9.3. Сертификация средств защиты информации
Национальным органом по сертификации является Госстандарт РФ. Госстандартом в 1994 г. утверждены "Правила по проведению сертификации в РФ", в соответствии с которыми целями сертификации являются [22]:
создание условий для деятельности предприятий и предпринимателей на товарном рынке РФ и участия в международной торговли;
содействие потребителям в компетентном выборе продукции;
содействие экспорту и повышение конкурентоспособности продукции;
защита потребителя от недобросовестности изготовителя (продавца, исполнителя);
контроль безопасности продукции для окружающей среды, жизни и имущества;
подтверждение показателей качества продукции, заявленных изготовителями.
Сертификация средств защиты информации, прежде всего, подразумевает проверку их качественных характеристик для реализации основной функции – защиты информации на основании государственных стандартов и требований по безопасности информации. Применительно к сведениям, составляющим государственную тайну, общие принципы организации сертификации средств защиты информации определены нормами статьи 28 Закона РФ "О государственной тайне" – средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности [20]. Организация сертификации средств защиты информации возлагается на Федеральное агентство контроля экспорта и технологий, Министерство обороны РФ в соответствии с функциями, возложенными на них законодательством РФ. Сертификация осуществляется на основании требований государственных стандартов РФ и иных нормативных документов, утверждаемых Правительством РФ. Одним из основных руководящих документов по сертификации защиты информации в настоящее время является Положение о сертификации средств защиты информации, утвержденное Постановлением Правительства РФ от 25.06.95 г. № 608, реализующим нормы Закона РФ "О сертификации продукции и услуг".
Порядок проведения сертификации основан на следующих принципах:
1. Обязанность сертификации изделий, обеспечивающих защиту государственной тайны.
2. Обязательность использования криптографических алгоритмов, являющихся стандартами.
3. Принятие на сертификацию только изделий от заявителей, имеющих лицензию.
Таким образом, в соответствии с вышеназванными документами разработаны и введены в действие перечни средств защиты информации, подлежащих обязательной сертификации; государственным организациям и предприятиям запрещено использование в информационных системах шифровальных средств (в т.ч. электронной подписи и защищенных технических средств хранения, обработки и передачи информации), не имеющих сертификата. Кроме этого в области информационных технологий действуют системы добровольной сертификации банковских технологий (МЕКАС) и средств связи.
Осуществляется следующий порядок сертификации (рис. 9.2.) [22]:
1. В Центральный орган по сертификации подается заявление и полный комплект технической документации.
2. Центральный орган назначает испытательный центр (лабораторию) для проведения испытания.
3. Испытания проводятся на основании хозяйственного договора между заявителем и испытательным центром.
4. Сертификация (экспертиза материалов и подготовка документов для выдачи) осуществляется Центральным органом. Сертификат выдается на срок до 5 лет.
Кроме указанных целей, сертификация средств защиты информации необходима также для решения вопросов экономической безопасности предприятия в связи с постоянным ростом компьютерных преступлений. Правовой основой предупреждения компьютерных преступлений является Указ Президента РФ "О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставление услуг в области шифрования информации" № 334 от 03.04.95 г. Приведем некоторые выдержки из данного указа [20]:
государственным организациям и предприятиям запрещено использование шифровальных средств, технических средств хранения, обработки и передачи информации, не имеющих сертификата;
запрещено размещение государственных заказов на предприятиях, в организациях, использующих указанные средства, не имеющие сертификата;
запретить деятельность физических и юридических лиц в области шифровальных и защищенных средств без лицензии;
запретить ввоз на территорию России не лицензированных шифровальных средств и защищенной техники иностранного производства;
создать Федеральный центр защиты экономической информации (для планирования комплексных программ экономической безопасности российских финансовых структур).
После получения сертификата на право выпуска продукции или оказания услуг, за организацией осуществляется государственный контроль (надзор) по соблюдению требований технических регламентов.