییر اساسی نسخه. 

  • مراقبت سالانه: گزارش وصله‌ها و تغییرات باید هر ۱۲ ماه به افتا ارسال شود؛ در غیر این‌صورت گواهی تعلیق می‌شود. 

  • به‌روزرسانی عمده: نسخه جدید باید دوباره در آزمایشگاه ارزیابی شود.

• ۶. مزایا و کاربردها

  • خرید دولتی اجباری: سازمان‌های دولتی و زیرساختی حق خرید محصولاتی را دارند که تأییدیه افتا داشته باشند. 

  • اعتبار بازار خصوصی: وجود لوگوی افتا اعتماد خریداران بخش خصوصی را نیز افزایش می‌دهد. 

  • کاهش ریسک حقوقی: مسئولیت امنیت داده‌ها از منظر قانونی و قراردادی کاهش می‌یابد. 

  • دسترسی به پروژه‌های حساس: بسیاری از مناقصه‌های بانکی، نفتی و مخابراتی شرط تأییدیه افتا را در RFP می‌گنجانند.

۷. پرسش‌های رایج تاییدیه افتا