Средство защиты информации от несанкционированного доступа — требования и заключение ФСТЭК

Коротко: заключение ФСТЭК — Средство защиты информации от несанкционированного доступа

Средство защиты информации от несанкционированного доступа продаётся в двух несопоставимых исполнениях — как дистрибутив на носителе и как программно-аппаратный модуль доверенной загрузки с платой расширения и комплектом идентификаторов. Разрешительная линия у обоих одна, экспортный контроль: заключение ФСТЭК за 5 рабочих дней, идентификационное заключение — 10–15 рабочих дней, стоимость — 38 600 ₽.

Средство защиты информации от несанкционированного доступа: обязательные документы

Средства защиты информации от несанкционированного доступа — программные и программно-аппаратные комплексы разграничения доступа, контроля целостности и доверенной загрузки. Экспортный контроль относит их к продукции двойного назначения, поэтому при перемещении через границу требуется заключение ФСТЭК на средство защиты информации. Срок оформления — 5 рабочих дней, стоимость рассчитываем за 1 час по описанию продукта.

Параллельная процедура — идентификационное заключение по экспортному контролю. Это независимая экспертиза, задача которой обратная: показать, что конкретный продукт под контрольные списки не подпадает. Срок — 10–15 рабочих дней. Заключение используется в таможенном оформлении, в банковском контроле по контракту и в закупках.

Чего в этом случае не требуется:

• технические регламенты к программному обеспечению не применяются — декларации ТР ТС 004/2011, 020/2011 и ТР ЕАЭС 037/2016 не оформляются;
• разрешение на ввоз РЭС и ВЧУ и регистрация РЭС не нужны: радиоинтерфейса у продукта нет;
• нотификация ФСБ применяется к товарам массового применения, а средство защиты информации к ним не относится.

Если комплекс поставляется на аппаратной платформе с собственным питанием, к аппаратной части техрегламенты применяются в общем порядке.

На что смотреть в этой модификации

Средство защиты информации от несанкционированного доступа проверяется по функциям, а не по форм-фактору. Экспертиза разбирает механизмы идентификации и аутентификации, правила разграничения доступа, контроль целостности файлов и загрузочной среды, журналирование событий безопасности. К контролируемым признакам относятся реализованные криптографические примитивы и длина ключа — по ним делается вывод о применимости контрольных списков.

Позиции 8523 49 900 0 и 8543 70 900 0 применяются к носителю с дистрибутивом и к программно-аппаратному исполнению. Оценка опирается на ГОСТ Р ИСО/МЭК 15408-1-2012 и ГОСТ Р 50922-2006, а наличие ГОСТ Р 34.12-2015 и ГОСТ Р 34.10-2012 указывает на российскую криптографию и лицензионный режим. Заключение ФСТЭК — 5 рабочих дней, 38 600 ₽.

Аппаратное исполнение меняет не форму документа, а состав поставки, и именно на составе спотыкаются чаще всего. Модуль доверенной загрузки приезжает не один: с ним идут персональные идентификаторы — USB-ключи, смарт-карты или контактные таблетки, считыватель, иногда датчик случайных чисел на отдельной плате. Каждый из этих предметов — самостоятельное изделие со своим кодом и своим описанием, и рассматривать комплект как одну товарную позицию не получается. Позиции 8523 49 900 0 и 8543 70 900 0 разводят как раз носитель с программной частью и аппаратный блок.

Для экспертизы разбирают функциональную сторону: способ идентификации пользователя до загрузки операционной системы, механизм контроля целостности загрузочной среды и файлов, правила разграничения доступа к устройствам и портам, ведение журнала событий безопасности и защита самого журнала от изменения. Контролируемым признаком становится криптографическая часть — какие примитивы реализованы аппаратно, какая длина ключа, есть ли встроенный генератор случайных чисел и где хранится ключевой материал. Основанием для вывода служат именно измеримые величины, а не название продукта и не его рыночное позиционирование.

Второй пласт — направление перемещения. Заключение ФСТЭК востребовано прежде всего при вывозе и при передаче технической документации иностранному партнёру, включая ситуации, которые компании не считают экспортом: отправка образца на тестирование, передача исходных материалов подрядчику за рубежом, возврат неисправного модуля производителю. Идентификационное заключение при спорной классификации закрывает вопрос быстрее — 10–15 рабочих дней.

Разграничение с уведомительным порядком тоже стоит держать в голове. Здесь маршрут строится на экспортном контроле, а не на криптографии как таковой; если продукт получает собственную криптоподсистему массового применения, вопрос о нотификации рассматривается отдельно и на данный маршрут не влияет. Функции безопасности описывают по ГОСТ Р ИСО/МЭК 15408-1-2012, терминологию — по ГОСТ Р 50922-2006.

Как проходит процедура

Экспортный контроль по линии ФСТЭК России касается продукции двойного назначения и средств защиты информации. Когда задача обратная — доказать, что товар не является контролируемым, — оформляется идентификационное заключение.

Что учесть при ввозе

Классификация зависит от того, поставляется продукт как носитель с ПО или как аппаратный модуль:

• 8523 49 900 0 — оптические носители с записанной информацией, применяется к дистрибутивам на физических носителях;
• 8543 70 900 0 — прочие электрические устройства с самостоятельной функцией, к которым относят программно-аппаратные комплексы и платы доверенной загрузки.

Поставка по электронным каналам таможенного оформления не требует, но экспортный контроль действует и для неё: передача программного средства за рубеж рассматривается как вывоз. Позиция 8543 70 900 0 — одна из самых спорных: под ней проходят и бытовые устройства, и специализированные средства защиты, поэтому инспектор всегда запрашивает описание функционала.

Комплект сведений от вас

Комплект для подачи компактный, и большую его часть вы уже держите в руках:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Средство защиты информации от несанкционированного доступа» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• технические характеристики для идентификации по спискам контролируемой продукции: дальность, разрешение, спектральный диапазон, наличие функций наведения;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сколько занимает и сколько стоит

Заключение ФСТЭК — 5 рабочих дней, 38 600 ₽.

Идентификационное заключение по экспортному контролю — 10–15 рабочих дней.

Стоимость нотификации, лицензии ФСБ, разрешения на ввоз РЭС и ВЧУ, документов в области связи и заключений по экспортному контролю зависит от числа моделей и состава криптографических и радиофункций. Расчёт по вашей продукции готовим за 1 час и фиксируем до старта работ.

Смета фиксируется до старта и в процессе не меняется. Документы по техрегламентам регистрируются в реестре ФГИС Росаккредитации, нотификация — в едином реестре ЕЭК, документы в области связи — в реестре Роскомнадзора.

REDICO работает с 2010 года: более 14 000 оформленных документов, собственный орган по сертификации и лаборатория с аттестатом 11НК35. Коды ТН ВЭД и обозначения моделей прогоняем через ИИ-проверку — именно на них чаще всего спотыкается выпуск.

Где чаще всего ошибаются

1. Считать, что на программное средство нужна декларация ТР ТС. Технические регламенты к программному обеспечению не применяются. Попытка зарегистрировать декларацию на программный продукт создаёт запись с недостоверными сведениями вместо нужного заключения.
2. Игнорировать экспортный контроль при электронной поставке. Передача дистрибутива по сети зарубежному контрагенту — это вывоз. Отсутствие таможенной декларации не отменяет требований к продукции двойного назначения.
3. Путать заключение ФСТЭК с идентификационным. Первое — 5 рабочих дней по контролируемой продукции, второе — 10–15 рабочих дней и служит доказательством отсутствия контроля.

Вопросы и ответы

Нужны ли отдельные документы на идентификаторы и считыватели из комплекта?

Каждый предмет комплекта описывается отдельно. USB-ключи, смарт-карты, контактные идентификаторы и считыватели — самостоятельные изделия со своими кодами и характеристиками, и в материалах экспертизы они перечисляются наравне с основным модулем. Комплект целиком одной позицией не подаётся, иначе часть поставки остаётся вне поданных сведений.

Когда заключение ФСТЭК требуется, если продукт только ввозится?

Экспортный контроль работает прежде всего на вывоз и передачу технологий, поэтому вопрос возникает в ситуациях, которые компании не считают экспортом: отправка образца на тестирование за рубеж, передача документации иностранному подрядчику, возврат неисправного модуля производителю. Статус проверяют заранее, срок заключения — 5 рабочих дней.

Нужна ли декларация ТР ТС на средство защиты информации?

Нет, если продукт поставляется как программное средство: технические регламенты к программному обеспечению не применяются. Если комплекс исполнен как аппаратное устройство с собственным питанием, на аппаратную часть оформляются декларации ТР ТС 004/2011, 020/2011 и ТР ЕАЭС 037/2016 в общем порядке.

Зачем нужно идентификационное заключение, если товар не контролируемый?

Чтобы это подтвердить документально. Таможня, банк и заказчик исходят из презумпции проверки, а самостоятельное заявление участника сделки доказательством не является. Идентификационное заключение — независимая экспертиза со сроком 10–15 рабочих дней, которая снимает вопрос на всех этапах сделки.

Требуется ли нотификация ФСБ на такой продукт?

Нет. Нотификация предусмотрена для товаров массового применения, где шифрование — вспомогательная функция. Средство защиты информации создаётся ради защиты, поэтому при наличии российских криптоалгоритмов действует лицензионный режим ФСБ со сроком от 2 месяцев, а не уведомительный порядок.

Сколько занимает подготовка документов по экспортному контролю?

Заключение ФСТЭК — 5 рабочих дней, идентификационное заключение по экспортному контролю — 10–15 рабочих дней. Процедуры можно запускать параллельно, если заранее подготовлено техническое описание функционала и перечень реализованных криптоалгоритмов. Стоимость: заключение ФСТЭК — 38 600 ₽.

Что почитать перед подачей

• Штрафы за отсутствие документов
• Инспекционный контроль по сертификату
• Протокол испытаний: что в нём проверяют
• Акт отбора образцов
• Технические условия (ТУ): когда нужны

Обзорные страницы

• Заключение ФСТЭК по экспортному контролю средств защиты
• Документы на радиооборудование и шифровальные средства