Сертификат ФСТЭК России¶
Сертификат ФСТЭК России — официальный документ, подтверждающий, что средство защиты информации, программный продукт или иное техническое изделие соответствует требованиям по безопасности информации, установленным Федеральной службой по техническому и экспортому контролю (ФСТЭК России). Сертификация носит добровольный характер, однако для ряда категорий продуктов и организаций наличие такого документа фактически обязательно, поскольку этого требуют регуляторы и заказчики.
¶Правовая основа
ФСТЭК России — федеральный орган исполнительной власти, осуществляющий функции по выработке государственной политики и нормативно-правовому регулированию в сфере защиты информации, а также по контролю за её нераспространением через технические каналы. Служба действует на основании Положения, утверждённого указом Президента РФ.
Система сертификации ФСТЭК России создана для подтверждения соответствия продукции требованиям по безопасности информации. Правовой базой служат Федеральный закон «Об информации, информационных технологиях и о защите информации», а также документы самой службы, определяющие порядок сертификации и требования к отдельным классам продукции. Сертификация в системе ФСТЭК тесно связана с лицензированием деятельности по технической защите конфиденциальной информации.
¶Что подлежит сертификации
Сертификацию проходят несколько категорий продукции:
- Средства защиты информации — межсетевые экраны, средства антивирусной защиты, системы обнаружения вторжений, средства контроля доступа.
- Программное обеспечение, в том числе операционные системы, СУБД, средства виртуализации, офисные пакеты, применяемые в защищённых контурах.
- Аппаратные изделия — защищённые вычислительные средства, доверенные платформы, средства аутентификации.
- Защищённые автоматизированные системы в составе конкретных объектов информатизации.
Отдельно выделяются уровни доверия, введённые для оценки программного обеспечения: чем выше уровень, тем более строгие требования предъявляются к процессам разработки, контроля и документирования.
¶Уровни доверия и классы защиты
Для средств защиты информации применяется классификация по классам защищённости. Например, межсетевые экраны делятся на классы от шестого (низшего) до первого (высшего), средства антивирусной защиты — на аналогичные уровни. Чем выше класс, тем более широкий набор функций и более строгие требования по контролю.
Для программного обеспечения используется понятие уровня доверия — от четвёртого до первого. Уровень доверия отражает, насколько полно контролируются процессы разработки, тестирования и сопровождения продукта, а также наличие недекларированных возможностей.
¶Процедура сертификации
Процесс включает несколько этапов:
- Заявка — разработчик или производитель обращается в аккредитованный орган по сертификации.
- Анализ документации — проверяются технические условия, руководства, модель угроз.
- Испытания — проводятся в аккредитованной испытательной лаборатории; проверяются функциональные требования и отсутствие недекларированных возможностей.
- Оценка производства (при необходимости) — для серийной продукции.
- Выдача сертификата — при положительном результате оформляется документ установленного образца, сведения вносятся в реестр.
Сертификат имеет срок действия, по истечении которого требуется повторная процедура либо продление. При внесении существенных изменений в продукт сертификат может быть приостановлен или аннулирован.
¶Реестр и проверка подлинности
Все выданные сертификаты регистрируются в едином реестре ФСТЭК России. Заказчик может проверить подлинность документа по номеру, найти сведения о продукции, её классе или уровне доверия, а также о держателе сертификата. Наличие записи в реестре — основной способ отличить действующий сертификат от поддельного или просроченного.
¶Значение для рынка и заказчиков
Для государственных информационных систем, систем персональных данных, объектов критической информационной инфраструктуры применение сертифицированных средств защиты, как правило, обязательно. Это вытекает из требований регуляторов в области безопасности информации и защиты персональных данных.
Для коммерческих заказчиков сертификат служит подтверждением того, что продукт прошёл независимую проверку и соответствует заявленным требованиям. Наличие сертификата часто становится условием участия в государственных закупках и тендерах.
Для производителей сертификация — инструмент допуска на регулируемый рынок: без неё продукт не может применяться в защищённых контурах, где этого требуют нормативные акты.
¶Смежные системы
Сертификация ФСТЭК не является единственной. Существуют также система сертификации ФСБ России (для средств криптографической защиты) и система обязательной сертификации в области связи. Часть продуктов проходит несколько процедур одновременно, если применяется в разных регулируемых сферах.
¶Критика и ограничения
Процедура сертификации требует значительных временных и финансовых затрат, что затрудняет выход на рынок небольших разработчиков. Кроме того, требования ориентированы в первую очередь на соответствие формальным критериям, что не всегда напрямую отражает реальную устойчивость продукта к актуальным атакам. Тем не менее для регулируемого сегмента сертификат остаётся основным механизмом допуска продукции.
Источники: нормативные документы ФСТЭК России, Федеральный закон «Об информации, информационных технологиях и о защите информации», материалы реестра сертификатов ФСТЭК России.