Положение о сертификации средств защиты информации по требованиям безопасности информации.Введено в действие приказом Зарегистрировано Госстандартом России ПОЛОЖЕНИЕ (с дополнениями в соответствии с Постановлением Правительства Содержание
1. ОБЩИЕ ПОЛОЖЕНИЯ 1.1. Настоящее Положение устанавливает основные принципы, организационную структуру системы обязательной сертификации средств защиты информации, порядок проведения сертификации этих средств защиты по требованиям безопасности информации, а также государственный контроль и надзор за сертификацией и сертифицированными средствами защиты информации. Под средствами защиты информации понимаются технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации. Под сертификацией средств защиты информации по требованиям безопасности информации (далее - сертификацией) понимается деятельность по подтверждению их соответствия требованиям государственных стандартов или иных нормативных документов по защите информации, утвержденных Государственной технической комиссией при Президенте Российской Федерации (Гостехкомиссией России). 1.2. Положение разработано в соответствии с Законами Российской Федерации "О сертификации продукции и услуг" и "О государственной тайне", Постановлением Правительства Российской Федерации от 26 июня 1995 г. № 608 "О сертификации средств защиты информации", "Положением о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам", на основании "Системы сертификации ГОСТ Р" и "Правил по проведению сертификации в Российской Федерации". 1.3. Система сертификации средств защиты информации по требованиям безопасности информации включает в себя и аттестацию объектов информатизации по требованиям безопасности информации и подлежит государственной регистрации в установленном Госстандартом России порядке. Под объектами инфоpматизации, аттестуемыми по требованиям безопасности информации, понимаются автоматизированные системы (АС) различного уровня и назначения, системы связи, отображения и размножения документов вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров. Основные принципы, организационная структура системы аттестации объектов информатизации по требованиям безопасности информации, правила проведения, а также другие вопросы аттестации определяются "Положением по аттестации объектов информатизации по требованиям безопасности информации". Деятельность системы сертификации организует Гостехкомиссия России в пределах ее компетенции, определенной законодательными и иными нормативными актами Российской Федерации. 1.4. Целями создания системы сертификации являются:
1.5. Обязательной сертификации подлежат средства, в том числе иностранного производства, предназначенные для защиты информации, составляющей государственную тайну, и другой информации с ограниченным доступом, а также средства, использующиеся в управлении экологически опасными объектами. Перечень средств защиты информации, подлежащих обязательной сертификации, разрабатывается Гостехкомиссией России и согласовывается с Межведомственной комиссией по защите государственной тайны. В остальных случаях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе разработчика, изготовителя или потребителя средства защиты информации. 1.6. Основными схемами сертификации средств защиты информации являются:
1.7. Сертификация средств защиты информации осуществляется Гостехкомиссией России и аккредитованными органами по сертификации, а испытания проводятся аккредитованными испытательными центрами (лабораториями) на их материально-технической базе. В отдельных случаях по согласованию с Гостехкомиссией России или органом по сертификации допускается проведение испытаний на испытательной базе разработчика (изготовителя, поставщика, потребителя) данного средства защиты информации. Правила аккредитации определяются действующим в системе "Положением об аккредитации испытательных центров (лабораторий) и органов по сертификации средств защиты информации. 1.8. Порядок оплаты работ по сертификации конкретных средств защиты информации производится заявителем на основании договоров между участниками сертификации. Сумма средств, израсходованных заявителем на проведение сертификации средства защиты информации, относится на ее себестоимость. 1.9. Органы по сертификации и испытательные центры (лаборатории) несут ответственность за выполнение возложенных на них функций, обеспечение сохранности государственной тайны, других конфиденциальных сведений, материальных ценностей, предоставленных заявителем, а также за соблюдение авторских прав заявителя при испытаниях его средств защиты информации. 2. ОРГАНИЗАЦИОННАЯ СТРУКТУРА СИСТЕМЫ СЕРТИФИКАЦИИ 2.1. Организационную структуру системы сертификации образуют:
2.2. Гостехкомиссия России в пределах своей компетенции осуществляет следующие функции:
Гостехкомиссия России может передавать некоторые из своих функций центральному органу системы сертификации и органам по сертификации. 2.3. Центральный орган системы сертификации средств защиты информации: координирует деятельность органов по сертификации и испытательных центров (лабораторий), входящих в систему; разрабатывает предложения по номенклатуре средств защиты информации, сертифицируемых в системе и представляет их в Гостехкомиссию России; участвует в работах по совершенствованию фонда нормативных документов, на соответствие которым проводится сертификация средств защиты информации в системе, и методических документов по проведению сертификационных испытаний; участвует в рассмотрении апелляций по поводу действий органов по сертификации и испытательных центров (лабораторий), входящих в систему; участвует в аккредитации органов по сертификации и испытательных центров (лабораторий) по сертификации средств защиты информации, входящих в систему; ведет учет входящих в систему органов по сертификации и испытательных центров (лабораторий), выданных и аннулированных сертификатов и лицензий на применение знака соответствия, нормативных и методических документов, содержащих правила, требования, методики и рекомендации по сертификации; обеспечивает участников сертификации информацией о деятельности системы и готовит необходимые материалы для опубликования. 2.4. Органы по сертификации средств защиты информации в пределах установленной области аккредитации:
2.5. Испытательные центры (лаборатории) в пределах установленной области аккредитации:
Испытательные центры (лаборатории) несут ответственность за полноту испытаний средств защиты информации, достоверность, объективность и требуемую точность измерений, своевременную поверку средств измерений и аттестацию испытательного оборудования. 2.6. Заявители (разработчики, изготовители, поставщики, потребители средств защиты информации):
Заявители (разработчики, изготовители, поставщики) должны иметь лицензию Гостехкомиссии России на соответствующий вид деятельности. 2.7. Органы по сертификации и испытательные центры (лаборатории) аккредитуются Гостехкомиссией России. Органы по сертификации и испытательные центры (лаборатории) должны быть юридическими лицами, располагать подготовленными специалистами, необходимыми средствами измерений, испытательным оборудованием и методиками испытаний, нормативными документами для проведения всего комплекса работ по испытаниям конкретных средств защиты информации в своей области аккредитации. Аккредитация производится только при наличии лицензии Гостехкомиссии России на соответствующие виды деятельности. Аккредитация в качестве органов по сертификации и испытательных центров (лабораторий) предприятий, подведомственных федеральным органам исполнительной власти, осуществляется по представлению этих органов власти. 3. ПОРЯДОК ПРОВЕДЕНИЯ СЕРТИФИКАЦИИ И КОНТРОЛЯ 3.1. Порядок проведения сертификации включает следующие действия:
3.2. Подача и рассмотрение заявки на сертификацию средств защиты информации. 3.2.1. Заявитель для получения сертификата направляет в Гостехкомиссию России заявку (Приложение 1) на проведение испытаний с указанием схемы проведения сертификации, стандартов и иных нормативных документов, на соответствие требованиям которых должна проводиться сертификация. 3.2.2. Гостехкомиссия России в месячный срок после получения заявки направляет заявителю , в назначенные для проведения сертификации орган по сертификации и испытательный центр (лабораторию) решение на проведение сертификации (Приложении 2). По желанию заявителя орган по сертификации и испытательный центр (лаборатория) могут быть изменены. После получения решения заявитель обязан представить в орган по сертификации и испытательный центр (лабораторию) средства защиты информации согласно ТУ на это средство, а также комплект технической и эксплуатационной документации, согласно нормативных документов по ЕСКД, ЕСПД на сертифицируемое средство защиты информации. 3.3. Испытания сертифицируемых средств защиты информации в испытательных центрах (лабораториях). 3.3.1. Испытания сертифицируемых средств защиты информации проводятся на образцах, конструкция, состав и технология изготовления которых должны быть такими же, как и у образцов, поставляемых потребителю, заказчику по программам и методикам испытаний, согласованным с заявителем и утвержденным органом по сертификации. Техническая и эксплуатационная документация на серийные средства защиты информации должна иметь литеру не ниже "О1" (по ЕСКД). Количество образцов, порядок их отбора и идентификации должен соответствовать требованиям нормативных и методических документов на данный вид средства защиты информации. В случае отсутствия на момент сертификации испытательных центров (лабораторий) орган по сертификации определяет возможность, место и условия проведения испытаний, обеспечивающих объективность их результатов. 3.3.2. Сроки проведения испытаний устанавливаются договором между заявителем и испытательным центром (лабораторией). 3.3.3. По просьбе заявителя его представителям должна быть предоставлена возможность ознакомиться с условиями хранения и испытаний образцов средств защиты информации в испытательном центре (лаборатории). 3.3.4. Результаты испытаний оформляются протоколами и заключением, которые направляются испытательным центром (лабораторией) органу по сертификации, а в копии - заявителю. 3.3.5, При внесении изменений в конструкцию (состав) средств защиты информации или технологию их производства, которые могут повлиять на характеристики средств защиты информации, заявитель (разработчик, изготовитель, поставщик) извещает об этом орган по сертификации. Последний принимает решение о необходимости проведения новых испытаний этих средств защиты информации. 3.3.6. Сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных. 3.4. Экспертиза результатов испытаний, оформление, регистрация и выдача сертификата и лицензии на право использования знака соответствия. 3.4.1. Орган по сертификации проводит экспертизу результатов испытаний и оформляет экспертное заключение. При соответствии результатов испытаний требованиям нормативных документов по защите информации орган по сертификации оформляет проект сертификата, который вместе с экспертным заключением и ТУ на средство защиты информации направляет в Гостехкомиссию России. После утверждения экспертного заключения, согласования ТУ на средство защиты информации, присвоения сертификату регистрационного номера Гостехкомиссия России оформляет сертификат (Приложение 3) и все документы затем выдаются заявителю. Срок действия сертификата устанавливается не более, чем на пять лет. При несоответствии результатов испытаний требованиям стандартов или иных нормативных документов по защите информации Гостехкомиссия России принимает решение об отказе в выдаче сертификата и направляет заявителю мотивированное заключение. В случае несогласия с отказом в выдаче сертификата заявитель имеет право обратиться в апелляционный совет Гостехкомиссии России для дополнительного рассмотрения материалов сертификации. 3.4.2. Получение изготовителем средств защиты информации сертификата дает ему право получить у Гостехкомиссии России сертификационную лицензию (Приложение 4) на маркировку этих средств знаком соответствия. Форма знака соответствия устанавливается Гостехкомиссией России (Приложение 5). Владелец лицензии на применение знака соответствия несет ответственность за поставку маркированных средств защиты информации, не отвечающих требованиям нормативной и методической документации, указанной в сертификате. 3.4.3. Для признания зарубежного сертификата заявитель направляет его копию и заявку на признание сертификата в Гостехкомиссию России, которая извещает заявителя о признании или необходимости проведения сертификационных испытаний не позднее двух месяцев после их получения. В случае признания - заявителю выдается сертификат установленного образца (Приложение 3). 3.5. Государственный контроль и надзор, инспекционный контроль за соблюдением правил обязательной сертификации и за сертифицированными средствами защиты информации. 3.5.1. Государственный контроль и надзор за соблюдением заявителями, испытательными центрами (лабораториями), органами по сертификации правил обязательной сертификации и за сертифицированными средствами защиты информации осуществляет Гостехкомиссия России. Объем, содержание и порядок государственного контроля и надзора устанавливаются в нормативной и методической документации, действующей в системе сертификации средств защиты информации. 3.5.2. Инспекционный контроль за сертифицированными средствами защиты информации осуществляет орган по сертификации, проводивший сертификацию этих средств защиты информации. Общие правила инспекционного контроля за конкретными видами сертифицированных средств защиты информации устанавливаются в нормативных и методических документах системы сертификации средств защиты информации. Периодичность и объемы испытаний сертифицированных средств защиты информации в испытательных центрах (лабораториях) должны предусматриваться в нормативных и методических документах по сертификации конкретных видов средств защиты информации. 3.5.3. По результатам контроля Гостехкомиссия России может приостановить или отменить действие сертификата и аттестата аккредитации, а орган по сертификации - ходатайствовать об этом. Решение об отмене действия сертификата принимается только в том случае, если в результате принятых незамедлительных мер не может быть восстановлено соответствие средств защиты информации установленным требованиям. Причинами, которые могут заставить принять такое решение, являются:
3.5.4. Информация о приостановлении (отмене) действия сертификата или аттестата аккредитации немедленно доводится до сведения изготовителей, потребителей средств защиты информации, органов по сертификации и испытательных центров (лабораторий). 3.6. Информирование о сертификации средств защиты информации. 3.6.1. Гостехкомиссия России обеспечивает участников сертификации необходимой информацией о деятельности системы сертификации, включающей: перечень средств защиты информации (их сертифицированных параметров), на которые выданы сертификаты; перечень средств защиты информации (их сертифицированных параметров), на которые действие сертификатов отменено; перечень органов по сертификации конкретных видов средств защиты информации; перечень испытательных центров (лабораторий); перечень нормативных документов, на соответствие требованиям которых проводится сертификация средств защиты информации, и методических документов по проведению сертификационных испытаний. 3.7. Рассмотрение апелляций. 3.7.1. Апелляция подается в орган по сертификации, центральный орган системы сертификации или в апелляционный совет Гостехкомиссии России по вопросам, связанным с деятельностью соответственно испытательных центров (лабораторий), органов по сертификации. Апелляция рассматривается в месячный срок с привлечением заинтересованных сторон. О принятом решении извещается податель апелляции. 4. ТРЕБОВАНИЯ К НОРМАТИВНЫМ И МЕТОДИЧЕСКИМ 4.1. Сертификация отечественных и импортируемых средств защиты информации проводится на соответствие требованиям государственных стандартов и иных нормативных документов по безопасности информации, утвержденных Гостехкомиссией России, указываемых в заявке, программах и методиках испытаний. Стандарты на методы испытаний являются обязательными, если в документации на средства защиты информации в части проверки технических характеристик, подлежащих сертификации, установлена ссылка на этот стандарт. 4.2. При утверждении нормативных и методических документов экспертное заключение о них должно содержать сведения об их пригодности для целей сертификации. 4.3. Тексты нормативных и методических документов, используемых при сертификации средства защиты информации, должны быть сформулированы ясно и четко , обеспечивая их точное и единообразное толкование. В разделе "Область применения" должно содержаться указание о возможности использования документа (стандарты, технические требования и т.д.) для целей сертификации. 4.4. В специальном разделе или путем ссылки на другой нормативный или методический документ должны быть установлены методы, условия, объем и порядок испытаний для определения показателей, характеристик и требований, проверяемых при сертификации. Содержание и изложение этих сведений должны быть таковы, чтобы свести к минимуму погрешности результатов испытаний и позволить квалифицированному персоналу любого испытательного центра (лаборатории) получать сопоставимые результаты. Должна быть указана последовательность проведения испытаний, если эта последовательность влияет на результаты испытаний. 4.5. В разделе "Маркировка" должны содержаться требования, которые обеспечивают однозначную идентификацию средства защиты информации, а также указания о способе нанесения знака соответствия. 4.6. Официальным языком системы является русский. Все нормативные и методические документы системы сертификации оформляются на русском языке. Приложение 1 Кому________________________________________________________________
ЗАЯВКА на проведение сертификации средства защиты информации в системе
1.___________________________________________________________________ просит провести сертификацию следующей продукции: по требованиям безопасности информации на соответствие _____________________________________________________________________ 2. Заявитель предлагает провести испытания продукции по схеме _____________________________________________________________________ в____________________________________________________________________ 3. Заявитель обязуется: выполнять все условия сертификации; 5. Дополнительные условия или сведения для договора: а) предварительную проверку производства предлагаем провести в период _____________________________________________________________________
Приложение 2 ГОСУДАРСТВЕННАЯ ТЕХНИЧЕСКАЯ КОМИССИЯ РЕШЕНИЕ от "_____" __________________199__ г. по заявке на проведение сертификации Рассмотрев заявку____________________________________________________ на сертификацию______________________________________________________ сообщаем: 1. Сертификация будет проведена ______________________________________ 2. Испытания сертифицируемой продукции следует провести в__________________ 3. Сертификация будетпроведена на соответствие требованиям 4. Инспекционный контроль будет осуществлять путем испытаний образцов, взятых в торговле и (или) у изготовителя с периодичностью _____________________________________________________________________
Приложение 3 ГОСУДАРСТВЕННАЯ ТЕХНИЧЕСКАЯ КОМИССИЯ СЕРТИФИКАТ № ______________
Выдан "___"_____________ 199 г. Действителен до "___"_____________ 199 г.
Настоящий сертификат удостоверяет, что: 1. __________________________________________________________________ соответствует требованиям_____________________________________________ 2. Сертификат выдан на основании экспертного заключения _________________ и результатов испытаний указанной продукции ____________________________ 3. Заявитель__________________________________________________________
Приложение 4 ГОСУДАРСТВЕННАЯ ТЕХНИЧЕСКАЯ КОМИССИЯ СЕРТИФИКАЦИОННАЯ ЛИЦЕНЗИЯ N________
Выдана "___"_____________ 199 г. Действительна до "___"_____________ 199 г.
Настоящая сертификационная лицензия выдана ___________________________ на применение знака соответствия для маркирования ______________________
Приложение 5 ГОСУДАРСТВЕННАЯ ТЕХНИЧЕСКАЯ КОМИССИЯ ФОРМА И РАЗМЕРЫ ЗНАКА СООТВЕТСТВИЯ Начертания и способ построения знака высотой 100 мм должны соответствовать указанным на чертеже.
|