Недекларированные возможности (НДВ): что это, уровни контроля и методика ФСТЭК

Определение восходит к РД Гостехкомиссии России от 04.06.1999 № 114: «Недекларированные возможности — функциональные возможности программного обеспечения, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Реализацией недекларированных возможностей, в частности, являются программные закладки». Формулировка почти дословно повторена в ГОСТ Р 53114-2008 (п.

3.3.14) и в терминологическом банке данных угроз ФСТЭК (БДУ, карточка термина id 34) — три независимых источника дают содержательно одно и то же определение: понятие «недекларированные возможности» не менялось с 1999 года, поменялась только процедура их контроля.

Ключевое в определении — не факт отклонения от документации сам по себе, а потенциал нарушения свойств безопасности информации. Просто недокументированная функция ещё не НДВ, если её использование не способно навредить конфиденциальности, целостности или доступности данных; разграничению этих понятий посвящён следующий раздел.

Эти четыре термина на рынке регулярно смешивают, хотя это не синонимы. «Недокументированные возможности» — широкое инженерное понятие: любая возможность вне документации, без обязательной привязки к угрозе безопасности (например, скрытая диагностическая команда в прошивке или недокументированный параметр СУБД — сама по себе безобидная вещь). «Недекларированные возможности» — специальный термин нормативной базы ФСТЭК, более узкое подмножество: это именно те недокументированные возможности, использование которых способно нарушить конфиденциальность, целостность или доступность информации.

Всякая НДВ — недокументированная возможность, но не всякая недокументированная возможность — НДВ в смысле РД ФСТЭК.

«Программная закладка» — не синоним НДВ, а механизм её реализации: преднамеренно внесённый в программу функциональный объект, который при определённом входном воздействии инициирует выполнение не описанных в документации функций. Формулировка «в частности являются» в определении РД № 114 (см. раздел выше) прямо указывает, что закладка — один из возможных, но не единственный способ, которым НДВ проявляются на практике.

↔ таблицу можно прокрутить вбок

Полное название документа — «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей», введён в действие приказом председателя Гостехкомиссии России от 04.06.1999 № 114. Документ вводил четыре уровня контроля отсутствия НДВ — чем меньше номер, тем строже проверка.

↔ таблицу можно прокрутить вбок

С каждым уровнем растёт и глубина технической проверки — от контроля документации до полноценного динамического анализа исходного кода.

↔ таблицу можно прокрутить вбок

На карточке документа в КонсультантПлюс стоит пометка «(с изм. от 11.08.2020)» — это отсылает к приказу ФСТЭК России от 11.08.2020 № 96, которым установлено, что РД № 114 не применяется при выполнении работ по сертификации средств защиты информации с 15.08.2020. Функцию, которую раньше выполняли 4 уровня контроля НДВ, с 01.01.2021 выполняет система из 6 уровней доверия по приказу ФСТЭК от 02.06.2020 № 76 — этому переходу посвящён отдельный раздел ниже.

РД № 114 — это документ классификации: что и в каком объёме нужно проверить. Отдельный документ — «Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении» — описывает, как именно испытательная лаборатория проводит сами исследования: конкретные технические приёмы статического и динамического анализа, фаззинга, работы с исходным кодом.

Именно этот документ стоит за самым частотным запросом семантики статьи — «методика выявления уязвимостей и недекларированных возможностей фстэк» — и у него есть две принципиально разные редакции.

↔ таблицу можно прокрутить вбок

Версия 2026 года — не косметическая правка, а содержательно новый документ:

• Привязка ко всем 6 уровням доверия. Все виды исследований — архитектурный анализ, статический анализ, динамический анализ, фаззинг-тестирование, экспертиза кода — теперь строго закреплены за конкретным уровнем доверия по приказу № 76, а не описаны отдельно от системы сертификации.
• Требование к SBOM. Методика обязывает предоставлять перечни программных компонентов (Software Bill of Materials), включая состав контейнерных образов, в машиночитаемом формате CycloneDX.
• Переиспользование результатов РБПО. Разработчикам, уже внедрившим процессы по ГОСТ Р 56939-2024 (разработка безопасного ПО, DevSecOps), методика позволяет засчитывать результаты собственных испытаний при прохождении сертификации — подробнее о самом ГОСТе см. материал о РБПО.
• Адресаты. Документ ориентирован на испытательные лаборатории и разработчиков, участвующих в сертификации СЗИ, защищённого ПО и программно-аппаратных комплексов, — как при первичной сертификации, так и при внесении изменений в уже сертифицированные решения.

Ответ на частый вопрос «заменили ли уровни контроля НДВ уровнями доверия» — да, но не одномоментной заменой одного документа другим, а переходом в два шага.

1. 2018 год. Концепция «уровней доверия» впервые введена приказом ФСТЭК № 131 от 30.07.2018 — то есть уровни доверия появились раньше, чем РД № 114 формально вывели из применения.
2. 11.08.2020. Приказом ФСТЭК № 96 применение РД № 114 при сертификационных испытаниях СЗИ прекращено с 15.08.2020.
3. 02.06.2020, действует с 01.01.2021. Приказ ФСТЭК № 76 заменил собой приказ № 131/2018 — обновлённая, действующая редакция системы из 6 уровней доверия.

С 2026 годом эти две системы не сосуществуют: старая классификация по 4 уровням контроля НДВ не применяется при сертификации СЗИ уже шестой год. При этом сам термин «НДВ» из оборота не исчез — он остался ключевым объектом исследования внутри требований приказа № 76: анализ и выявление НДВ прямо назван одним из трёх компонентов группы требований «Испытания», наряду с функциональным тестированием и анализом скрытых каналов утечки информации (подробный разбор структуры уровней доверия — в отдельном материале «Уровни доверия ФСТЭК»).

Контроль НДВ как таковой был и остаётся обязательным элементом сертификационных испытаний СЗИ — поменялась система координат, в которой заявляется требуемая глубина этого контроля.

Дословная норма приказа № 76 о соответствии классов защиты и уровней доверия: «Средства защиты информации 6 класса должны соответствовать 6 уровню доверия»; «…5 класса — 5 уровню доверия»; «…4 класса и средства вычислительной техники 5 класса — 4 уровню доверия».

Практический вывод для читателя: современный сертификат ФСТЭК на СЗИ не содержит формулировки «уровень контроля НДВ N» — вместо этого в карточке указывается класс защиты и уровень доверия. Но в разговорной практике рынка (в том числе в поисковых запросах) термин «контроль НДВ» продолжает использоваться как общее название процедуры — «средство прошло контроль НДВ», — даже если формально в документе фигурирует «уровень доверия».

Читателю, который ищет по старой терминологии, важно получить актуальный ответ, а не только историческую справку.

Контроль НДВ — сейчас как часть испытаний в рамках требуемого уровня доверия — проводят аккредитованные ФСТЭК России испытательные лаборатории в рамках сертификационных испытаний СЗИ, та же схема участников, что и для сертификации в целом (реестр аккредитованных лабораторий — reestr.fstec.ru/reg7).

• Государственная тайна — обязателен всегда, на любом уровне грифа. Исторически — по РД № 114, любой из 4 уровней контроля в зависимости от грифа; сейчас — по закрытой части приказа № 76, уровни доверия 1–3. Основание — ст. 28 Закона РФ «О государственной тайне» № 5485-I, подробнее о требованиях к гостайне — в материале «Государственная тайна: требования к защите информации».
• Значимые объекты КИИ, ГИС, ИСПДн — обязателен как часть сертификационных испытаний в рамках требуемого уровня доверия (4–6), привязанного к категории значимости или классу защищённости системы.
• Коммерческий рынок вне регулируемых сфер — при добровольной сертификации испытания на НДВ проводятся в объёме, заявленном производителем для нужного уровня доверия.

Типовой пример СЗИ, для которого контроль НДВ / уровень доверия проверяется регулярно, — класс средств доверенной загрузки (СДЗ). Отдельная оговорка касается криптографических средств (СКЗИ): они сертифицируются в отдельной системе ФСБ России, а не ФСТЭК, поэтому изложенная выше процедура на них напрямую не распространяется.