Сертификация средств защиты информации

Средства защиты информации (СЗИ) — это устройства и системы технического, программного, криптографического характера. Их задача — предотвращение утечки данных и охрана от неправомерного использования. Выделяют несколько типов:

• технические — генераторы шума, сетевые фильтры, пожарная сигнализация, оборудование для блокировки каналов утечки;
• организационные — комплексы для прокладки кабелей, системы контроля и регламентации процессов на предприятии;
• программные — антивирусы, криптографические комплексы, межсетевые экраны, системы шифрования и идентификации;
• смешанные — совмещают функции технических и программных решений.

Для законного производства, ввоза и реализации таких устройств требуется обязательная сертификация средств защиты информации.

Что нужно для сертификации средств защиты информации

Организация сертификации средств защиты информации основана на приказе ФСТЭК № 55 от 03.04.2018. Норматив закрепляет состав участников системы сертификации средств защиты информации, правила ее функционирования и порядок проверки продукции.

Обязательная процедура распространяется:

• на системы для предотвращения технической разведки иностранными структурами и средства контроля их работы;
• средства технической охраны данных, включая устройства и системы контроля;
• технические и программные решения для защиты ИТ-инфраструктуры и комплексов обработки данных.

Обратите внимание! В отношении продукции иностранного производства, использование которой ограничено или запрещено законами РФ, сертификаты ФСТЭК России на средства защиты информации не оформляются.

Что легально применять СЗИ к данным, относящимся к гостайне, требуется лицензия ФСТЭК.

Оценочные процедуры проводятся:

• для штучного товара — тестирование устройства и техподдержки;
• разовой поставки ограниченного товарного объема — тесты с выборочными товарами-образцами, изучение обслуживания;
• мелко-, средне- и крупносерийного изготовления — тесты товаров-образцов, производственный аудит.

Сертификат на средства защиты информации может оформлять только заявитель, планирующий использование или производство оборудования. По итогам проверки присваивается уровень доверия (от 1 до 6). Первые три уровня применяются в системах с гостайной.

Участниками процедуры являются:

• федеральный орган ФСТЭК;
• сертификационные органы, аккредитованные ФСТЭК;
• испытательные лаборатории, аккредитованные ФСТЭК;
• изготовители СЗИ.

ВАЖНО. В зависимости от вида продукции дополнительно оформляются документы по техническим регламентам ТС/ЕАЭС (004/2011, 020/2011, 043/2017 и другим).

Срок действия сертификатов и деклараций ограничен — до 5 лет.

Этапы сертификации средств охраны данных

Порядок, установленный приказом ФСТЭК № 55, определяет последовательность действий при проведении обязательной оценки.

Этапы процедуры:

1. Подача заявки в сертификационный центр.
2. Идентификация оборудования и уточнение деталей проверки.
3. Формирование комплекта бумаг: ГОСТы, технические условия, конструкторская и эксплуатационная документация, подготовка образцов.
4. Лабораторные испытания в аккредитованной испытательной базе. По результатам оформляется протокол.
5. Регистрация решения в реестре и выпуск документа установленного образца.
6. Выдача готового документа заявителю.

Обратите внимание! Для ввоза и вывоза продукции с криптографическими элементами требуется нотификация ФСБ.

Решение подготавливается в 4-х экземплярах, заверяется ФСТЭК и доставляется получателям почтовым отправлением с уведомлением либо вручается лично:

• компании-заявителю;
• сертификационному органу;
• лабораторному центру.

Сертификат соответствия на средства охраны данных выдается сроком от 1 года до 5 лет.

Какие сведения включает сертификат соответствия средств защиты информации

Сертификаты ФСТЭК России на СЗИ оформляются по утвержденной форме. Документ фиксирует результаты проверки и содержит обязательные сведения:

• регистрационный номер и дата утверждения решения;
• название СЗИ;
• функциональное предназначение устройства;
• сведения о заявителе;
• данные об испытательной лаборатории;
• орган по сертификации, оформивший документ;
• список нормативных документов (ГОСТ, техрегламенты), по которым проводилась проверка;
• схема сертификации;
• данные об организации и ее технической базе, на которой проводились испытания, с указанием места их проведения.

Решение о проведении проверки подготавливается в четырех экземплярах. Один экземпляр передается заявителю, другие направляются в орган по сертификации и в испытательную лабораторию.

СПРАВКА. Сертификат на комплексы для охраны данных позволяет использовать товар в системах обработки данных, включая объекты, где применяются сведения ограниченного доступа.

Добровольная оценка комплексов для охраны данных

Помимо обязательных процедур возможна добровольная сертификация СЗИ. Она используется для повышения доверия к продукции, подтверждения дополнительных характеристик и расширения рынка сбыта.

Оформить можно оформить следующие сертификаты:

• по ГОСТ или по техническим условиям — фиксирует качество оборудования, соответствие применяемым стандартам;
• ISO 9001 — подтверждает внедрение модели менеджмента качества;
• 14001 — удостоверяет применение экологического менеджмента;
• ИСО 45000 — закрепляет соблюдение норм охраны труда;
• сертификат «Сделано в России» — удостоверяет отечественное происхождение продукции;
• пожарный сертификат — подтверждает соответствие требованиям пожаробезопасности;
• сейсмостойкости — фиксирует пригодность эксплуатации в сейсмоопасных районах;
• происхождения — используется для экспорта, получения таможенных преференций.

СПРАВКА: срок действия добровольных документов ограничен — до 3 лет.

Где оформить разрешительную документацию на СЗИ

Оформить обязательные и добровольные документы можно через экспертов центра «Гортест Урал». Специалисты помогут пройти все этапы, от подачи заявки до получения готового документа.

Центр также оказывает услуги:

• по подготовке и регистрации техусловий;
• организации лабораторных тестов, протоколированию их результатов;
• подготовке эксплуатационной документации, этикетки;
• штрихкодированию;
• юридической защите фирменного обозначения;
• внесению товара в реестр Минпромторга;
• получению сертификатов ISO 9001, ISO 14001, 45001;
• оформлению добровольных документов по пожарной безопасности и др.

Работа с экспертами центра «Гортест Урал» гарантирует юридическую силу оформленных документов. Консультации бесплатные.