- Ii. система сертификации фстэк россии
- Лицензии и сертификаты соответствия федеральной службы по техническому и экспортному контролю (фстэк) россии
- Прекращение действия сертификата соответствия
- Принятие решения о проведении сертификации средства защиты информации
- Сертификационные испытания средства защиты информации
Ii. система сертификации фстэк россии
5. Участниками системы сертификации ФСТЭК России являются:
федеральный орган по сертификации;
организации, аккредитованные ФСТЭК России в качестве органа по сертификации (далее – органы по сертификации);
организации, аккредитованные ФСТЭК России в качестве испытательной лаборатории (далее – испытательные лаборатории);
изготовители средств защиты информации.
6. ФСТЭК России в соответствии с подпунктами 13 и 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085, организует проведение сертификации средств защиты информации, разрабатывает и устанавливает в пределах своей компетенции требования по безопасности информации к средствам защиты информации, а также в соответствии с Положением о сертификации средств защиты информации, утвержденным постановлением Правительства Российской Федерации от 26 июня 1995 г. N 608, выполняет функции федерального органа по сертификации.
7. Органы по сертификации осуществляют сертификацию средств защиты информации, оформляют сертификаты соответствия средств защиты информации требованиям по безопасности информации (далее – сертификат соответствия).
8. Испытательные лаборатории проводят сертификационные испытания средств защиты информации и по их результатам оформляют технические заключения и протоколы. Испытательные лаборатории должны обеспечивать полноту сертификационных испытаний средств защиты информации и достоверность их результатов.
9. Изготовители разрабатывают и (или) производят средства защиты информации в соответствии с требованиями по безопасности информации.
Изготовители средств защиты информации, составляющей государственную тайну, должны иметь лицензию ФСТЭК России на проведение работ, связанных с созданием средств защиты информации, составляющей государственную тайну <1>.
Изготовители средств защиты информации ограниченного доступа, не составляющей государственную тайну, должны иметь лицензию ФСТЭК России на деятельность по разработке и производству средств защиты конфиденциальной информации <2>.
10. Заявителями на осуществление сертификации являются изготовители, а также федеральные органы государственной власти, органы государственной власти субъектов Российской Федерации, органы местного самоуправления и организации, планирующие применять средства защиты информации.
11. Заявители должны обеспечивать соответствие сертифицированных средств защиты информации требованиям по безопасности информации, а также осуществлять устранение недостатков и дефектов средств защиты информации, в том числе устранение уязвимостей и недекларированных возможностей программного обеспечения средств защиты информации, информирование потребителей об обновлении программного обеспечения средств защиты информации, доведение до потребителей обновлений программного обеспечения средств защиты информации, а также изменений в эксплуатационную документацию (далее – техническая поддержка средств защиты информации).
12. Сертификация средств защиты информации осуществляется по следующим схемам:
для единичного образца средства защиты информации – проведение испытаний образца средства защиты информации и проверки организации его технической поддержки;
для партии средства защиты информации – проведение испытаний выборки образцов средства защиты информации и проверки организации его технической поддержки;
для серийного производства средства защиты информации – проведение испытаний выборки образцов средства защиты информации и проверки организации его производства и технической поддержки.
Сертификация единичного образца или партии средства защиты информации организуется заявителем, планирующим применять средство защиты информации, в случае, если отсутствуют идентичные серийно производимые сертифицированные средства защиты информации.
Сертификация серийного производства средства защиты информации организуется заявителем, осуществляющим разработку и (или) производство средства защиты информации.
13. Сертификационные испытания средств защиты информации проводятся на материально-технической базе испытательной лаборатории, а также на материально-технических базах заявителя и (или) изготовителя, расположенных на территории Российской Федерации.
14. Срок действия сертификата соответствия не может превышать 5 лет <3>.
Сертификат соответствия выдается на срок, указанный в заявке на сертификацию.
15. По окончании срока действия сертификата соответствия заявитель вправе подать заявку на продление срока действия сертификата соответствия.
Средство защиты информации может применяться по окончании срока действия сертификата соответствия при условии соблюдения требований по безопасности информации и осуществления заявителем его технической поддержки.
16. Сертификация средств защиты информации осуществляется на основании договоров, заключаемых заявителем с испытательной лабораторией и органом по сертификации <4>.
17. Органы по сертификации, испытательные лаборатории должны обеспечивать защиту информации о средствах защиты информации, о требованиях по безопасности информации, методиках сертификационных испытаний в рамках систем менеджмента информационной безопасности.
Органы по сертификации и испытательные лаборатории на основании заключенных договоров обязаны обеспечивать защиту информации, обладателем которой является заявитель.
Лицензии и сертификаты соответствия федеральной службы по техническому и экспортному контролю (фстэк) россии
Использование сертифицированных (прошедших процедуру оценки соответствия) решений согласно действующему законодательству требуется, если необходимо обеспечить защиту локальных сетей и отдельных компьютеров государственных органов, а также если компании или организации обрабатывают персональные данные, конфиденциальные данные или данные, содержащие государственную тайну, а также обеспечивают защиту критически важных объектов.
Согласно Постановлению Правительства от 1 ноября 2021 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» для выполнения требований по защите персональных данных (ПДн) требуется:
г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
Практически в обязательном порядке, если его установка возможна. В соответствии с Приказом ФСТЭК от 18 февраля 2021 г. № 21:
8. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
- …
- антивирусная защита;
- …
Фраза достаточно однозначная и не допускающая толкований.
В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ (в текущей редакции от 31.12.2021) «О персональных данных», «персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу». В том числе к персональным данным относятся:
Сведения о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющие идентифицировать его личность (персональные данные), за исключением сведений, подлежащих распространению в средствах массовой информации в установленных федеральными законами случаях.
Указ Президента РФ от 6 марта 1997 г. № 188
В соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ (в текущей редакции от 31.12.2021) «О персональных данных», «обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных». При этом автоматизированная обработка персональных данных — это «обработка персональных данных с помощью средств вычислительной техники».
Таким образом, любые действия с персональными данными, начиная с их приема или ввода и заканчивая удалением, в том числе без участия человека, — считаются обработкой и требуют защиты.
Обратитесь в службу поддержки, выбрав Работа ПО Dr.Web — Тех. вопрос о работе продуктов Dr.Web.
Отправьте запрос на демо и укажите в нем, ссылка на какой сертифицированный продукт вам необходима. После покупки медиапакета вам не придется переустанавливать Dr.Web.
- Поставка в печатной форме (Dr.Web сертифицированный ФСТЭК России (сертификат №3509 действует до 27.01.2024), BOX-WSFULL, стоимость 1200 р.)
- Поставка в электронном виде (Право использования программы для ЭВМ “Мастер скачиваний” с расширенным функционалом, CERT-FST, стоимость 1000 р.)
При проверке компьютерного рабочего места, занятого в обработке ИСПДн, контролирующие органы имеют право потребовать от компании документального подтверждения того, что антивирус, установленный на этом рабочем месте, соответствует требованиям Федерального закона № 152-ФЗ «О персональных данных». В этом случае клиент может предъявить документы на покупку сертифицированного изделия, поставляемого одним из двух способов:
- В виде электронных носителей информации (дисков) с размещенными на них дистрибутивами Dr.Web и эксплуатационной документацией, формуляра, маркированного знаком соответствия Системы сертификации средств защиты информации. Поставка осуществляется в картонном конверте.
- В виде файлов, содержащих дистрибутивы сертифицированного изделия (согласно приобретенной лицензии), формуляра, подписанного электронной подписью и эксплуатационной документации к изделию. Поставка осуществляется с сайта ООО «Доктор Веб» при наличии серийного номера, сгенерированного для сертифицированного программного изделия.
Нет. Согласно пункту 70 Положения о системе сертификации средств защиты информации, утв. приказом ФСТЭК России от 03 апреля 2021 г. № 55 “Маркирование средств защиты информации, являющихся программным обеспечением, распространяемым по сетям связи, осуществляется с применением электронной подписи или любым способом, подтверждающим подлинность средств защиты информации.”
- В случае приобретения медиапакета на физическом носителе (коробка) сертифицированные продукты Dr.Web поставляются на DVD-дисках, входящих в состав медиапакетов. Установка должна производиться с дисков. Обновление версий возможно проводить в электронном виде. Для этого надо обратиться в службу поддержки и получить ссылки на новые версии сертифицированных продуктов Dr.Web.
В случае приобретения медиапакета в электронном виде сертифицированные продукты необходимо скачать в Мастере скачиваний.
Чтобы иметь возможность скачивать сертифицированные ФСТЭК России продукты Dr.Web, необходимо чтобы в коде продукта вашего серийного номера было сочетание FST (это можно проверить в Менеджере лицензий).
После ввода серийного номера появится пункт «Скачать продукты Dr.Web, сертифицированные ФСТЭК».
Мастер скачиваний предоставит доступ только к дистрибутивам сертифицированных продуктов.
Обратите внимание на ссылку «Формуляр», с помощью которой можно загрузить формуляр в электронном виде.
Да. Обратитесь в службу поддержки, выбрав Работа ПО Dr.Web — Тех. вопрос о работе продуктов Dr.Web. Предоставьте документы об оплате сертифицированого пакета версии 10. Вам будет выслана специальная ссылка для скачивания. Переустанавливать Dr.Web после получения медиапакета с DVD будет не нужно.
Если все офисы и филиалы удалены друг от друга, удобнее купить по комплекту в каждый офис и филиал, чем пересылать один комплект для установки в каждый офис. Также при проверке со стороны регулятора в части использования сертифицированного ПО, удобнее иметь сертифицированный медиапакет на месте.
- на 1 или 2 ПК с электронным медиапакетом
- либо от 5 ПК и более (и с электронным и с физическим медиапакетом).
Узнайте цены на этой странице.
Обратитесь в службу поддержки, выбрав Помощь в выборе антивируса, или закажите обратный звонок.
Нет. Скидка полагается только на лицензию.
Автоматическое повышение до версии 11 не произойдет. Чтобы перейти на версию 11, необходимо установить Dr.Web с DVD, входящего в состав медиапакета для версии 11. Для этого его надо приобрести.
Необходимо приобрести новую коробку с версией 11 и установить Dr.Web с DVD, входящего в состав комплекта.
Нет, если требуется дозакупка сертифицированного медиапакета с тем же сертификатом соответствия.
Нет. В связи с тем, что данная версия устарела и более не поддерживается, то в соответствии с действующими правилами использования сертифицированных продуктов, компании не имеют права использовать сертифицированный ФСТЭК России Dr.Web версии 6.
В Конструкторе лицензий для бизнеса:
Выберите Dr.Web Desktop Security Suite
На шаге 3 в поле Рабочие станции укажите 1 или 2 ПК.
Там же укажите вид поставки.
Мы продаем лицензии либо на 1 или 2 ПК, либо от 5 ПК и более.
В Конструкторе лицензий для бизнеса:
Выберите Dr.Web Desktop Security Suite
На шаге 3 в поле Рабочие станции укажите 5 ПК.
Там же укажите вид поставки.
Мы продаем лицензии либо на 1 или 2 ПК, либо от 5 ПК и более.
Вы также можете приобрести коробочный продукт «Малый бизнес» (в этом случае у вас будут диски с сертифицированными ФСТЭК России версиями продуктов Dr.Web) или комплект «Dr.Web Универсальный» (в коробке или в виде электронной лицензии).
Есть несколько вариантов:
Приобретите медиапакет у наших партнёров, либо, при наличии серийного номера с префиксом в коде продукта FST (это можно проверить в Менеджере лицензий), скачайте сертифицированные дистрибутивы с сайта компании «Доктор Веб». Выполните установку сертифицированных дистрибутивов.
Для каждой версии есть свои особенности перехода. Поэтому перед переходом на новую версию обязательно проконсультируйтесь со службой технической поддержки, оформив письменный запрос.
Напишите запрос в службу техподдержки, обязательно приложив к нему:
- документы, подтверждающие покупку медиакомплекта (товарную накладную или копию оплаченного счета о покупке сертифицированного медиакомплекта);
- номер наклейки или серийный номер (в случае покупки электронного медиапакета).
- Путем скачивания файлов, содержащих дистрибутивы сертифицированного изделия (согласно приобретенной лицензии), формуляра, эксплуатационной документации к изделию, в случае, если у Вас есть серийный номер с кодом продукта FST (проверьте ваш серийный номер в Менеджере лицензий).
- Обратиться в службу техподдержки за предоставлением ссылок на сертифицированные дистрибутивы. К запросу необходимо приложить копию документов, подтверждающих покупку сертифицированного медиа-пакета (товарную накладную или копию оплаченного счета о покупке сертифицированного медиакомплекта).
- Приобрести новый медиапакет и обновить ПО Dr.Web, используя дистрибутив, который находится на компакт-диске или скачав его через Мастер скачиваний.
Номер программного изделия соответствует номеру, указанному на специальном знаке соответствия. Номер программного изделия привязан к номеру, указанному на специальном защитном знаке (голографической наклейке). Защитный знак размещен в формуляре, в разделе «Об упаковке и маркировке».
В случае приобретения электронного медиапакета номер программного изделия будет отсутствовать, т.к. согласно пункту 70 Положения о системе сертификации средств защиты информации, утв. приказом ФСТЭК России от 03 апреля 2021 г. № 55 “Маркирование средств защиты информации, являющихся программным обеспечением, распространяемым по сетям связи, осуществляется с применением электронной подписи или любым способом, подтверждающим подлинность средств защиты информации.
Рекомендуется перейти на версию 11, поскольку версия 10 морально устарела, и приобрести новый медиапакет.
Если всё же будет использоваться версия 10, то приобретать новый медиапакет не надо. Обновления дистрибутивов в этом случае предоставляются по письменному запросу через форму поддержки.
После ввода серийного номера появится пункт «Скачать продукты Dr.Web, сертифицированные ФСТЭК».
Мастер скачиваний предоставит доступ только к дистрибутивам сертифицированных продуктов.
Обратите внимание на ссылку «Формуляр», с помощью которой можно загрузить формуляр в электронном виде.
Прекращение действия сертификата соответствия
89. Действие сертификата соответствия прекращается в случае:
непредставления заявителем в установленный срок материалов, подтверждающих устранение несоответствия средства защиты информации требованиям по безопасности информации;
невозобновления заявителем в установленный срок технической поддержки средства защиты информации;
обращения заявителя о прекращении действия сертификата соответствия.
90. Решение о прекращении действия сертификата соответствия оформляется приказом ФСТЭК России.
ФСТЭК России в течение 5 рабочих дней со дня принятия решения направляет заказным почтовым отправлением с уведомлением о вручении или вручает заявителю уведомление о прекращении действия сертификата соответствия.
91. В случае прекращения действия сертификата соответствия заявитель должен прекратить производство и реализацию сертифицированного средства защиты информации, если такие мероприятия не были проведены в связи с приостановлением действия сертификата соответствия.
92. ФСТЭК России вносит сведения о прекращении действия сертификата соответствия в государственный реестр сертифицированных средств защиты информации.
Приложение N 1к Положению о системе сертификациисредств защиты информации,утвержденному приказом ФСТЭК Россииот 3 апреля 2021 г. N 55
Рекомендуемый образец
| Федеральная служба по техническому и экспортному контролю | ||||
| ЗАЯВКА на ____________________________________________________________________________________________________ (сертификацию средства защиты информации, продление срока действия сертификата соответствия) | ||||
| Наименование средства защиты информации: | ||||
| Назначение средства защиты информации: | ||||
| степень секретности защищаемой информации, категория объекта информатизации, тип и класс защищенности информационной (автоматизированной) системы | ||||
| Заявитель: | ||||
| организационно-правовая форма и наименование | ||||
| Адрес местонахождения заявителя: | ||||
| Почтовый адрес заявителя: | ||||
| Лицензии ФСТЭК России, имеющиеся у заявителя: | ||||
| номера и даты выдачи лицензий | ||||
| Ф.И.О. руководителя заявителя: | ||||
| Ф.И.О. лица, ответственного за сертификацию средства защиты информации: | ||||
| Контактный телефон (телефоны) заявителя: | ||||
| Адрес электронной почты заявителя: | ||||
| Разработчик (разработчики) средства защиты информации (при наличии разработчика средства защиты информации): | ||||
| наименование, адрес местонахождения | ||||
| Лицензии ФСТЭК России, имеющиеся у разработчика (разработчиков) средства защиты информации: | ||||
| номера и даты выдачи лицензий | ||||
| Правообладатель (правообладатели) средства защиты информации (при наличии правообладателя (правообладателей) средства защиты информации): | ||||
| наименование лица (лиц), обладающего (обладающих) исключительными правами на средство защиты информации, адрес его (их) местонахождения | ||||
| Испытательная лаборатория: | ||||
| наименование, адрес местонахождения | ||||
| Тип средства защиты информации: | ||||
| наименование типа (наименования типов) средства защиты информации | ||||
| Требования по безопасности информации: | ||||
| наименования документов, на соответствие которым планируется проводить сертификацию средства защиты информации | ||||
| Схема сертификации средства защиты информации: | ||||
| Заявляемый срок действия сертификата соответствия | ||||
| Место проведения сертификационных испытаний: | ||||
| адрес места (адреса мест) проведения сертификационных испытаний, наименование лица, на материально-технической базе которого планируется проводить сертификационные испытания средства защиты информации | ||||
| Приложение | 1. Документы, прилагаемые к заявке | |||
| 2. Опись прилагаемых к заявке документов | ||||
| Должность руководителя заявителя (лица, которое в силу закона или учредительных документов выступает от его имени) | М.П. (при наличии) | подпись | инициалы, фамилия “____”____________ 20__ г. | |
| Должность руководителя испытательной лаборатории | М.П. (при наличии) | подпись | инициалы, фамилия “____”____________ 20__ г. | |
Приложение N 2к Положению о системе сертификациисредств защиты информации,утвержденному приказом ФСТЭК Россииот 3 апреля 2021 г. N 55
Рекомендуемый образец
Приложение N 3к Положению о системе сертификациисредств защиты информации,утвержденному приказом ФСТЭК Россииот 3 апреля 2021 г. N 55
Рекомендуемый образец
| Специальный защитный знак ФСТЭК России | Система сертификации средств защиты информации ФСТЭК России | ||||||||||||||||||||||||||||||||||||||
| СЕРТИФИКАТ СООТВЕТСТВИЯ N | |||||||||||||||||||||||||||||||||||||||
| номер сертификата соответствия | |||||||||||||||||||||||||||||||||||||||
| Выдан: | |||||||||||||||||||||||||||||||||||||||
| дата выдачи сертификата соответствия | |||||||||||||||||||||||||||||||||||||||
| Действителен до: | |||||||||||||||||||||||||||||||||||||||
| дата окончания срока действия сертификата соответствия | |||||||||||||||||||||||||||||||||||||||
| Переоформлен: | |||||||||||||||||||||||||||||||||||||||
| дата переоформления сертификата соответствия | |||||||||||||||||||||||||||||||||||||||
| Дубликат, оригинал сертификата соответствия признается недействующим (в случае предоставления дубликата) | |||||||||||||||||||||||||||||||||||||||
| Настоящий сертификат удостоверяет, что | |||||||||||||||||||||||||||||||||||||||
| наименование средства защиты информации | |||||||||||||||||||||||||||||||||||||||
| ( | ), | ||||||||||||||||||||||||||||||||||||||
| схема сертификации средства защиты информации, заводские номера и номера знаков соответствия | |||||||||||||||||||||||||||||||||||||||
| разработанное | , | ||||||||||||||||||||||||||||||||||||||
| наименование лица, разработавшего средство защиты информации | |||||||||||||||||||||||||||||||||||||||
| произведенное | , | ||||||||||||||||||||||||||||||||||||||
| наименование лица, осуществляющего производство средства защиты информации | |||||||||||||||||||||||||||||||||||||||
| является | , | ||||||||||||||||||||||||||||||||||||||
| наименование типа (типов), к которым относится средство защиты информации | |||||||||||||||||||||||||||||||||||||||
| соответствует требованиям | . | ||||||||||||||||||||||||||||||||||||||
| наименования документов, на соответствие которым проведена сертификация средства защиты информации с указанием классов защиты (при наличии) | |||||||||||||||||||||||||||||||||||||||
| Сертификат выдан на основании результатов сертификационных испытаний, проведенных испытательной лабораторией | |||||||||||||||||||||||||||||||||||||||
| наименование испытательной лаборатории | |||||||||||||||||||||||||||||||||||||||
| (аттестат аккредитации | ) | ||||||||||||||||||||||||||||||||||||||
| дата выдачи и номер аттестата аккредитации испытательной лаборатории | |||||||||||||||||||||||||||||||||||||||
| техническое заключение от | . | ||||||||||||||||||||||||||||||||||||||
| дата утверждения технического заключения | |||||||||||||||||||||||||||||||||||||||
| экспертного заключения от | |||||||||||||||||||||||||||||||||||||||
| дата утверждения экспертного заключения | |||||||||||||||||||||||||||||||||||||||
| органа по сертификации | |||||||||||||||||||||||||||||||||||||||
| наименование органа по сертификации | |||||||||||||||||||||||||||||||||||||||
| (аттестат аккредитации | ) | ||||||||||||||||||||||||||||||||||||||
| дата выдачи и номер аттестата аккредитации органа по сертификации | |||||||||||||||||||||||||||||||||||||||
| и результатов дополнительных сертификационных испытаний, проведенных испытательной лабораторией | |||||||||||||||||||||||||||||||||||||||
| наименование испытательной лаборатории | |||||||||||||||||||||||||||||||||||||||
| (аттестат аккредитации | ), | ||||||||||||||||||||||||||||||||||||||
| дата выдачи и номер аттестата аккредитации испытательной лаборатории | |||||||||||||||||||||||||||||||||||||||
| техническое заключение от | . | ||||||||||||||||||||||||||||||||||||||
| даты утверждения технических заключений по результатам дополнительных сертификационных испытаний | |||||||||||||||||||||||||||||||||||||||
| Должность уполномоченного лица ФСТЭК России | |||||||||||||||||||||||||||||||||||||||
| М.П. | подпись | инициалы, фамилия | |||||||||||||||||||||||||||||||||||||
Принятие решения о проведении сертификации средства защиты информации
23. ФСТЭК России рассматривает заявку на сертификацию и прилагаемые к ней документы в течение месяца <6> со дня получения заявки на сертификацию.
24. Заявка на сертификацию и (или) прилагаемые к ней документы возвращаются для доработки в случае отсутствия сведений или документов, предусмотренных пунктами 20 и 21 настоящего Положения, а также в случае несоответствия документов, прилагаемых к заявке на сертификацию, требованиям по безопасности информации.
25. По итогам рассмотрения заявки на сертификацию и прилагаемых к ней документов в проведении сертификации средства защиты информации может быть отказано.
Основаниями для отказа в проведении сертификации средства защиты информации являются:
несоответствие назначения средства защиты информации компетенции ФСТЭК России;
отсутствие у заявителя и (или) изготовителя лицензии ФСТЭК России в случае, если наличие такой лицензии предусмотрено законодательством Российской Федерации;
наличие в заявке на сертификацию и (или) в прилагаемых к ней документах недостоверных сведений;
наличие в банке данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г.
26. Уведомление об отказе в проведении сертификации средства защиты информации или уведомление о необходимости доработки заявки на сертификацию и (или) прилагаемых к ней документов в срок не более трех дней со дня принятия решения подписывается уполномоченным должностным лицом ФСТЭК России и вручается заявителю или направляется ему заказным почтовым отправлением с уведомлением о вручении.
27. В случае принятия решения о проведении сертификации средства защиты информации в решении указываются:
номер и дата принятия решения;
наименование средства защиты информации;
назначение средства защиты информации;
полное и сокращенное (в случае, если имеется) наименование заявителя, его организационно-правовая форма, адрес местонахождения заявителя;
наименование испытательной лаборатории, в которой будут проведены сертификационные испытания средства защиты информации;
наименование органа по сертификации, в котором будет проведена сертификация средства защиты информации;
документы, на соответствие требованиям которых должна проводиться сертификация средства защиты информации;
схема сертификации средства защиты информации;
наименование лица, на материально-технической базе которого планируется проводить сертификационные испытания средства защиты информации, адрес места (адреса мест) проведения сертификационных испытаний.
Решение о проведении сертификации средства защиты информации оформляется в четырех экземплярах, подписывается уполномоченным должностным лицом ФСТЭК России и направляется заказным почтовым отправлением с уведомлением о вручении или вручается по одному экземпляру заявителю, испытательной лаборатории и органу по сертификации.
28. В случае сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в технических условиях, техническом задании или задании по безопасности, ФСТЭК России рассматривает и согласовывает технические условия, техническое задание или задание по безопасности, прилагаемые к заявке на сертификацию.
Один экземпляр технических условий, технического задания или задания по безопасности прикладывается к решению о проведении сертификации средства защиты информации и направляется заявителю.
В ходе проведения сертификации средства защиты информации в технические условия, техническое задание или задание по безопасности могут вноситься изменения по согласованию с ФСТЭК России.
29. Не допускается проводить сертификацию (сертификационные испытания) средства защиты информации до принятия решения о проведении сертификации средства защиты информации.
30. Заявитель должен в трехдневный срок письменно известить ФСТЭК России о заключении договоров с испытательной лабораторией и органом по сертификации с указанием определенного договорами срока проведения сертификации средства защиты информации.
31. Решение о проведении сертификации средства защиты информации подлежит переоформлению в случаях:
изменения наименования средства защиты информации;
замены испытательной лаборатории или органа по сертификации, в том числе в связи с приостановлением, прекращением действия аттестатов аккредитации испытательной лаборатории или органа по сертификации;
изменения состава документов, на соответствие которым проводится сертификация средства защиты информации;
изменения схемы сертификации средства защиты информации, в том числе изменения количества образцов в партии средств защиты информации;
изменения места (мест) проведения сертификационных испытаний.
32. Обращение заявителя с обоснованием необходимости переоформления решения о проведении сертификации средства защиты информации направляется в ФСТЭК России заказным почтовым отправлением с уведомлением о вручении или представляется непосредственно в ФСТЭК России.
33. Решение о проведении сертификации средства защиты информации переоформляется в четырех экземплярах в течение 10 рабочих дней со дня поступления обращения заявителя, подписывается уполномоченным должностным лицом ФСТЭК России и направляется заказными почтовыми отправлениями с уведомлением о вручении или вручается по одному экземпляру заявителю, испытательной лаборатории и органу по сертификации.
34. В случае отказа в переоформлении решения о проведении сертификации средства защиты информации уведомление с обоснованием отказа подписывается уполномоченным должностным лицом ФСТЭК России и вручается заявителю или направляется ему заказным почтовым отправлением с уведомлением о вручении.
35. Решение о проведении сертификации средства защиты информации аннулируется в случае:
обращения заявителя о прекращении сертификации средства защиты информации;
незаключения заявителем договоров с испытательной лабораторией и органом по сертификации на проведение сертификации по истечении 1 года с даты принятия решения о проведении сертификации средства защиты информации.
36. Уведомление об аннулировании решения о проведении сертификации средства защиты информации подписывается уполномоченным должностным лицом ФСТЭК России и направляется заказными почтовыми отправлениями с уведомлением о вручении или вручается заявителю, испытательной лаборатории и органу по сертификации.
Сертификационные испытания средства защиты информации
37. В целях подготовки к проведению сертификационных испытаний средства защиты информации заявитель представляет для предварительного рассмотрения в испытательную лабораторию и орган по сертификации следующую документацию на средство защиты информации:
технические условия;
задание по безопасности (в случае его разработки в соответствии с требованиями по безопасности информации);
формуляр (паспорт) на средство защиты информации;
иную конструкторскую (программную) и эксплуатационную документацию на средство защиты информации, предусмотренную требованиями по безопасности информации.
В целях соблюдения конфиденциальности информации о средстве защиты информации документация на средство защиты информации может быть представлена заявителем непосредственно на месте проведения сертификационных испытаний средства защиты информации.
38. Заявитель обязан предоставить возможность предварительного ознакомления испытательной лаборатории и органа по сертификации с образцом средства защиты информации.
39. В случае невозможности представления образца средства защиты информации в испытательную лабораторию и орган по сертификации по причине его массогабаритных характеристик или необходимости демонтажа, образец средства защиты информации может быть представлен заявителем непосредственно на месте проведения сертификационных испытаний средства защиты информации.
40. Испытательная лаборатория и орган по сертификации осуществляют предварительное рассмотрение образца средства защиты информации и документации на средство защиты информации в срок не более 45 календарных дней. Перечень выявленных недостатков с предложениями по их устранению направляется заявителю.
41. Если выявленные недостатки не могут быть устранены в сроки, предусмотренные договором на проведение сертификации средства защиты информации, орган по сертификации представляет в ФСТЭК России предложение об отказе в выдаче сертификата соответствия и извещает об этом заявителя.
42. Для проведения сертификационных испытаний средства защиты информации испытательная лаборатория разрабатывает программу и методику сертификационных испытаний средства защиты информации в соответствии с требованиями по безопасности информации и методическими документами, утвержденными ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085.
Программа и методика сертификационных испытаний средства защиты информации должны содержать описание средства защиты информации, количество образцов средства защиты информации, необходимых для проведения сертификационных испытаний, сроки проведения испытаний, правила отбора образцов средства защиты информации, состав и порядок испытаний средства защиты информации, методы испытаний и применяемые средства, требования к конструкторской, программной и эксплуатационной документации.
43. Программа и методика сертификационных испытаний средства защиты информации согласовываются с заявителем и представляются на утверждение в орган по сертификации.
Орган по сертификации в течение 30 календарных дней рассматривает программу и методику сертификационных испытаний средства защиты информации и при отсутствии недостатков утверждает их.
В случае выявления недостатков орган по сертификации в течение трех календарных дней возвращает программу и методику сертификационных испытаний средства защиты информации в испытательную лабораторию на доработку, о чем уведомляет заявителя.
Испытательная лаборатория в течение 10 календарных дней устраняет недостатки, повторно согласовывает программу и методику сертификационных испытаний с заявителем и представляет их в орган по сертификации на утверждение.
Общий срок рассмотрения и утверждения программы и методики сертификационных испытаний средства защиты информации органом по сертификации не должен превышать 60 календарных дней.
Орган по сертификации письменно информирует ФСТЭК России об утверждении программы и методики сертификационных испытаний средства защиты информации.
44. Испытательная лаборатория осуществляет отбор образца (образцов) средств защиты информации, необходимых для проведения сертификационных испытаний.
При сертификации партии средства защиты информации для осуществления отбора образцов средства защиты информации должна быть представлена вся партия средства защиты информации.
При сертификации серийного производства средства защиты информации для осуществления отбора образцов средства защиты информации должна быть представлена партия средства защиты информации, численность которой не менее чем в два раза превышает количество образцов средства защиты информации, которое необходимо отобрать для проведения сертификационных испытаний.
Отбираемый образец (образцы) средства защиты информации по конструкции, составу и технологии изготовления должен (должны) соответствовать образцам средства защиты информации, предназначенным для реализации потребителю.
Объем выборки образцов средства защиты информации определяется исходя из условий статистической достоверности и с учетом затрат заявителя в случае, если при проведении сертификационных испытаний возможен вывод из строя образца (образцов) средства защиты информации.
45. По результатам отбора составляется акт отбора образца (образцов) средства защиты информации, в котором указываются:
номер и дата решения о проведении сертификации;
дата осуществления отбора образца (образцов) средства защиты информации;
наименование средства защиты информации;
наименование заявителя;
наименование испытательной лаборатории;
фамилия, имя и отчество (при наличии) специалиста (специалистов) испытательной лаборатории, производившего (производивших) отбор образца (образцов) средства защиты информации;
фамилия, имя и отчество (при наличии) специалиста (специалистов) заявителя, присутствовавшего (присутствовавших) при отборе образца (образцов) средства защиты информации;
схема сертификации средства защиты информации (при сертификации партии средства защиты информации указывается количество образцов средства защиты информации в партии);
количество образцов в партии средства защиты информации, представленной для осуществления отбора образца (образцов) средства защиты информации с указанием заводских номеров образцов средства защиты информации;
количество отобранных образцов средства защиты информации, с указанием их заводских номеров;
контрольные суммы программного обеспечения образца (образцов) средства защиты информации (при наличии программного обеспечения средства защиты информации).
Акт отбора образца (образцов) средства защиты информации подписывается специалистами заявителя и испытательной лаборатории, участвовавшими в отборе образца (образцов) средства защиты информации, и утверждается руководителем испытательной лаборатории.
46. Испытательная лаборатория проводит сертификационные испытания в соответствии с утвержденными органом по сертификации программой и методикой сертификационных испытаний средства защиты информации.
Орган по сертификации осуществляет контроль проведения сертификационных испытаний. Эксперт (эксперты) органа по сертификации может (могут) присутствовать при проведении сертификационных испытаний.
47. Сертификационные испытания включают:
проведение испытаний отобранного образца (образцов) средства защиты информации, предусматривающих оценку соответствия параметров и характеристик (функций безопасности информации) средства защиты информации требованиям по безопасности информации;
проверку организации технической поддержки средства защиты информации, предусматривающую оценку соответствия работ (услуг) по технической поддержке средства защиты информации в ходе его эксплуатации, проводимых (предоставляемых) заявителем, требованиям по безопасности информации;
проверку организации производства средства защиты информации, предусматривающую оценку соответствия работ по изготовлению средства защиты информации с целью подтверждения неизменности параметров и характеристик (функций безопасности информации) образцов серийно производимого средства защиты информации требованиям по безопасности информации (при сертификации производства средства защиты информации).
При проверке организации производства программных и программно-технических средств защиты информации проверяется внедрение заявителем процедур безопасной разработки программного обеспечения.
Сертификационные испытания проводятся в сроки, установленные договором, заключенным заявителем с испытательной лабораторией.
48. По результатам испытаний и проверок оформляются протоколы испытаний (проверок), содержащие основание для проведения испытаний (номер решения о проведении сертификации), даты и места проведения испытаний, описание испытываемого средства защиты информации, описание проведенных испытаний, результаты испытаний по каждому испытываемому параметру или характеристике (функции безопасности информации) средства защиты информации, выводы о соответствии (несоответствии) средства защиты информации, организации технической поддержки и производства средства защиты информации требованиям по безопасности информации.
Протоколы испытаний (проверок) подписываются специалистами испытательной лаборатории, проводившими сертификационные испытания.
49. По завершении испытаний и проверок, предусмотренных программой и методикой сертификационных испытаний средства защиты информации, оформляется техническое заключение о соответствии (несоответствии) средства защиты информации требованиям по безопасности информации, содержащее основание для проведения испытаний (номер решения о проведении сертификации), описание испытываемого средства защиты информации, требования, на соответствие которым проводились испытания, результаты испытаний, вывод о соответствии (несоответствии) средства защиты информации требованиям по безопасности информации.
Техническое заключение утверждается руководителем испытательной лаборатории.
50. В случае несоответствия средства защиты информации требованиям по безопасности информации техническое заключение направляется заявителю.
Заявитель должен устранить выявленные несоответствия средства защиты информации требованиям по безопасности информации и проинформировать об этом испытательную лабораторию в соответствии с договром на проведение сертификационных испытаний.
Сертификационные испытания проводятся в сроки, установленные договором, заключенным заявителем с испытательной лабораторией.
51. Повторные сертификационные испытания средства защиты информации проводятся в соответствии с договром на проведение сертификационных испытаний в объеме, необходимом для проверки устранения выявленных при проведении сертификационных испытаний несоответствий средства защиты информации требованиям по безопасности информации.
По результатам повторных сертификационных испытаний оформляются протоколы повторных испытаний (проверок) и техническое заключение.
52. Материалы сертификационных испытаний средства защиты информации представляются испытательной лабораторией в орган по сертификации.
Материалы сертификационных испытаний средства защиты информации должны включать:
программу и методику сертификационных испытаний средства защиты информации, протоколы сертификационных испытаний средства защиты информации и техническое заключение;
протоколы повторных сертификационных испытаний средства защиты информации и техническое заключение (в случае проведения повторных сертификационных испытаний);
акт отбора образца (образцов) средства защиты информации;
технические условия и извещение о внесении изменений в технические условия в двух экземплярах (в случае внесения таких изменений);
дополнительное техническое задание в двух экземплярах (в случае проведения сертификации средства защиты информации на соответствие требованиям по безопасности информации, изложенным в техническом задании);
задание по безопасности в двух экземплярах (в случае его разработки в соответствии с требованиями по безопасности информации);
формуляр (паспорт) на средство защиты информации в двух экземплярах;
дополнительную документацию на средство защиты информации, представленную заявителем при проведении сертификационных испытаний.
Все документы, за исключением дополнительной документации на средство защиты информации, представляются на бумажном носителе и в электронном виде. Дополнительная документация на средство защиты информации представляется только в электронном виде.