11.4.1. Аккредитация центра сертификации

В соответствии с Законом Украины «Об электронной цифровой подписи» аккредитация – это процедура документального засвидетельствования компетентности центра сертификации ключей осуществлять деятельность, связанную с обслуживанием усиленных сертификатов ключей.

В целом процедура аккредитации должна быть определена постановлением КМ Украины, однако уже можно говорить об основных требованиях к АЦСК, которые коротко раскрываются простой формулой «знать, уметь и иметь»:

– знать требования нормативных документов о порядке осуществления деятельности в выбранной области, принципы и методы защиты, характеристики эксплуатируемого оборудования;

– уметь безопасно эксплуатировать средства КЗИ;

– иметь необходимые для осуществления заявленного вида деятельности сертифицированные средства КЗИ, оборудование, персонал, помещения, регламентирующие документы.

11.4.2. Сертификация и допуск к эксплуатации

Существующая нормативно-правовая база определяет, что для защиты конфиденциальной информации используются сертифицированные средства криптографической защиты информации (КЗИ). Защита информации с ограниченным доступом, являющейся собственностью государства осуществляется с помощью средств КЗИ, имеющих допуск до эксплуатации.

Сертификация СКЗИ осуществляется с целью подтверждения их соответствия стандартам ГОСТ 28147-89, ГОСТ 34.310-95, ГОСТ 34.311-95, ДСТУ 4145-2002, а также иным нормативным документам и техническим условиям на эти средства. Порядок проведения сертификации средств КЗИ регламентирован нормативными документами Системы УкрСЕПРО.

Допуск до эксплуатации средств осуществляется на основе позитивных результатов экспертизы в сфере КЗИ, которая проводится согласно Положению о государственной экспертизе в сфере криптографической защиты информации.

Процедуры допуска до эксплуатации (экспертизы) и сертификации во многом очень схожи, вместе с тем они имеют и ряд различий.

Перечень объектов допуска до эксплуатации (экспертизы) значительно шире, чем в процедуре сертификации. В отличие от сертификации, объектами экспертизы кроме средств КЗИ могут быть:

– средства и методы, предназначенные для разработки, исследования, производства и испытаний средств КЗИ;

– отчеты о научных исследованиях и разработках, другие результаты научной и научно-технической деятельности в сфере КЗИ;

– криптографические алгоритмы и протоколы, методы генерации ключевой информации;

– криптографические системы, средства и оборудование КЗИ;

– положения программ и проектов государственного значения в части, касающейся КЗИ;

– системы и средства генерации, тестирования и распределения ключей.

Таким образом, сфера применения экспертизы существенно шире, чем сертификации. В частности, экспертиза в сфере КЗИ предоставляет возможность в том или ином случае определить возможность использования для защиты информации конкретного криптоалгоритма и предоставить рекомендации относительно его применения.

Например, объектом экспертизы может быть как криптоалгоритм, так и средство КЗИ, которые реализуют алгоритмы, не являющиеся государственными (межгосударственными) стандартами.

Процедуры сертификации в системе сертификации продукции УкрСЕПРО являются открытыми и общедоступными.