Аппаратный криптографический модуль HSM: порядок оформления и лицензия ФСБ

Лицензия ФСБ: Аппаратный криптографический модуль HSM — документ, срок, цена

Аппаратный криптографический модуль HSM ввозится по лицензии ФСБ, потому что его назначение — вырабатывать, хранить и применять ключи, а не передавать данные. Уведомительный порядок к таким изделиям не применяется независимо от того, поддерживает модуль российские алгоритмы или только зарубежные. Срок оформления лицензии — от 2 месяцев, при вывозе добавляется заключение ФСТЭК за 5 рабочих дней. Стоимость рассчитываем за 1 час.

Аппаратный криптографический модуль HSM: обязательные документы

Разрешительный режим для СКЗИ и криптошлюза строится на одном критерии: криптография составляет основное потребительское свойство изделия. Категории массового применения, для которых предусмотрена нотификация, на такую технику не распространяются, поэтому оформляется лицензия ФСБ на деятельность с шифровальными средствами, а не уведомление о характеристиках. Лицензированию подлежат разработка, производство, распространение и техническое обслуживание шифровальных средств.

Разовый ввоз аппаратного шифратора закрывается иначе: заявитель получает лицензию Минпромторга, а основанием для неё служит заключение ФСБ России о характеристиках изделия. Поэтому подготовка комплекта начинается с описания криптоядра, а не с товарной накладной. Срок лицензии ФСБ — от 2 месяцев, поэтому график поставки планируется заранее.

Вторая процедура относится к вывозу и передаче техники за пределы страны. Средство защиты информации входит в предмет экспортного контроля, и на него оформляется заключение ФСТЭК — срок 5 рабочих дней. Когда нужно доказать обратное, что конкретная модель под контрольные списки не попадает, проводится идентификационное заключение по экспортному контролю за 10–15 рабочих дней.

• лицензия ФСБ — деятельность с шифровальными средствами, от 2 месяцев;
• заключение ФСТЭК — экспортный контроль средств защиты информации, 5 рабочих дней;
• идентификационное заключение — подтверждение неконтролируемого статуса, 10–15 рабочих дней.

Стоимость лицензии и заключений рассчитываем за 1 час по описанию модели и составу криптофункционала.

На что смотреть в этой модификации

Аппаратный криптографический модуль HSM отличается от шлюза тем, что защищает не канал, а ключевой материал: генерация, хранение и использование ключей происходят внутри защищённого контура с датчиками вскрытия. Для лицензии ФСБ описывают именно этот контур — как ключи вырабатываются, где хранятся и что происходит при попытке физического доступа к модулю.

Модуль поставляется платой PCIe или отдельным сетевым устройством, что даёт две классификации: 8471800000 для встраиваемого исполнения и 8543709000 для автономного. Технические регламенты закрываются декларациями ТР ТС 004/2011, 020/2011 и ТР ЕАЭС 037/2016 с испытаниями по ГОСТ IEC 62368-1-2014. Подпись и хеширование в модуле описываются по ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012.

Для лицензии на HSM важен не столько перечень алгоритмов, сколько описанный жизненный цикл ключа. Орган смотрит, откуда берётся энтропия и как устроен генератор случайных чисел, в какой памяти лежит мастер-ключ, в каком виде ключ вообще может покинуть модуль, что происходит с ключевой областью при срабатывании датчиков вскрытия и при пропадании питания. Эти сведения запрашивают по каждой модели, а не по линейке в целом.

Вторая часть описания организационная. У модуля есть роли администратора безопасности, оператора и аудитора, а ключевая церемония строится на разделении секрета между несколькими держателями. Резервные копии ключей уносятся на отдельные носители, которые нередко едут в одной коробке с модулем вместе со считывателем. В описании перечисляют весь комплект: попытка провести носители и считыватель строкой «аксессуары» разрывает картину криптосхемы и вызывает запрос.

На рынке модули делятся на три группы. Банковские обслуживают операции с платёжными ключами и проверку PIN. Модули общего назначения работают в удостоверяющих центрах, инфраструктурах открытых ключей и на серверах электронной подписи. Встраиваемые платы ставятся прямо в сервер приложения. Разрешительный порядок у всех один, различается объём описания интерфейсов — от платёжных протоколов до PKCS#11 и криптопровайдеров операционной системы.

Типичные сложности поставки:

• модуль заказывают под конкретный проект и ввозят раньше, чем готова лицензия, срок которой от 2 месяцев;
• в спецификации указана серия, а приходят исполнения с разной производительностью и разным набором активируемых функций;
• исполнение путают при классификации: встраиваемая плата и автономный сетевой модуль разводятся по позициям 8471800000 и 8543709000;
• при отправке модуля в ремонт за рубеж забывают про заключение ФСТЭК и получают остановку уже на вывозе.

Как проходит процедура

Лицензия ФСБ нужна там, где криптография составляет основной функционал изделия и уведомительный порядок не применяется. Лицензируется деятельность по разработке, производству, распространению и техническому обслуживанию шифровальных средств, а для разового ввоза оформляется лицензия Минпромторга на основании заключения ФСБ России.

Экспортный контроль по линии ФСТЭК России касается продукции двойного назначения и средств защиты информации. Когда задача обратная — доказать, что товар не является контролируемым, — оформляется идентификационное заключение.

Оценка соответствия по техрегламентам — отдельная ветка работ, которая идёт своим порядком и в своём реестре. Декларация по ТР ТС 004/2011 и 020/2011 оформляется по схеме 1д (серия) или 3д (партия). Декларация по ТР ЕАЭС 037/2016 на содержание опасных веществ идёт одновременно и общий срок не удлиняет.

Что учесть при ввозе

Криптографическая техника проходит таможню по коду, который сам по себе относится к чувствительным: инспектор сверяет заявленное назначение изделия с разрешительным документом в реестре. Для этого семейства применяются коды:

• 8471 80 000 0 (и запись без пробелов 8471800000) — прочие устройства вычислительных машин, включая криптоплаты и модули HSM;
• 8543 70 900 0 (8543709000) — прочие электрические машины с самостоятельной функцией;
• 8517 62 000 9 — аппаратура приёма, преобразования и передачи данных, к которой относят сетевой криптошлюз.

Формулировка в графе описания товара важнее самого кода: слово «шифрование» или «VPN» в инвойсе автоматически переводит партию в режим проверки разрешительных документов ФСБ.

Что подготовить заявителю

Чтобы запустить работу, нужны сведения об изделии и о заявителе. Чего-то может не быть — соберём вместе с вами:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Аппаратный криптографический модуль HSM» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• технические характеристики для идентификации по спискам контролируемой продукции: дальность, разрешение, спектральный диапазон, наличие функций наведения;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сколько занимает и сколько стоит

Лицензия ФСБ — от 2 месяцев, от 150 000 ₽.

Заключение ФСТЭК — 5 рабочих дней, 38 600 ₽.

Декларация ТР ТС 004/2011, 020/2011 — 10 рабочих дней, от 8 000 ₽ по схеме 1д, от 19 500 ₽ по схеме 3д.

Декларация ТР ЕАЭС 037/2016 — 10 рабочих дней, от 8 000 ₽ по схеме 1д, от 19 500 ₽ по схеме 3д.

Цену называем один раз и держим её до конца работ. У каждой процедуры свой реестр: техрегламенты — ФГИС Росаккредитации, шифровальные средства — единый реестр Евразийской экономической комиссии, средства связи — реестр Роскомнадзора.

С 2010 года REDICO оформил более 14 000 разрешительных документов. Собственный орган по сертификации и аккредитованная лаборатория с аттестатом 11НК35, штатные эксперты и ИИ-проверка кодов ТН ВЭД — расхождения находим раньше, чем их найдёт таможня.

Где чаще всего ошибаются

1. Подмена лицензии нотификацией. Заявитель находит нотификацию вендора на смежную сетевую модель и предъявляет её на криптошлюз. Реестр ЕЭК содержит перечень моделей, конкретный артикул в нём не значится, партия остаётся на складе временного хранения.
2. Скрытая поддержка ГОСТ-криптографии. Модель заявляют как зарубежный маршрутизатор с IPsec, а в прошивке включены отечественные алгоритмы. Расхождение вскрывается по документации вендора и ведёт к отказу в выпуске.
3. Отсутствие заключения при вывозе. Обратную отправку изделия на ремонт оформляют без заключения ФСТЭК, хотя средство защиты информации входит в предмет экспортного контроля.

Что спрашивают чаще всего

Меняется ли порядок для HSM с зарубежными алгоритмами?

Нет. Основанием служит назначение изделия: выработка, хранение и применение ключей средствами криптографии. Набор алгоритмов влияет на содержание описания и на применимость модуля в российских системах, но в уведомительный порядок изделие не переводит. Лицензия ФСБ требуется и для модулей, которые поддерживают только зарубежные схемы шифрования и подписи.

Нужен ли отдельный документ на носители для резервных копий ключей?

Отдельного разрешения на носители не оформляют, но их описывают в составе комплекта: они участвуют в ключевой схеме и хранят защищённые копии ключевого материала. Если носители и считыватель идут той же поставкой, их включают в спецификацию к лицензии ФСБ, иначе комплект в документах и комплект в коробке не совпадут при досмотре.

Можно ли ввезти криптошлюз по нотификации ФСБ?

Нет. Нотификация описывает изделия, где шифрование — вспомогательная функция: Wi-Fi, Bluetooth, TLS в прошивке. У криптошлюза защита канала является основным товарным функционалом, поэтому применяется лицензия ФСБ со сроком от 2 месяцев, а для разовой поставки — лицензия Минпромторга на основании заключения ФСБ России.

Чем отличается лицензия ФСБ от заключения ФСТЭК?

Лицензия ФСБ разрешает деятельность с шифровальными средствами внутри страны: разработку, производство, распространение, обслуживание. Заключение ФСТЭК относится к вывозу и касается экспортного контроля продукции двойного назначения и средств защиты информации. Срок заключения — 5 рабочих дней.

Нужна ли декларация ТР ТС на модуль HSM?

Да. Лицензия ФСБ не заменяет технические регламенты: это разные процедуры с разными реестрами. На аппаратный модуль оформляются декларации ТР ТС 004/2011, 020/2011 и ТР ЕАЭС 037/2016, срок 10 рабочих дней, от 8 000 ₽ по схеме 1д, с регистрацией в реестре ФГИС Росаккредитации.

Как доказать, что изделие не подпадает под экспортный контроль?

Проводится идентификационное заключение по экспортному контролю — независимая экспертиза технических характеристик, по итогам которой подтверждается, что товар не относится к контролируемой продукции. Срок 10–15 рабочих дней, стоимость рассчитываем за 1 час по описанию модели.

База знаний по этой продукции

• Ввоз образцов для испытаний
• Перечень технических регламентов ЕАЭС
• Как определить код ТН ВЭД
• ФГИС Росаккредитации: как проверить документ
• Кто может быть заявителем

Обзорные страницы

• Лицензия ФСБ на шифровальные криптографические средства
• Документы на радиооборудование и шифровальные средства