همکاری NSA با تولیدکنندگان IT و CNCI

Comprehensive National Cybersecurity Initiative

اوایل سال ۲۰۰۸ یکی از اقدامات نهایی آقای جرج بوش، برنامه‌ی محرمانه‌ای بود تحت عنوان طرح جامع امنیت فضای مجازی ملی. (اسمش آشنا نیست؟‌ :دی) این طرح در سال ۲۰۱۰ توسط اوباما از محرمانگی خارج شد، و به صورت مختصر در مورد آن توضیحاتی داده شد. به صورت خلاصه، اهداف این طرح در ۱۲ ایده گنجانده شده است:

  1. مدیریت یکپارچه شبکه دولت فدرال تحت یک شبکه قابل اطمینان و ایمن به صورت اینترانت
  2. به کارگیری سنسورهای تشخیص نفوذ در سطح شبکه و سیستم‌های فدرال
  3. پیگیری برای بهره‌برداری از سیستم‌های مقابله با نفوذ در سطح شبکه و سیستم‌های فدرال
  4. هماهنگی و هدایت تلاش‌های مرتبط با تحقیق و توسعه
  5. متمرکزسازی و اتصال مراکز مدیریت عملیات سایبری به منظور افزایش آگاهی و موقعیت سنجی بهتر
  6. توسعه و پیاده سازی طرح‌های ضدجاسوسی سایبری (cyber counterintelligence) در سطح دولت و حاکمیت
  7. افزایش امنیت شبکه‌ی اطلاعات محرمانه و طبقه‌بندی شده
  8. گسترش آموزش سایبری
  9. تعریف و توسعه پایدار “جهش به جلو” برای فن آوری‌ها، راهبردها، و برنامه ها
  10. تعریف و توسعه استراتژی ها و برنامه‌های بازدارندگی پایدار
  11. توسعه یک رویکرد چند جانبه برای مدیریت ریسک زنجیره تامین جهانی
  12. تعریف نقش دولت فدرال برای توسعه امنیت در حوزه های زیرساخت های حیاتی

عمده‌ی انتقاداتی که در زمان علنی شدن این طرح مطرح شد، در خصوص کلی بودن و مشخص نبودن جزییات طرح بود. همانطور که خواندن این ۱۲ ایده، خاطره‌ی زیادی از طرح‌های وطنی در یاد زنده می‌کند، نتیجه‌ی این برنامه نیز مانند خیلی از پروژه‌های وطنی پوچ بود و تاثیر عمده‌ای در افزایش امنیت برقرار نکرد. همانطور که از ابتدا در خصوص نفوذ شرکت‌های فروشنده محصولات بر روی این طرح مشخص بود، هدف عمده‌ی این طرح، خرید محصولات بیشتر از تولیدکننده‌های آمریکایی بود. (مانند طرح‌های وطنی، اما با جایگزینی محصولات چینی!)

نقش NSA‌ در CNCI

مجهول بودن فعالیت آژانس امنیت ملی در طرح جامع امنیت فضای مجازی ملی با بخشی از مستنداتی که توسط گاردین منتشر شده است، کمرنگ‌تر شده است. بر اساس این مستندات و طی پروژه‌ای که نام The SIGINT Enabling برای آن انتخاب شده است، دولت فدرال از سال ۲۰۱۱ عددی در حدود ۸۰۰ میلیون دلار به صورت مستقیم برای پرداخت به شرکت‌های آمریکایی و غیر آمریکایی جهت تسهیل امکانات جاسوسی برای NSA هزینه کرده است. بخشی از اهدافی که در این پروژه مشخص شده است، عبارت است از:

  • قراردادن آسیب‌پذیری‌های قابل استفاده در محصولات رمزنگاری
  • جمع‌آوری اطلاعات اصلی و فرعی از شبکه‌های مهم (Carriers) و افزایش قدرت نفوذ به شبکه‌های مرکزی (Core Networks)
  • ایجاد قابلیت‌های تجاری برای تسهیل و امکان‌پذیری دسترسی از راه دور به تجهیزات کاربران (Endpoints)
  • حمله و نفوذ به زیرساخت‌های پردازشی خارجی (از دولت آمریکا)
  • تاثیرگذاری بر روی استانداردها و زیرساخت‌های کلید عمومی
  • ایجاد قابلیت نفوذ و سرمایه‌گذاری عمده برای امکان دسترسی به شبکه‌های بی‌سیم نسل بعدی (Next Generation Wireless)
  • حفظ روابط با شرکت‌های IT و ایجاد قابلیت دسترسی به رمز‌نگاری‌های دولتی (در سند اصلی احتمالا نام کشور و یا مدل‌های حکومتی ذکر شده است.)
  • کامل کردن دسترسی به چیپ‌های رمزنگاری که در محصولات VPN و Web استفاده می‌شوند.
  • تاثیر بر روی بازار جهانی رمزنگاری برای ایجاد امکان ردیابی توسط NSA

sigintenabling-clean-1بر اساس همین اطلاعات، بیشتر از ۷۰٪ هزینه‌ی ۸۲۰ میلیون دلاری از سال ۲۰۱۱ تا کنون، هزینه‌ی خدمات پیمان‌کاری شده است (یعنی به خارج از NSA پرداخت شده است.) و هیچ تاکیدی بر اینکه این هزینه‌ها برای شرکت‌های آمریکایی اختصاص یافته است، ذکر نشده است. به عبارت دیگر ممکن است قسمتی از این هزینه و طرح برای شرکت‌هایی خرج شده باشد که خارج از آمریکا فعالیت می‌کنند (اروپایی‌ها؟ تایوان؟ کره؟)

sigintenabling-clean-3

شفافیت حکومتی در زیرساخت‌ها

بعد از ۱۱ سپتامبر، اجنبی‌ها برنامه‌های زیادی برای مراقبت بیشتر از زیرساخت‌های حیاتی راه انداختند. با اینکه تعداد زیادی از این برنامه‌ها خشن، نژادپرستانه و با سواستفاده‌های زیادی همراه بود، اما نتایج خوبی در دراز مدت داشت. یکی از برنامه‌هایی که من  به کار‌آمد بودن آن اعتقاد دارم، دفتری با عنوان حفاظت زیرساخت‌های حیاتی است. این دفتر، در چندین بخش وظیفه کنترل، برنامه ریزی و گزارش دهی در مورد زیرساخت‌هایی را دارد که عدم کارکرد سالم آن، می‌تواند آسیبی به زیرساخت ایالات متحده داشته باشد.

این گزارش‌ها و بررسی‌ها به صورت روزانه چندین سال است که در اختیار تمام دستگا‌ه‌های اجرایی و هر کس که داوطلب باشد قرار داده می‌شود. این گزارش‌ها به صورت  شفاف (به قطع تا جایی که شفافیت حکومتی وجود دارد.) از بخش‌های زیرساختی ایالات متحده تحت عنوان‌ Daily Open Source Infrastructure Report آماده می‌شود.

هر یک از گزارش‌های روزانه می‌تواند شامل بخش‌های متنوعی مانند وضعیت معادن، آب آشامیدنی، برق و انرژی‌های تجدید ناپذیر، و زیرساخت‌های فناوری اطلاعات باشد. در این گزارش‌های ۱۵ ۲۰ صفحه‌ای می‌توانید علاوه بر آتش سوزی در فلان دهکده، آخرین آسیب‌پذیری در مورد Ruby‌ را هم مشاهده کنید!

تردید در ساختارهای امنیت اطلاعات

روش‌هایی که پیش از این برای پیاده‌سازی امنیت اطلاعات استفاده می‌شده‌اند، در یک سال اخیر با مشکلات عمده‌ای مواجه شده‌اند. از سال پیش، به صورت عمده‌ای، ناامنی در فضاهای مختلف اطلاعاتی در حال گسترش است. یک مرور می‌توانید داشته باشید:

  1. نفوذ زئوس و جمع‌آوری اطلاعات بی‌شماری از سطح و عمق شبکه‌های ارتباطی
  2. تولید، انتشار و گسترش استاکس‌نت در محیط‌هایی که از پیش هدف گیری شده بودند
  3. توانایی تخریب گسترده گروه‌های نوجوان و غیر دولتی ـ اشاره مستقیم به گروه انانیموس
  4. اثبات ناکارآمدی ابزارهای تامین امنیت اطلاعات شبکه برای سازمان‌های عریض و طویل و حرفه‌ای – اشاره مستقیم به ماجراهای سونی و گاردین و سایر سایت‌هایی که از انتقام‌های انانیموس در امان نماندند.
  5. نفوذ به وب‌سایت‌ها و سامانه‌هایی که توسط افراد حرفه‌ای نگهداری می‌شوند ـ اشاره به نفوذ به سورس فورج و اخیرا کرنل دات اورگ
  6. اثبات امکان پذیری حملات MITM در مقیاس‌های بزرگ – اشاره به آنچه برای گوگل پیش آمد
  7. نفوذ به امن‌ترین سیستم‌های دفاعی با استفاده از اشتباهات انسانی – اشاره به ماجراهای RSA و لاکهیدمارتین

برای من، این ۷ مورد کافی است تا اطمینان پیدا کنم، در مورد کارآمدی روش‌های پیشین باید بهتر فکر کرد.

۷ پیشنهاد برای کنترل امنیت اطلاعات

بسیاری از شرکت ها و سازمان های بزرگ و کوچک برای تامین امنیت اطلاعات خود از راهکارهای مدرن و توسعه یافته استفاده می‌کنند. راهکارهای امروزی تامین امنیت اطلاعات، با استفاده از فن‌آوری های مختلفی پیاده سازی می‌شوند. امنیت شبکه، امنیت سرویس‌دهنده‌ها و امنیت برنامه‌های کاربردی همگی باهم، تنها، باعث ایجاد زمینه امنیت اطلاعات می‌شوند. نکته‌ای که به صورت رایج در مورد امنیت اطلاعات در نظر گرفته نمی‌شود، ضرورت ایجاد ساختار مناسب برای استفاده از مزایای فن‌آوری‌های امنیتی است. با استفاده از ایجاد ساختار و همبندی مناسب، امکان مدیریت، کنترل و ایجاد روال‌های امنیتی برای زیرساخت‌های امنیت اطلاعات فراهم  می‌شود. این نوشتار به صورت خلاصه پیشنهاداتی را برای استفاده از فن‌آوری‌های امنیت اطلاعات بیان می‌کند.

محیط خود را بشناسید

پیش از انجام هر اقدام، تغییر و یا ارایه هر پیشنهاد و درخواستی، می‌بایست نسبت به محیطی که برای امنیت اطلاعات آن در تلاش هستید، آشنایی پیدا کنید. آشنایی سطحی منجر به تصمیمات سطحی خواهد بود! پس تلاش کنید تا تمام اجزای اصلی بخش‌هایی را که امنیت اطلاعات آن‌ها مهم است، از طریق مناسب بشناسید. شما می‌بایست تمام سخت‌افزارها و نرم‌افزارهای موجود را فهرست کرده باشید و از جزییات دسترسی هر کدام آگاهی داشته باشید. برنامه‌های کاربردی و نوع کارکرد آن‌ها نیز برای تصمیم گیری شما مهم است. پروتکل‌های مورد استفاده و نوع تبادل داده در میان برنامه‌های کاربردی به صورت مستقیم با نحوه همبندی شبکه شما مرتبط است.

نقش‌ها را تعیین کنید

پس از آشنایی با محیط عملیاتی، می‌بایست تمامی نقش‌های اجزای سازنده، تعیین و مستند شوند. ممکن است مسئولیت انجام این کار با شما نباشد، در این صورت سعی کنید فرد مرتبط با این موضوع را برای ایجاد سند مربوط آگاه سازید. تعدادی از نقش‌های اصلی عبارت است از وظیفه هر سرور و نوع ارایه سرویس توسط هر سرویس‌دهنده. همچنین نقش برنامه‌های کاربردی در منطق کسب و کار سازمان شما بیانگر میزان اهمیت امنیت اطلاعات برای آن‌ها است. در نظر داشته باشید نقش‌های انسانی نیز در تدوین مدل امنیتی سازمان شما حیاتی است. سعی کنید برای تمامی مواردی که در مرحله شناخت برای شما مهم بوده‌اند، نقش مرتبط را تعیین کنید.

نوع دسترسی‌ها را بررسی کنید

پس از تعیین نقش‌های اصلی، نوع دسترسی برای هر گروه و هر فرد می‌بایست مشخص شود. تمامی اجزای شبکه سازمان شما، می‌بایست دارای نوع دسترسی کنترل شده باشند. از دیدگاه شبکه‌، تمامی کاربران سیستم‌های اطلاعاتی نیز قسمتی از اجزای شبکه می‌باشند. همچنین کاربران راه دور، شرکت‌های همکار، شعب و مشتریان قسمت دیگری از اجزای شبکه می‌باشند. هر چند ممکن است تمامی این اجزا در ۲ و یا ۳ گروه دسترسی خلاصه شوند، اما این دسته بندی می‌بایست آگاهانه و به دور از ایجاد استثنا برای کارهای موقتی باشد. بسیاری از حملات و آسیب‌پذیری‌ها بر روی شبکه‌های اطلاعاتی، به خاطر ایجاد استثنا در زمان نیاز می‌باشد.

از چیز‌هایی که نمی‌دانید به آسانی عبور نکنید

پس از تمامی کنترل‌های اولیه، به احتمال زیاد نقاط تاریکی در ساختار شبکه و سازمان اطلاعاتی شما باقی خواهد ماند. این نقاط تاریک مناسب‌ترین محل شروع برای یک حمله به سمت سازمان شما خواهد بود. خرابکاران اینترنتی و نرم‌افزارهای مخرب تبحر ویژه‌ای در یافتن این نقاط و سواستفاده از آن‌ها  دارند. هر چه قدر این نقاط تاریک مشخص‌تر و شفاف‌تر باشند، شانس خرابکاری و آسیب بر روی اطلاعات مهم شما کمتر خواهد بود. اگر نمی‌توانید تمامی نقاط تاریک را برطرف سازید، حداقل آن را به عنوان یک مشکل مستندسازی کنید و مدیران سازمان خود را از وجود آن مطلع سازید.

چرخ را دوباره اختراع نکنید

ضرب‌العجل‌های کاری، کمبود زمان و نیرو، عدم اشرف کامل به فن‌آوری‌های اطلاعاتی و احساس دانای‌کل بودن از جمله مواردی است که باعث ایجاد مجدد چرخ‌ در سازمان‌ها می‌شود. هر چند این موارد ممکن است در بازه‌های زمانی موقت باعث انجام کار شود، اما در دراز مدت باعث ایجاد هرج و مرج اطلاعاتی و عدم امکان کنترل و مدیریت امنیت اطلاعات خواهد شد. به عنوان مثال استفاده از الگوریتم‌های رمزنگاری خودساخته و غیراستاندارد، و یا ایجاد روش‌های افزونگی غیراستاندارد، و یا استفاده از برنامه‌های اطلاعاتی بدون پشتیبانی مناسب، از مهم‌ترین مواردی است که باعث بروز آسیب‌پذیری‌های امنیتی می‌شوند.
همچنین عدم در نظر گرفتن شیوه‌نامه‌ها و استانداردهایی که برای هر صنعت متداول است، می‌تواند باعث افزایش شانس بروز آسیب‌پذیری‌های امنیتی در ساختار اطلاعاتی سازمان شود. برای این مورد هم می‌توان به عنوان نمونه، از عدم رعایت شیوه‌نامه‌ بازل در صنعت بانکداری در بخش امنیت اطلاعات اشاره نمود.

همه چیز را دوباره بررسی کنید

هر چند در سازمان شما زمان و انرژی زیادی صرف کنترل و بررسی موارد امنیتی و اطلاعاتی شده است، اما می‌بایست در نظر داشت که اطمینان از صحت داشته‌ها و اطلاعات، اولین شرط برای شروع اجرای تصمیمات جدید است. سعی کنید یک فهرست از تمام مواردی که برای امنیت اطلاعات سازمان شما حیاتی است تهیه کنید و با مراجعه به افراد مسئول و تصمیم‌گیر در هر مورد آخرین بررسی‌ها در مورد صحت داشته‌ها و اطلاعات را انجام دهید. پس از بررسی و کنترل، سندی از اطلاعات مورد توافق تهیه کنید و آن را به عنوان معیار هر مورد اطلاعاتی قرار دهید. به عنوان مثال نوع دسترسی افراد به اطلاعات و میزان دسترسی تجهیزات تحت شبکه به منابع شبکه از مواردی است که می‌بایست Double Check و نهایی گردد. از این پس، تصمیم اخذ شده به عنوان معیاری برای اعمال قوانین امنیتی خواهد بود.

همه چیز را به صورت مستمر کنترل کنید

آخرین بخش پیشنهادی، Monitoring  است. تمامی اطلاعاتی که از ساختار اطلاعاتی خود کسب کرده‌اید و تمامی اجزای ساختار امنیت اطلاعات در سازمان شما می‌بایست به صورت مستمر و بدون وقفه تحت کنترل باشد. قسمتی از این کنترل مستمر روال‌های انسانی و قسمت مهم‌تر آن ذخیره‌سازی و پردازش لاگ‌فایل‌ها و گزارشات امنیتی است. به زبان ساده‌تر، پایش امنیتی تمامی اجزای ساختار امنیت اطلاعات در سازمان شما، کلید حفظ وضعیت مطلوب و آگاهی از بروز وقایع در تمامی زمان‌ها است.

محل استفاده از سامانه پیشگیری/تشخیص نفوذ (NIDS)


استفاده از
Network Intrusion
Detection System
با توجه به افزایش روزافزون مخاطرات ناشناخته و یا غیرقابل پیش
بینی (حمله هایی که سرمنشا داخلی دارند و یا zero-day ها) انتخاب عاقلانه و در برخی
موارد اجباری است. محل به کارگیری یک
NIDS بر اساس این سه عامل قابل بررسی است:

بودجه

حساسیت و محرمانگی

توانایی ها و قابلیت های موجود در سازمان

اگر بتوان با عامل بودجه مقابله کرد، استفاده از سناریوی زیر
به عنوان الگوی اولیه (برای ارتباطات LANبهWAN) همواره بهترین نقطه شروع برای شبکه
هایی با حساسیت متوسط و بالا است (شبکه های سازمانی، شبکه های مالی و شبکه های
نظامی_یا محرمانه_):

سامانه پیشگیری/تشخیص نفوذ خارجی (External NIDS)
– پوشش امنیتی اولیه که به صورت پیش فرض تمامی درخواست ها را با
حالت Deny پاسخ می دهد:
۱- Router
با الزمات امنیتی و Access Control Lists
۲- فایروال
۳-
پروکسی (Application
aware proxies
بسته به برنامه هایی که استفاده می شوند یا خواهند شد.)
– سامانه پیشگیری/تشخیص نفوذ داخلی (Internal
NIDS)
DMZ برای برنامه هایی که به صورت
عمومی استفاده خواهند شد.
– پیاده سازی سرویس های شبکه با دید امنیتی و به کار بردن شیوه
نامه های موجود
– سامانه پیشگیری/تشخیص نفوذ شبکه های بی سیم در صورت استفاده (Wireless
IDS/IPS)

چرا از سامانه پیشگیری/تشخیص نفوذ خارجی (External NIDS)
استفاده کنیم؟
NIDS خارجی به عنوان نقطه امنیتی صفر وظیفه تشخیص،
تحلیل و جمع آوری (و در برخی سناریوها پیشگیری) مخاطرات امنیتی که از سمت شبکه های
مبتنی بر IP خارجی (مانند اینترنت و شبکه های
WAN مشترک) روی می دهند را دارد. داده های جمع آوری شده
می تواند به صورت real-time تحلیل شود و همچنین برای
پیگیری های آینده مورد استفاده قرار بگیرد. همچنین این سامانه می بایست توانایی
تولید پیغام های خطر را پیش از بروز مشکل داشته باشد.  چهار هدف اولیه که منجر
به استفاده از NIDS خارج از محدوده شبکه
LAN در نقطه اتصال با WAN می
شوند، عبارتند از:

۱- تحلیل نفوذ با استفاده از داده های جمع
آوری شده در قبل
۲- تشخیص بی وقفه و real-time نفوذ
۳- جمع آوری مدارک (Evidence
gathering
) مستند
۴- جمع آوری آمار

اهمیت لاگ فایل‌ها

Anton Chuvakin معروفترین فرد حال حاضر در زمینه جمع آوری و پردازش لاگ فایل های کامپیوتری است. چندوقت پیش نوشته‌ای داشت با عنوان  ۱۱ دلیل برای پردازش و نگهداری لاگ فابل های کامپیوتری که قصد داشتم آن را اینجا بنوسیم، ولی کمی با واقعیت های موجود در ایران فاصله داشت. بیشتر علت هایی که ذکر کرده است با توجه به نیاز های PCI DSS الزامی هستند.

با جمع آوری لاگ فایل چه مزایایی خواهید داشت؟

  • در مواقعی که سیستم های شما مورد بازرسی قرار می گیرند، (از طرف داخل سازمان و یا بیرون از سازمان) حرفی مستدل برای گفتن دارید. اینکه کاربر فلانی، فلان ایمیل را از طریق میل سرور سازمان ارسال کرده است و یا فایل سرور شما از طرف چه کسی میزبان ۱۰ گیگابایت فیلم پورن شده است شاید زمانی بتواند دلیلی برای کوتاهی مدیر شبکه پیدا کند.
  • در هنگامی که مسول شبکه، در مورد سرعت کند فلان سرویس (پهنای باند، ایمیل و یا وب سرور) مورد نکوهش قرار می گیرد، لاگ فایل ها وسیله‌ای برای پیدا کردن سواستفاده کنندگان هستند.
  • در ایران چیزی که به مانند  FISMA و یا  PCI DSS اجبارهای امنیتی فراهم کند نداریم، در هر صورت اگر به فکر رعایت شیوه نامه های معروفی مانند آنچه ذکر شد هستید، نگهداری و پردازش و بررسی لاگ فایل ها از اهم واجبات است!

لاگ فایل، چگونه، چقدر و چی چیز!

  • هر چیزی را که تصور کنید، این روز ها لاگ فایل دارد. فایل سرور، وب سرور، MTAها، برنامه ها، انواع دیتابیس ها و تقریبا تمامی تجهیزات شبکه ای. به اندازه تمام این چیزها هم برنامه های مرتبط وجود دارد و تقریبا تمامی آن ها با syslog قابل لوله کشی هستند!
  • اگر دنبال این بهانه هستید که نگهداری لاگ فایل حجم زیادی اشغال می کند، جواب های کوبنده خوبی برای شما وجود دارد. نگهداری، دسته بندی و آرشیو کردن لاگ فایل با توجه به هزینه بسیار پایین رسانه های ذخیره سازی تمامی بهانه ها را برای شما از بین برده است.
  • البته این نظر شخصی است، شاید مخالف هایی داشته باشد. اکتفا کردن به لاگ فایل های تولیدی شاید به تنهایی کافی نباشد، بعضی وقت ها استفاده از ابزارهایی مانند  tcpdump ویا wireshark برای جمع آوری آنچه در حال اتفاق است بسیار می تواند موثر باشد. همینطور خروجی برنامه هایی مثل  Niktoو کلا  پویشگرهای آسیب پذیری می تواند به عنوان یک نوع لاگ فایل نگهداری شوند.

کسب EAL4 برای ردهت RHEL

در مورد گواهینامه های EAL درحدود ۳ سال پیش مطلبی با عنوان EAL –  Evaluation  Assurance Level نوشته بودم. در آن زمان ردهت توانسته بود EAL2 را برای خانواده RHEL کسب  کند. با گذشت زمان و تکمیل شدن بررسی ها، اکنون قسمتی از محصولات ردهت RHEL توانسته است به +EAL4 دسترسی پیدا کند. این گواهینامه بدین معنا است که اکنون امکان استفاده کاملا امن و قابل اطمینان بر پایه محصولات مبتنی بر لینوکس و بر اساس استانداردهای دولتی وجود دارد (البته پیشتر نیز این امکان وجود داشت، ولی با این گواهینامه این ادعا به صورت رسمی قابل استناد است).  LWN  |  Infoworld

RHEL now certified at EAL4+
RHEL is now certified at EAL4+, when configured appropriately on IBM’s mainframe, System x, System p5 and eServer boxes, according to the protection profiles LSPP (labeling), RBACPP (role based access control) and CAPP (audit).

EAL4+ is as far as you can go with an off the shelf OS. Beyond this, you need semiformal security design and pretty much a new OS. LSPP is the  current equivalent of the old “orange book” B1 TCSEC rating.

شرکت ناول با محصول SLES دو سال پیش توانسته بود به سطح پایین تری از این گواهینامه دست پیدا کند.

حاشیه:در مطلب قبلی EAL، دوستی به علمی نبودن مطلب و اهمیت CC اشاره کرده است. مطالب زیادی در مورد این که واقعا هزینه کردن پول در کسب EAL نقش دارد یا نه وجود دارد. همانطور که  گرفتن بعضی از ISOها به پرداخت حق عضویت تبدیل شده است، بعضی از محصولات هم با مبالغ بسیار زیادی (US$1 million and even US$2.5 million) این گواهینامه ها را کسب کرده اند. ا ینجا را ببینید: Impact on cost and schedule