Устройства, препятствующие утечке данных и обеспечивающие их сохранность от несанкционированного доступа, являются средствами защиты информации (СЗИ). Контроль за техническими характеристиками СЗИ осуществляется с помощью сертификации. Это позволяет предпринимателю своевременно устранять недостатки и несоответствия в системе управления информационной безопасностью. В результате существенно снижаются риски и расходы после возможных инцидентов, связанных с безопасностью данных.
Разновидности СЗИ
Различают несколько групп средств защиты данных:
- технические — способны маскировать и перекрывать каналы утечки информации (генераторы шума, сетевые фильтры, сканирующие радиоприемники, программы прерывания передачи сведений, пожарная сигнализация);
- программные — могут идентифицировать пользователя, зашифровывать сведения, удалять временные файлы, контролировать доступ (антивирусы, криптографические системы, межсетевые экраны, виртуальная частная сеть VPN);
- смешанные — обладают свойствами первых двух групп;
- организационные — обеспечивают подготовку помещений с компьютерами, грамотную прокладку кабельной системы, разработку руководством конкретного предприятия положений и правил работы.
Требования законодательства
Согласно Положению ФСТЭК России №55 от 3.04.2018 г., обязательной оценке соответствия подлежат:
- программы противодействия иностранным техническим разведкам и устройства контроля эффективности СЗИ;
- средства технической защиты важных сведений, составляющих государственную тайну;
- устройства, обеспечивающие безопасность информационных технологий.
Сертификация импортных и отечественных СЗИ проводится по одним и тем же правилам, установленным ПП РФ №608 от 26 июня 1995 г.
По итогам испытаний присваиваются соответствующие уровни доверия. Их всего шесть. Первые три могут применяться в информационных системах, содержащих особо важные сведения — государственную тайну. Остальные уровни доверия присваиваются программам, которые могут применяться в государственных информационных системах (ГИС) и информационных системах персональных данных (ИСПДн).
Административная ответственность
Статья 13.12. КоАП РФ предусматривает наказание за нарушение правил защиты данных:
- штрафные санкции в сумме до 30 т.р. (нарушение условий лицензирования, использование несертифицированных продуктов);
- конфискация нелегальной продукции.
Преимущества добровольной сертификации
Если устройство не вошло в список для обязательной сертификации, предприниматель может пройти добровольную оценку соответствия.
Процедура позволит:
- повысить имидж предприятия;
- участвовать в государственных тендерах;
- сотрудничать с крупными заказчиками;
- увеличить оборот продукции и прибыльность бизнеса.
Схемы оценки соответствия
Выбор схемы проведения сертификации СЗИ зависит от формы изготовления продукции:
| Объект контроля |
Порядок исследований |
| Единичные образцы |
Экспертиза товара на соответствие требованиям по защите информации |
| Серийный выпуск |
Исследование образцов СЗИ на соблюдение установленных стандартов по охране информации и последующий инспекционный контроль за сертифицированными товарами. Также имеет место предварительная проверка производства. |
Как выглядит сертификат на средства защиты информации?
Документ включает в себя сведения о:
- наименовании и адресе заявителя;
- описании продукции, уровне доверия, области применения;
- результатах проведенных лабораторных испытаний;
- названии и реквизитах аккредитованной лаборатории;
- инспекционном контроле и маркировке;
- регистрационном номере;
- дате выдачи и сроке действия;
- подписи ответственного лица.
Период действия сертификата на средства защиты информации не может превышать пять лет.
Какие документы требуется предоставить?
В сертификационный орган заявителю необходимо предъявить следующие сведения:
- копии регистрационных документов (ИНН, ОГРН, ЕГРЮЛ, устава);
- действующая лицензия на ведение деятельности;
- подробное описание товара, его назначение, характеристики;
- имеющиеся зарубежные сертификаты (при наличии);
- технические и эксплуатационные документы на продукцию (паспорт);
- контракт на поставку для импортных средств.
Процедура сертификации
Рассмотрим основные этапы оценки соответствия:
- подача заявки на проведение сертификации средств защиты информации предприятием-изготовителем в центр “Севтест”;
- заключение договора на оказание услуг;
- подготовка и предоставление заявителем необходимой информации;
- отбор образцов продукции для исследования;
- экспертиза товара в специализированной лаборатории и (при необходимости) аттестация производства;
- подготовка протокола лабораторных испытаний;
- анализ полученных результатов;
- оформление и регистрация сертификата на право использования знака соответствия;
- выдача готового документа заявителю;
- маркировка СЗИ;
- осуществление инспекционного контроля за сертифицированными товарами уполномоченным органом (центром).
Условия аннулирования сертификата
По результатам контроля действие сертификата может быть приостановлено или аннулировано, если:
- были внесены изменения в действующее законодательство касаемо требований к СЗИ, методам их испытаний;
- зафиксировано изменение технологии производства, конструкции, комплектности товара;
- установлено нарушение требований технологии, контроля и испытаний продукции;
- выявлено несоответствие сертифицированной продукции действующим стандартам;
- заявитель отказал в допуске инспекторов на производство.
Условия проведения процедуры
Центр “Севтест” предлагает услуги по сертификации СЗИ в минимальные сроки.
Мы проводим подтверждение соответствия:
- защищенности от несанкционированного доступа;
- отсутствия недекларированных возможностей;
- продуктов ИТ согласно требованиям ГОСТ Р ИСО/МЭК 15408;
- программных датчиков случайных чисел по криптографическим и инженерно-криптографическим требованиям;
- безопасности технологии разработки и др.
Стоимость процедуры можно узнать у нашего менеджера по телефону или с помощью формы обратной связи на нашем сайте.
