Сертификация средств защиты информации ФСТЭК: когда обязательна, классы, порядок и реестр

01

Что такое сертификация ФСТЭК и чем она отличается от других документов

Система сертификации средств защиты информации ФСТЭК России работает в рамках требований о защите информации ограниченного доступа, не составляющей государственную тайну, и защите информации в государственных и иных информационных системах. Сертификат ФСТЭК подтверждает, что конкретная версия продукта соответствует требованиям к определённому типу средств защиты — профилям защиты или техническим условиям — и уровню доверия. Его путают с тремя другими документами, у которых иные объект и регулятор.

02

Когда сертификат обязателен, а когда нет

Обязанность применять сертифицированные средства защиты возникает не из свойств продукта, а из требований к системе, в которой он используется. Коммерческая компания, защищающая собственную сеть, вправе ставить любые средства; оператор государственной информационной системы обязан применять сертифицированные. Поэтому вопрос «нужен ли сертификат ФСТЭК» всегда означает «в какой системе будет стоять продукт».

03

Классы защиты, уровни доверия и типы средств

Требования ФСТЭК к средствам защиты структурированы по типам средств и по уровням. Тип определяет, что продукт должен уметь: межсетевой экран, система обнаружения вторжений, средство антивирусной защиты, средство доверенной загрузки, средство контроля съёмных носителей, операционная система, система управления базами данных. Класс защиты показывает, для систем какой значимости продукт применим: чем ниже номер класса, тем выше требования. Уровень доверия характеризует глубину проверки самого продукта — от анализа документации до исследования исходного кода, — и тоже нумеруется от самого строгого первого к менее строгим.

• класс защиты выбирается по классу защищённости системы, в которой будет применяться средство: для ГИС первого класса нужны средства не ниже определённого класса;
• уровень доверия увязан с классом системы и значимостью объекта: чем выше значимость, тем более строгий уровень требуется;
• профили защиты по типам средств задают функциональные требования, технические условия — используются там, где профиля нет;
• сертификат выдаётся на конкретную версию продукта и, как правило, на конкретную сборку с контролируемыми изменениями;
• продукт может быть сертифицирован по нескольким типам одновременно, если реализует несколько функций защиты.

04

Кто вправе быть заявителем и что нужно иметь

Заявителем на сертификацию выступает разработчик продукта или уполномоченное им лицо; для импортных продуктов — российское юридическое лицо с правами на продукт, достаточными для передачи документации и кода на испытания. Заявителю нужны не только сам продукт, но и лицензия на деятельность по технической защите конфиденциальной информации в части, относящейся к разработке и производству средств защиты, а также способность обеспечить контроль изменений продукта на весь срок действия сертификата.

05

Порядок сертификации по шагам

1. Определите тип средства, класс защиты и уровень доверия, исходя из целевых систем и требований заказчиков.
2. Подготовьте продукт: зафиксируйте версию, соберите документацию, при необходимости доработайте функции под профиль защиты.
3. Подайте заявку в систему сертификации с описанием продукта, заявленных требований и области применения.
4. Получите решение по заявке с указанием схемы сертификации, испытательной лаборатории и органа по сертификации.
5. Передайте продукт и документацию в испытательную лабораторию; при уровнях доверия с анализом кода — исходный код.
6. Пройдите испытания: функциональные проверки, анализ документации, при необходимости анализ уязвимостей и кода.
7. Устраните замечания и представьте доработанную версию; повторные проверки по изменённым частям.
8. Получите технический отчёт лаборатории и экспертное заключение органа по сертификации.
9. Получите сертификат с указанием версии, типа, класса, уровня доверия и срока действия.
10. Организуйте сопровождение: контроль изменений, уведомление об обновлениях, продление сертификата.

06

Сроки и структура затрат

Сертификация ФСТЭК — проект на месяцы, а не на недели, и срок определяется в первую очередь уровнем доверия и зрелостью продукта. Простое средство по невысокому уровню доверия с готовой документацией проходит быстрее; сложный продукт с анализом кода и доработками по замечаниям — существенно дольше.

07

Реестр сертифицированных средств защиты информации

ФСТЭК ведёт государственный реестр сертифицированных средств защиты информации; для заказчика и интегратора это основной инструмент проверки. В реестре по каждому сертификату указаны наименование и версия продукта, заявитель, требования, на соответствие которым проведена сертификация, класс и уровень доверия, срок действия и статус. Проверять нужно не факт наличия сертификата у бренда, а конкретную запись по конкретной версии.

• сверяйте версию продукта в реестре с версией, которую планируете внедрять: сертификат более ранней версии на новую не распространяется;
• смотрите класс и уровень доверия против требований к вашей системе;
• проверяйте срок действия сертификата и наличие условий о поддержке безопасности продукта;
• обращайте внимание на статус: сертификат может быть приостановлен или аннулирован;
• для сертификатов с ограничениями по области применения читайте условия — продукт может быть сертифицирован для части функций.

08

Импортные продукты: что изменилось и что возможно

Сертификация иностранных средств защиты требует передачи документации и кода российскому заявителю и лаборатории, готовности вендора вносить изменения и обеспечивать поддержку безопасности на срок действия сертификата. В последние годы к этому добавились ограничения на применение иностранных средств защиты на значимых объектах КИИ и в государственных системах, а также уход ряда вендоров с рынка. На практике это сдвинуло сертификацию в сторону отечественных продуктов, а для импортных сделало обязательной проверку не только технической возможности, но и допустимости применения в целевой системе.

09

СЗИ и шифровальные средства: где проходит граница между ФСТЭК и ФСБ

Продукт, реализующий криптографическую защиту — VPN-шлюз, средство шифрования дисков, система электронной подписи, — относится к средствам криптографической защиты информации и сертифицируется ФСБ по требованиям к шифровальным средствам. Если тот же продукт реализует и некриптографические функции — межсетевое экранирование, обнаружение вторжений, — он может иметь оба сертификата. Для ввоза такого продукта отдельно решается вопрос нотификации или лицензии: сертификат ФСБ как средства криптографической защиты не заменяет разрешительный документ на ввоз, хотя на практике продукты, требующие сертификации ФСБ, редко проходят по нотификации.

• криптографическая защита канала, дисков, сообщений, подпись — ФСБ;
• фильтрация, контроль доступа, антивирус, доверенная загрузка, обнаружение атак — ФСТЭК;
• продукт с обоими наборами функций — как правило, два сертификата;
• ввоз продукта с криптографией — нотификация только для категорий упрощённого порядка, иначе лицензия;
• разработка и распространение средств криптографической защиты — лицензия ФСБ на деятельность.

10

Типовые ошибки заказчиков и поставщиков

• Покупка продукта «с сертификатом ФСТЭК» без сверки версии, класса и уровня доверия с требованиями к системе;
• установка обновления продукта, не прошедшего контроль изменений, — экземпляр перестаёт быть сертифицированным;
• поставка дистрибутива без формуляра и контрольных сумм;
• расчёт на сертификат ФСТЭК как на разрешение на ввоз продукта с криптографией;
• применение иностранного средства на значимом объекте КИИ без проверки ограничений;
• старт сертификации без лицензии ФСТЭК у заявителя и без прав на код продукта;
• оценка срока сертификации «в пару месяцев» и планирование поставки заказчику от этой даты.

11

Когда применяется регламент об электромагнитной совместимости

ТР ТС 020/2011 проверяют по способности изделия создавать электромагнитные помехи и по зависимости его работы от внешних помех. Наличие или отсутствие микросхем само по себе не определяет применимость регламента.

• Проверяют назначение изделия, конструкцию, условия эксплуатации и исключения статьи 1, включая составные части без самостоятельного применения и медицинские изделия.
• Пассивность по ЭМС устанавливают по определению статьи 2 и приложению 1. Например, для резистивного нагревателя учитывают наличие автоматических переключающих устройств, термостата и вентилятора.
• ТР ТС 004/2011 проверяют отдельно по диапазонам номинального напряжения и исключениям. Применимость ТР ТС 020 не означает автоматической применимости ТР ТС 004.
• Форму подтверждения соответствия — сертификат или декларацию — определяют по статье 7 и перечню продукции, подлежащей сертификации.

12

Как проверять даты в документах

Проверяйте реальные даты и применённые редакции документов в рамках конкретной схемы. Продукция могла быть изготовлена по стандарту, прежней редакции ТУ или иной документации; дата новых ТУ сама по себе не доказывает отсутствие документации при изготовлении.

• Установите документ и его редакцию, по которым изготовлен конкретный образец или партия.
• Свяжите паспорт и руководство с моделью, исполнением и фактическими характеристиками продукции.
• При сертификации соблюдайте предусмотренную схемой последовательность заявки, решения, идентификации, отбора и испытаний.
• Место и момент отбора согласуйте по применимым правилам: типовые схемы № 44 предусматривают также отбор на СВХ и таможенном складе.
• При ввозе образцов по пункту 6(а) Порядка № 130 у декларанта должен быть договор с предусмотренным регламентом органом оценки соответствия либо его письмо с подтверждением необходимого количества.
• Не меняйте фактические даты ради формального совпадения; устраняйте расхождения с учётом их причины и требований применимого акта.

13

Ограничения по параметрам продукции

14

Чек-лист для заказчика перед закупкой СЗИ

1. Определён класс защищённости системы и требуемые класс защиты и уровень доверия средства.
2. В реестре ФСТЭК найдена запись по конкретной версии продукта с нужными классом и уровнем.
3. Проверены срок действия и статус сертификата, условия и ограничения области применения.
4. Для иностранных продуктов проверены ограничения на применение в целевой системе.
5. Поставка предусматривает сертифицированную комплектацию с формуляром и контрольными суммами.
6. Согласована процедура обновлений с сохранением сертифицированного состояния.
7. Для продуктов с криптографией отдельно проверены сертификат ФСБ и разрешительный документ на ввоз.
8. Условия закупки содержат требования к сертификату в проверяемой формулировке: тип, класс, уровень доверия.

15

Чек-лист для разработчика перед стартом сертификации

1. Определены тип средства, класс защиты и уровень доверия под целевые рынки.
2. Есть лицензия ФСТЭК на разработку и производство СЗИ или уполномоченное лицо с такой лицензией.
3. Продукт зафиксирован по версии, документация приведена к требованиям.
4. Выстроены процессы безопасной разработки и контроля изменений под заявленный уровень доверия.
5. Оценена готовность передать исходный код на испытания.
6. Заложены сроки от полугода и бюджет на доработки по замечаниям.
7. Для продуктов с криптографией параллельно спланирована сертификация ФСБ.
8. Определён порядок сопровождения сертификата: обновления, продление, ответы на инциденты.