Особенности сертификации средств защиты информации. Положение "о сертификации средств защиты информации по требованиям безопасности информации"

Согласно Закону Российской Федерации «О государственной тайне» средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности.

Кроме того, в соответствии с «Положением о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от её утечки по техническим каналам» (постановление Совета Министров - Правительства Российской Федерации от 15.09.1993 № 912-51) информация, содержащая сведения, отнесённые к государственной или служебной тайне, должна обрабатываться с использованием защищённых систем и средств информатизации и связи или с использованием технических и программных средств защиты, сертифицированных в установленном порядке. Для оценки готовности систем и средств информатизации и связи к обработке (передаче) информации, содержащей сведения, отнесённые к государственной или служебной тайне, проводится аттестование указанных систем и средств в реальных условиях эксплуатации на предмет соответствия принимаемых методов, мер и средств защиты требуемому уровню безопасности информации.

Также следует отметить, что согласно требованиям «Положения о лицензировании деятельности по технической защите конфиденциальной информации» (постановление Правительства Российской Федерации от 3.02.2012 № 79) допускается использование автоматизированных систем, обрабатывающих конфиденциальную информацию, а также средств защиты такой информации, прошедших процедуру оценки соответствия (аттестованных и(или) сертифицированных по требованиям безопасности информации) в соответствии с законодательством Российской Федерации. Не невыполнение данных требований является грубым нарушением лицензионных требований и условий.

В «Положении об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» (постановление Правительства Российской Федерации от 17.11.2007 № 781) сказано, что средства защиты информации, применяемые в информационных системах, в установленном порядке проходят процедуру оценки соответствия.

В Указе Президента Российской Федерации от 17.03.2008 № 351 сказано, что:

при необходимости подключения информационных систем, информационно­ телекоммуникационных сетей и средств вычислительной техники, применяемых для хранения, обработки или передачи информации, содержащей сведения, составляющие государственную тайну, либо информации, обладателями которой являются государственные органы и которая содержит сведения, составляющие служебную тайну, к информационно-телекоммуникационным сетям международного информационного обмена такое подключение производится только с использованием специально предназначенных для этого средств защиты информации, в том числе шифровальных (криптографических) средств, прошедших в установленном законодательством Российской Федерации порядке сертификацию в Федеральной службе безопасности Российской Федерации и (или) получивших подтверждение соответствия

государственные органы в целях защиты общедоступной информации, размещаемой в информационно-телекоммуникационных сетях международного информационного обмена, используют только средства защиты информации, прошедшие в установленном законодательством Российской Федерации порядке сертификацию в Федеральной службе безопасности Российской Федерации и (или) получившие подтверждение соответствия в Федеральной службе по техническому и экспортному контролю;

размещение технических средств, подключаемых к информационно­ телекоммуникационным сетям международного информационного обмена, в помещениях, предназначенных для ведения переговоров, в ходе которых обсуждаются вопросы, содержащие сведения, составляющие государственную тайну, осуществляется только при наличии сертификата , разрешающего эксплуатацию таких технических средств в указанных помещениях.

В постановлении Правительства Российской Федерации от 18.05.2009 № 424 сказано, что:

операторы федеральных государственных информационных систем, созданныхили используемых в целях реализации полномочий федеральных органов исполнительной власти и содержащих сведения, указанные в перечне сведений о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти, обязательных для размещения в информационно­ телекоммуникационной сети Интернет, утверждённом постановлением Правительства Российской Федерации от 12 февраля 2003 г. № 98 «Об обеспечении доступа к информации о деятельности Правительства Российской Федерации и федеральных органов исполнительной власти» (далее - информационные системы общего пользования), при подключении информационных систем общего пользования к информационно­ телекоммуникационным сетям, доступ к которым не ограничен определённым кругом лиц, обязаны обеспечить: использование при подключении информационных систем общего пользования к информационно­ телекоммуникационным сетям средств защиты информации, прошедших оценку соответствия (в том числе в установленных случаяхсертификацию ), в порядке, установленном законодательством Российской Федерации.

В постановлении Правительства Российской Федерации от 15.05.2010 № 330 сказано, что аккредитация органа по сертификации и испытательной лаборатории (центра), выполняющих работы по подтверждению соответствия продукции (работ, услуг), указанной в пункте 2 настоящего постановления, осуществляется органом по аккредитации в установленном законодательством Российской Федерации порядке при условии наличия у органа по сертификации и испытательной лаборатории (центра): автоматизированных систем, обрабатывающих информацию ограниченного доступа, а также средств её защиты, прошедших процедуру оценки соответствия (аттестованных и (или) сертифицированных по требованиям безопасности информации) в соответствии с законодательством Российской Федерации.

В остальных случаях сертификация и аттестация носят добровольный характер (добровольная сертификация и аттестация) и может осуществляться по инициативе заказчика или владельца объекта информатизации.

В Федеральном законе от 27.12.2002 № 184-ФЗ «О техническом регулировании » даны следующие определения:

оценка соответствия - прямое или косвенное определение соблюдения требований, предъявляемых к объекту;

подтверждение соответствия - документальное удостоверение соответствия продукции или иных объектов, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров;

сертификация - форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров;

декларирование соответствия - форма подтверждения соответствия продукции требованиям технических регламентов;

технический регламент - документ, который принят международным договором Российской Федерации, ратифицированным в порядке, установленном законодательством Российской Федерации, или межправительственным соглашением, заключённым в порядке, установленном законодательством Российской Федерации, или федеральным законом, или указом Президента Российской Федерации, или постановлением Правительства Российской Федерации, или нормативным правовым актом федерального органа исполнительной власти по техническому регулированию и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования (продукции, в том числе зданиям, строениям и сооружениям или к связанным с требованиями к продукции процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации);

форма подтверждения соответствия - определённый порядок документального удостоверения соответствия продукции или иных объектов,процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг требованиям технических регламентов, положениям стандартов или условиям договоров;

схема подтверждения соответствия - перечень действий участников подтверждения соответствия, результаты которых рассматриваются ими в качестве доказательств соответствия продукции и иных объектов установленным требованиям.

Подтверждение соответствия осуществляется в целях:

удостоверения соответствия продукции, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, работ, услуг или иных объектов техническим регламентам, стандартам, сводам правил, условиям договоров;

содействия приобретателям в компетентном выборе продукции, работ, услуг;

повышения конкурентоспособности продукции, работ, услуг на российском и международном рынках;

создания условий для обеспечения свободного перемещения товаров по территории Российской Федерации, а также для осуществления международного экономического, научно-технического сотрудничества и международной торговли.

Подтверждение соответствия осуществляется на основе принципов:

доступности информации о порядке осуществления подтверждения соответствия заинтересованным лицам;

недопустимости применения обязательного подтверждения соответствия к объектам, в отношении которых не установлены требования технических регламентов;

установления перечня форм и схем обязательного подтверждения соответствия в отношении определённых видов продукции в соответствующем техническом регламенте;

уменьшения сроков осуществления обязательного подтверждения соответствия и затрат заявителя;

недопустимости принуждения к осуществлению добровольного подтверждения соответствия, в том числе в определённой системе добровольной сертификации;

защиты имущественных интересов заявителей, соблюдения коммерческой тайны в отношении сведений, полученных при осуществлении подтверждения соответствия;

недопустимости подмены обязательного подтверждения соответствия добровольной сертификацией.

Подтверждение соответствия разрабатывается и применяется равным образом и в равной мере независимо от страны и (или) места происхождения продукции, осуществления процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ и оказания услуг, видов или особенностей сделок и (или) лиц, которые являются изготовителями, исполнителями, продавцами, приобретателями.

Подтверждение соответствия на территории Российской Федерации может носить добровольный или обязательный характер. Добровольное подтверждение соответствия осуществляется в форме добровольной сертификации.

Обязательное подтверждение соответствия осуществляется в формах:

обязательной сертификации.

Порядок применения форм обязательного подтверждения соответствия устанавливается Федеральным законом «О техническом регулировании».

В отношении продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа; продукции (работ, услуг), сведения о которой составляют государственную тайну; продукции (работ, услуг) и объектов, для которых устанавливаются требования, связанные с обеспечением ядерной и радиационной безопасности в области использования атомной энергии; процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации, захоронения соответственно указанной продукции и указанных объектов обязательными требованиями наряду с требованиями технических регламентов являются требования, установленные государственными заказчиками, федеральными органами исполнительной власти, уполномоченными в области обеспечения безопасности, обороны, внешней разведки, противодействия техническим разведкам и технической защиты информации, государственного управления использованием атомной энергии, государственного регулирования безопасности при использовании атомной энергии, и (или) государственными контрактами (договорами). Особенности оценки соответствия указанной продукции (работ, услуг) и объектов, а также соответственно процессов их проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации, захоронения устанавливаются Правительством Российской Федерации.

Технический регламент должен содержать перечень и (или) описание объектов технического регулирования, требования к этим объектам и правила их идентификации в целях применения технического регламента. Технический регламент должен содержать правила и формы оценки соответствия (в том числе в техническом регламенте могут содержаться схемы подтверждения соответствия, порядок продления срока действия выданного сертификата соответствия), определяемые с учетом степени риска, предельные сроки оценки соответствия в отношении каждого объекта технического регулирования и (или) требования к терминологии, упаковке, маркировке или этикеткам и правилам их нанесения. Технический регламент должен содержать требования энергетической эффективности.

Оценка соответствия проводится в формах:

государственного контроля (надзора);

аккредитации;

испытания;

регистрации;

подтверждения соответствия;

приёмки и ввода в эксплуатацию объекта, строительство которого закончено;

в иной форме.

Не включённые в технические регламенты требования к продукции или к связанным с ними процессам проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации и утилизации, правилам и формам оценки соответствия, правила идентификации, требования к терминологии, упаковке, маркировке или этикеткам и правилам их нанесения не могут носить обязательный характер.

Обязательное подтверждение соответствия проводится только в случаях, установленных соответствующим техническим регламентом, и исключительно на соответствие требованиям технического регламента. Объектом обязательного подтверждения соответствия может быть только продукция, выпускаемая в обращение на территории Российской Федерации.

Форма и схемы обязательного подтверждения соответствия могут устанавливаться только техническим регламентом с учётом степени риска недостижения целей технических регламентов.

Декларация о соответствии и сертификат соответствия имеют равную юридическую силу и действуют на всей территории Российской Федерации в отношении каждой единицы продукции, выпускаемой в обращение на территории Российской Федерации во время действия декларации о соответствии или сертификата соответствия, в течение срока годности или срока службы продукции, установленных в соответствии с законодательством Российской Федерации.

Работы по обязательному подтверждению соответствия подлежат оплате на основании договора с заявителем. Стоимость работ по обязательному подтверждению соответствия продукции определяется независимо от страны и (или) места её происхождения, а также лиц, которые являются заявителями.

Декларирование соответствия осуществляется по одной из следующих схем:

принятие декларации о соответствии на основании собственных доказательств;

принятие декларации о соответствии на основании собственных доказательств,доказательств, полученных с участием органа по сертификации и (или) аккредитованной испытательной лаборатории (центра) (далее - третья сторона).

При декларировании соответствия заявителем может быть зарегистрированные в соответствии с законодательством Российской Федерации на её территории юридическое лицо или физическое лицо в качестве индивидуального предпринимателя, либо являющиеся изготовителем или продавцом, либо выполняющие функции иностранного изготовителя на основании договора с ним в части обеспечения соответствия поставляемой продукции требованиям технических регламентов и в части ответственности за несоответствие поставляемой продукции требованиям технических регламентов (лицо, выполняющее функции иностранного изготовителя). Круг заявителей устанавливается соответствующим техническим регламентом. Схема декларирования соответствия с участием третьей стороны устанавливается в техническом регламенте в случае, если отсутствие третьей стороны приводит к недостижению целей подтверждения соответствия.

При декларировании соответствия на основании собственных доказательств заявитель самостоятельно формирует доказательственные материалы в целях подтверждения соответствия продукции требованиям технических регламентов. В качестве доказательственных материалов используются техническая документация, результаты собственных исследований (испытаний) и измерений и (или) другие документы, послужившие мотивированным основанием для подтверждения соответствия продукции требованиям технических регламентов. Состав доказательственных материалов определяется соответствующим техническим регламентом.

При декларировании соответствия на основании собственных доказательств и полученных с участием третьей стороны доказательств заявитель по своему выбору в дополнение к собственным доказательствам:

включает в доказательственные материалы протоколы исследований (испытаний)и измерений, проведённых в аккредитованной испытательной лаборатории (центре);

предоставляет сертификат системы качества, в отношении которого предусматривается контроль (надзор) органа по сертификации, выдавшего данный сертификат, за объектом сертификации.

Сертификат системы качества может использоваться в составе доказательств при принятии декларации о соответствии любой продукции, за исключением случая, если для такой продукции техническими регламентами предусмотрена иная форма подтверждения соответствия.

Декларация о соответствии оформляется на русском языке и должна содержать:

наименование и местонахождение изготовителя;

информацию об объекте подтверждения соответствия, позволяющуюидентифицировать этот объект;

наименование технического регламента, на соответствие требованиям которого подтверждается продукция;

указание на схему декларирования соответствия;

заявление заявителя о безопасности продукции при её использовании в соответствии с целевым назначением и принятии заявителем мер по обеспечению соответствия продукции требованиям технических регламентов;

сведения о проведённых исследованиях (испытаниях) и измерениях, сертификате системы качества, а также документах, послуживших основанием для подтверждения соответствия продукции требованиям технических регламентов;

срок действия декларации о соответствии;

иные предусмотренные соответствующими техническими регламентами сведения.

Срок действия декларации о соответствии определяется техническим регламентом. Форма декларации о соответствии утверждается федеральным органом исполнительной власти по техническому регулированию.

Оформленная заявителем декларация о соответствии подлежит регистрации в едином реестре деклараций о соответствии в течение трёх дней. Порядок формирования и ведения единого реестра деклараций о соответствии, порядок регистрации деклараций о соответствии, предоставления содержащихся в указанном реестре сведений определяются уполномоченным Правительством Российской Федерации федеральным органом исполнительной власти.

Обязательная сертификация осуществляется органом по сертификации на основании договора с заявителем. Схемы сертификации, применяемые для сертификации определённых видов продукции, устанавливаются соответствующим техническим регламентом.

Соответствие продукции требованиям технических регламентов подтверждается сертификатом соответствия, выдаваемым заявителю органом по сертификации.

Сертификат соответствия включает в себя:

наименование и местонахождение заявителя;

наименование и местонахождение изготовителя продукции, прошедшей сертификацию;

наименование и местонахождение органа по сертификации, выдавшего сертификат соответствия;

информацию об объекте сертификации, позволяющую идентифицировать этот объект;

наименование технического регламента, на соответствие требованиям которого проводилась сертификация;

информацию о проведённых исследованиях (испытаниях) и измерениях;

информацию о документах, представленных заявителем в орган по сертификации в качестве доказательств соответствия продукции требованиям технических регламентов;

срок действия сертификата соответствия.

Срок действия сертификата соответствия определяется соответствующим техническим регламентом. Форма сертификата соответствия утверждается федеральным органом исполнительной власти по техническому регулированию.

Обязательная сертификация осуществляется органом по сертификации, аккредитованным в порядке, установленном Правительством Российской Федерации.

В соответствии с действующим законодательством обязательная сертификация проводится в рамках систем сертификации средств защиты информации, созданных федеральными органами исполнительной власти, уполномоченными проводить работы по сертификации средств защиты информации в пределах компетенции, определённой для них законодательными и иными нормативными правовыми актами Российской Федерации. В качестве таких нормативных правовых актов следует отметить:

Постановление Правительства Российской Федерации от 26.06.1995 № 608«О сертификации средств защиты информации»;

Постановление Правительства Российской Федерации от 21.04.2010 № 266 «Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, и продукции (работ, услуг), сведения о которой составляют государственную тайну, предназначенной для эксплуатации в загранучреждениях Российской Федерации, а также процессов её проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения, об особенностях аккредитации органов по сертификации и испытательных лабораторий (центров), выполняющих работы по подтверждению соответствия указанной продукции (работ, услуг), и о внесении изменения в Положение о сертификации средств защиты информации»;

Постановление Правительства Российской Федерации от 15.05.2010 № 330 «Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, а также процессов её проектирования (включая изыскании), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения, об особенностях аккредитации органов по сертификации и испытательных лабораторий (центров), выполняющих работы по подтверждению соответствия указанной продукции (работ, услуг)».

Согласно требованиям Постановления Правительства Российской Федерации от 26.06.1995 № 608 «О сертификации средств защиты информации» были созданы системы обязательной сертификации пяти федеральных органов исполнительной власти:

ФАПСИ - Система сертификации средств криптографической защиты информации (утверждена генеральным директором ФАПСИ 28 октября 1993 г., зарегистрирована Госстандартом России в Государственном реестре 15 ноября 1993 г. /Свидетельство № РОСС RU.0001.030001/)- в соответствии с Указом Президента Российской Федерации от 11.03.2003 № 308 в связи с расформированием ФАПСИ соответствующие функции переданы Федеральной службе безопасности Российской Федерации;

ФСТЭК России - Положение о сертификации средств защиты информации по требованиям безопасности информации (введено в действие приказом Председателя Гостехкомиссии России от 27.10.1995 № 199, зарегистрировано Госстандартом России в Государственном реестре 20 марта 1995 г. /Свидетельство № РОСС RU.OOO 1.01 БИ00/);

ФСБ России - Положение о система сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну (утверждено приказом ФСБ России от 13 ноября 1999 г. № 564, зарегистрировано в Минюсте России 27 декабря 1999 г. № 2028);

Минобороны России - Система сертификации средств защиты информации по требованиям безопасности информации (введено в действие приказом Министра обороны Российской федерации 1996 г. № 058, зарегистрировано Госстандартом России в Государственном реестре в 1996 г. /Свидетельство № РОСС RU.OOOl.OiriUOO/);

СВР России - Положение о системе сертификации средств защиты информации по требованиям безопасности информации (утверждено директором СВР России 05.08.1998, зарегистрировано Госстандартом России в Государственном реестре 15 марта 1999 г. /Свидетельство № РОСС RU.0001.04C300/).

Конкретные средства и меры защиты информации должны разрабатываться и применяться в зависимости от уровня конфиденциальности и ценности информации, а также от уровня возможного ущерба в случае её утечки, уничтожения, модификации или блокирования.

Необходимой составляющей государственной системы обеспечения информационной безопасности являются национальные (государственные стандарты) и другие руководящие, нормативно-технические и методические документы по безопасности информации, утверждённые федеральными органами исполнительной власти в соответствии с их компетенцией, и определяющие нормы защищённости информации и требования в различных направлениях защиты информации.

К основным стандартам и руководящим документам по вопросам обеспечения безопасности информации, в соответствии с требованиями которых осуществляется сертификация продукции и аттестация объектов информатизации по требованиям безопасности информации, сертификация средств криптографической защиты информации, относятся: ■ в области защиты информации от несанкционированного доступа:

ГОСТ Р 50922-96. Защита информации. Основные термины и определения;

ГОСТ Р 50739-95. Средства вычислительной техники. Защита отнесанкционированного доступа к информации. Общие техническиетребования;

ГОСТ Р 51275-99. Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения;

Руководящие документы Гостехкомиссии России (ФСТЭК России):

■ Защита от несанкционированного доступа к информации. Термины и определения; ■ Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации; ■ Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации; ■ Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации; ■ Временное положение по организации разработки, изготовления и эксплуатации программных и технических средств защиты информации от несанкционированного доступа в автоматизированных системах и средствах вычислительной техники; ■ Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации; ■ Защита информации. Специальные защитные знаки. Классификация и общие требования;

■ Средства защиты информации. Защита информации в контрольно-кассовых машинах и автоматизированных кассовых системах. Классификация контрольно-кассовых машин автоматизированных кассовых систем и требования по защите информации;

■ Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей; ■ Безопасность информационных технологий. Критерии оценки безопасности информационных технологий» (Часть 1, Часть 2, Часть 3); ■ и другие; в области защиты информации от утечки по техническим каналам:

ГОСТ Р В50170-2005. Противодействие иностранной технической разведке. Термины и определения;

ГОСТ Р 50752-95. Информационная технология. Защита информации от утечки за счёт побочных электромагнитных излучений при её обработке средствами вычислительной техники. Методы испытаний;

ГОСТ 29339-92. Информационная технология. Защита информации от утечки за счёт побочных электромагнитных излучений при её обработке средствами вычислительной техники. Общие технические требования»;

ГОСТ 30373-95/ГОСТ 50414-92. Совместимость технических средств электромагнитная. Оборудование для испытаний. Камеры экранированные. Классы, основные параметры, технические требования и методы испытаний;

нормативно-методические документы ФСТЭК России:

■ Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К); ■ Методические рекомендации по технической защите информации, составляющей коммерческую тайну; ■ Временная методика оценки защищённости помещений от утечки речевой конфиденциальной информации по акустическому и виброакустическому каналам; ■ Временная методика оценки защищённости ОТСС, предназначенных для обработки, хранения и (или) передачи по линиям связи конфиденциальной информации; ■ Временная методика оценки защищённости конфиденциальной информации, обрабатываемой ОТСС, от утечки за счёт наводок на вспомогательные технические средства и системы и их коммуникации; ■ Временная методика оценки защищённости помещений от утечки речевой конфиденциальной информации по каналам электроакустических преобразований

■ в области криптографического преобразования информации при ее хранении и передаче по каналам связи:

ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования;

ГОСТ Р 34.10-2001. Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи;

ГОСТ Р 34.11-94. Функция хеширования;

документы ФСБ России:

■ Положение о разработке, изготовлении и обеспечении эксплуатации шифровальной техники, систем связи и комплексов вооружения, использующих шифровальную технику (ПШ-93); ■ Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005); ■ Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну;

Остановимся более детально на вопросах сертификации средств защиты. Следует отметить, что после передачи лицензирующих подразделений ФАПСИ в ведение ФСБ России основные принципы системы лицензирования и сертификации не изменились. Все ранее выданные ФАПСИ лицензии и сертификаты оставались действительными на обозначенный в них срок.

Сертификация

Под сертификацией средств защиты информации по требованиям безопасности информации понимается деятельность по подтверждению их соответствия требованиям государственных стандартов или иных нормативных документов по защите информации, утверждённых уполномоченными федеральными органами исполнительной власти в пределах ргх компетенции.

Сертификат соответствия - документ, выданный по правилам системы сертификации для подтверждения соответствия сертифицированной продукции установленным требованиям.

Знак соответствия - зарегистрированный в установленном порядке знак, которым по правилам, установленным в данной системе сертификации, подтверждается соответствие маркированной им продукции установленным требованиям.

Средства защиты информации (СЗИ) - технические, криптографические, программные и другие средства, предназначенные для защиты сведений конфиденциального характера, а также средства контроля эффективности защиты информации.

Руководящий документ ФСТЭК России «Средства вычислительной техники. Зашита от несанкционированного доступа к информации. Показатели защищённости средств вычислительной техники» устанавливает классификацию средств вычислительной техники по уровню защищённости от несанкционированного доступа к информации на базе перечня показателей защищённости и совокупности описывающих их требований.

В соответствии с этим руководящим документом возможные показатели защищённости исчерпываются 7-ю классами. По классу защищённости можно судить о номенклатуре используемых механизмов защиты - наиболее защищённым является 1 класс. Выбор класса защищённости зависит от секретности обрабатываемой информации, условий эксплуатации и расположения объектов системы на рисунке "Показатели защищённости СВТ". В частности, для защиты конфиденциальной информации (персональных данных, служебной тайны и др.) можно применять средства защиты 5 и 6 класса.

рисунок - Показатели защищённости СВТ

Другим важным руководящим документом ФСТЭК России является «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей», который устанавливает классификацию программного обеспечения (отечественного и импортного производства) средств защиты информации по уровню контроля отсутствия в нем недекларированных возможностей на рисунке "Классификация по уровню контроля отсутствия недекларированных возможностей".

Недекларироеанные возможности (НДВ) - функциональные возможности программного обеспечения (ПО), не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности и целостности обрабатываемой информации.

рисунок - Классификация по уровню контроля отсутствия недекларированных возможностей

Также следует отметить руководящий документ ФСТЭК России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации», который устанавливает классификацию межсетевых экранов (МЭ) по уровню защищённости от несанкционированного доступа к информации на базе перечня показателей защищённости и совокупности описывающих их требований на рисунке "Классификация МЭ по уровню защищённости от НСД".

Межсетевой экран - локальное (однокомпонентное) или функционально- распределённое средство (комплекс), реализующее контроль за информацией, поступающей в АС и/или выходящей из АС, и обеспечивает защиту АС посредством фильтрации информации, т.е. её анализа по совокупности критериев и принятия решения о её распространении в (из) АС.

рисунок - Классификация МЭ по уровню защищённости от НСД

За последние годы достигнут существенный прогресс в развитии методов решения задачи дискретного логарифмирования, что послужило причиной разработки в 2000 - 2001 годах нового государственного стандарта ЭЦП. Новый стандарт основан на математическом аппарате эллиптических кривых, а его стойкость сновывается на сложности вычисления дискретного логарифма в группе точек эллиптической кривой. Внедрение схемы ЭЦП на базе данного стандарта повышает, по сравнению с действующей схемой, уровень защищённости передаваемых сообщений от подделок и искажений. Кроме того, новый стандарт терминологически и концептуально увязан с международными стандартами ИСО 2382-2, ИСО/МЭК 9796 и др.

Стандарт ГОСТ Р 34.10-2001 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи» утверждён приказом Госстандарта от 12.09.2001 № 380, введён в действие с 01.07.2002.

Старый стандарт ЭЦП сразу не отменялся. Он действовал ещё несколько лет, но согласно письму ФАПСИ лицензиатам - разработчикам СКЗИ использование открытого ключа ЭЦП длиной 512 бит допускалось только до 31 декабря 2001 г. С 1 января 2002 г. д лина открытого ключа ЭЦП должна быть 1024 бита.

Отметим в заключение, что применение сертифицированных средств защиты информации является обязательным условием при рассмотрении в судебном порядке спорных вопросов, связанных с удостоверением подлинности электронных документов и идентификацией личности пользователей системы.

Аттестация

При проведении работ со сведениями соответствующей степени конфиденциальности (секретности) системы информатизации должны (могут) быть аттестованы на соответствие требованиям по безопасности информации.

Государственная система аттестации объектов информатизации устанавливает основные принципы, организационную структуру, порядок проведения аттестации, а также порядок контроля и надзора за эксплуатацией аттестованных объектов информатизации.

Под объектами информатизации , аттестуемыми по требованиям безопасности информации, понимаются автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров.

Система аттестации объектов информатизации по требованиям безопасности информации является составной частью единой государственной системы сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации. Деятельность системы аттестации организуют уполномоченные федеральные органы по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации.

Под аттестацией объектов информатизации понимается комплекс организационно­ технических мероприятий, в результате которых посредством специального документа - «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации, утверждённых уполномоченными федеральными органами исполнительной власти. Наличие на объекте информатизации действующего «Аттестата соответствия» даёт право обработки информации с определённым уровнем конфиденциальности и в указанный в «Аттестате соответствия» период времени.

При аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации от несанкционированного доступа, в том числе от компьютерных вирусов, от утечки за счёт побочных электромагнитных излучений и наводок при специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие), от утечки или воздействия на неё за счёт специальных устройств, встроенных в объекты информатизации.

Аттестация проводится уполномоченными органами по аттестации объектов информатизации, аккредитованными федеральными органами исполнительной власти. Правила аккредитации определяются действующими в соответствующих системах сертификации положениями. В системе сертификации ФСТЭК России разработано и утверждено 25 ноября 1994 г. «Положением об аккредитации органов по аттестации объектов информатизации по требованиям безопасности информации». Каждый такой орган имеет лицензию на право выполнения работ в области защиты информации и Аттестат аккредитации. Виды работ, которые он может выполнять, указываются в области аккредитации, являющейся приложением к Аттестату аккредитации. В своей деятельности органы по аттестации руководствуются нормативно-методическими документами ФСТЭК России.

Аттестат соответствия утверждается руководителем органа по аттестации объектов информатизации, который и несёт юридическую и финансовую ответственность за качество проведённых работ. Кроме того, органы по аттестации несут ответственность за обеспечение сохранности государственных и коммерческих секретов, а также за соблюдение авторских прав разработчиков аттестуемых объектов информатизации и их компонент.

Аттестация информационных систем может производиться в соответствии с Руководящим документом ФСТЭК России «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», который вводит в рассмотрение 9 классов защищённости АС, объединённых в три группы на рисунке "Классы защищённости АС".

рисунок - Классы защищённости АС

Основные признаки группировки в различные классы связаны с:

наличием в АС информации различного уровня конфиденциальности;

уровнем полномочий субъектов доступа АС на доступ к конфиденциальной информации (одинаковый или разный);

режимом обработки данных в АС (коллективный или индивидуальный).

Для каждого класса сформулирован определённый набор требований для подсистем:

управления доступом;

регистрации и учета;

криптографической;

обеспечения целостности.

Группа 1 классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов: 1Д, 1Г, 1В, 1Б и 1А . Группа 2 классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса: 2Б и 2А . Группа 3 классифицирует АС, в которых работает один пользователь, допущенный ко всей информации АС, размещённой на носителях одного уровня конфиденциальности. Группа содержит два класса: ЗБ и ЗА.

Соответствие классов защищённости различным уровням конфиденциальности приведено на рисунке "Классы защищенности ли и категории информации ограниченного доступа"

рисунок - Классы защищенности ли и категории информации ограниченного доступа

Сертификация представляет собой процедуру, при которой происходит подтверждение того, что определенная продукция соответствует всем требованиям. Однако сертификация средств защиты информации – это деятельность, которая связана с подтверждением того, что эти средства соответствуют национальным стандартам, а также требованиям, прописываемым в технических регламентах, и другим нормативным документам.

ФСТЭК РФ представляет систему сертификации, существование которой нацелено на достижение безопасности области информатизации. Система сертификации средств защиты информации занимается формированием политики в области информатизации, а также обеспечивает ее осуществление. Одновременно с этим в ее основные задачи входит содействие созданию рынка, в котором все информационные технологии, а также всевозможные средства обеспечения, являются совершено защищенными от воровства или других негативных воздействий.

Данная система дополнительно занимается регулированием и контролем различных разработок средств защиты информации, а при этом еще учитывает их последующее создание. В задачи системы входит помощь различным потребителям, которые не могут самостоятельно, ввиду отсутствия необходимых знаний, сделать правильный выбор средств защиты информации. К тому же именно с помощью системы обеспечивается надежная, постоянная и эффективная защиты всех потребителей от недобросовестных продавцов и создателей средств защиты информации. С помощью данной системы обеспечивается сертификация данных средств, поэтому все компании, которые специализируются на производстве или продаже средств защиты информацию должны проходить обязательную сертификацию в данном гос. органах.

Какие средства подлежат обязательной сертификации?

Все фирмы или предприниматели, деятельность которых связана со средствами защиты информации, должны знать о том, какие именно средства должны быть сертифицированы. К ним относятся в первую очередь технические и программные средства, а также программно-аппаратные. Сюда же включаются средства контроля надежности защиты и средства, в которых реализуются СЗИ.

Поэтому каждая компания или предприниматель должны осуществлять сертификацию данных средств.

Особенности получения сертификата

Действует сертификация всего три года, однако существуют ситуации, при которых срок ее действия увеличивается, однако он не может превышать пяти лет.

Фирмы или предприниматели имеют возможность продлить действие полученного три года назад сертификата, а при этом не нужно будет проходить повторную сертификацию, однако осуществить это можно только при соответствии определенным условиям. К ним относится то, что в компании количество изделий, которые подлежат сертификации, должно остаться прежним. Также не должны измениться требования, которые предъявляются к данным изделиям во время проведения процедуры сертификации. Одновременно с этим следует убедиться, что ТУ и конструкция этих изделий за три года никаким образом не изменились. Если все эти условия соблюдаются, то компания может продлить сертификат. Однако если даже одно условие не соответствует требованиям, то продукция организации должна вновь пройти через процедуру первичной сертификации.

Сертификация средств защиты информации – это значимая процедура, которая позволяет потребителям получать только качественные изделия, соответствующие всем необходимым стандартам и требованиям.

Автокредитование

Законодательство

Бизнес-идеи

• 

  Содержание Срочное изготовление печатей и штампов Кто будет выступать в качестве покупателей Где открывать бизнес Оборудование для ведения бизнеса Существует много разновидностей бизнеса, которые могут быть начаты людьми, обладающими предпринимательскими способностями. Причем каждый вариант обладает своими уникальными особенностями и параметрами. Срочное изготовление печатей и штампов Бизнес-идея изготовления печатей и штампов считается достаточно привлекательной в плане..

• 

  Содержание Бизнес-идея по изготовлению открыток Как открыть бизнес, основанный на создании открыток на заказ Сотрудники Помещение Как продавать созданные открытки Многие люди, обладающие определенными предпринимательскими способностями, задумываются об открытии собственного бизнеса, а при этом оценивают и рассматривают большое количество различных вариантов для открытия. Довольно интересной считается бизнес-идея изготовления открыток, поскольку открытки являются такие элементы, спрос..

• 
• 

  Содержание Выбор помещения для тренажерного зала Что нужно для того, чтобы открыть тренажерный зал? Тренажерный зал становится все более популярным в современном мире, поскольку все больше людей задумываются о том, чтобы вести здоровый образ жизни, предполагающий правильное питание и занятия спортом. Поэтому открыть тренажерный зал может любой бизнесмен, однако для получения хороших доходов необходимо продумать..

• 

  Содержание Место расположения магазина Ассортимент товаров Продавцы Бижутерия является обязательным предметом гардероба каждой женщины, которая следит за собой и старается выглядеть привлекательно и ярко. Поэтому открыть свой магазин бижутерии хочет практически каждый предприниматель, который осознает возможность получения хороших прибылей. Для этого необходимо изучить все имеющиеся перспективы, составить бизнес-план и спрогнозировать возможный доход, чтобы решит, будет..

03.07.2015 15:31:32

За более чем двадцать лет существования российских систем сертификации средств защиты информации специалисты коммерческих компаний и государственных организаций осознали, что в ряде случаев нужно приобретать сертифицированные экземпляры программного обеспечения, предназначенного для обработки конфиденциальной информации. Наиболее опытные из них даже уверенно отвечают на вопрос “в каких случаях?”: для использования в государственных информационных системах и для защиты персональных данных. К сожалению, дополнительные наводящие вопросы, вроде “на соответствие каким требованиям?” и “на какой уровень?”, по-прежнему ставят их в тупик. Попробуем с этими вопросами разобраться.

“- На вашу программу есть сертификат ФСТЭК?

Есть. Вас какой интересует?

А что, они бывают разные?”

(Из бесед с заказчиками)

1. Что на что сертифицируется

Прежде всего нужно понимать, что требования о сертификации по требованиям безопасности информации распространяются не на все используемое программное обеспечение, а только на то, с помощью которого эти самые требования выполняются. Требования об использовании именно сертифицированных экземпляров средств защиты устанавливаются непосредственно в нормативных документах, устанавливающих и прочие требования безопасности. К примеру, для государственных информационных систем необходимость использования сертифицированных средств защиты установлена приказом ФСТЭК России №17 от 11.02.2013.

На сегодняшний день фактически выделены следующие виды средств защиты:

• средства вычислительной техники со встроенными функциями безопасности;
• межсетевые экраны;
• средства контроля съемных носителей информации;
• средства доверенной загрузки;
• средства антивирусной защиты;
• средства обнаружения вторжений;
• прочие программные и аппаратные средства, реализующие функции безопасности.

Для первых шести видов средств защиты существуют определенные требования информационной безопасности, установленные методическими документами ФСТЭК России. В последнем случае требования к функциям безопасности устанавливает их разработчик или поставщик, оформляя их в виде технических условий или задания по безопасности (эти документы подробнее рассмотрим дальше). Кроме требований к функциям безопасности, к средству защиты могут предъявляться дополнительные требования, например, требования по контролю отсутствия недекларированных возможностей (если проще - уязвимостей и программных закладок, далее - НДВ) определенного уровня, обеспечиваемого производителем при создании этого средства защиты. Эти требования также определены в соответствующем методическом документе ФСТЭК.

Для каждого вида средств защиты, кроме последнего, определяются несколько классов или уровней предъявляемых требований. К примеру, для межсетевых экранов установлены пять классов требований, при этом первый класс содержит максимальный объем требований безопасности, а пятый - минимальный. Таким образом, типичный сертификат соответствия содержит, как правило, два утверждения, например: “на соответствие 5 классу межсетевых экранов и 4 уровню контроля отсутствия НДВ”.

2. Процедура сертификации

Процедура сертификации определена в Положении о сертификации средств защиты по требованиям безопасности информации, утвержденном приказом председателя Гостехкомиссии России от 27 октября 1995 г. В процедуре задействованы несколько участников.

Инициатором сертификации выступает заявитель - разработчик средства защиты или иная компания, подающая заявку на сертификацию программного или аппаратного средства. В отличие от систем сертификации прочих стран, в России заявителем может выступать только российская компания, имеющая лицензию на разработку средств защиты информации - причем даже в том случае, если к разработке сертифицируемого изделия она не имеет никакого отношения. Зарубежным производителям, а также российским компаниям, не имеющим лицензий, приходится обращаться к лицензиатам, которые впоследствии становятся дистрибьюторами сертифицированных экземпляров средства защиты. При этом компания разработчик все равно оказывается участником процедуры, так как для прохождения сертификации заявителю требуется комплект программной документации на средство защиты, которой обладает только разработчик.

Оценку соответствия средства защиты заявленным требованиям выполняет испытательная лаборатория - компания, аккредитованная ФСТЭК России в качестве испытательной лаборатории системы сертификации. Деятельность испытательной лаборатории контролирует орган по сертификации - вторая компания, также имеющая соответствующую аккредитацию. Во главе процесса стоит ФСТЭК России.

В общем случае процедура сертификации выглядит следующим образом. Разработчик, не имеющий лицензий на разработку средств защиты, заключает с одним из лицензиатов партнерский договор, в рамках которого обговариваются условия сертификации, а также поставки сертифицированных экземпляров конечному потребителю. Заявитель выбирает испытательную лабораторию (соответствующий реестр публикуется на веб-сайте ФСТЭК России), совместно с которой определяют, на соответствие каким требованиям будет проводиться сертификация и по какой схеме (о схемах - чуть позже). В результате заявитель направляет в ФСТЭК России заявку, содержащую название средства защиты, наименование методического или иного (технические условия, задание по безопасности) документа, на соответствие которому предлагается провести сертификацию, схему сертификации, а также ходатайство о назначении для проведения сертификации выбранной испытательной лаборатории.

Есть несколько причин, помимо формальных, на основании которых заявителю может быть отказано в сертификации. Вот несколько из них:

• некоторые из функций безопасности выходят за рамки компетенции ФСТЭК (например, если выполнение некоторых требований безопасности невозможно без криптографических функций, оценка которых в рамках системы сертификации ФСТЭК невозможна);
• средство защиты уже имеет действующий сертификат или уже проходит сертификацию по заявке другой компании;
• заявитель запрашивает проведение сертификации на соответствие требованиям технических условий или заданию по безопасности при наличии методических документов, определяющих требования к данному виду средств защиты, и т.п.

Учитывая многообразие средств защиты, результат рассмотрения заявки не всегда однозначен. В сложных случаях вопрос выносится на совещание, на которое приглашают заявителя и экспертные организации. В результате, когда стороны договариваются по всем нюансам, ФСТЭК принимает решение о проведении сертификации, утверждает (как правило, хотя возможны и исключения) испытательную лабораторию и назначает, по своему усмотрению, орган сертификации для проведения экспертизы результатов. После этого заявитель заключает договоры с испытательной лабораторией и органом по сертификации, и процесс стартует. Его длительность, в зависимости от того, на соответствие чему проводится оценка, варьируется от шести месяцев до года, хотя бывают и более долгосрочные случаи.

На практике применяются три схемы сертификации:

• сертификация единичного образца;
• сертификация партии изделий;
• сертификация серийного производства.

Сертификация единичного образца, как следует из названия, заключается в том, что проводятся сертификационные испытания определенного дистрибутива средства защиты или определенного устройства. Выданный сертификат в этом случае распространяется только на один дистрибутив или устройство. К настоящему времени подобная схема стала экзотикой, хотя десять лет назад она активно использовалась зарубежными вендорами в маркетинговых целях: “Смотрите, если вам очень понадобится, мы способны пройти сертификацию”.

Сертификация партии проводится, как правило, при закупке в органы государственной власти определенной партии средств защиты, не имеющих обширного рынка сбыта в Российской Федерации (например, в силу их крайне узкого применения или высокой стоимости). В этом случае испытательная лаборатория отбирает из партии некоторое количество образцов и проводит их испытания. В случае успешного завершения испытаний сертификат выдается на всю партию.

Самой распространенной схемой является сертификация серийного производства. Для программно-аппаратных средств защиты производство, как правило, заключается в установке сертифицированного программного обеспечения на определенную модель аппаратной платформы, в некоторых случаях оно включает и производство самой аппаратной платформы. Для программных средств защиты производство заключается в тиражировании дистрибутива на основе сертифицированного эталонного образца. В случае сертифицированного производства заявитель проходит аудит процесса производства и получает право наносить на изделия специальный защитный знак, подтверждающий “сертифицированность” изделия.

3. Особенности сертификации на соответствие отдельным нормативным требованиям

3.1. Руководящие документы Гостехкомиссии России

К настоящему моменту продолжают действовать два руководящих документа ФСТЭК России:

• руководящий документ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации»;
• руководящий документ «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации».

Первый документ распространяется на аппаратные платформы с предустановленной операционной системой, второй, как следует из названия, на классические межсетевые экраны. Каждый документ определяет несколько уровней требований, предъявляемых к средствам защиты. При этом за годы применения этих документов наработана большая практика, позволяющая однозначно интерпретировать требования применительно к специфике отдельных средств защиты, и проводить тестирование.

Периодически встречаются попытки сертифицировать отдельные средства защиты на соответствие требованиям руководящего документа «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации», а также на соответствие требованиям, предъявляемым нормативными документами ФСТЭК России к информационным системам персональных данных. Потребителям таких средств защиты следует четко понимать, что ни одно отдельно взятое средство не способно в полном объеме выполнить требования этих документов. Как правильно, сертификация в этом случае проводится на соответствие техническим условиям или заданию по безопасности (об этом - позже), в которые включаются отдельные требования нормативных документов. В этом случае в сертификате делается приписка “…и может использоваться в…” (например, в автоматизированных системах до класса 1Б включительно), однако понять, в каком именно объеме выполнены требования нормативных документов на основании только сертификата невозможно, что часто приводит к неприятным сюрпризам на стадии аттестации созданных информационных систем.

3.2. Сертификация на соответствие техническим условиям

Данный вид сертификации пока остается самым популярным. Теоретически сертификация на соответствие техническим условиям допускается только в тех случаях, когда заявляемое средство защиты относится к тому виду, для функций безопасности которого еще не разработаны методические документы. Разработка каждого такого документа - длительный процесс, занимающий два-три года, поэтому на для многих решений, таких как системы анализа защищенности, системы корреляции данных о событиях безопасности или межсетевые экраны нового поколения, нормативных требований пока нет, а сертифицировать их требуется.

Основная особенность технических условий: заявитель сам определяет требования к собственному решению и формулирует их в свободной форме. Стандартизована лишь структура документа, в который эти требования включаются. Это создает определенные трудности при использовании сертифицированных таким образом решений в информационных системах.

Гипотетический пример: нормативный документ может требовать проведения аутентификации пользователя на основе пароля временного действия. для решения этой задачи предлагается система Identity Management, в которой для аутентификации пользователя применяется брелок, генерирующий пользователю однократные пароли. требования к генерации и проверке паролей заявитель формулирует в технических условиях, однако формулировка требования не буквально, ни по сути не совпадает с формулировкой требования нормативного документа. Будет ли использование такого сертифицированного решения считаться выполнением нормативного требования? На этот вопрос нет однозначного ответа, и его решение оставлено на усмотрение аттестационной комиссии.

Процедура сертификации проста и похожа на предыдущий случай. При подаче заявки заявитель прикладывает к ней проект технических условий, и при рассмотрении заявки ФСТЭК внимательно изучает и формулировки требований, и их схожесть с существующими методическими документами. В случае положительного решения заявитель должен предоставить испытательной лаборатории образец для сертификации и проектную документацию. Так как функции безопасности, как правило, реализуются программным обеспечением, в общем случае предоставляются следующие документы:

• спецификация (ГОСТ 19.202-78);
• описание программы (ГОСТ 19.402-78);
• описание применения (ГОСТ 19.502-78);
• пояснительная записка (ГОСТ 19.404-79);
• руководства оператора/программиста/системного программиста (ГОСТ 19.505/504/503-79 соответственно);
• формуляр (ГОСТ 2.601-95).

В ходе сертификационных испытаний испытательная лаборатория оценивает, насколько полно реализация требований технических условий описана в документации, а также проводит тестирование этих функций.

Особенность сертификации на соответствие техническим условиям заключается в том, что заявитель, как правило, не предоставляет текст технических условий потребителю средства защиты. Как уже упоминалось выше, в силу произвольности формулировок технических условий невозможно определить, в каком объеме сертифицированное средство защиты выполняет требования нормативных документов. Поэтому для успешного прохождения аттестации оператору информационной системы следует требовать от заявителя включить в комплект поставки текст технических условий, а в случае отказа - обратиться в соответствующее подразделение ФСТЭК.

3.3. Сертификация на соответствие заданиям по безопасности и профилям защиты

В последние годы ФСТЭК России расширяет применение в системе сертификации требований ГОСТ 15408, являющийся локализацией международного стандарта ISO 15408 «Information technology -- Security techniques -- Evaluation criteria for IT security». Описание этого стандарта - тема отдельной большой статьи, поэтому остановимся только не основных моментах.

Основная задача данного стандарта - унифицировать язык описания требований безопасности и критерии оценки выполнения этих требований сертифицируемыми средствами защиты. Ключевым для потребителя документом является задание по безопасности - отдаленный аналог технических условий, написанный формализованным языком с соблюдением определенных условий. В документе содержатся не только требования к функциям безопасности, но и описание того, как эти функции реализованы в продукте. Кроме того, есть определенные правила описания требований к функциям безопасности, и в основном они формулируются на основе каталога требований, содержащегося в части 2 ГОСТ 15408.

Есть два существенных отличия сертификации на соответствие заданию по безопасности от сертификации на соответствие техническим условиям. Первое и основное - понятие уровня доверия. Помимо требований к функциям безопасности, ГОСТ 15408 определяет требования к составу и содержанию свидетельств, которые заявитель должен предоставить испытательной лаборатории для подтверждения того, что сертифицируемое решение соответствует требованиям. Низший, первый оценочный уровень доверия примерно соответствует сертификации на соответствие техническим условиям: заявитель предоставляет испытательной лаборатории руководства администратора/пользователя и поверхностное описание того, как реализованы функции безопасности, а испытательная лаборатория подтверждает выполнение требований независимым тестированием. Для второго уровня доверия необходимо предоставить подробную проектную документацию и описание жизненного цикла разработки, прежде всего - процесса тестирования, системы управление версиями программного обеспечения и контроля версий исходных кодов. Для третьего уровня необходимо пройти аудит процесса разработки и, в частности, мер защиты, направленных на предотвращение несанкционированного изменения исходных кодов программистами. Для четвертого уровня необходимо предоставить на анализ исходные коды программного обеспечения и так далее.

При этом, в отличие от ГОСТ 19, ГОСТ 15408 предъявляет строгие требования к содержанию документов, в том числе - к тому, как именно должны быть описаны “внутренности” средства защиты. Прежде всего это касается декомпозиции программного обеспечения на подсистемы и модули, выделение интерфейсов, описание интерфейсов и взаимодействия модулей программного обеспечения между собой при выполнении функций безопасности. Такое пристальное внимание к техническим деталям приводит к сравнительно высоким трудозатратам испытательной лаборатории и, как следствие, к сравнительно высокой длительности и стоимости сертификации.

Вторым отличием данного вида сертификации является возможность демонстрации соответствия требованиям методических документов. Для этого ФСТЭК издает в качестве методических документов профили защиты - формализованные шаблоны, содержащие обязательные для выполнения определенным видом средств защиты требований к функциям безопасности, а также специализированным требованиям к свидетельствам доверия. Функциональные требования при этом также формулируются в виде шаблона, например: “должна обеспечиваться аутентификация пользователя на основе [назначение: метод аутентификации] ”. При сертификации заявитель включает в задание по безопасности утверждение о соответствии своего продукта определенному профилю защиты и раскрывает в нем недооформленые требования профиля, например: “должна обеспечиваться аутентификация пользователя на основе [сопоставления папиллярных узоров с эталонными] ”.

При сертификации такого средства защиты испытательная лаборатория проверяет не только выполнение самим средством требования задания по безопасности, но и соответствие самого задание по безопасности тому профилю защиты, заявление о соответствии которому сделано в оцениваемом документе. Сертификат, выданный на основе такой оценки, свидетельствует о том, что средство защиты в полном объеме выполняет требования определенного методического документа.

3.4. Контроль отсутствия недекларированнных возможностей

Контроль отсутствия недекларированных возможностей является одной из наиболее непонятных и непрозрачных для заявителя видов сертификации - до первого самостоятельного опыта такой сертификации. Связано это с тем, что методический документ «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» практически не содержит требований, которые предъявляются к сертифицируемому образцу. К примеру, согласно данному документу, третий уровень контроля включает в себя динамический анализ исходных кодов, который, в свою очередь, включает в себя “контроль выполнения функциональных объектов (процедур, функций)”. В чем должен заключаться указанный контроль и каким требованиям должен соответствовать исходный код, заявителю предлагается додумать самостоятельно.

На практике все происходит довольно просто. В отличие от остальных видов сертификации, объектом исследования в данном случае является не программное обеспечение средства защиты, а его исходный код, который должен быть предоставлен испытательной лаборатории вместе с программной документацией (спецификацией, описанием программы, описанием применения и пояснительной запиской). Необходимость предоставления исходного кода создает определенные трудности при сертификации зарубежного программного обеспечения. Проблема, как правило, решается направлением специалистов испытательной лаборатории непосредственно в центры разработки сертифицируемых программ или предоставлением им удаленного доступа к стендам центров разработки.

В указанном выше методическом документе определены четыре уровня контроля, на соответствие которым проводится сертификация. Четвертый, низший уровень контроля, заключается в проверке двух фактов:

• что сертифицируемый программный продукт действительно может быть скомпилирован из предоставленных исходных кодов;
• что в предоставленных на сертификацию исходниках нет файлов, не участвующих в процессе компиляции сертифицируемого программного продукта.

Для этого на стенде испытательной лаборатории или разработчика воспроизводится контрольная сборка продукта из исходников, результатом которой должен получиться комплект инсталляционных файлов, идентичный сертифицируемому комплекту с точностью до контрольных сумм отдельных файлов. В действительности такое совпадение не происходит практически никогда, так как системы сборки программного обеспечения, как правило, включают в отдельные файлы метки времени или иные данные, изменяющиеся при каждой компиляции. Данная проблема, как правило решается следующим образом: испытательной лаборатории предоставляется только исходный код, а сертифицируемым образцом признается комплект программных файлов, скомпилированный на стенде специалистами испытательной лаборатории

На третьем уровне контроля производится статический анализ исходного кода. Для этого с помощью синтаксического анализатора строится дерево вызовов процедур и функций, в котором специалисты испытательной лаборатории пытаются обнаружить избыточные элементы (т.е. процедуры и функции, которым, следую логике выполнения программы, не передается управление). Наличие подобных элементов может рассматриваться испытательной лабораторией, как наличие программного кода, не участвующего в реализации функциональных возможностей средства защиты, и, следовательно, содержащий недекларированные (т.е. не ожидаемые пользователем) возможности.

На втором уровне контроля статический анализ дополняется динамическим. Специалисты испытательной лаборатории включают в исходный код основных процедур и функций отладочный код, фиксирующий в специальном файле все обращения к ним. Модифицированное таким образом программное обеспечение прогоняется через серию тестов, в ходе которых эксперты пытаются выявить пути исполнения программы, наличие которых невозможно предугадать статическим анализом кода. Наличие таких “спонтанных” переходов также рассматривается как наличие реализация недекларированных возможностей. Кроме того, эксперты пытаются выделить в дереве вызовов т.н. критические маршруты - пути исполнения программы, связанные с выполнением наиболее важных функций безопасности сертифицируемого средства защиты. Для критических маршрутов проводится более вдумчивый анализ кода, включая анализ условных выражений и циклов, цель которого - обнаружить заложенные разработчиком возможности обхода функций безопасности.

Наконец, первый уровень контроля отличается от второго дополнительным требованием к разработчику об использовании сертифицированных средств разработки и компиляции кода. подобный уровень применяется только для наименований программного обеспечения, разрабатываемого в рамках НИОКР по гособоронзаказу, и в обычной жизни сталкиваться с ним не приходится.

4. Особенности внедрения и эксплуатации сертифицированных средств защиты

Итак, разобравшись с особенностями различных видов сертификации, можно сформулировать примерный алгоритм, которого оператору информационной системы следует придерживаться при выборе сертифицированных средств защиты. Прежде всего, следует внимательно посмотреть нормативные документы, определяющие требования к сертификации используемых или планируемых средств защиты. К примеру, для определенной информационной системы нормативные документы могут не требовать контроля отсутствия НДВ или, напротив, устанавливать определенный минимальный уровень такого контроля.

Определившись с требованиями по сертификации, следует внимательно отнестись к выбору сертифицированных решений. Есть три типовые ошибки, которые совершаются при выборе:

• использование несертифицированных экземпляров сертифицированных средств защиты;
• использование средств защиты с непригодными сертификатами;
• использование средств защиты с невыполнением сертификационных ограничений.

Первая ошибка связана с тем, что сертифицированным считается программный продукт, установленный с определенного носителя. К примеру, очень часто недобросовестные поставщики заявляют, что предлагаемая ими версия программы сертифицирована, подтверждая это записью из реестра сертификатов ФСТЭК России. Нужно четко понимать, что сертифицируется не определенная версия программы, а определенные ее экземпляры. Поставщик должен подтвердить наличие сертификата, предоставив следующие свидетельства:

• в комплект поставки сертифицированного программного средства защиты должна входить документация, включающая в себя копию сертификата и формуляр средства защиты (на листе утверждения последнего должны быть отчетливо различимы подпись должностного лица и печать соответствующего управления ФСТЭК России);
• на носитель дистрибутива программного средства защиты и корпус аппаратного средства защиты должен быть нанесен специальный защитный знак системы сертификации;
• дистрибутив программного средства защиты и аппаратное средство защиты должны соответствовать требованиям, указанным в разделе контроля основных характеристик формуляра (например, для программных средств фиксируются контрольные суммы файлов).

Только при выполнении трех перечисленных выше условий экземпляр средства защиты является сертифицированным.

Большие проблемы вызывает непригодность сертификата. К примеру, для выполнения определенных требований нормативных документов может предлагаться специализированное решение, например, антивирус с дополнительной функцией обнаружения вторжений, поставщик может утверждать, что предлагает сертифицированное решение, подтверждая это утверждение сертификатом контроля отсутствия НДВ. Следует понимать, что этого недостаточно: выполнение функций безопасности должно подтверждаться сертификатом соответствия требованиям руководящего документа, задания по безопасности или технических условий.

С соответствием заданию по безопасности или техническим условиям тоже не все просто. В момент сертификации на определенный вид средств защиты могут отсутствовать утвержденные ФСТЭК профили защиты, и заявитель сертифицирует свое решение на соответствие произвольным техническим условиям и заданию по безопасности. За время срока действия сертификата могут быть приняты новые методические документы, вводящие стандартизованные требования к соответствующему виду средств защиты. При этом возможны два варианта, негативных для потребителя. Во-первых, принятие новых методических документов не отменяет действие ранее выданных сертификатов, но применяться для подтверждения соответствия новым методическим документам такие сертификаты не могут. Тем не менее, недобросовестные поставщики могут по-прежнему продавать такие решения, пользуясь незнанием потребителем этого нюанса.

Кроме того, при сертификации некоторых средств защиты на них (например, на их настройку) накладываются некоторые ограничения. К примеру, в комплект поставки сертифицированных версий операционных систем Microsoft Windows входит инструкция по дополнительной настройке операционной системы, необходимой для выполнения сертификационных требований. Подобные ограничения могут сделать некоторое средство защиты непригодным для использования в информационной системе, а невыполнение этих ограничений будет являться нарушением требований информационной безопасности.

Возвращаясь к контролю основных характеристик, еще раз напомним, что сертификат распространяется только на определенную сборку программного обеспечения с определенным и контрольными суммами файлов. При этом современные программные средства, как правило, требуют регулярного обновления. Как быть в этом случае?

Есть три варианта. Во-первых, в рамках сертифицированного производства для ряда средств защиты (например, для сертифицированных операционных систем Microsoft Windows) запущен процесс сертификации обновлений. Такие обновления устанавливать не только можно, но и требуется.

Во-вторых, в профили защиты на ряд решений (на антивирусные средства, на системы обнаружения вторжений, средства анализа защищенности) в раздел обеспечения доверия закладываются требования об организации периодического обновления (например, обновлений базы сигнатур или решающих правил). Использование такого обновления не приводит к изменению основных файлов программного средства и не нарушает требований аутентичности сертифицированного экземпляра.

Наконец, для прочих средств защиты в рамках системы сертификации создана процедура оценки изменений, вносимых при выпуске новых версий или устранении выявленных ошибок. Для средств защиты, прошедших такую оценку выпускается соответствующее уведомление, распространяющее действие выданного ранее сертификата на обновленную версию.

В остальных случаях, если разработчик не озаботился решением проблемы обновления своего продукта, оператору информационной системы не остается ничего другого, кроме как продолжить использование устаревшей версии со всеми выявленными в ней ошибками и планировать переход на другие сертифицированные решения.

Под сертификацией продукции по требованиям защиты информации и информационной безопасности будем понимать комплекс организационно-технических мероприятий, в результате которых посредством специального документа-сертификата и знака соответствия с определенной степенью достоверности подтверждается, что продукция соответствует требованиям:

государственных стандартов или иных нормативных правовых актов, утвержденных Правительством РФ - для продукции, используемой при обработке информации, содержащей сведения, составляющие государственную тайну;

государственных или отраслевых стандартов, иных нормативных актов, утвержденных Правительством РФ или ФСБ РФ для продукции, используемой при обработке конфиденциальной информации, не содержащей сведений, составляющих ГТ.

При этом подлежат обязательной сертификации в рамках системы сертификации следующие средства защиты информации:

технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих ГТ;

средства, в которых реализованы перечисленные средства;

средства контроля эффективности защиты информации.

Правовой основой сертификации средств защиты информации по требованиям безопасности информации являются следующие нормативные правовые акты: 1)

Положение о сертификации средств защиты информации по требованиям безопасности информации, введенное в действие приказом Председателя Гостехкомиссии России № 199 от 2.7 октября 1995 г.; 2)

Закон Российской Федерации «О сертификации продукции и услуг» №5151-1 от 10 июня 1993 г. ; 3)

Закон Российской Федерации «О государственной тайне»; 4)

Постановление Правительства РФ № 608 «О сертификации средств защиты информации» от 26 июня 1995 г.; 5)

Положение о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам; 6)

Положение о системе сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну (система сертификации СЗИ-ГТ); 7)

Положение о «Системе сертификации ГОСТ Р»; 8)

Правила по проведению сертификации в Российской Федерации и др.

Структура системы сертификации средств защиты информации по требованиям ее безопасности включает аттестацию объектов информатизации по требованиям безопасности информации и государственную регистрацию в установленном Госстандартом порядке, который и организует деятельность системы сертификации в пределах ее компетенции, определенной законодательными и иными нормативными актами РФ.

Аттестации по требованиям безопасности информации подлежат следующие объекты информатизации: автоматизированные системы (АС) различного уровня и назначения; системы связи; системы отображения и размножения документов, предназначенные для обработки и передачи информации, подлежащей защите вместе с помещениями, в которых они установлены; помещения, предназначенные для ведения конфиденциаль- н ы х пер е го в op ов.

Цели создания системы сертификации: обеспечение реализации требований государственной системы защиты информации; создание условий для качественного и эффективного обеспечения потребителей сертифицированными средствами защиты информации; обеспечение национальной безопасности в сфере информатизации; содействие формированию рынка защищенных информационных технологий и средств их обеспечения; формирование и осуществление единой научно-технической и промышленной политики в сфере информатизации с учетом современных требований по защите информации; поддержка проектов и программ информатизации.

Перечень средств защиты информации, подлежащих обязательной сертификации, разрабатывается ФСТЭК России, согласовывается с Межведомственной комиссией по защите ГТ и включает:

средства, в том числе иностранного производства, предназначенные для защиты информации, составляющей ГТ, и другой информации с ограниченным доступом;

средства, используемые в управлении экологически опасными объектами.

В остальных случаях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе разработчика, изготовителя или потребителя средства защиты информации.

Система сертификации СЗИ-ГТ. Федеральная служба безопасности РФ создала систему обязательной сертификации средств защиты информации по требованиям безопасности для сведений, составляющих ГТ (система сертификации СЗИ-ГТ). Основными целями создания такой системы являются: обеспечение национальной безопасности в сфере информатизации; формирование и осуществление единой научно-технической и промышленной политики в сфере информатизации с учетом требований системы защиты ГТ; регулирование и контроль разработки, а также последующего производства СЗИ-ГТ. Сертификация СЗИ-ГТ осуществляется аккредитованными органами по сертификации, а испытания проводятся в аккредитованных испытательных центрах (лабораториях).

Основными схемами сертификации СЗИ-ГТ (в соответствии с Порядком проведения сертификации продукции в Российской Федерации, утвержденным постановлением Госстандарта России № 15 от 21 сентября 1994 г.) являются:

для серийного производства СЗИ-ГТ - проведение испытаний типа продукции на соответствие нормативным документам и требованиям, предъявляемым для защиты сведений, составляющих ГТ, и последующий инспекционный контроль стабильности характеристик сертифицированной продукции, обеспечивающих (определяющих) выполнение этих требований. Кроме того, по решению органа по сертификации может проводиться предварительная проверка производства;

для единичных образцов СЗИ-ГТ - проведение испытаний образца на соответствие нормативным документам и требованиям, предъявляемым для защиты сведений, составляющих государственную тайну.

Сертификация СЗИ-ГТ" осуществляется аккредитованными органами по сертификации, а испытания проводятся аккредитованными испытательными центрами (лабораториями) па их материально-технической базе. В отдельных случаях по согласованию с органом по сертификации и при согласии разработчика (изготовителя, продавца) допускается проведение испытаний на испытательной базе разработчика данного СЗИ-ГТ в присутствии представителя органа по сертификации.

Организационную структуру системы сертификации образуют:

ФСБ России (федеральный орган исполнительной власти, уполномоченный проводить работу по обязательной сертификации средств защиты информации);

центральный орган системы сертификации (создастся при необходимости);

органы по сертификации СЗИ-ГТ;

испытательные центры (лаборатории);

учебно-методический центр;

заявители (разработчики, изготовители, продавцы, потребители

Порядок проведения сертификации включает следующие действия: подача и рассмотрение заявки на сертификацию СЗИ-ГТ; испытания сертифицируемых СЗИ-ГТ и анализ состояния их производства; экспертиза результатов испытаний, оформление, регистрация и выдача сертификата соответствия и лицензии на право применения знака соответствия; осу- ществление инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными СЗИ-ГТ, информирование о результатах сертификации СЗИ-ГТ; рассмотрение апелляций.

Сертификация средств защиты информации, не относящейся

к ГТ, осуществляется ФСТЭК России и аккредитованными органами по сертификации. Испытания проводятся аккредитованными испытательными центрами (лабораториями) на их материально-технической базе. В отдельных случаях по согласованию с ФСТЭК России или органом по сертификации допускается проведение испытаний на испытательной базе разработчика (изготовителя, поставщика, потребителя) данного средства защиты информации. Правила аккредитации определяются действующим в системе «Положением об аккредитации испытательных центров (лабораторий) и органов по сертификации средств защиты информации».

Порядок оплаты работ по сертификации конкретных средств защиты информации производится заявителем на основании договоров между участниками сертификации. Сумма средств, израсходованных заявителем на проведение сертификации средства защиты информации, относится на ее себестоимость.

Органы по сертификации и испытательные центры (лаборатории) несут ответственность: за выполнение возложенных на них функций; обеспечение сохранности ГТ, других конфиденциальных сведений, материальных ценностей, предоставленных заявителем; соблюдение авторских прав заявителя при испытаниях его средств защиты информации.

Организационную структуру системы сертификации средств защиты информации по требованиям безопасности составляют:

ФСТЭК России (федеральный орган по сертификации средств защиты информации);

центральный орган системы сертификации средств защиты информации (ЦО);

органы по сертификации средств защиты информации (ОС);

испытательные центры (лаборатории) (ИЦ);

заявители (разработчики) средств защиты информации;

изготовители;

поставщики;

потребители.

Для организации и ведения соответствующего вида деятельности заявители (разработчики, изготовители, поставщики) должны иметь лицензию ФСТЭК России.

Органы по сертификации и испытательные центры (лаборатории) аккредитуются ФСТЭК России. Они должны быть юридическими лицами, располагать подготовленными специалистами, необходимыми средствами измерений, испытательным оборудованием и методиками испытаний, нормативными документами для проведения всего комплекса работ по испытаниям конкретных средств защиты информации в своей области аккредитации.

Аккредитация производится только при наличии лицензии ФСТЭК России на соответствующие виды деятельности. Аккредитация предприятий, подведомственных федеральным органам исполнительной власти, в качестве органов по сертификации и испытательных центров (лабораторий) осуществляется по представлению этих органов власти.

Порядок проведения сертификации и контроля. Его можно представить следующим алгоритмом (рис. 10.2): 1)

подача и рассмотрение заявки на сертификацию средств защиты информации; 2)

испытание сертифицируемых средств защиты информации и аттестация их производства; 3)

экспертиза результатов испытаний; 4)

оформление, регистрация и выдача сертификата и лицензии на право использования знака соответствия; 5)

осуществление государственного контроля и надзора, инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными средствами защиты информации; 6)

информирование о результатах сертификации средств защиты информации; 7)

рассмотрение апелляций.

Рассмотрим подробнее составляющие алгоритма сертификации средств защиты информации.

1. Подача и рассмотрение заявки на сертификацию средств защиты информации. Заявитель для получения сертификата направляет в ФСТЭК России заявку на проведение испытаний с указанием схемы проведения сертификации, стандартов и иных нормативных документов, на соответствие требо в а ниям кото р ы х до л ж и а п р о в о д ит ь с я се рт и ф и к ац и я.

ФСТЭК в месячный срок после получения заявки направляет заявителю решение на проведение сертификации в назначенных для проведения сертификат!и органе по сертификации и испытательном центре (лаборатории). По желанию заявителя орган по сертификации и испытательный центр (лаборатория) могут быть изменены. После получения решения заявитель обязан представить в орган по сертификации и испытательный центр (лабораторию) средства защиты информации, технические условия на это средство, а также комплект технической и эксплуатационной документации согласно нормативным документам по единой системе документации - конструкторской (ЕСКД) и проектной (ЕСПД) - на сертифицируемое средство защиты информации. ?МШ Подача и рассмотрение заявки

Испытание средств и аттестация их производства

Экспертиза результатов испытаний

\ Оформление, регистрация и выдача сертификата

Информирование о результатах сертификации

Рассмотрение апелляций

Рис, 10.2. Алгоритм сертификации средств защиты информации

2. Испытания сертифицируемых средств защиты информации в испытательных центрах (лабораториях). Испытания проводятся на образцах и конструкциях по программам и методикам испытаний, согласованным с заявителем и утвержденным органом по сертификации. Состав и технология изготовления испытуемых образцов должны быть такими же, как и у образцов, поставляемых потребителю, заказчику.

Техническая и эксплуатационная документация на серийные средства защиты информации должна иметь литеру не ниже «01» (по ЕСКД).

Количество образцов, порядок их отбора и идентификации должны соответствовать требованиям нормативных и методических документов на данный вид средства защиты информации. В случае если на момент сертификации испытательный центр (лаборатория) отсутствует, орган по сертификации определяет возможность, место и условия проведения испытаний, обеспечивающих объективность их результатов. Сроки проведения испытаний устанавливаются договором между заявителем и испытательным центром (лабораторией). По просьбе заявителя его представителям должна быть предоставлена возможность ознакомиться с условиями хранения и испытаний образцов средств защиты информации в испытательном центре (лаборатории).

Результаты испытаний оформляются протоколами и заключением, оригиналы которых испытательный центр (лаборатория) направляет органу по сертификации, а копии - заявителю.

При внесении изменений в конструкцию (состав) средств защиты информации или технологию их производства, которые могут повлиять на характеристики этих средств защиты информации, заявитель извещает об этом орган по сертификации, который принимает решение о необходимости проведения новых испытаний этих средств.

Сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных. 3.

Экспертиза результатов испытаний. Экспертизу результатов испытаний, оформление экспертного заключения и проекта сертификата, при соответствии результатов испытаний требованиям нормативных документов по защите информации, проводит орган по сертификации. Далее он направляет эти документы и технические условия на средство защиты информации в ФСТЭК России. 4.

Оформление, регистрация и выдача сертификата и лицензии на право использования знака соответствия. После утверждения экспертного заключения, согласования технических условий на средство защиты информации и присвоения сертификату регистрационного номера ФСТЭК России оформляет сертификат. Затем все документы выдаются заявителю.

Срок действия сертификата устанавливается не более чем на пять лет.

В случае несоответствия результатов испытаний требованиям стандартов или иных нормативных документов по защите информации ФСТЭК России принимает решение об отказе в выдаче сертификата и направляет заявителю мотивированное заключение. При несогласии с отказом заявитель имеет право обратиться в апелляционный совет ФСТЭК России для дополнительного рассмотрения материалов сертификации.

Получение сертификата дает изготовителю право получить у ФСТЭК России сертификационную лицензию на маркировку этих средств знаком соответствия. Форма знака соответствия устанавливается ФСТЭК России. Владелец лицензии на применение знака соответствия несет ответственность за поставку маркированных средств защиты информации, не отвечающих требованиям нормативной и методической документации, указанной в сертификате.

Для признания зарубежного сертификата заявитель направляет его копию и заявку на признание сертификата в ФСТЭК России, которая не поз- днее двух месяцев после их получения уведомляет заявителя о признании или необходимости проведения сертификационных испытаний. В случае признания заявителю выдается сертификат установленного образца. 5.

Государственный контроль и надзор, инспекционный контроль соблюдения правил обязательной сертификации и сертифицированных средств защиты информагрш. Рассматриваемые виды контроля осуществляет ФСТЭК России, а их объем, содержание, порядок, периодичность и правила организации и проведения контроля за конкретными видами сертифицированных средств защиты устанавливаются нормативной и методической документацией, действующей в системе сертификации средств защиты информации.

Инспекционный контроль сертифицированных средств защиты информации осуществляет орган по сертификации, проводивший сертификацию этих средств защиты информации. По результатам контроля ФСТЭК России может приостановить или отменить действие сертификата и аттестата аккредитации, а орган по сертификации - ходатайствовать об этом.

Решение об отмене действия сертификата принимается только в том случае, если в результате принятых незамедлительных мер не может быть восстановлено соответствие средств защиты информации установленным требованиям в силу следующих причин:

изменение нормативных и методических документов на средст ва защиты информации или методов испытаний и контроля;

изменение конструкции (состава) и комплектности средств защиты информации, системы контроля их качества;

невыполнение требований технологии изготовления, контроля, испытаний средств защиты информации;

отказ заявителя в допуске (приеме) лиц, уполномоченных осуществлять государственный контроль и надзор, инспекционный контроль за сертификацией и за сертифицированными средствами защиты информации.

Информация о приостановлении (отмене) действия сертификата или аттестата аккредитации немедленно доводится до сведения изготовителей, потребителей средств защиты информации, органов по сертификации и испытательных центров (лабораторий). 6.

Информирование о сертификации средств защиты информации. Этот процесс является одной из важных функций ФСТЭК России. Она обеспечивает участников сертификации необходимой информацией о деятельности системы сертификации, в числе которой:

перечень средств защиты информации (их сертифицированных параметров), на которые выданы сертификаты; в перечень средств защиты информации (их сертифицированных параметров), на которые действие сертификатов отменено;

перечень органов по сертификации конкретных видов средств защиты информации;

перечень испытательных центров (лабораторий);

перечень нормативных документов, на соответствие требованиям которых проводится сертификация средств защиты информации, и методических документов по проведению сертификационных испытаний.

7. Рассмотрение апелляций. Апелляция подается в орган по сертификации, центральный орган системы сертификации или в апелляционный совет ФСТЭК России по вопросам, связанным с деятельностью испытательных центров (лабораторий), органов по сертификации и рассматривается в месячный срок с привлечением заинтересованных сторон. О принятом решении извещается податель апелляции.

1.6. Сертификация СЗИ-ГТ осуществляется аккредитованными органами по сертификации, а испытания проводятся аккредитованными испытательными центрами (лабораториями) на их материально-технической базе. В отдельных случаях по согласованию с органом по сертификации и при согласии разработчика (изготовителя, продавца) допускается проведение испытаний на испытательной базе разработчика данного СЗИ-ГТ в присутствии представителя органа по сертификации.

1.7. Признание сертификатов соответствия на средства защиты информации, выданных другими системами сертификации, осуществляется в порядке, определяемом ФСБ России и Межведомственной комиссией по защите государственной тайны.

1.8. Оплата работ по сертификации СЗИ-ГТ производится заявителем в порядке, установленном ФСБ России по согласованию с Министерством финансов Российской Федерации. Сумма средств, израсходованных заявителем на проведение сертификации средств защиты информации, относится на их себестоимость.

1.9. Органы по сертификации и испытательные центры (лаборатории) несут ответственность за выполнение возложенных на них функций, за обеспечение сохранности государственной тайны, другой информации, охраняемой законодательством Российской Федерации, за сохранность материальных ценностей, предоставленных заявителем, а также за соблюдение авторских прав заявителя при испытаниях СЗИ-ГТ.

II. Организационная структура системы сертификации СЗИ-ГТ

2.1. Организационную структуру системы сертификации образуют (приложение 3):

ФСБ России (федеральный орган исполнительной власти, уполномоченный проводить работу по обязательной сертификации средств защиты информации);

центральный орган системы сертификации (создается при необходимости);

органы по сертификации СЗИ-ГТ;

испытательные центры (лаборатории);

учебно-методический центр;

заявители (разработчики, изготовители, продавцы, потребители СЗИ-ГТ).

2.2. ФСБ России в пределах своей компетенции осуществляет следующие функции:

создает систему сертификации и устанавливает правила проведения сертификации СЗИ-ГТ;

представляет на государственную регистрацию в Госстандарт России систему сертификации СЗИ-ГТ и ее знаки соответствия;

организует функционирование системы сертификации;

определяет номенклатуру СЗИ-ГТ, подлежащих обязательной сертификации в данной системе;

устанавливает правила аккредитации и выдачи лицензий на проведение работ по сертификации;

осуществляет процедуру признания нормативных и методических документов сторонних организаций;

организует и финансирует разработку нормативных и методических документов системы сертификации;

утверждает нормативные документы, на соответствие которым проводится сертификация СЗИ-ГТ в системе сертификации, и методические документы по проведению сертификационных испытаний;

устанавливает правила применения знаков соответствия обязательной и добровольной сертификации;

аккредитует органы по сертификации и испытательные центры (лаборатории), выдает им лицензии на право проведения определенных видов работ по сертификации и аттестаты аккредитации;

организует подготовку, переподготовку и повышение квалификации экспертов по вопросам сертификации СЗИ-ГТ, а также аттестацию экспертов;

координирует деятельность органов по сертификации и испытательных центров (лабораторий) системы сертификации СЗИ-ГТ;

устанавливает правила признания зарубежных сертификатов, знаков соответствия и результатов испытаний;

ведет государственный реестр сертифицированных средств защиты информации, аккредитованных в системе сертификации СЗИ-ГТ органов по сертификации и испытательных центров (лабораторий), других участников сертификации, а также выданных и аннулированных сертификатов соответствия и лицензий на применение знака соответствия;

регистрирует сертификаты соответствия и лицензии на применение знака соответствия до их выдачи заявителю;

ведет учет нормативных документов, содержащих правила, требования и методические рекомендации по сертификации;

устанавливает порядок инспекционного контроля за соблюдением правил сертификации и за сертифицированными СЗИ-ГТ;

рассматривает апелляции по вопросам сертификации;

обеспечивает участников сертификации информацией о деятельности системы сертификации и готовит необходимые материалы для опубликования;

организует публикацию информации о системе сертификации;

ежеквартально представляет информацию о работе системы сертификации в Межведомственную комиссию по защите государственной тайны;

осуществляет взаимодействие с федеральными органами по сертификации других систем сертификации.

2.3. Органы по сертификации СЗИ-ГТ в пределах установленной области аккредитации:

проводят идентификацию средств защиты информации;

определяют схему сертификации конкретных СЗИ-ГТ с учетом предложений заявителя;

проводят при необходимости предварительную проверку производства при серийном выпуске сертифицируемых СЗИ-ГТ;

разрабатывают предложения по номенклатуре СЗИ-ГТ, сертифицируемых в системе сертификации, и представляют их в ФСБ России;

участвуют в работах по совершенствованию нормативных документов, на соответствие которым проводится сертификация СЗИ-ГТ в системе сертификации, и методических документов по проведению сертификационных испытаний;

проводят анализ материалов сертификационных испытаний СЗИ-ГТ;

оформляют экспертное заключение по сертификации СЗИ-ГТ, сертификаты соответствия и лицензии на применение знака соответствия и представляют их в ФСБ России для регистрации в государственном реестре;

выдают сертификаты соответствия и лицензии на применение знака соответствия;

предоставляют заявителю перечень испытательных центров (лабораторий), в которых могут проводиться испытания конкретного СЗИ-ГТ;

проводят инспекционный контроль сертифицированных СЗИ-ГТ;

участвуют в случае необходимости в отборе образцов СЗИ-ГТ для проведения сертификационных испытаний;

хранят документацию, подтверждающую сертификацию СЗИ-ГТ;

приостанавливают либо отменяют действие выданных сертификатов соответствия и лицензий на применение знака соответствия;

представляют заявителю необходимую информацию по сертификации;

2.4. Испытательные центры (лаборатории) в пределах установленной области аккредитации:

разрабатывают, утверждают программы и методики проведения сертификационных испытаний (при необходимости);

осуществляют отбор образцов СЗИ-ГТ для проведения сертификационных испытаний;

осуществляют сертификационные и инспекционные испытания СЗИ-ГТ, оформляют технические заключения и протоколы сертификационных испытаний;

обеспечивают полноту испытаний СЗИ-ГТ, достоверность, объективность и требуемую точность измерений, своевременную поверку средств измерений и аттестацию испытательного оборудования;

обеспечивают сохранность образцов СЗИ-ГТ;

обеспечивают конфиденциальность информации.

2.5. Учебно-методический центр:

осуществляет подготовку, переподготовку и повышение квалификации кадров;

осуществляет подготовку и аттестацию экспертов;

участвует в разработке и совершенствовании нормативных и методических документов системы сертификации СЗИ-ГТ.

2.6. Заявители (разработчики, изготовители, продавцы):

применяют сертификат и знак соответствия СЗИ-ГТ, руководствуясь правилами системы сертификации;

обеспечивают соответствие СЗИ-ГТ требованиям нормативных документов по безопасности информации, на соответствие которым она была сертифицирована, и маркирование ее знаком соответствия в установленном порядке;

указывают в сопроводительной технической документации сведения о сертификате на СЗИ-ГТ и нормативных документах, которым оно должно соответствовать, обеспечивают доведение этой информации до потребителя;

приостанавливают или прекращают реализацию СЗИ-ГТ по истечении срока действия сертификата соответствия, приостановке его действия или отмене, а также если СЗИ-ГТ не отвечает требованиям нормативных документов, на соответствие которым сертифицировано;

принимают меры для обеспечения стабильности характеристик СЗИ-ГТ, определяющих безопасность информации;

при обнаружении несоответствия сертифицированных СЗИ-ГТ требованиям нормативных документов осуществляют мероприятия по доработке этих СЗИ-ГТ и проведению сертификационных испытаний;

обеспечивают беспрепятственное выполнение своих полномочий должностными лицами органов, осуществляющих обязательную сертификацию СЗИ-ГТ и контроль за сертифицированными СЗИ-ГТ;

извещают орган по сертификации, проводивший сертификацию, обо всех изменениях в технологии, конструкции (составе) сертифицированного СЗИ-ГТ и технической документации на него для принятия решения о необходимости проведения повторной сертификации данного СЗИ-ГТ.

Заявители (разработчики, изготовители) должны иметь лицензию на соответствующий вид деятельности.

2.7. Органы по сертификации и испытательные центры (лаборатории) аккредитуются ФСБ России. Правила аккредитации определяются соответствующим положением.

Органы по сертификации и испытательные центры (лаборатории) должны быть юридическими лицами, располагать подготовленными специалистами, необходимыми средствами измерений, испытательным оборудованием и методиками испытаний, нормативными документами для проведения всего комплекса работ по испытаниям СЗИ-ГТ в своей области аккредитации. Аккредитация в качестве органов по сертификации и испытательных центров (лабораторий) организаций, подведомственных федеральным органам исполнительной власти, осуществляется по согласованию с этими органами власти.

2.8. Органы по сертификации и испытательные центры (лаборатории), действующие в других системах сертификации, могут быть аккредитованы в настоящей системе сертификации в установленном порядке.

III. Порядок проведения сертификации и инспекционного контроля

3.1. Порядок проведения сертификации включает следующие действия (приложение 4):

Подачу и рассмотрение заявки на сертификацию СЗИ-ГТ;

Испытания сертифицируемых СЗИ-ГТ и анализ состояния их производства;

Экспертизу результатов испытаний, оформление, регистрацию и выдачу сертификата соответствия и лицензии на право применения знака соответствия;

Осуществление инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными СЗИ-ГТ, информирование о результатах сертификации СЗИ-ГТ;

Рассмотрение апелляций.

3.2. Подача и рассмотрение заявки на сертификацию СЗИ-ГТ.

3.2.1. Заявитель для получения сертификата соответствия направляет в орган по сертификации системы сертификации СЗИ-ГТ заявку (форма-приложение 5) на проведение сертификации продукции с указанием схемы проведения сертификации, государственных стандартов и иных нормативно-методических документов, на соответствие требованиям которых должна проводиться сертификация. Орган по сертификации в десятидневный срок направляет копию заявки на проведение сертификации продукции в ФСБ России.

3.2.2. Орган по сертификации СЗИ-ГТ в месячный срок после получения заявки направляет заявителю решение на проведение сертификации (форма - приложение 6). В решении указывается перечень испытательных центров (лабораторий), область аккредитации которых позволяет проводить сертификационные испытания данного СЗИ-ГТ. После получения решения заявителю необходимо представить в испытательный центр (лабораторию) или (в отдельных случаях) в орган по сертификации средство защиты информации согласно техническому заданию, техническому описанию, техническим условиям или программе и методикам испытаний на это средство, а также комплект технической и эксплуатационной документации согласно нормативным документам по Единой системе конструкторской документации (ЕСКД) и Единой системе программной документации (ЕСПД) на сертифицируемое средство защиты информации. Орган по сертификации в десятидневный срок направляет копию решения на проведение сертификации продукции в ФСБ России.

3.3. Испытания сертифицируемых СЗИ-ГТ в испытательных центрах (лабораториях).

3.3.1. Испытания сертифицируемых средств защиты информации проводятся на образцах, конструкция (состав) и технология изготовления которых должны быть такими же, как и у образцов, поставляемых потребителю (заказчику), по программам и методикам испытаний, согласованным с заявителем и утвержденным органом по сертификации. Техническая и эксплуатационная документация на серийные СЗИ-ГТ должна иметь литеру не ниже "01" по ЕСКД. Количество образцов, порядок их отбора и идентификации должны соответствовать требованиям нормативных и методических документов на данный вид СЗИ-ГТ. В случае отсутствия на момент сертификации испытательных центров (лабораторий) орган по сертификации определяет возможность, место и условия проведения испытаний, обеспечивающих объективность их результатов.

3.3.2. Сроки проведения испытаний могут быть установлены в договоре между заявителем и испытательным центром (лабораторией).

3.3.3. По просьбе заявителя его представителям должна быть предоставлена возможность ознакомиться с условиями хранения и испытаний образцов СЗИ-ГТ в испытательном центре (лаборатории).

3.3.4. Результаты испытаний оформляются протоколами и техническим заключением, которые направляются испытательным центром (лабораторией) органу по сертификации и заявителю.

3.3.5. При внесении изменений в конструкцию (состав) СЗИ-ГТ или технологию их производства, которые могут повлиять на характеристики СЗИ-ГТ, держатель сертификата извещает об этом орган по сертификации. Последний принимает решение о необходимости проведения новых испытаний этих СЗИ-ГТ.

3.3.6. Сертификация импортируемых средств защиты информации проводится по тем же правилам.

3.4. Экспертиза результатов испытаний, оформление, регистрация и выдача сертификата соответствия и лицензии на право применения знака соответствия.

3.4.1. Орган по сертификации проводит экспертизу результатов испытаний и готовит экспертное заключение, которое утверждает его руководитель. При соответствии результатов испытаний требованиям нормативных документов орган по сертификации оформляет сертификат соответствия (формы - приложения 7 и ) и лицензию на применение знака соответствия (форма - приложение 9), которые вместе с копией экспертного заключения направляет в ФСБ России для регистрации в государственном реестре. Срок действия сертификата соответствия устанавливается не более чем на пять лет.

ФСБ России регистрирует в государственном реестре системы сертификации СЗИ-ГТ сертификат соответствия и лицензию на применение знака соответствия. Орган по сертификации выдает заявителю сертификат соответствия и лицензию на применение знака соответствия.

При несоответствии результатов испытаний требованиям государственных стандартов или иных нормативных документов по защите информации орган по сертификации принимает решение об отказе в выдаче сертификата соответствия и направляет заявителю мотивированное заключение. В случае несогласия с отказом в выдаче сертификата соответствия заявитель имеет право обратиться в центральный орган системы сертификации, ФСБ России или Межведомственную комиссию по защите государственной тайны для дополнительного рассмотрения полученных при испытаниях результатов.

3.4.2. Получение изготовителем СЗИ-ГТ сертификата соответствия при обязательной сертификации дает ему право применения знака соответствия системы сертификации СЗИ-ГТ (формы знаков соответствия приведены в приложении 10). При добровольной сертификации разрешение на применение знака соответствия выдается заявителю органом по сертификации на условиях договора между ними. Правила применения знаков соответствия устанавливаются ФСБ России; конкретные условия применения знака соответствия могут быть уточнены в лицензии (разрешении) на применение знака соответствия. Обладатель лицензии (разрешения) на применение знака соответствия обеспечивает выполнение требований нормативной и методической документации, указанной в сертификате соответствия, в отношении маркированных СЗИ-ГТ.

3.4.3. Для признания зарубежного сертификата соответствия заявитель направляет в ФСБ России заявку на признание сертификата, копии сертификата соответствия и протоколов испытаний (на языке оригинала и русском языке). ФСБ России определяет необходимый объем работ по сертификации и орган по сертификации СЗИ-ГТ для их проведения. Орган по сертификации извещает заявителя в срок не позднее одного месяца после получения указанных документов о признании сертификата соответствия или необходимости проведения сертификационных испытаний. В случае признания зарубежного сертификата соответствия орган по сертификации оформляет и выдает заявителю сертификат соответствия и лицензию на применение знака соответствия системы сертификации СЗИ-ГТ (в соответствии с пунктом 3.4.1).

3.4.4. Сертификаты соответствия на сертифицированную продукцию и лицензии на применение знака соответствия подписывает руководитель органа по сертификации или его заместитель.

3.5. Инспекционный контроль за сертифицированными СЗИ-ГТ.

3.5.1. Инспекционный контроль за сертифицированными СЗИ-ГТ осуществляет орган по сертификации, проводивший сертификацию СЗИ-ГТ, при необходимости привлекая испытательный центр (лабораторию).

Правила инспекционного контроля за сертифицированными СЗИ-ГТ устанавливаются в нормативных и методических документах системы сертификации.

Периодичность и объемы испытаний сертифицированных СЗИ-ГТ в испытательных центрах (лабораториях) определяются органом по сертификации на основании нормативных и методических документов при проведении сертификации конкретных видов СЗИ-ГТ.

3.5.2. По результатам контроля орган по сертификации СЗИ-ГТ может приостановить или отменить действие сертификата соответствия.

Решение об отмене действия сертификата соответствия принимается только в том случае, если в результате принятых незамедлительных мер не может быть восстановлено соответствие СЗИ-ГТ установленным требованиям.

Основанием для принятия такого решения являются:

изменение нормативных и методических документов на СЗИ-ГТ или методов испытаний и контроля;

изменение (невыполнение) технологии изготовления, конструкции (состава), комплектности СЗИ-ГТ и системы контроля их качества.

3.5.3. Информация о приостановлении (отмене) действия сертификата соответствия немедленно доводится до сведения ФСБ России, заявителей, органов по сертификации и испытательных центров (лабораторий).

3.6. Информирование о сертификации СЗИ-ГТ.

ФСБ России обеспечивает участников сертификации необходимой информацией о деятельности системы сертификации, включающей:

перечень СЗИ-ГТ, на которые выданы сертификаты соответствия;

перечень СЗИ-ГТ, на которые действие сертификатов соответствия отменено;

перечень органов по сертификации СЗИ-ГТ;

перечень испытательных центров (лабораторий);

перечень нормативных документов, на соответствие требованиям которых проводится сертификация СЗИ-ГТ, и методических документов по проведению сертификационных испытаний.

3.7. Рассмотрение апелляций.

При возникновении спорных вопросов в деятельности участников сертификации заинтересованная сторона может подать апелляцию в центральный орган системы сертификации, ФСБ России или Межведомственную комиссию по защите государственной тайны. Апелляция рассматривается в месячный срок с привлечением заинтересованных сторон. О принятом решении извещается податель апелляции. В исключительных случаях срок рассмотрения апелляции может быть продлен до двух месяцев.

В случае несогласия с принятыми решениями заинтересованная сторона может обратиться в арбитражный суд.

IV. Требования к нормативным и методическим документам по сертификации СЗИ-ГТ

4.1. В нормативных документах, на соответствие которым проводится сертификация, должны быть установлены характеристики (показатели) продукции и методы испытаний, позволяющие обеспечить полное и достоверное подтверждение соответствия продукции этим требованиям и ее идентификацию.

Предпочтительно, чтобы все требования (показатели, характеристики) и методы испытаний для конкретного вида продукции содержались в одном нормативном документе.

4.2. Положения нормативных документов должны быть сформулированы четко, обеспечивая их точное и единообразное толкование. Размерность и количественные значения характеристик должны быть заданы таким образом, чтобы имелась возможность для их воспроизводимого определения с заданной или известной точностью при испытаниях.

4.3. Требования нормативных документов к маркировке должны обеспечить идентификацию продукции, а также содержать указания об условиях применения, месте и способе нанесения знака соответствия. Маркировка продукции должна осуществляться на русском языке.

4.4. При сертификации продукции следует применять официальные издания нормативных документов.

4.5. Официальным языком системы является русский. Все нормативные и методические документы системы сертификации оформляются на русском языке.