Информационная безопасность / Общий_лекция

311

•ежегодно представлять непосредственно в государственный орган по лицензированию или в лицензионный центр сведения о количестве выполненных работ по конкретным видам указанной в лицензии деятельности.

Лицензиаты имеют право пользоваться нормативно-методическими документами соответствующих государственных органов по лицензированию, обращаться к ним за необходимыми консультациями и содействием, а также ссылаться в официальных документах и рекламных материалах на полученную лицензию [63].

Лицензиаты несут юридическую и финансовую ответственность за полноту и качество выполнения работ и обеспечение сохранности государственных и коммерческих секретов, доверенных им в ходе практической деятельности

[63].

Предприятия-потребители имеют право обращаться [63]:

•в государственный орган по лицензированию или в лицензионный центр с рекламациями на некачественно выполненные лицензиатами работы по защите информации;

•в судебные органы в установленном порядке.

Порядок проведения лицензирования предприятий-заявителей в области защиты информации включает следующие действия [63]:

•проведение экспертизы заявителя;

•подачу, рассмотрение заявления на лицензирование, оформление и выдачу лицензий;

•продление срока действия лицензий;

•учет лицензиатов и информирование в сфере лицензирования.

Экспертиза предприятия-заявителя осуществляется экспертной комиссией соответствующего лицензионного центра на основании заявки предприятия, содержащей лицензируемые виды деятельности и перечни необходимых для их обеспечения производственного и испытательного оборудования, нормативной и методической документации, имеющейся на предприятии. Результатом работы комиссии является экспертное заключение, в котором дается оценка возможности заявителя осуществлять работы в избранном виде деятельности по защите информации. Заключение утверждается руководителем соответствующего лицензионного центра и действует в течение трех месяцев со дня его выдачи [63].

Экспертиза проводится на основе хозяйственного договора между лицензионным центром и предприятием-заявителем [63]. Оплата работы членов экспертной комиссии проводится лицензионным центром.

312

Заявление на получение лицензии подается в государственный орган по лицензированию и принимается к рассмотрению только при наличии всех требуемых документов [63].

Орган, выдающий лицензию, вправе провести проверку достоверности представляемых сведений.

Оформление лицензии и ее выдача (уведомление об отказе в выдаче) производится в тридцатидневный срок со дня подачи заявления со всеми необходимыми документами [63].

Для рассмотрения спорных вопросов, возникающих при экспертизе предприятия-заявителя, может проводиться дополнительная независимая экспертиза. Состав экспертной комиссии формируется государственным органом по лицензированию по согласованию с предприятием-заявителем. Заключение экспертной комиссии является определяющим для принятия соответствующего решения в связи с заявлением о выдаче лицензии [63].

Время, затраченное на экспертизу, в срок, установленный для выдачи лицензии, не включается.

Финансирование издержек за проведение дополнительной независимой экспертизы несет сторона, признанная виновной в конфликте.

Действия органов, осуществляющих лицензирование, могут быть обжалованы в судебных органах в установленном порядке.

Органы, выдавшие лицензию, приостанавливают или прекращают действие лицензии досрочно в случаях [63]:

•по заявлению владельца лицензии;

•ликвидации юридического лица или прекращения действия документа об индивидуальной трудовой деятельности;

•несоблюдения владельцем лицензии условий по поддержанию нормативной базы и технической оснащенности на уровне требований по обеспечению безопасности информации;

•несообщения в установленные сроки органу, выдавшему лицензию, информации, предусмотренной Положением.

О приостановлении или прекращении действия лицензии ее владелец информируется в письменном виде органом, выдавшим лицензию, не позднее пяти дней со дня принятия решения. В десятидневный срок после получения уведомления владелец лицензии обязан сдать ее в орган, выдавший лицензию [63].

Учет лицензиатов ведется государственными органами по лицензированию на основании сведений, поступающих от лицензионных центров [63]. Контроль и надзор за полнотой и качеством проводимых лицензиатами работ в области защиты информации осуществляется [63]:

313

•Гостехкомиссией России, ФАПСИ и отраслевыми органами контроля в пределах их компетенции в ходе плановых проверок состояния защиты информации на предприятиях-потребителях, воспользовавшихся услугами лицензиатов;

•при контроле государственными органами по лицензированию и лицензионными центрами качества выполненных лицензиатами работ по рекламациям предприятий-потребителей.

5.1.2. Сертификация средств защиты информации

Порядок сертификации средств защиты информации в Российской Федерации и ее учреждениях за рубежом устанавливает Положение о сертификация средств защиты информации [65].

Технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации являются средствами защиты информации [65].

Указанные средства подлежат обязательной сертификации, которая проводится в рамках систем сертификации средств защиты информации. Система сертификации средств защиты информации представляет собой совокупность участников сертификации, осуществляющих ее по установленным правилам (далее именуется - система сертификации) [65]. Системы сертификации создаются Государственной технической комиссией при Президенте Российской Федерации, Федеральным агентством правительственной связи и информации при Президенте Российской Федерации, Федеральной службой безопасности Российской Федерации, Министерством обороны Российской Федерации, полномочными проводить работы по сертификации средств защиты информации в пределах компетенции, определенной для них законодательными и иными нормативными актами Российской Федерации (далее именуются -

федеральные органы по сертификации) [65].

Сертификация средств защиты информации осуществляется на основании требований государственных стандартов, нормативных документов, утверждаемых Правительством Российской Федерации и федеральными органами по сертификации в пределах их компетенции.

Координацию работ по организации сертификации средств защиты информации осуществляет Межведомственная комиссия по защите государственной тайны (далее именуется - Межведомственная комиссия)* [65]. *Функции Межведомственной комиссии по защите государственной

314

тайны в соответствии с Указом Президента Российской Федерации от 30 марта 1994 г. № 614 временно возложены на Гостехкомиссию Российской Федерации.

В каждой системе сертификации разрабатываются и согласовываются с Межведомственной комиссией положение об этой системе сертификации, а также перечень средств защиты информации, подлежащих сертификации, и требования, которым эти средства должны удовлетворять.

Участниками сертификации средств защиты информации являются [65]:

•федеральный орган по сертификации;

•центральный орган системы сертификации (создаваемый при необходимости) - орган, возглавляющий систему сертификации однородной продукции;

•органы по сертификации средств защиты информации - органы, проводящие сертификацию определенной продукции;

•испытательные лаборатории - лаборатории, проводящие сертификационные испытания (отдельные виды этих испытаний) определенной продукции;

•изготовители - продавцы, исполнители продукции.

Центральные органы системы сертификации, органы по сертификации средств защиты информации и испытательные лаборатории проходят аккредитацию на право проведения работ по сертификации, в ходе которой федеральные органы по сертификации определяют возможности выполнения этими органами и лабораториями работ по сертификации средств защиты информации и оформляют официальное разрешение на право проведения указанных работ. Аккредитация проводится только при наличии у указанных органов и лабораторий лицензии на соответствующие виды деятельности

[65].

Федеральный орган по сертификации в пределах своей компетенции [65]:

•создает системы сертификации; осуществляет выбор способа подтверждения соответствия средств защиты информации требованиям нормативных документов;

•устанавливает правила аккредитации центральных органов систем сертификации, органов по сертификации средств защиты информации и испытательных лабораторий; • определяет центральный орган для каждой системы сертификации

•выдает сертификаты и лицензии на применение знака соответствия;

•ведет государственный реестр участников сертификации и сертифицированных средств защиты информации;

•осуществляет государственные контроль и надзор за соблюдением участниками сертификации правил сертификации и за сертифицированными

315

средствами защиты информации, а также устанавливает порядок инспекционного контроля;

•рассматривает апелляции по вопросам сертификации;

•представляет на государственную регистрацию в Комитет Российской Федерации по стандартизации, метрологии и сертификации системы сертификации и знак соответствия;

•устанавливает порядок признания зарубежных сертификатов;

•приостанавливает или отменяет действие выданных сертификатов.

Центральный орган системы сертификации [65]:

•организует работы по формированию системы сертификации и руководство ею, координирует деятельность органов по сертификации средств защиты информации и испытательных лабораторий, входящих в систему сертификации;

•ведет учет входящих в систему сертификации органов по сертификации средств защиты информации и испытательных лабораторий, выданных и аннулированных сертификатов и лицензий на применение знака соответствия;

•обеспечивает участников сертификации информацией о деятельности системы сертификации.

При отсутствии в системе сертификации центрального органа его функции выполняются федеральным органом по сертификации.

Органы по сертификации средств защиты информации [65]:

•сертифицируют средства защиты информации, выдают сертификаты и лицензии на применение знака соответствия с представлением копий в федеральные органы по сертификации и ведут их учет;

•приостанавливают либо отменяют действие выданных ими сертификатов и лицензий на применение знака соответствия;

•принимают решение о проведении повторной сертификации при изменениях в технологии изготовления и конструкции (составе) сертифицированных средств защиты информации;

•формируют фонд нормативных документов, необходимых для сертификации;

•представляют изготовителям по их требованию необходимую информацию в пределах своей компетенции.

Испытательные лаборатории проводят сертификационные испытания средств защиты информации и по их результатам оформляют заключения и протоколы, которые направляют в соответствующий орган по сертификации средств защиты информации и изготовителям [65]. Испытательные лаборатории несут ответственность за полноту испытаний средств защиты информации и достоверность их результатов.

316

Изготовители [65]:

•производят (реализуют) средства защиты информации только при наличии сертификата;

•извещают орган по сертификации, проводивший

сертификацию, об изменениях в технологии изготовления и конструкции (составе) сертифицированных средств защиты информации;

•маркируют сертифицированные средства защиты информации знаком соответствия в порядке, установленном для данной системы сертификации;

•указывают в сопроводительной технической документации сведения о сертификации и нормативных документах, которым средства защиты информации должны соответствовать, а также обеспечивают доведение этой информации до потребителя;

•применяют сертификат и знак соответствия, руководствуясь законодательством Российской Федерации и правилами, установленными для данной системы сертификации;

•обеспечивают соответствие средств защиты информации требованиям нормативных документов по защите информации;

•обеспечивают беспрепятственное выполнение своих полномочий должностными лицами органов, осуществляющих сертификацию, и контроль за сертифицированными средствами защиты информации;

•прекращают реализацию средств защиты информации при несоответствии их требованиям нормативных документов или по истечении срока действия сертификата, а также в случае приостановки действия сертификата или его отмены.

Изготовители должны иметь лицензию на соответствующий вид деятельности [65]. Изготовитель для получения сертификата направляет в орган по сертификации средств защиты информации заявку на проведение сертификации, к которой могут быть приложены схема проведения сертификации, государственные стандарты и иные нормативные и методические документы, требованиям которых должны соответствовать сертифицируемые средства защиты информации [65].

Орган по сертификации средств защиты информации в месячный срок после получения заявки направляет изготовителю решение о проведении сертификации с указанием схемы ее проведения, испытательной лаборатории, осуществляющей испытания средств защиты информации, и нормативных документов, требованиям которых должны соответствовать сертифицируемые средства защиты информации, а при необходимости - решение о проведении и сроках предварительной проверки производства средств защиты информации [65].

317

Для признания зарубежного сертификата изготовитель направляет его копию и заявку на признание сертификата в федеральный орган по сертификации, который извещает изготовителя о признании сертификата или необходимости проведения сертификационных испытаний в срок не позднее одного месяца после получения указанных документов. В случае признания зарубежного сертификата федеральный орган по сертификации оформляет и выдает изготовителю сертификат соответствия установленного образца. Сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных [65].

Основными схемами проведения сертификации средств защиты информации являются [65]:

единичных образцов средств защиты информации - проведение испытаний этих образцов на соответствие требованиям по защите информации;

для серийного производства средств защиты информации - проведение типовых испытаний образцов средств защиты информации на соответствие требованиям по защите информации и последующий инспекционный контроль за стабильностью характеристик сертифицированных средств защиты информации, определяющих выполнение этих требований.

Кроме того, допускается предварительная проверка производства по специально разработанной программе. Срок действия сертификата не может превышать пяти лет.

Испытания сертифицируемых средств защиты информации проводятся на образцах, технология изготовления и конструкция (состав) которых должны соответствовать образцам, поставляемым потребителю (заказчику)

[65].

В отдельных случаях по согласованию с органом по сертификации средств защиты информации допускается проведение испытаний на испытательной базе изготовителя. При этом орган по сертификации средств защиты информации определяет условия, необходимые для обеспечения объективности результатов испытаний. В случае отсутствия к началу проведения сертификации аккредитованных испытательных лабораторий орган по сертификации средств защиты информации определяет возможность, место и условия проведения испытаний, обеспечивающие объективность их результатов [65].

Сроки проведения испытаний устанавливаются договором между изготовителем и испытательной лабораторией [65].

Изготовителю должна быть предоставлена возможность ознакомиться с условиями испытаний и хранения образцов средств защиты информации в испытательной лаборатории [65].

318

При несоответствии результатов испытаний требованиям нормативных и методических документов по защите информации орган по сертификации средств защиты информации принимает решение об отказе в выдаче сертификата и направляет изготовителю мотивированное заключение [65].

В случае несогласия с отказом в выдаче сертификата изготовитель имеет право обратиться в центральный орган системы сертификации, федеральный орган по сертификации или в Межведомственную комиссию для дополнительного рассмотрения полученных при испытаниях результатов

[65].

Федеральный орган по сертификации и органы по сертификации средств защиты информации имеют право приостанавливать или аннулировать действие сертификата в следующих случаях [65]:

•изменения нормативных и методических документов по защите информации в части требований к средствам защиты информации, методам испытаний и контроля;

•изменения технологии изготовления, конструкции (состава), комплектности средств защиты информации и системы контроля их качества;

•отказа изготовителя обеспечить беспрепятственное выполнение своих полномочий лицами, осуществляющими государственные контроль и надзор, инспекционный контроль за сертификацией и сертифицированными средствами защиты информации.

Порядок оплаты работ по обязательной сертификации средств защиты информации определяется федеральным органом по сертификации по согласованию с Министерством финансов Российской Федерации [65]. Оплата работ по сертификации конкретных средств защиты информации осуществляется на основании договоров между участниками сертификации.

Инспекционный контроль за сертифицированными средствами защиты информации осуществляют органы, проводившие сертификацию этих средств защиты информации [65].

При возникновении спорных вопросов в деятельности участников сертификации заинтересованная сторона может подать апелляцию в орган по сертификации средств защиты информации, в центральный орган системы сертификации, в федеральный орган по сертификации или в Межведомственную комиссию [65]. Указанные организации в месячный срок рассматривают апелляцию с привлечением заинтересованных сторон и извещают подателя апелляции о принятом решении.

Органы, осуществляющие сертификацию средств защиты информации, несут ответственность, установленную законодательством Российской Федерации, за выполнение возложенных на них обязанностей, обеспечение защиты государственной тайны и других конфиденциальных сведений, сохранность

319

материальных ценностей, предоставленных изготовителем, а также за соблюдением авторских прав изготовителя при сертификационных испытаниях средств защиты информации [65].

5.2. Аттестование объектов информатизации

Под объектами информатизации, аттестуемыми по требованиям безопасности информации, понимают автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения, предназначенные для обработки и передачи информации, подлежащей защите, вместе с помещениями, в которых они установлены, а также помещения, предназначенные для ведения конфиденциальных переговоров [62]. То есть к объектами информатизации относятся объекты ТСПИ (см. п.1.1).

Основные принципы, организационную структуру системы аттестации объектов информатизации по требованиям безопасности информации, порядок проведения аттестации, а также контроля и надзора за аттестацией и эксплуатацией аттестуемых объектов информатизации устанавливает

Положение по аттестации объектов информации по требованиям безопасности информации (далее - Положение), утвержденное Председателем Гостехкомиссии России 25.11. 1994 г. [62].

Система аттестации объектов информации по требованиям безопасности информации (далее - система аттестации) является составной частью единой системы обязательной системы сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации и подлежит государственной регистрации в установленном Госстандартом России порядке [62].

Деятельность системы аттестации организует федеральный орган по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации (далее - федеральный орган по сертификации и аттестации), которым является Государственная техническая комиссия при Президенте Российской Федерации (Гостехкомиссии России) в пределах ее компетенции, определяемой законодательными актами Российской Федерации [62].

Под аттестацией объектов информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа - "Аттестата соответствия" подтверждается, что объект соответствует требованиям стандартов иных нормативно-технических документов по безопасности информации, утвержденных федеральным органом по сертификации и аттестации в пределах его компетенции [62].

320

Наличие на объекте информатизации действующего "Аттестата соответствия" дает право обработки информации с уровнем секретности (конфиденциальности) на период времени, установленными в "Аттестате соответствия" [62].

Обязательной аттестации подлежат объекты информатизации, предназначенные для обработки информации, составляющей государственную тайну, управления экологически опасными объектами, ведения секретных переговоров [62]. В остальных случаях аттестация носит добровольный характер (добровольная аттестация) и может осуществляться по желанию заказчика или владельца объекта информатизации при наличии юридически закрепленного его согласия выполнять требования Положения

[62].

Аттестация по требованиям безопасности информации предшествует началу обработки подлежащей защите информации и необходимостью официального подтверждения эффективности комплекса используемых на конкретном объекте информатизации мер и средств защиты информации

[62].

При аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации [62]:

•от несанкционированного доступа, в том числе от компьютерных вирусов;

•от утечки за счет побочных электромагнитных излучений и наводок при специальных воздействиях на объект (высокочастотное и облучение, электромагнитное и радиационное воздействие);

•от утечки или воздействия на нее за счет специальных устройств, встроенных в объекты информатизации.

Аттестация предусматривает комплексную проверку (аттестационные испытания) защищаемого объекта информатизации в реальных условиях эксплуатации с целью оценки соответствия использованного комплекса мер и средств защиты информации требуемому уровню безопасности информации

[62].

Аттестация проводится органом по аттестации в установленном Положением порядке в соответствии со схемой, выбираемой этим органом на этапе подготовки к аттестации из следующего основного перечня работ [62]:

•анализ исходных данных по аттестуемому объекту информатизации;

•предварительное ознакомление с аттестуемым объектом информатизации;

•проведение экспертного обследования объекта информатизации и анализ разработанной документации по информации на этом объекте с точки зрения ее соответствия требованиям нормативной и методической документации;