Глава 4. Объекты сертификационной деятельности

Законодательством Российской Федерации установлено, что средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности [5].

Организация сертификации средств защиты информации возлагается на федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области обороны, в соответствии с функциями, возложенными на них законодательством Российской Федерации. Сертификация осуществляется на основании требований государственных стандартов Российской Федерации и иных нормативных документов, утверждаемых Правительством Российской Федерации. Координация работ по организации сертификации средств защиты информации возлагается на межведомственную комиссию по защите государственной тайны.

Сертификация — это форма осуществляемого органом по сертификации подтверждения соответствия объектов требованиям технических регламентов, положениям стандартов, сводов правил или условиям договоров. Уполномоченный орган по сертификации выполняет следующие функции [10]:

осуществляет подтверждение соответствия объектов добровольного подтверждения соответствия;

• выдает сертификаты соответствия на объекты, прошедшие добровольную сертификацию;

• предоставляет заявителям право на применение знака соответствия, если применение знака соответствия предусмотрено соответствующей системой добровольной сертификации;

приостанавливает или прекращает действие выданных им сертификатов соответствия.

В интересах организации планомерной и согласованной деятельности по сертификации создается система сертификации, которая представляет собой совокупность правил выполнения работ по сертификации, ее участников и правил функционирования системы сертификации в целом [10].

Система сертификации средств защиты информации представляет собой совокупность участников сертификации, осуществляющих ее по установленным правилам (далее именуется — система сертификации) [18].

В состав участников системы сертификации входят следующие субъекты:

федеральный орган исполнительной власти, уполномоченный

утвержденные постановлением Госстандарта России от 10 мая 2000 г. № 26,

Порядок проведения сертификации продукции в Российской Федерации, утвержденный постановлением Госстандарта России от 21 сентября 1994 г. № 15.

На основании перечисленных актов приказом Председателя Гостехкомиссии России от 27 октября 1995 г. № 199 было введено в действие Положение о сертификации средств защиты информации по требованиям безопасности информации, которое в дальнейшем было дополнено в соответствии с постановлением Правительства Российской Федерации от 26 июня 1995 г. № 608.

Данное Положение устанавливает основные принципы, организационную структуру системы обязательной сертификации средств защиты информации, порядок проведения сертификации этих средств защиты по требованиям безопасности информации, а также государственный контроль и надзор за сертификацией и сертифицированными средствами защиты информации.

Под средствами защиты информации понимаются технические, криптографические, программные и другие средства, предназначенные для защиты сведений, составляющих государственную тайну, средства, в которых они реализованы, а также средства контроля эффективности защиты информации.

Под сертификацией средств защиты информации по требованиям безопасности информации (далее — сертификацией) в данном Положении понимается деятельность по подтверждению их соответствия требованиям государственных стандартов или иных нормативных документов по защите информации, утвержденных Государственной технической комиссией при Президенте Российской Федерации.

В этой системе сертификации обязательной сертификации подлежат средства, в том числе иностранного производства, предназначенные для защиты информации, составляющей государственную тайну, и другой информации с ограниченным доступом, а также средства, использующиеся в управлении экологически опасными объектами.

В настоящее время Перечень средств защиты информации, подлежащих обязательной сертификации, разрабатывается ФСТЭК России и согласовывается с Межведомственной комиссией по защите государственной тайны. В остальных случаях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе разработчика, изготовителя или потребителя средства защиты информации.

ФСТЭК России в пределах своей компетенции осуществляет следующие функции:

создает систему сертификации средств защиты информации и устанавливает правила проведения сертификации конкретных видов средств защиты информации в этой системе;

• организует функционирование системы сертификации средств защиты информации;

определяет перечень средств защиты информации, подлежащих обязательной сертификации в данной системе;

устанавливает правила аккредитации и выдачи лицензий на проведение работ по сертификации;

• организует и финансирует разработку нормативных и методических документов системы сертификации средств защиты информации;

• определяет центральный орган системы сертификации средств защиты информации (при его необходимости) или выполняет функции этого органа;

утверждает нормативные документы по безопасности информации, на соответствие которым проводится сертификация средств защиты информации в системе, и методические документы по проведению сертификационных испытаний;

аккредитует органы по сертификации и испытательные центры (лаборатории), выдает им лицензии на право проведения определенных видов работ;

• ведет государственный реестр участников и объектов сертификации;

осуществляет государственный контроль и надзор и устанавливает порядок инспекционного контроля за соблюдением правил сертификации и за сертифицированными средствами защиты информации;

• рассматривает апелляции по вопросам сертификации;

• представляет на государственную регистрацию в Госстандарт России систему сертификации и знак соответствия;

• организует периодическую публикацию информации о сертификации;

осуществляет взаимодействие с соответствующими уполномоченными органами других стран и международных организаций по вопросам сертификации, принимает решение о признании международных и зарубежных сертификатов;

• организует подготовку и аттестацию экспертов-аудиторов;

• выдает сертификаты и лицензии на применение знака соответствия;

• приостанавливает либо отменяют действие выданных сертификатов.

Сертификация отечественных и импортируемых средств защиты

информации проводится на соответствие требованиям государственных стандартов и иных нормативных документов по безопасности информации, утвержденных Гостехкомиссией России (в настоящее время — ФСТЭК России), указываемых в заявке, программах и методиках испытаний.

Стандарты на методы испытаний являются обязательными, если в документации на средства защиты информации в части проверки технических характеристик, подлежащих сертификации, установлена ссылка на этот стандарт.

Данная система сертификации средств защиты информации по требованиям безопасности информации включает в себя и аттестацию

С этой целью ФСТЭК России обеспечивает участников сертификации необходимой информацией о деятельности системы сертификации, включающей:

перечень средств защиты информации (их сертифицированных параметров), на которые выданы сертификаты;

перечень средств защиты информации (их сертифицированных параметров), на которые действие сертификатов отменено;

• перечень органов по сертификации конкретных видов средств защиты информации;

перечень испытательных центров (лабораторий); перечень нормативных документов, на соответствие требованиям которых проводится сертификация средств защиты информации, и методических документов по проведению сертификационных испытаний.

Информация о приостановлении (отмене) действия сертификата или аттестата аккредитации немедленно доводится до сведения изготовителей, потребителей средств защиты информации, органов по сертификации и испытательных центров (лабораторий).

Основные принципы, организационная структура системы аттестации объектов информатизации по требованиям безопасности информации, правила проведения, а также другие вопросы аттестации определяются «Положением по аттестации объектов информатизации по требованиям безопасности информации» [47].

Данное Положение устанавливает основные принципы, организационную структуру системы аттестации объектов информатизации по требованиям безопасности информации, порядок проведения аттестации, а также контроля и надзора за аттестацией и эксплуатацией аттестованных объектов информатизации.

Положение разработано в соответствии с законами Российской Федерации «О сертификации продукции и услуг» и «О государственной тайне», а также «Положением о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам», «Положением о государственном лицензировании деятельности в области защиты информации», «Положением о сертификации средств защиты информации по требованиям безопасности информации» и «Системой сертификации ГОСТ Р» [48].

Система аттестации объектов информатизации по требованиям безопасности информации (далее — система аттестации) является составной частью единой системы сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации и подлежит государственной регистрации в установленном Госстандартом России порядке. Деятельность системы аттестации организует федеральный орган по сертификации продукции и аттестации объектов информатизации по требованиям безопасности информации, которым является ФСТЭК.

Под аттестацией объектов информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа — «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации, утвержденных Гостехкомиссией России (в настоящее время — ФСТЭК России).

Наличие на объекте информатизации действующего «Аттестата соответствия» дает право обработки информации с уровнем секретности (конфиденциальности) и на период времени, установленными в «Аттестате соответствия».

В интересах исполнения законов Российской Федерации «О государственной тайне», «О сертификации продукции и услуг» (Федеральным законом от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании» настоящий Закон признан утратившим силу по истечении шести месяцев со дня официального опубликования названного Федерального закона), Указа Президента Российской Федерации от 9 января 1996 года № 21 «О мерах по упорядочению разработки, производства, реализации, приобретения в целях продажи, ввоза в Российскую Федерацию и вывоза за ее пределы, а также использования специальных технических средств, предназначенных для негласного получения информации» и постановления Правительства Российской Федерации от 26 июня 1995 года № 608 «О сертификации средств защиты информации», в ФСБ России созданы система сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну (система сертификации СЗИ-ГТ), и система добровольной сертификации специальных технических средств, предназначенных для негласного получения информации [14, 32, 33].

В ФСБ России аккредитован орган по сертификации — специальная организация на выполнение работ по сертификации средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну [5, 18, 34].

Данный орган по сертификации является составной частью организационной структуры системы сертификации СЗИ-ГТ и выполняет работы по сертификации следующих видов средств защиты информации по требованиям безопасности для сведений, составляющих государственную тайну [34]:

технические средства защиты информации, включая средства контроля эффективности принятых мер защиты информации;

• технические средства и системы в защищенном исполнении;

• технические средства защиты специальных оперативно-технических мероприятий (специальных технических средств, предназначенных для негласного получения информации);

• технические средства защиты информации от несанкционированного доступа (НСД);

программные средства защиты информации от НСД и программных закладок;

• защищенные программные средства обработки информации;

• программно-технические средства защиты информации;

• специальные средства защиты информации от идентификации личности;

программно-аппаратные средства защиты от несанкционированного доступа к системам оперативно-розыскных мероприятий на линиях связи. Данный орган по сертификации осуществляет следующие функции:

• рассматривает заявку на сертификацию и принимает по ней решение;

• проводит идентификацию СЗИ-ГТ;

определяет схему проведения сертификации конкретных СЗИ-ГТ с учетом предложений заявителя;

• участвует в случае необходимости в отборе образцов СЗИ-ГТ для проведения сертификационных испытаний;

• проводит при необходимости предварительную проверку производства при серийном выпуске сертифицируемых СЗИ-ГТ;

• разрабатывает предложения по номенклатуре СЗИ-ГТ, сертифицируемых в системе сертификации, и представляет их в ФСБ России;

• участвует в работе по совершенствованию нормативных документов, на соответствие которым проводится сертификация СЗИ-ГТ, и методических документов по проведению сертификационных испытаний;

проводит анализ материалов сертификационных испытаний СЗИ-

ГТ;

• готовит экспертное заключение по сертификации СЗИ-ГТ; оформляет сертификаты соответствия и лицензии (при

добровольной сертификации — разрешения) на применение знака соответствия и представляет их в ФСБ России для регистрации в государственном реестре;

выдает сертификаты соответствия и лицензии (при добровольной сертификации — разрешения) на применение знака соответствия;

• ведет перечень сертифицированных СЗИ-ГТ в своей области аккредитации и готовит для публикации информацию о результатах сертификации;

осуществляет инспекционный контроль за сертифицированными им

СЗИ-ГТ;

• хранит документацию, подтверждающую сертификацию СЗИ-ГТ; принимает решение о приостановлении либо прекращении действия

выданных ранее сертификатов и лицензий (при добровольной сертификации — разрешений) на применение знака соответствия в случае нарушения изготовителем требований стандартов и иных документов, на соответствие которым сертифицированы СЗИ-ГТ;

62

Система устанавливает правила сертификации по требованиям безопасности информации:

• шифровальных средств;

• систем и комплексов телекоммуникаций высших органов государственной власти Российской Федерации;

• закрытых систем и комплексов телекоммуникаций органов государственной власти субъектов Российской Федерации, центральных органов федеральной исполнительной власти, организаций, предприятий, банков и иных учреждений, расположенных на территории Российской Федерации, независимо от их ведомственной принадлежности и форм собственности;

информационно-телекоммуникационных систем и баз данных государственных органов, Центрального банка Российской Федерации, Внешэкономбанка и их учреждений, иных государственных учреждений Российской Федерации.

Перечисленные выше средства, системы и комплексы именуются далее — продукция.

Система сертификации продукции по требованиям безопасности информации создана для обязательной сертификации средств защиты информации по требованиям безопасности, действует под управлением ФСБ России) и является составной частью системы сертификации продукции в Российской Федерации.

Под сертификацией продукции по требованиям безопасности информации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа- сертификата соответствия подтверждается, что эта продукция соответствует требованиям следующих документов:

• государственных стандартов или иных нормативных документов, утвержденных Правительством Российской Федерации (для продукции, используемой при обработке, хранении или передаче по каналам связи информации, содержащей сведения, составляющие государственную тайну);

• требованиям государственных или отраслевых стандартов, иных нормативных документов, утвержденных Правительством Российской Федерации (для продукции, используемой при обработке, хранении или передаче по каналам связи информации, не содержащей сведения, составляющие государственную тайну).

При проведении сертификации продукции подтверждается соответствие ее требованиям безопасности информации. Требования безопасности информации, предъявляемые к продукции, выдаются ФСБ России только предприятиям, имеющим лицензию на соответствующий вид деятельности в области защиты информации.

Система сертификации продукции базируется на действующих в Российской Федерации следующих организационных структурах:

системах стандартизации и фонде нормативной документации по

безопасности информации;

системах аккредитации испытательных лабораторий (центров).

Основными схемами сертификации продукции по требованиям безопасности информации являются:

• для единичных образцов продукции — проведение испытаний этих образцов по требованиям безопасности информации;

• для серийного производства продукции — проведение типовых испытаний образцов этой продукции по требованиям безопасности информации и последующий контроль за стабильностью характеристик (параметров) сертифицированных образцов продукции, определяющих выполнение требований безопасности информации.

По согласованию с органом по сертификации могут быть использованы и другие схемы сертификации.

Учитывая, что Указ Президента Российской Федерации от 3 апреля 1995 г. № 334 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации» [13] не регулирует порядок обращения с шифровальными средствами защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, в настоящее время действует Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации [35].

Данное положение принято в целях определения порядка разработки, производства, реализации и эксплуатации шифровальных (криптографических) средств защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну.

Положение регулирует отношения, возникающие при разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, т. е. информации конфиденциального характера.

Другими нормативными правовыми документами в области обращения с криптографическими средствами являются следующие российские стандарты [40, 41, 42]:

• ГОСТ 28147-89. Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования.

Данный стандарт устанавливает единый алгоритм криптографического преобразования для систем обработки информации в сетях ЭВМ, отдельных вычислительных комплексах и ЭВМ, который определяет правила шифрования данных и выработки имитовставки.

Алгоритм криптографического преобразования предназначен для аппаратной или программной реализации, удовлетворяет криптографическим требованиям и по своим возможностям не накладывает ограничений на степень секретности защищаемой информации.

Стандарт обязателен для организаций, предприятий и учреждений, применяющих криптографическую защиту данных, хранимых и передаваемых в сетях ЭВМ, в отдельных вычислительных комплексах или в ЭВМ.

• ГОСТ Р 34.10-2001. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи.

Настоящий стандарт содержит описание процессов формирования и проверки электронной цифровой подписи (ЭЦП), реализуемой с использованием операций группы точек эллиптической кривой, определенной над конечным простым полем.

Стандарт разработан взамен ГОСТ Р 34.10-94. Необходимость разработки настоящего стандарта вызвана потребностью в повышении стойкости ЭЦП к несанкционированным изменениям. Стойкость ЭЦП основывается на сложности вычисления дискретного логарифма в группе точек эллиптической кривой, а также на стойкости используемой хэш- функции по ГОСТ Р 34.11.

Настоящий стандарт определяет схему электронной цифровой подписи, процессы формирования и проверки ее под заданным сообщением (документом), передаваемым по незащищенным телекоммуникационным каналам общего пользования в системах обработки информации различного назначения.

Внедрение электронной цифровой подписи на базе настоящего стандарта повышает уровень защищенности передаваемых сообщений от подделок и искажений.

Стандарт рекомендуется использовать в новых системах обработки информации различного назначения, а также при модернизации действующих систем.

• ГОСТ Р 34.11-94. Информационная технология. Криптографическая защита информации. Функция хэширования.

Данный стандарт определяет алгоритм и процедуру вычисления хэш- функции для любой последовательности двоичных символов, которые применяются в криптографических методах обработки и защиты информации, в том числе для реализации процедур электронной цифровой подписи при передаче, обработке и хранении информации в автоматизированных системах.

Определенная в настоящем стандарте функция хэширования используется при реализации систем электронной цифровой подписи на базе асимметричного криптографического алгоритма по ГОСТ Р 34.10.