Вопрос 57. Сертификация средств защиты информации.

Основным нормативным актом в области подтверждения соответствия и сертификации в частности является ФЗ №184 ФЗ от 27.12.02 «О техническом регулировании».

В соответствии с данным ФЗ под сертификацией понимается форма осуществления органом сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям или условиям договоров. Технические, криптографические, программные и другие средства, предназначенные для защиты ССГТ, средства в которых они реализованы, а также средства контроля эффективности ЗИ подлежат обязательной сертификации.

Система сертификации — это совокупность правил выполнения работ по сертификации, ее участников и правил функционирования системы сертификации в целом.

Посредством сертификации подтверждается соответствие продукции, процессов производства, эксплуатации, хранения, перевозки, утилизации, работ, услуг и иных объектов установленным требованиям, содержащихся в технических регламентах (обязательные) и стандартах (добровольно).

Документом, подтверждающим соответствие продукции установленным требованиям, является сертификат соответствия, выдаваемый на срок, установленный соответствующим техническим регламентом или другим нормативным актом. Сертификация СЗИ возлагается на Министерство обороны, ФСБ, ФСТЭК. Координация работ по сертификации СЗИ возлагается на Межведомственную комиссию по защите ГТ.

Кодекс РФ «Об административном правонарушении» содержит ряд статей, устанавливающие ответственности в области сертификации и лицензировании:

• статья 13.6 устанавливает ответственность за использование не сертифицированных средств связи, либо за предоставление не сертифицированных услуг связи, если законом установлена сертификация;

• статья 13.11 устанавливает ответственность за нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданине (ПД);

• статья 13.12 устанавливает ответственность за нарушение правил ЗИ, а именно: нарушение условий, предусмотренных лицензией на осуществление деятельности по ЗИ; использование не сертифицированных информационных систем, баз данных и банков данных, а также не сертифицированных СЗИ, подлежащих обязательной сертификации, за исключением СЗИ, составляющих ГТ; нарушение условий, предусмотренных лицензией на проведение работ, связанных с использованием ЗИ, составляющую ГТ, созданием средств, предоставляющих защиту ГТ, осуществление мероприятий и предоставление услуг по ЗИ, составляющей ГТ;

• статья 13.13 устанавливает ответственность за незаконную деятельность в области ЗИ, проявившуюся в занятии видами деятельности в области ЗИ (исключение информация, составляющая ГТ) без получения в установленном порядке получения лицензии. Занятие видами деятельности, связанные с использованием информации, составляющей ГТ, созданием средств, предназначенных для ЗИ, составляющей ГТ, и осуществлением мероприятий и/или оказанием услуг по ЗИ, составляющей ГТ, без лицензии;

• статья 13.19 устанавливает ответственность за нарушение обязательных требований государственных стандартов, правил обязательной сертификации, нарушение нормативных документов по единству измерений

В соответствии с указом президента РФ 1995г №334 «О мерах по соблюдению законности» в области разработки, производства, реализации, эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации запрещается использование государственным организациям и предприятиям в телекоммуникационных системах шифрующих средств, включая криптографические средства обеспечения подлинности информации (ЭЦП) и защищенных ТС хранения, обработки и передачи информации, не имеющих сертификата ФСБ, а также размещение государственных заказов в предприятиях, организациях, использующих указанные шифровальные ТС, не имеющие сертификата ФСБ.