Как устроена система сертификации ФСТЭК
Порядок сертификации средств защиты информации установлен Положением о системе сертификации средств защиты информации, утверждённым приказом ФСТЭК России от 3 апреля 2018 г. № 55. Приказ зарегистрирован Минюстом 11 мая 2018 г. и вступил в силу с 1 августа 2018 г.; в Положение вносились изменения, в том числе приказами № 121 от 05.08.2021, № 172 от 19.09.2022 и № 9 от 20.01.2026.
Участники системы — ФСТЭК России как федеральный орган по сертификации, органы по сертификации, испытательные лаборатории, изготовители (заявители). Сертификацию проводят на соответствие требованиям по безопасности информации: требованиям к уровням доверия и к конкретным типам средств защиты.
Этапы сертификации
| Этап | Содержание |
|---|---|
| Заявка | в ФСТЭК России с документацией |
| Решение | назначение органа и испытательной лаборатории |
| Испытания | в испытательной лаборатории |
| Экспертиза | органом по сертификации |
| Сертификат | внесение в государственный реестр |
Важно
Сертификат ФСТЭК выдаётся на конкретную версию средства защиты информации. Изменения в программном коде после сертификации требуют оценки их влияния на безопасность в установленном порядке; изготовитель обязан поддерживать сертифицированное средство и устранять уязвимости.
Где нужны сертифицированные средства
Сертифицированные средства защиты информации применяют в государственных информационных системах, на значимых объектах критической информационной инфраструктуры, в информационных системах персональных данных при определённых уровнях защищённости и в других случаях, установленных требованиями ФСТЭК. Поэтому заказчики из госсектора и крупного бизнеса требуют сертификат в тендерах.
Сертификация ФСТЭК относится к средствам технической защиты информации. Средства криптографической защиты информации сертифицирует ФСБ России в своей системе; это отдельная процедура.
Мнение эксперта
По нашему опыту, основная нагрузка при сертификации приходится на документацию и процесс безопасной разработки: испытательная лаборатория анализирует не только функции, но и исходный код, процессы разработки и устранения уязвимостей. Мы советуем выстраивать процесс безопасной разработки до подачи заявки (наша оценка).
Документация заявителя
В комплект входят техническое описание средства, задание по безопасности или аналогичный документ, руководства пользователя и администратора, описание процесса разработки и поддержки, исходные тексты для анализа. Объём и состав определяются требованиями, на соответствие которым проводится сертификация.
Поддержка сертификата
После получения сертификата изготовитель обеспечивает поддержку безопасности средства: отслеживает уязвимости, выпускает обновления, информирует потребителей. Сведения о сертификате вносят в государственный реестр сертифицированных средств защиты информации, где его проверяют заказчики.
Совет эксперта
Определите целевых заказчиков и требования их систем заранее: от этого зависит выбор требований и уровня доверия, а значит, объём и стоимость сертификации.
Виды продукции и особенности
Межсетевые экраны
Для них установлены отдельные требования по безопасности.
Средства антивирусной защиты
Сертифицируются по требованиям к своему типу средств.
Средства контроля доступа
Применяются в информационных системах госсектора.
Операционные системы
Для их применения в защищённых системах требуется сертификат.
План работ
- Анализ
- Требования
- Документация
- Испытания
- Поддержка
Выбор документа
Сертификат ФСТЭК на средство защиты.
Что вы получаете
Готовый документ — сертификат или декларация, внесённые в реестр, — протоколы испытаний аккредитованной лаборатории, обоснование безопасности или техническая документация, проверенные маркировка и руководство, а также рекомендации, какие изменения конструкции, рецептуры или изготовителя потребуют новых испытаний и обновления документов.
Коротко о главном
Выстройте безопасную разработку.
Подробнее об оформлении
Хранение и обновление документов
Поддерживайте сертифицированную версию и устраняйте уязвимости.
Уровни доверия
Требования по безопасности информации устанавливают уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности ИТ. Чем выше уровень, тем строже требования к разработке, тестированию и анализу уязвимостей.
Анализ уязвимостей
Испытательная лаборатория проводит анализ уязвимостей и тестирование на проникновение в объёме, установленном для уровня доверия. Найденные уязвимости изготовитель устраняет до выдачи сертификата.
Исходный код
Для ряда уровней доверия требуется анализ исходного кода, в том числе статический и динамический анализ. Изготовитель предоставляет исходные тексты и средства сборки.
Серийное производство
Сертификат выдают на серийное производство или на партию. Для серийного производства оценивают процессы изготовителя, обеспечивающие идентичность выпускаемых экземпляров сертифицированному образцу.
Импортозамещение
Сертифицированные средства защиты информации востребованы в связи с требованиями к применению российского ПО и защите значимых объектов КИИ. Наличие сертификата и записи в реестре российского ПО часто требуется одновременно.
Сроки
Сертификация занимает значительное время из-за испытаний и анализа кода. Срок зависит от уровня доверия, сложности продукта и готовности документации.
Стоимость
Стоимость складывается из работ испытательной лаборатории и органа по сертификации, подготовки документации и доработок продукта. Расчёт делаем после анализа продукта и требований.
Ответственность изготовителя
Изготовитель отвечает за соответствие выпускаемых экземпляров сертифицированному образцу и за своевременное устранение уязвимостей. При нарушениях действие сертификата может быть приостановлено.
Задание по безопасности
Задание по безопасности описывает объект оценки, угрозы, предположения об окружении и функции безопасности. Это ключевой документ, на основании которого лаборатория планирует испытания.
Руководства
Руководства администратора и пользователя должны описывать безопасную установку, настройку и эксплуатацию. Несоответствие руководства фактическому поведению продукта — частое замечание лаборатории.
Поддержка обновлений
План выпуска обновлений безопасности согласуют заранее, чтобы клиенты получали исправления без нарушения условий сертификата.
Что входит в работу
- анализ продукта и требований;
- выбор требований и уровня доверия;
- подготовка документации;
- взаимодействие с лабораторией и органом;
- поддержка после сертификации.
Как работаем
- Диагностика Оценка текущего состояния. Результат: отчёт
- Проект Документы и изменения. Результат: комплект
- Внедрение Обучение и практика. Результат: работающая система
- Аудит Внутренний и сертификационный. Результат: заключение
- Сертификат Выдача и надзор. Результат: документ
Что нужно от вас
- описание продукта и архитектуры;
- функции безопасности;
- описание процесса разработки;
- целевые заказчики и системы;
- имеющиеся документы.
Частые ошибки
- нет процесса безопасной разработки;
- изменения кода после сертификации без оценки;
- не определён уровень доверия;
- путаница ФСТЭК и ФСБ;
- документация не соответствует версии.
Связаться с нами
Пришлите перечень моделей или марок, рецептуры, ТУ или руководство по эксплуатации, имеющиеся сертификаты и протоколы изготовителя, укажите, кому продаёте: производствам, подрядчикам, на тендеры, в розницу или на маркетплейсах. В течение рабочего дня ответим, какой документ нужен, что подготовить и сколько займёт работа.
Полезно прочитать
Вопросы и ответы
Каким приказом установлен порядок сертификации ФСТЭК?
Положением о системе сертификации средств защиты информации, утверждённым приказом ФСТЭК России от 03.04.2018 № 55.
Кто проводит испытания средств защиты информации?
Испытания проводят испытательные лаборатории, аккредитованные в системе сертификации ФСТЭК, по решению ФСТЭК России.
Сертифицирует ли ФСТЭК шифровальные средства?
Нет, средства криптографической защиты информации сертифицирует ФСБ России в собственной системе сертификации.
Где нужны сертифицированные средства защиты?
В государственных информационных системах, на значимых объектах КИИ, в ряде информационных систем персональных данных.
Нужно ли пересертифицировать обновлённую версию?
Изменения оценивают на влияние на безопасность в установленном порядке; существенные требуют дополнительных работ.
Где проверить сертификат ФСТЭК?
Сертификат проверяют в государственном реестре сертифицированных средств защиты информации, который ведёт ФСТЭК России.
Можно ли продавать средство защиты без сертификата ФСТЭК?
Можно в коммерческом секторе, но для систем, где требуется сертифицированное средство, оно не подойдёт.