Подтверждение соответствия: DLP-система — заключение ФСТЭК

Заключение ФСТЭК: DLP-система — документ, срок, цена

Формулировки в описании DLP-системы значат не меньше, чем её код: обещание скрытого контроля сотрудников и негласного съёма информации выводит продукт в совершенно иной разрешительный режим, чем защита компании от утечек. Поэтому подготовка заключения ФСТЭК начинается с приведения маркетинговых материалов в соответствие с технической документацией. Срок заключения — 5 рабочих дней, стоимость рассчитываем за 1 час.

Разрешительные документы — DLP-система

Заключение ФСТЭК на DLP-систему — документ экспортного контроля. Программное средство контроля утечек анализирует содержимое каналов передачи данных, перехватывает трафик и работает с криптографией, и по совокупности признаков относится к продукции двойного назначения и к средствам защиты информации. Срок оформления заключения ФСТЭК — 5 рабочих дней, стоимость — 38 600 ₽ функционала продукта.

Второй документ — идентификационное заключение по экспортному контролю. Это независимая экспертиза, задача которой обратная: показать, что конкретный продукт или его версия не относятся к контролируемой продукции. Оно нужно, когда контрагент, банк или таможня требуют формального подтверждения, а состав функций спорен. Срок — 10–15 рабочих дней.

Технические регламенты здесь не работают вообще: ТР ТС 004/2011 и 020/2011 распространяются на оборудование, а DLP-система — это программный продукт. Требование покупателя предоставить декларацию соответствия на дистрибутив некорректно, и правильный ответ ему — отказное письмо, оформляемое за 1–2 рабочих дня стоимостью 4 500 ₽.

Если в продукте реализованы собственные криптографические функции — шифрование карантина, защищённый канал до сервера управления, электронная подпись политик — параллельно рассматривается нотификация ФСБ со сроком 7 рабочих дней через Казахстан или 2 месяца в России. Заключение ФСТЭК её не заменяет: у процедур разные основания и разные ведомства.

Особенности этой модификации

DLP-система по своей задаче — средство защиты информации: она перехватывает трафик, разбирает содержимое файлов, контролирует съёмные носители и печать, ведёт теневое копирование. Совокупность этих функций относит продукт к технике двойного назначения, поэтому основным документом становится заключение ФСТЭК со сроком 5 рабочих дней, а спорные конфигурации закрываются идентификационным заключением по экспортному контролю за 10–15 рабочих дней.

Материалы экспертизы описывают функции безопасности на языке ГОСТ Р ИСО/МЭК 15408-2-2013 и ГОСТ Р ИСО/МЭК 15408-3-2013, процессы разработки — по ГОСТ Р 56939-2016, а применение продукта в защищённой системе — по ГОСТ Р 51583-2014. Технические регламенты к программному средству не применяются, декларация на дистрибутив не оформляется, а формальный ответ контрагенту даёт отказное письмо за 1–2 рабочих дня, 4 500 ₽. Носители проходят по кодам 8523 49 450 0 и 8523 51 900 0; стоимость заключений считаем за 1 час.

Функциональный состав системы разложен по точкам контроля, и в материалах экспертизы его описывают именно так. Агент на рабочей станции контролирует буфер обмена, печать, съёмные носители и запуск приложений. Сетевой модуль разбирает почтовый и веб-трафик на границе периметра. Модуль анализа содержимого работает с цифровыми отпечатками документов, словарями и регулярными выражениями. Серверная часть хранит перехваченные объекты и результаты классификации. Каждый уровень даёт свой набор контролируемых признаков, и подавать систему как единый продукт без разбивки — значит получить запрос уточнений.

Чувствительная функция здесь та же, что и у смежных средств, — разбор корпоративного зашифрованного трафика. Для его реализации на устройства сотрудников устанавливается корневой сертификат организации, и система получает доступ к содержимому защищённых соединений. Этот механизм описывают отдельно, с указанием, чей ключевой материал используется и кто им управляет.

Отдельный практический слой — правовая рамка эксплуатации, о которой спрашивает почти каждый заказчик. Система обрабатывает переписку и файлы сотрудников, то есть работает с персональными данными, поэтому внедрение сопровождают внутренними документами: положением о коммерческой тайне, режимом использования корпоративных ресурсов, уведомлением работников. К разрешительным документам на продукт это не относится, но без такой рамки продукт у заказчика не запускается.

Поставка обычно идёт без пересечения границы: дистрибутив и лицензионные ключи передаются по сети, предмета таможенного декларирования не возникает, коды 8523 49 450 0 и 8523 51 900 0 применяются только при поставке на носителе. Заключение при этом привязано к конкретной версии и составу модулей: включение в сборку компонента разбора зашифрованного трафика или агента с расширенными правами на рабочей станции — основание пересмотреть выводы, а не ссылаться на документ прошлого года.

Как проходит процедура

Экспортный контроль по линии ФСТЭК России касается продукции двойного назначения и средств защиты информации. Когда задача обратная — доказать, что товар не является контролируемым, — оформляется идентификационное заключение.

Практика по этой группе

Код ТН ВЭД нужен, когда программный комплекс поставляется на физическом носителе или в виде программно-аппаратного комплекта. Загрузка дистрибутива по сети таможенного оформления не требует, но экспортный контроль от способа доставки не зависит: он привязан к функциональным характеристикам продукта.

• 8523 49 450 0 — оптические носители с записанными данными и программами;
• 8523 51 900 0 — твердотельные энергонезависимые устройства хранения с записанным содержимым.

При поставке DLP в составе аппаратного сервера декларируется оборудование по своему коду, а программная часть оценивается отдельно по линии экспортного контроля. Разделение поставки на «железо» и лицензию не снимает вопросов ФСТЭК: экспертиза смотрит на функции продукта, а не на носитель.

Комплект сведений от вас

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «DLP-система» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• технические характеристики для идентификации по спискам контролируемой продукции: дальность, разрешение, спектральный диапазон, наличие функций наведения;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сроки, цена, срок действия

Заключение ФСТЭК — 5 рабочих дней, 38 600 ₽.

Идентификационное заключение по экспортному контролю — 10–15 рабочих дней.

Стоимость нотификации, лицензии ФСБ, разрешения на ввоз РЭС и ВЧУ, документов в области связи и заключений по экспортному контролю зависит от числа моделей и состава криптографических и радиофункций. Расчёт по вашей продукции готовим за 1 час и фиксируем до старта работ.

Цену называем один раз и держим её до конца работ. У каждой процедуры свой реестр: техрегламенты — ФГИС Росаккредитации, шифровальные средства — единый реестр Евразийской экономической комиссии, средства связи — реестр Роскомнадзора.

За 15 лет работы REDICO оформил свыше 14 000 разрешительных документов. Орган по сертификации и лаборатория (аттестат 11НК35) — свои, поэтому сроки не зависят от очередей на сторонних площадках, а расхождения в кодах и артикулах находит ИИ-проверка ещё до подачи.

Три ошибки, которые стоят денег

1. Запрос декларации по техрегламенту на программный комплекс. К программному обеспечению ТР ТС не применяются, и корректным ответом контрагенту служит отказное письмо за 1–2 рабочих дня, 4 500 ₽, а не попытка зарегистрировать несуществующий документ.
2. Подмена одного заключения другим. Заключение ФСТЭК и идентификационное заключение по экспортному контролю решают разные задачи: первое относится к контролируемой продукции, второе доказывает отсутствие оснований для контроля.
3. Оформление документов на «продукт вообще» без указания состава модулей. Экспертиза оценивает конкретный функциональный набор, и расширение лицензии дополнительными модулями меняет выводы.

Вопросы и ответы

Почему описание функций DLP-системы формулируют осторожно?

Потому что заявленные возможности скрытого съёма информации и негласного контроля сотрудников относят продукт к совершенно другой категории с иным разрешительным режимом. Одна фраза в рекламном материале способна изменить вывод экспертизы, поэтому описание приводят в соответствие с технической документацией до подачи, а не после запроса.

Достаточно ли одного заключения ФСТЭК на все версии DLP-системы?

Нет. Вывод экспертизы относится к конкретной версии и составу модулей. Добавление компонента разбора зашифрованного трафика, агента с расширенными правами на рабочей станции или нового канала контроля меняет функциональный профиль продукта, и материалы готовят заново. Срок оформления заключения — 5 рабочих дней.

Почему на DLP нужно заключение ФСТЭК?

Потому что средства защиты информации и продукция двойного назначения подпадают под экспортный контроль, а DLP анализирует трафик, контролирует каналы передачи и работает с криптографией. Заключение ФСТЭК оформляется за 5 рабочих дней, стоимость — 38 600 ₽ функционала.

Чем идентификационное заключение отличается от заключения ФСТЭК?

Идентификационное заключение — независимая экспертиза, которая нужна, когда требуется доказать, что товар не является контролируемым. Заключение ФСТЭК относится к продукции, которая под контроль подпадает. Срок идентификационного заключения — 10–15 рабочих дней, заключения ФСТЭК — 5 рабочих дней.

Нужна ли декларация ТР ТС на программный комплекс?

Нет. Технические регламенты Таможенного союза распространяются на оборудование и его безопасность, а не на программный код. Если продукт поставляется вместе с сервером, декларация оформляется на аппаратную часть. Для программной части при запросе контрагента берётся отказное письмо за 4 500 ₽.

Требуется ли DLP-системе нотификация ФСБ?

Требуется, если продукт содержит собственные криптографические функции: шифрование карантина, защищённый канал до сервера управления, подпись политик. Тогда нотификация оформляется параллельно с заключением ФСТЭК, срок — 7 рабочих дней через Казахстан или 2 месяца в России. Заключение ФСТЭК уведомление не заменяет: это разные процедуры разных ведомств.

База знаний по этой продукции

• Акт отбора образцов
• Технические условия (ТУ): когда нужны
• Требования к этикетке
• Сертификация для госзакупок
• Ввоз образцов для испытаний

Обзорные страницы

• Заключение ФСТЭК по экспортному контролю средств защиты
• Документы на радиооборудование и шифровальные средства