2. Сертификация информационных систем

При сертификации в Системе используют следующие нормативные документы: национальные, международные и межгосударственные стандарты; стандарты организаций; технические условия; отраслевые нормы; методические рекомендации и другие документы, заявленные организацией, проходящей сертификацию.

Порядок проведения сертификации информационных систем

Для проведения сертификации информационных систем разработчик или потребитель, использующий информационные системы (далее - заявитель) должен направить письменно заявку на ее проведение в Орган по сертификации Системы.

Заявка на сертификацию должна включать в себя основную информацию о заявителе, разработчике информационной системы, информационной системе. В случае указания в заявке неточных, неполных или недостоверных данных Орган по сертификации имеет право отклонить заявку.

Вместе с заявкой необходимо предоставить в орган по сертификации следующие обязательные документы и материалы;

• письменное подтверждение согласия с Процедурой сертификации, подписанное руководителем организации-заявителя (заявителем);

• Перечень заявленных показателей информационных систем, подлежащих сертификации;

• «Программа и методика испытаний» в соответствии с РД 50-34.698-90 для проверки заявленных показателей;

• акт проведения испытаний.

При оформлении заявки на сертификацию информационных систем, которые обрабатывают документированную информацию с ограниченным доступом (в том числе персональные данные), дополнительно представляются документы, подтверждающие использование в информационных системах сертифицированных средств защиты информации.

Документы и материалы, предоставленные организацией-заявителем на сертификацию,

не возвращаются.

После начала процесса сертификации исправления и дополнение представленных документов и материалов не допускаются.

Для проведения сертификации программных продуктов разработчик или потребитель, использующий программные продукты (далее - заявитель) должен направить письменно заявку на ее проведение в Орган по сертификации Системы.

Заявка на сертификацию должна включать в себя основную информацию о заявителе, разработчике программного продукта, программном продукте. Если заявителем является юридическое лицо, заявка оформляется на бланке организации-заявителя. В случае указания в заявке неточных, неполных или недостоверных данных Орган по сертификации имеет право отклонить заявку.

На сертификацию принимаются только рабочие версии программных продуктов (т.е., версии не содержащие ограничений по времени работы и других параметров).

Вместе с заявкой необходимо предоставить в орган по сертификации следующие обязательные документы и материалы:

• письменное подтверждение согласия с процедурой сертификации, подписанное руководителем организации-заявителя (заявителем);

• письменное согласие от организации, разработавшей программный продукт (в случае, если заявка подана от имени организации эксплуатирующей или продающей программный продукт);

• «Техническое задание» по ГОСТ 19.201-78;

• «Спецификация» по ГОСТ 19.202-78;

• «Описание программы» по ГОСТ 19.402-78;

• «Описание применения» по ГОСТ 19.502-78;

• «Руководство пользователя» по РД 50-34.698-90;

• «Программа и методика испытаний» по ГОСТ 19.301-79;

• акт проведения испытаний;

• две дистрибутивные копии программного средства на дискетах 3,5" или компакт дисках. Дистрибутивы должны сопровождаться отпечатанным списком файлов, записанных на дискетах и компакт дисках, в списке должны быть указаны объем файлов, дата и время их создания;

• копия документа (лицензии), подтверждающего легальность покупки фирмой- разработчиком инструментальных и общесистемных программных средств (ОС, СУБД, языки программирования), использованных для разработки программных продуктов, предоставленных на сертификацию.

При оформлении заявки на сертификацию программных продуктов, предназначенных для обработки и хранения персональных данных, дополнительно представляются:

• руководство по использованию защитных механизмов;

• руководство по управлению средствами защиты;

• исходные тексты программ (ГОСТ 19.401-78);

....

• тестовая документация, содержащая описание тестов и испытаний, ко

подвергались программные продукты, а также результаты тестирования.

Документы и материалы, предоставленные организацией-заявителем на сертификацию, не возвращаются.

После начала работ по сертификации исправления к программному продукту и/или документации не принимаются.

Инспекционный контроль за сертифицированными объектами

Инспекционный контроль за соблюдением требований к сертифицированным информационным системам и программным продуктам проводит орган по сертификации, выдавший сертификат соответствия.

Инспекционный контроль осуществляют в рамках схемы сертификации в течение всего срока действия сертификата соответствия в форме плановых и внеплановых проверок, не реже одного раза в год.

Объем, содержание, порядок проведения инспекционного контроля определяет орган по сертификации с учетом схемы сертификации, по которой она проводилась.

Внеплановый инспекционный контроль проводят при поступлении информации о претензиях к сертифицированным информационным системам и программным продуктам.

По результатам инспекционного контроля может быть принято одно из следующих решений, которое оформляется в форме акта:

• считать сертификат соответствия и предоставленное заявителю право на применение знака соответствия подтвержденными;

• приостановить действие сертификата соответствия и разрешения на применение знака

соответствия;

• отменить действие сертификата соответствия и разрешения на применение знака

соответствия.

При положительных результатах инспекционного контроля орган по сертификации осуществляет подтверждение действия выданного сертификата соответствия и Разрешения на применение Знака соответствия.

При отрицательных результатах инспекционного контроля орган по сертификации подготавливает решение о приостановлении действия сертификата соответствия или отмене его действия, и представляет решение держателю сертификата соответствия.

Информация о приостановлении действия или отмене сертификата соответствия

доводится органом по сертификации до сведения держателя сертификата и всех

заинтересованных организаций не позднее 7 дней с момента принятия решения.