Система сертификации ФСТЭК России

Проблемы защиты личной информации непосредственно связаны с интересами государства, общества, бизнеса и граждан. В современное время в связи с формированием информационного единого пространства защита конфиденциальных сведений является основным составным элементом задач, которые решаются органами государства, организациями и учреждениями в процессе разработки, создания, эксплуатации систем и баз информации, а также персонального банка данных.

Общие положения о системах информационных инфраструктур

Вам будет интересно:Систематизация права: понятие, виды, принципы

Каждое государство старается обеспечить на своей территории контроль над сферой распространения информации, а также ее защиты и обеспечения безопасности на национальном уровне. В связи с этим к поставляемому на рынок программному и используемому в дальнейшем программному обеспечению предъявляются особенно жесткие требования, особенно если программы связаны с построением базовых систем в информационной структуре.

В перечень таких систем входят:

Вам будет интересно:Как получить пенсионные накопления умершего родственника? Советы и рекомендации

В этот перечень входят также прошедшие сертификацию ФСТЭК средства защиты информации. В любой из перечисленных систем собирается, передается и обрабатывается информация, которая связана с организационно-экономической, производственной, кредитно-финансовой, научно-технической и иными сферами деятельности государства и его органов.

В перечне прошедших сертификацию ФСТЭК сетей и систем обрабатывается информация, связанная с оперативно-диспетчерским и технологическим управлением, которая определяет безопасность и надежность функционирования общей хозяйственной сферы России. Также он оказывает особое влияние на сохранение безопасности национального уровня в области информации.

На основании вышеизложенного создатели программного обеспечения, которое должно в дальнейшем пройти сертификацию ФСТЭК, должны учитывать необходимые требования, накрадывающиеся национальными и международными законами на системы информации, которые предназначаются для обработки соответствующей информации.

Нормы законодательства

Вам будет интересно:Понятие основ правового статуса личности, основные элементы, структура и принципы

Сертификация ФСТЭК в банковской сфере и других направлениях проводится в виде проверки программ на соответствие нормативным требованиям. Эти положения должны исполняться в точности всеми организациями государственного и негосударственного типа, если их деятельность связана с информацией служебного характера, связанной с деятельностью органов государства.

Указанные требования содержатся в ряде правовых актов. К ним относятся:

• Федеральный закон № 149 об информации, технологиях информационного типа и их защите от 27 июля 2006 года. В восьмом пункте 14-й статьи указано, что средства технического типа, которые предназначаются для обработки данных, содержащихся в информационных государственных системах (включая программно-технические и защитные информационные средства), должны быть созданы в соответствии с требованиями российского законодательства о техническом регулировании. В 15-й статье этого же нормативного правового акта указано, что основной орган, который осуществляет сертификацию программного обеспечения, - ФСТЭК Российской Федерации.
• Федеральный закон № 184 от 27 декабря 2002 года, рассматривающий вопросы технического регулирования. В четвертой статье указанного нормативного правового акта определено, что исполнительные органы федеральной власти вправе издавать акты, имеющие обязательный характер, в сфере технического регулирования, если это предусмотрено пятой статьей этого же закона. Согласно этой норме, издаваемые акты могут касаться не только самой информации, но и продукции, используемой для защиты данных, которые относятся к охраняемым сведениям.
• Закон от 21 июля 1993 года № 5485-1, регулирующий вопросы охраны государственной тайны, определяет способы информационной защиты как составной элемент компьютерных систем и продуктов.

Указанные нормативные правовые акты определяют необходимость использования программных и аппаратных средств соответствующими организациями. При этом указанные средства должны в обязательном порядке пройти сертификацию ФСТЭК.

Положения специальных требований по защите конфиденциальной информации

В Российской Федерации действует нормативное положение, которое отражает специальные требования, касающиеся защиты конфиденциальной (личной) информации. Документ, рассматривающий систему сертификации ФСТЭК России, содержит следующие условия защиты данных:

Органы проверки соответствия

Вам будет интересно:Как составить заявление об утере паспорта гражданина РФ: образец, требования и рекомендации

Органы по сертификации (ФСТЭК, Министерство обороны, ФСБ и другие) осуществляют выдачу сертификатов в отношении программного обеспечения. Выбор субъекта сертификации зависит от типа компьютерных программ, которым требуется проверка соответствия нормативным требованиям. Основными органами, проводящими сертификацию, являются ФСБ и ФСТЭК. Особенности выдачи документов заключаются в следующем:

Сущность сертифицированных продуктов в Российской Федерации

Сертификация ФСТЭК для Windows и других типов программного обеспечения в России отличается от тех систем, которые используются в зарубежных странах. Копия программного обеспечения, которой требуется сертификация, проходит соответствующую проверку на идентичность другого продукта, который ранее был сертифицирован, то есть два элемента сравниваются на бинарном уровне.

Согласно новым требованиям сертификации, ФСТЭК и другой орган, который отвечает за целость указанных продуктов, вправе в любой момент проконтролировать у пользователей наличие необходимого набора обновлений и патчей, прошедших проверку. Также контроль производится в отношении отсутствия изменений несертифицированного типа.

В отличие от российского положения о сертификации ФСТЭК, международная проверяющая система Common Cruteria считает каждый лицензионный продукт прошедшим проверку. В отдельном порядке все программы не сертифицируются. При этом программное обеспечение постоянно обновляется, дополняется или улучшается.

В Российской Федерации любая организация, купившая продукты, прошедшие сертификацию ФСТЭК (Windows 10, например), получает защищенный специальными программами доступ к своей персональной странице на специальном сайте. Здесь при появлении обновлений и дополнительной информации предприятие получает его по защищенным каналам после тщательной проверки потенциальных угроз.

Функции ФСТЭК в Российской Федерации

Положение о сертификации ФСТЭК закрепляет понятие и функции данного органа как федеральную исполнительную ветвь власти. Полномочия этого органа включают в себя четыре пункта:

• сохранение информации, находящейся в главных системах телекоммуникационной и информационной инфраструктуры, в безопасности;
• противодействие зарубежным разведкам технической направленности;
• обеспечение защиты данных с использованием технических средств и не криптографических методов;
• проведение контроля экспортного типа.

Согласно Положению о сертификации ФСТЭК в банковской сфере и иных направлениях работы компьютерных систем, основная задача указанного органа – организация работы государственного аппарата, занимающегося противодействием технической разведки, а также защиты технического типа на государственном, региональном, межрегиональном, отраслевом и организационном уровнях. Дополнительной целью работы органа является руководство соответствующей федеральной системой.

Все правовые нормативные акты и документы методического типа, которые издаются государственными органами по вопросам сертификации ФСТЭК (Windows 10 или другие программы), являются обязательными для исполнения всеми отделами аппарата государственных органов власти, органов на уровне субъектов, муниципальных образований и организаций.

Процесс осуществления сертификации

Проведение ФСТЭК сертификации Cisco и других программ является воздействием объектами контроля не самого органа, а его лицензиарами. К ним относятся лаборатории испытательного типа и организации экспертного характера. Лаборатории осуществляют исследование программного обеспечения, а экспертные организации проверяют качество проведенных испытаний.

Заказчик вправе сам выбирать, какая испытательная лаборатория из списка одобренных ФСТЭК будет проводить исследования. При этом отдел сертификации ФСТЭК для проведения контрольной проверки выбирает самостоятельно.

Таким образом, имеет место здоровая конкуренция, при которой лаборатории испытательного типа могут вести борьбу за клиентуру (цена работы, сроки проведения и прочие факторы). При этом качество проводимых испытаний контролируется независимыми экспертными организациями, одобренными ФСТЭК.

Как и сертификация ФСТЭК (Java и прочие программы), ФСБ проводит проверки аналогичным образом. В этой системе имеются также институты заявителей. В них входят компании, которые работают непосредственно с лабораториями испытательного типа и организациями, осуществляющими проверки. Целью их деятельности является проведение сравнения копий продаваемых продуктов с оригиналами, прошедшими соответствующую сертификацию. Также их полномочия включают в себя издание установленных образцов документов для каждой отдельной копии продуктов, которые прошли проверку, и их учет.

На эти компании возлагаются расходы по проверке продуктов, выписке документов соответствующего типа, ведению учета продуктов, прошедших сертификацию ФСТЭК, а также сертификации патчей.

Нормативный документ № РОСС RU.0001.01БИ00

Вам будет интересно:СИЗО № 3 в Гомеле: история следственного изолятора, свидания и передачи

Указанный документ отражает сведения о сертификационной системе обязательного типа для средств, способствующих защите данных по требованиям безопасности конфиденциальных сведений.

Все данные, которые относятся каким-либо образом к государственной, коммерческой или банковской тайне либо к информации, имеющей ограниченный доступ, подлежат обязательной сертификации и дальнейшей защите в соответствии с нормами действующего законодательства. В этот перечень также входят следующие объекты:

• системы управления опасными для экологии производствами;
• объекты, которые имеют важное экономическое или оборонное значение и оказывают влияние на государственную безопасность;
• средства, применяющиеся в качестве средств противодействия разведкам технического характера.

Если деятельность организации не связана с указанными типами работы, ее сертификация носит добровольный характер. Заявителями могут выступать разработчики, изготовители, поставщики или потребители средств охраны и защиты данных.

Сертификационная система действует на программные, технические и иные средства, обеспечивающие защиту информации, ее охрану от несанкционированного проникновения или технической разведки. Также указанные средства распространяют свое действие на осуществление контроля эффективности использования защитных методов.

В организационную структуру сертификационной системы входят следующие органы:

Отдельные функции ФСТЭК

ФСТЭК выполняет следующие функции:

• Создает сертификационную систему средств информационной защиты по требованиям безопасности данных.
• Устанавливает требования к проведению сертификации средств информационной защиты.
• Осуществляет аккредитацию органов по проведению проверки защитных информационных средств и лабораторий испытательного типа.
• Выбирает способы подтверждения соответствия проверяемого объекта нормативным требованиям различных документов.
• Определяет правила аккредитации различных сертификационных органов по информационной защите или осуществляет указанные функции самостоятельно.
• Осуществляет выдачу сертификатов и лицензий на использование знаков соответствия.
• Ведет федеральный реестр субъектов сертификации и соответствующих защитных средств.
• Осуществляет федеральный надзор и контроль над соблюдением всеми сертифицируемыми субъектами правил проведения проверки.
• Определяет порядок проведения инспекционных проверок использования сертифицированных средств информационной защиты.
• Проводит рассмотрение апелляций по указанным вопросам.
• Представляет на регистрацию в государственный российский Комитет по метрологии, стандартизации и сертификации соответствующую проверяющую систему и знаки соответствия.
• Утверждает документы нормативного характера, которые являются базовыми для проведения сертификации защитных информационных средств, а также документы методического типа по проведению испытаний.
• Отменяет или приостанавливает действие выданных заявителям сертификатов.

Полномочия органов по сертификации защитных информационных средств

Органы, подведомственные ФСТЭК, осуществляют следующие функции:

Лаборатории испытательного типа осуществляют проведение проверок защитных информационных средств, по итогам которых оформляется заключение и протокол. Указанные документы в дальнейшем направляются в соответствующие сертификационные органы и изготовителям. За правильность и полноту заключений лаборатории отвечают в полном объеме.

Заявители в лице изготовителей и продавцов средств защиты информации должны иметь лицензию на осуществление работ, которые связаны с созданием соответствующих охранных объектов для защиты данных, относящихся к государственной, коммерческой или банковской тайне.

Заявители обладают полномочиями на реализацию средств информационной защиты при наличии соответствующего сертификата, извещение органов о возникших изменениях в способах изготовления или конструкции объектов. Также они вправе ставить маркировку на указанные средства в соответствии с порядком сертификации, указывать в документации сведения о реквизитах документа и доводить до потребителей данные сведения.

Сертификация программного обеспечения ФСТЭК является четко структурированной организацией, в которую входит много подотделов, специализирующихся на различных аспектах проверки уровня безопасности программного обеспечения.

Источник