Есть случаи, закрепленные на законодательном уровне, когда использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, является обязательным, например, если речь идет о государственных информационных системах или о защите персональных данных.
Исчерпывающий перечень нормативных актов, требующих проведения оценки соответствия приведён в материале Алексея Лукацкого: http://lukatsky.blogspot.ru/2012/11/blog-post_9.html
ФЗ "О техническом регулировании" [142] определяет следующие формы проведения оценки соответствия:
Как видно из перечня обязательная сертификация является частным случаем подтверждения соответствия.
Система сертификации - совокупность правил выполнения работ по сертификации, ее участников и правил функционирования системы сертификации в целом.
Сертификация - форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров.
Сертификат соответствия - документ, удостоверяющий соответствие объекта требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров[143].
Цели сертификации средств защиты информации:
Сертификация средств защиты информации производится в соответствии с Постановлением Правительства РФ от 26.06.1995 N 608 "О сертификации средств защиты информации".
Система сертификации средств защиты информации представляет собой совокупность участников сертификации, которыми являются:
Центральные органы системы сертификации, органы по сертификации средств защиты информации и испытательные лаборатории проходят аккредитацию на право проведения работ по сертификации. Целью аккредитации является проверка возможности выполнения работ по сертификации средств защиты информации. Аккредитация проводится только при наличии у указанных органов и лабораторий лицензии на соответствующие виды деятельности.
Федеральный орган по сертификации осуществляет следующее:
Центральный орган системы сертификации:
При отсутствии в системе сертификации центрального органа его функции выполняются федеральным органом по сертификации.
Органы по сертификации средств защиты информации:
Испытательные лаборатории проводят сертификационные испытания средств защиты информации и по их результатам оформляют заключения и протоколы, которые направляют в соответствующий орган по сертификации средств защиты информации и изготовителям [144]. Испытательные лаборатории несут ответственность за полноту испытаний средств защиты информации и достоверность их результатов.
Изготовители:
Основными схемами проведения сертификации средств защиты информации являются:
Срок действия сертификата не может превышать пяти лет.
Изготовитель для получения сертификата направляет в орган по сертификации средств защиты информации заявку, к которой могут быть приложены схема проведения сертификации, государственные стандарты и иные нормативные и методические документы, требованиям которых должны соответствовать сертифицируемые средства защиты информации.
Орган по сертификации средств защиты информации в месячный срок после получения заявки направляет изготовителю решение о проведении сертификации с указанием схемы ее проведения, испытательной лаборатории и нормативных документов, требованиям которых должны соответствовать сертифицируемые средства защиты информации, а при необходимости - решение о проведении и сроках предварительной проверки производства средств защиты информации.
Для признания зарубежного сертификата изготовитель направляет его копию и заявку на признание сертификата в федеральный орган по сертификации, который извещает изготовителя о признании сертификата или необходимости проведения сертификационных испытаний в срок не позднее одного месяца после получения указанных документов. В случае признания зарубежного сертификата федеральный орган по сертификации оформляет и выдает изготовителю сертификат соответствия установленного образца. Сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных.
Испытания сертифицируемых средств защиты информации проводятся на образцах, технология изготовления и конструкция (состав) которых должны соответствовать образцам, поставляемым потребителю (заказчику).
В отдельных случаях по согласованию с органом по сертификации средств защиты информации допускается проведение испытаний на испытательной базе изготовителя. При этом орган по сертификации средств защиты информации определяет условия, необходимые для обеспечения объективности результатов испытаний.
Сроки проведения испытаний устанавливаются договором между изготовителем и испытательной лабораторией.
При несоответствии результатов испытаний требованиям нормативных и методических документов по защите информации орган по сертификации средств защиты информации принимает решение об отказе в выдаче сертификата и направляет изготовителю мотивированное заключение. В случае несогласия с отказом в выдаче сертификата изготовитель имеет право обратиться в центральный орган системы сертификации, федеральный орган по сертификации или в Межведомственную комиссию для дополнительного рассмотрения полученных при испытаниях результатов.
Федеральный орган по сертификации и органы по сертификации средств защиты информации имеют право приостанавливать или аннулировать действие сертификата в следующих случаях:
Оплата работ по сертификации конкретных средств защиты информации осуществляется на основании договоров между участниками сертификации.
Органы по сертификации и испытательные лаборатории несут ответственность за выполнение своих функций, обеспечение сохранности информации ограниченного доступа, материальных ценностей, предоставленных заявителем, а также за соблюдение авторских прав разработчика при испытаниях его средств защиты информации.
ФСТЭК России в соответствии с Указом Президента РФ "Вопросы Федеральной службы по техническому и экспортному контролю" является федеральным органом исполнительной власти, уполномоченным проводить работу по обязательной сертификации:
"организует в соответствии с законодательством Российской Федерации проведение работ по оценке соответствия (включая работы по сертификации) средств противодействия техническим разведкам, технической защиты информации, обеспечения безопасности информационных технологий, применяемых для формирования государственных информационных ресурсов, а также объектов информатизации и ключевых систем информационной инфраструктуры"[145].
Средства защиты конфиденциальной информации, подлежащие сертификации в системе сертификации ФСТЭК:
ФСТЭК проводит сертификацию средств защиты информации в соответствии с "Положением о сертификации средств защиты информации по требованиям безопасности информации" и Постановлением Правительства N 608 "О сертификации средств защиты информации".
В "Положении о сертификации средств защиты информации по требованиям безопасности информации" перечень схем сертификации СЗИ расширен партией[146]:
Долгое время средства защиты информации сертифицировались на соответствие требованиям руководящих документов Гостехкомиссии России (РД) 90-х годов. В настоящее время ФСТЭК постепенно замещает использование РД профилями защиты. Разработка профилей защиты основана на национальном стандарте ГОСТ Р ИСО/МЭК 15408 - аналогом так называемых "Общих критериев". Например, для сертификации средств антивирусной защиты в соответствии с информационным сообщением ФСТЭК России от 30 июля 2012 г. N 240/24/3095 используются новые требования, основанные на профилях защиты. Требования к средствам антивирусной защиты утверждены приказом ФСТЭК России от 20 марта 2012 г. N 28 (зарегистрирован Минюстом России 3 мая 2012 г., рег. N 24045). Вступили данные требования в силу с 1 августа 2012 г.
На текущий момент разработаны профили защиты для антивирусных средств защиты, операционных систем, межсетевых экранов, средств контроля съемных машинных носителей информации, средств доверенной загрузки, систем обнаружения вторжений. С полным перечнем документов по сертификации средств защиты можно ознакомиться на сайте ФСТЭК: http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/120-normativnye-dokumenty
Рассмотрим порядок действий по сертификации средств защиты информации в ФСТЭК России.
В общем виде процедура сертификации включает[141]:
Схема процесса приведена на рис 19.1.
(рис 19.1) Этапы сертификации средств защиты информации
Заявка оформляется на бланке Заявителя и оформляется печатью. В заявке указываются:
Заявитель указывает в заявке, что он обязуется:
Заявитель должен иметь лицензию ФСТЭК на соответствующий вид деятельности!
Пример заявки на сертификацию программного комплекса представлен на рис 19.2.
(рис 19.2) Пример заявки на сертификацию
ФСТЭК в течение месяца после получения заявки направляет Заявителю, в назначенные органы по сертификации и испытательной лаборатории решение на проведение сертификационных испытаний, которое содержит следующее:
Орган по сертификации и испытательная лаборатория могут быть изменены по согласованию с Заказчиком. Решение служит основанием для начала испытаний и "поводом" для заключения договора между Заявителем и испытательной лабораторией.
Пример решения на проведение сертификации представлен на рис 19.3.
(рис 19.3) Пример решения на проведение сертификационных испытаний
Решение является основанием для выполнения испытательной лабораторией сертификационных испытаний.
В договоре с испытательной лабораторией о проведении сертификационных испытаний устанавливаются сроки, порядок проведения сертификационных испытаний, а также стоимость работ. Обычно испытательная лаборатория сначала готовит коммерческое предложение с обоснованием сроков и стоимости работ, а также проект договора. Как правило, в комплект договорных документов входят: договор, техническое задание на проведение работ, ведомость исполнения, протокол согласования цены. Помимо указанных сведений, в договоре рекомендуется предусмотреть такие пункты, как ответственность за порчу испытательных образцов или порядок приостановки испытаний в случае внесения каких-то изменений. В случае, если в планах Заявителя есть дальнейшее сотрудничество с лабораторией, можно заключить соглашение о неразглашении (NDA).
Этот этап включает в себя разработку, согласование и утверждение программы и методики сертификационных испытаний.
Испытательная лаборатория разрабатывает программу и методику проведения испытаний, передает заявителю информацию о том, какие данные необходимы для испытаний. Также программа и методика отправляются в орган по сертификации на утверждение.
Заявитель получает от испытательной лаборатории программу и методику испытаний, согласовывает ее и готовит все необходимые исходные данные. Он предоставляет испытательной лаборатории средства защиты информации в комплектации, соответствующей техническим условиям или формуляру, а также комплект всей необходимой документации в соответствии с ЕСПД или ЕСКД.
Испытательная лаборатория отбирает образцы сертифицируемой продукции, идентифицирует их и проводит сертификационные испытания продукции по утвержденным программе и методике. При этом Заявитель готовит и настраивает стенд для проведения сертификационных испытаний. Важно отметить, что запрещается вносить изменения в состав или конструкцию объекта сертификации, а также в документацию во время испытаний. Это может привести к остановке испытаний и их полному "перезапуску", что повлияет на стоимость и сроки проведения работ.
Результаты испытаний оформляются в виде протоколов сертификационных испытаний и технических заключений. Эти документы направляются в орган по сертификации, а копии - Заявителю. В случае отсутствия обоснованных замечаний к результатам, предоставленным испытательной лабораторией, со стороны Заявителя или органа по сертификации, ее работа по договору считается выполненной.
Испытательная лаборатория заключает договор с органом по сертификации о проведении экспертизы результатов сертификационных испытаний, в котором оговариваются сроки, порядок и стоимость. Иногда орган по сертификации требует заключить договор с Заявителем, а не с испытательной лабораторией. Этот пункт является спорным и законодательно не регламентированным. Данный вопрос лучше всего изначально оговорить с испытательной лабораторией.
Орган по сертификации в соответствии с договором проводит экспертизу результатов сертификационных испытаний (как правило, в течение 30 дней), а также технических и эксплуатационных документов на сертифицируемую продукцию. Результатом становится оформление экспертного заключения, которое вместе с техническим заключением, материалами сертификационных испытаний, комплектом необходимой технической и эксплуатационной документации на объект сертификации представляет во ФСТЭК России для принятия решения о выпуске сертификата.
На основании полученных от органа сертификации документов, а именно технического заключения и экспертного заключения, ФСТЭК принимает решение о выдаче сертификата. Сертификат выдается на 3 года (или менее).
Пример сертификата соответствия на рис 19.4.
 |
 (рис 19.4) |
| Рис. 19.4. Пример сертификата соответствия ФСТЭК |
Если в результате проверки ФСТЭК выявит несоответствие результатов испытаний требованиям законодательства, будет принято решение об отказе в выдаче сертификата. При этом Заявителю будет направлено мотивированное заключение. В случае несогласия с отказом Заявитель имеет право обратиться в апелляционный совет Федерального органа по сертификации для дополнительного рассмотрения материалов сертификации. Апелляция рассматривается в месячный срок с привлечением заинтересованных сторон и независимых экспертов. Податель апелляции извещается о принятом решении.
Есть случаи, закрепленные на законодательном уровне, когда использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, является обязательным, например, если речь идет о государственных информационных системах или о защите персональных данных.
Исчерпывающий перечень нормативных актов, требующих проведения оценки соответствия приведён в материале Алексея Лукацкого: http://lukatsky.blogspot.ru/2012/11/blog-post_9.html
ФЗ "О техническом регулировании" [142] определяет следующие формы проведения оценки соответствия:
Как видно из перечня обязательная сертификация является частным случаем подтверждения соответствия.
Система сертификации - совокупность правил выполнения работ по сертификации, ее участников и правил функционирования системы сертификации в целом.
Сертификация - форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров.
Сертификат соответствия - документ, удостоверяющий соответствие объекта требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров[143].
Цели сертификации средств защиты информации:
Сертификация средств защиты информации производится в соответствии с Постановлением Правительства РФ от 26.06.1995 N 608 "О сертификации средств защиты информации".
Система сертификации средств защиты информации представляет собой совокупность участников сертификации, которыми являются:
Центральные органы системы сертификации, органы по сертификации средств защиты информации и испытательные лаборатории проходят аккредитацию на право проведения работ по сертификации. Целью аккредитации является проверка возможности выполнения работ по сертификации средств защиты информации. Аккредитация проводится только при наличии у указанных органов и лабораторий лицензии на соответствующие виды деятельности.
Федеральный орган по сертификации осуществляет следующее:
Центральный орган системы сертификации:
При отсутствии в системе сертификации центрального органа его функции выполняются федеральным органом по сертификации.
Органы по сертификации средств защиты информации:
Испытательные лаборатории проводят сертификационные испытания средств защиты информации и по их результатам оформляют заключения и протоколы, которые направляют в соответствующий орган по сертификации средств защиты информации и изготовителям [144]. Испытательные лаборатории несут ответственность за полноту испытаний средств защиты информации и достоверность их результатов.
Изготовители:
Основными схемами проведения сертификации средств защиты информации являются:
Срок действия сертификата не может превышать пяти лет.
Изготовитель для получения сертификата направляет в орган по сертификации средств защиты информации заявку, к которой могут быть приложены схема проведения сертификации, государственные стандарты и иные нормативные и методические документы, требованиям которых должны соответствовать сертифицируемые средства защиты информации.
Орган по сертификации средств защиты информации в месячный срок после получения заявки направляет изготовителю решение о проведении сертификации с указанием схемы ее проведения, испытательной лаборатории и нормативных документов, требованиям которых должны соответствовать сертифицируемые средства защиты информации, а при необходимости - решение о проведении и сроках предварительной проверки производства средств защиты информации.
Для признания зарубежного сертификата изготовитель направляет его копию и заявку на признание сертификата в федеральный орган по сертификации, который извещает изготовителя о признании сертификата или необходимости проведения сертификационных испытаний в срок не позднее одного месяца после получения указанных документов. В случае признания зарубежного сертификата федеральный орган по сертификации оформляет и выдает изготовителю сертификат соответствия установленного образца. Сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных.
Испытания сертифицируемых средств защиты информации проводятся на образцах, технология изготовления и конструкция (состав) которых должны соответствовать образцам, поставляемым потребителю (заказчику).
В отдельных случаях по согласованию с органом по сертификации средств защиты информации допускается проведение испытаний на испытательной базе изготовителя. При этом орган по сертификации средств защиты информации определяет условия, необходимые для обеспечения объективности результатов испытаний.
Сроки проведения испытаний устанавливаются договором между изготовителем и испытательной лабораторией.
При несоответствии результатов испытаний требованиям нормативных и методических документов по защите информации орган по сертификации средств защиты информации принимает решение об отказе в выдаче сертификата и направляет изготовителю мотивированное заключение. В случае несогласия с отказом в выдаче сертификата изготовитель имеет право обратиться в центральный орган системы сертификации, федеральный орган по сертификации или в Межведомственную комиссию для дополнительного рассмотрения полученных при испытаниях результатов.
Федеральный орган по сертификации и органы по сертификации средств защиты информации имеют право приостанавливать или аннулировать действие сертификата в следующих случаях:
Оплата работ по сертификации конкретных средств защиты информации осуществляется на основании договоров между участниками сертификации.
Органы по сертификации и испытательные лаборатории несут ответственность за выполнение своих функций, обеспечение сохранности информации ограниченного доступа, материальных ценностей, предоставленных заявителем, а также за соблюдение авторских прав разработчика при испытаниях его средств защиты информации.
ФСТЭК России в соответствии с Указом Президента РФ "Вопросы Федеральной службы по техническому и экспортному контролю" является федеральным органом исполнительной власти, уполномоченным проводить работу по обязательной сертификации:
"организует в соответствии с законодательством Российской Федерации проведение работ по оценке соответствия (включая работы по сертификации) средств противодействия техническим разведкам, технической защиты информации, обеспечения безопасности информационных технологий, применяемых для формирования государственных информационных ресурсов, а также объектов информатизации и ключевых систем информационной инфраструктуры"[145].
Средства защиты конфиденциальной информации, подлежащие сертификации в системе сертификации ФСТЭК:
ФСТЭК проводит сертификацию средств защиты информации в соответствии с "Положением о сертификации средств защиты информации по требованиям безопасности информации" и Постановлением Правительства N 608 "О сертификации средств защиты информации".
В "Положении о сертификации средств защиты информации по требованиям безопасности информации" перечень схем сертификации СЗИ расширен партией[146]:
Долгое время средства защиты информации сертифицировались на соответствие требованиям руководящих документов Гостехкомиссии России (РД) 90-х годов. В настоящее время ФСТЭК постепенно замещает использование РД профилями защиты. Разработка профилей защиты основана на национальном стандарте ГОСТ Р ИСО/МЭК 15408 - аналогом так называемых "Общих критериев". Например, для сертификации средств антивирусной защиты в соответствии с информационным сообщением ФСТЭК России от 30 июля 2012 г. N 240/24/3095 используются новые требования, основанные на профилях защиты. Требования к средствам антивирусной защиты утверждены приказом ФСТЭК России от 20 марта 2012 г. N 28 (зарегистрирован Минюстом России 3 мая 2012 г., рег. N 24045). Вступили данные требования в силу с 1 августа 2012 г.
На текущий момент разработаны профили защиты для антивирусных средств защиты, операционных систем, межсетевых экранов, средств контроля съемных машинных носителей информации, средств доверенной загрузки, систем обнаружения вторжений. С полным перечнем документов по сертификации средств защиты можно ознакомиться на сайте ФСТЭК: http://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/120-normativnye-dokumenty
Рассмотрим порядок действий по сертификации средств защиты информации в ФСТЭК России.
В общем виде процедура сертификации включает[141]:
Схема процесса приведена на рис 19.1.
(рис 19.1) Этапы сертификации средств защиты информации
Заявка оформляется на бланке Заявителя и оформляется печатью. В заявке указываются:
Заявитель указывает в заявке, что он обязуется:
Заявитель должен иметь лицензию ФСТЭК на соответствующий вид деятельности!
Пример заявки на сертификацию программного комплекса представлен на рис 19.2.
(рис 19.2) Пример заявки на сертификацию
ФСТЭК в течение месяца после получения заявки направляет Заявителю, в назначенные органы по сертификации и испытательной лаборатории решение на проведение сертификационных испытаний, которое содержит следующее:
Орган по сертификации и испытательная лаборатория могут быть изменены по согласованию с Заказчиком. Решение служит основанием для начала испытаний и "поводом" для заключения договора между Заявителем и испытательной лабораторией.
Пример решения на проведение сертификации представлен на рис 19.3.
(рис 19.3) Пример решения на проведение сертификационных испытаний
Решение является основанием для выполнения испытательной лабораторией сертификационных испытаний.
В договоре с испытательной лабораторией о проведении сертификационных испытаний устанавливаются сроки, порядок проведения сертификационных испытаний, а также стоимость работ. Обычно испытательная лаборатория сначала готовит коммерческое предложение с обоснованием сроков и стоимости работ, а также проект договора. Как правило, в комплект договорных документов входят: договор, техническое задание на проведение работ, ведомость исполнения, протокол согласования цены. Помимо указанных сведений, в договоре рекомендуется предусмотреть такие пункты, как ответственность за порчу испытательных образцов или порядок приостановки испытаний в случае внесения каких-то изменений. В случае, если в планах Заявителя есть дальнейшее сотрудничество с лабораторией, можно заключить соглашение о неразглашении (NDA).
Этот этап включает в себя разработку, согласование и утверждение программы и методики сертификационных испытаний.
Испытательная лаборатория разрабатывает программу и методику проведения испытаний, передает заявителю информацию о том, какие данные необходимы для испытаний. Также программа и методика отправляются в орган по сертификации на утверждение.
Заявитель получает от испытательной лаборатории программу и методику испытаний, согласовывает ее и готовит все необходимые исходные данные. Он предоставляет испытательной лаборатории средства защиты информации в комплектации, соответствующей техническим условиям или формуляру, а также комплект всей необходимой документации в соответствии с ЕСПД или ЕСКД.
Испытательная лаборатория отбирает образцы сертифицируемой продукции, идентифицирует их и проводит сертификационные испытания продукции по утвержденным программе и методике. При этом Заявитель готовит и настраивает стенд для проведения сертификационных испытаний. Важно отметить, что запрещается вносить изменения в состав или конструкцию объекта сертификации, а также в документацию во время испытаний. Это может привести к остановке испытаний и их полному "перезапуску", что повлияет на стоимость и сроки проведения работ.
Результаты испытаний оформляются в виде протоколов сертификационных испытаний и технических заключений. Эти документы направляются в орган по сертификации, а копии - Заявителю. В случае отсутствия обоснованных замечаний к результатам, предоставленным испытательной лабораторией, со стороны Заявителя или органа по сертификации, ее работа по договору считается выполненной.
Испытательная лаборатория заключает договор с органом по сертификации о проведении экспертизы результатов сертификационных испытаний, в котором оговариваются сроки, порядок и стоимость. Иногда орган по сертификации требует заключить договор с Заявителем, а не с испытательной лабораторией. Этот пункт является спорным и законодательно не регламентированным. Данный вопрос лучше всего изначально оговорить с испытательной лабораторией.
Орган по сертификации в соответствии с договором проводит экспертизу результатов сертификационных испытаний (как правило, в течение 30 дней), а также технических и эксплуатационных документов на сертифицируемую продукцию. Результатом становится оформление экспертного заключения, которое вместе с техническим заключением, материалами сертификационных испытаний, комплектом необходимой технической и эксплуатационной документации на объект сертификации представляет во ФСТЭК России для принятия решения о выпуске сертификата.
На основании полученных от органа сертификации документов, а именно технического заключения и экспертного заключения, ФСТЭК принимает решение о выдаче сертификата. Сертификат выдается на 3 года (или менее).
Пример сертификата соответствия на рис 19.4.
|
| (рис 19.4) |
| Рис. 19.4. Пример сертификата соответствия ФСТЭК |
Если в результате проверки ФСТЭК выявит несоответствие результатов испытаний требованиям законодательства, будет принято решение об отказе в выдаче сертификата. При этом Заявителю будет направлено мотивированное заключение. В случае несогласия с отказом Заявитель имеет право обратиться в апелляционный совет Федерального органа по сертификации для дополнительного рассмотрения материалов сертификации. Апелляция рассматривается в месячный срок с привлечением заинтересованных сторон и независимых экспертов. Податель апелляции извещается о принятом решении.
Для получения официальных документов о завершении программы дополнительного профессионального образования (удостоверения о повышении квалификации, дипломов о профессиональной переподготовке и MBA) необходимо предоставить:
Внимание! Вы можете не заказывать доставку бумажной версии официального документы, а скачать его в электронном виде и распечатать самостоятельно. Информация о выданном документе в течение 1 месяца загружается в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» - ФИС ФРДО.
Доступ на новый сайт осуществляется с использованием адреса электронной почты, который был указан вами при регистрации на "старом". Мы постарались перенести все ваши данные с прежнего ресурса, однако не исключена вероятность потери части информации.
При возникновении проблемы со входом, воспользуйтесь функцией сброса пароля
Если вы обнаружите несоответствия, пожалуйста, сообщите нам.