49145 (597431), страница 6

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 6)

• проводит аккредитацию испытательных центров (лабораторий) совместно с ведомственными орга­нами по сертификации и выдает аттестат аккреди­тации;

• признает иностранные сертификаты соответ­ствия, осуществляет взаимодействие с соответ­ствующими уполномоченными органами других стран и международных организаций по вопросам сертификации;

• регистрирует и аннулирует сертификаты соответ­ствия и сертификационные лицензии, рассматри­вает спорные вопросы, возникающие в процессе сертификации;

• организует периодическую публикацию инфор­мации по сертификации.

Основой сертификации продукции в Российской Федерации является Система сертификации ГОСТ Р Госстандарта России. Этой системой, в частности, опре­деляются правила создания и регистрации ведомствен­ных систем сертификации для конкретных классов про­дукции.

Организация работ по сертификации средств и систем информатизации в российской федерации

В соответствии с действующими законодательными и нормативными документами сертификация средств информатизации проводится в Российской Федерации в следующих основных направлениях:

• обязательная сертификация средств информати­зации на соответствие требованиям электромаг­нитной совместимости, а также требованиям, обес­печивающим безопасность жизни, здоровья, иму­щества потребителей и охрану среды обитания;

• обязательная сертификация средств защиты ин­формации;

• добровольная сертификация функциональных па­раметров средств и систем информатизации, по но­менклатуре и характеристикам, устанавливаемым отраслевыми (фирменными) стандартами, и учиты­вающим различные аспекты применения аппарату­ры и программного обеспечения. Рассмотрим основные особенности выделенных на­правлений сертификации в сфере информатизации.

Обязательная сертификация по требованиям электромагнитной совместимости и параметрам безопасности

В соответствии с действующими законодательными и нормативными документами выполнение работ по сер­тификации средств информатизации в данном направлении возложено на Госстандарт России. В 1994 году Гос­стандарт России ввел в действие нормативный документ "Номенклатура продукции и услуг, подлежащих обяза­тельной сертификации в Российской Федерации". Этот документ ежегодно пересматривается и уточняется с уче­том практики, условий торговли, производства и тен­денций научно-технического развития.

Указанным документом к продукции, подлежащей обязательной сертификации в рассматриваемом направ­лении, отнесены следующие средства информатизации:

• вычислительные машины и комплексы;

• персональные ЭВМ;

• устройства внешней памяти, ввода-вывода и от­ображения информации;

• устройства подготовки и телеобработки данных.

Поскольку основу сертификации по параметрам безопасности составляют общие требования к оборудо­ванию, остановимся подробнее на специфической для средств информатизации характеристике - электромаг­нитной совместимости.

Обеспечение электромагнитной совместимости за­ключается в выполнении требований по допустимым уровням электромагнитных помех, создаваемых функ­ционирующими средствами, и требований к помехоустой­чивости технических средств при воздействии внешних электромагнитных помех.

Невыполнение требований электромагнитной со­вместимости приводит к неэффективному использова­нию радиочастотного спектра, являющегося хотя и не расходуемым, но ограниченным ресурсом, к различным нарушениям в работе технических средств, а в ряде слу­чаев и к аварийным ситуациям.

Сертификация средств информатизации по требо­ваниям электромагнитной совместимости и параметрам безопасности возложена на Госстандарт России и прово­дится органами (центрами) сертификации, аккредито­ванными Госстандартом в рамках Системы сертифика­ции ГОСТ Р.

Вы, вероятно, не раз встречали в рекламных объяв­лениях по продаже компьютеров фразу "Товар сертифи­цирован". Иногда в рекламе указывается и регистраци­онный номер сертификата соответствия, например, "Сертификат соответствия № РОСС RU.ME67.B00373". Речь в этих случаях идет именно о сертификации по тре­бованиям электромагнитной совместимости и парамет­рам безопасности.

Для получения подобного сертификата изготови­тель или поставщик технических средств информатиза­ции должен обратиться в аккредитованный Госстандар­том России орган сертификации, представив комплект документов, определяемый правилами сертификации. Орган сертификации организует проведение соответ­ствующих испытаний (проверок) и при положительном результате испытаний выдает сертификат соответствия. В тексте сертификата указываются конкретные виды требований, по которым проведены испытания, и соот­ветствующие им нормативные документы.

Необходимо иметь в виду, что сертификат соот­ветствия по требованиям электромагнитной совмести­мости и параметрам безопасности является необходи­мым, но в ряде случаев недостаточным условием полно­ты сертификации средств информатизации.

Это объясняется тем, что данный сертификат соот­ветствия практически не затрагивает функциональных характеристик объекта и соответствия их современным требованиям. Такой сертификат дает вам только опреде­ленную уверенность в том, что предлагаемое оборудова­ние не создает недопустимого уровня помех и безопасно в эксплуатации. Упрощенно говоря, объект может не выполнять ряда возложенных на него, согласно имеющейся документации, функций или выполнять их некачественно, но, в полном соответствии с установлен­ными правилами, может получить сертификат по элек­тромагнитной совместимости и безопасности.

Сертификация средств информатизации по функ­циональным характеристикам будет рассмотрена нами в следующих разделах.

Обязательная сертификация средств защиты информации

Законом "Об информации, информатизации и за­щите информации" определено, что информационные ресурсы, то есть отдельные документы или массивы до­кументов, в том числе и в информационных системах, являясь объектом отношений физических, юридических лиц и государства, подлежат обязательному учету и за­щите, как всякое материальное имущество собственника. При этом собственнику предоставляется право само­стоятельно, в пределах своей компетенции, устанавли­вать режим защиты информационных ресурсов и досту­па к ним.

Российская Федерация и ее субъекты являются соб­ственниками информационных ресурсов, создаваемых за счет средств федерального бюджета и бюджетов субъек­тов Российской Федерации.

Законом "Об информации, информатизации и защи­те информации" введено также понятие документиро­ванной информации с ограниченным доступом, которая подразделяется на информацию, отнесенную к государ­ственной тайне, и конфиденциальную (то есть представ­ляющую коммерческую, личную, служебную и другие тайны).

В соответствии с положениями этого закона соб­ственник информационных ресурсов, содержащих госу­дарственную тайну, вправе распоряжаться этой соб­ственностью только с разрешения соответствующих ор­ганов государственной власти.

Таким образом, законодательно определяется не­которая категория информации, которая требует опре­деленных ограничений в ее использовании, а сама ин­формация требует защиты.

Целями защиты информации упомянутый Закон определяет:

• предотвращение утечки, хищения, утраты, иска­жения, подделки информации;

• предотвращение угроз безопасности личности, общества, государства;

• предотвращение несанкционированных действий по уничтожению, модификации, искажению, копи­рованию, блокированию информации;

• предотвращение других форм незаконного вме­шательства в информационные ресурсы и инфор­мационные системы, обеспечение правового режи­ма документированной информации как объекта собственности;

• защиту конституционных прав граждан на сохра­нение личной тайны и конфиденциальности персо­нальных данных, имеющихся в информационных системах;

• сохранение государственной тайны, конфиденци­альности документированной информации в соот­ветствии с законодательством;

• обеспечение прав субъектов в информационных процессах и при разработке, производстве и приме­нении информационных систем, технологий и средств их обеспечения.

Государство, владея информацией, представляющей национальное достояние или содержащей сведения огра­ниченного доступа, неправомерное обращение с которой может нанести ущерб ее собственнику, изыскивает спе­циальные меры, обеспечивающие контроль ее использова­ния и качества защиты. Одной из таких мер является сертификация средств защиты информации.

Необходимость сертификации средств защиты, применяемых при обработке информации, составляю­щей государственную тайну, закреплены в Законе Рос­сийской Федерации "О государственной тайне". Серти­фикации подлежат защищенные технические, программ­но-технические, программные средства, системы, сети вычислительной техники и связи, средства защиты и средства контроля эффективности защиты. Обязатель­ной сертификации подлежат средства, в том числе и ино­странного производства, предназначенные для обработ­ки информации с ограниченным доступом, и прежде все­го составляющей государственную тайну, а также ис­пользующиеся в управлении экологически опасными объектами, вооружением и военной техникой и средства их защиты. Наличие у владельца информационной си­стемы сертифицированных средств обработки информа­ции является гарантией надежности ее защиты и дает ему преимущества при осуществлении страхования.

Порядок сертификации средств защиты информа­ции в Российской Федерации и ее учреждениях за рубе­жом установлен Положением "О сертификации средств защиты информации", утвержденным Постановлением Правительства Российской Федерации от 26 июня 1995 го­да № 608 (текст этого Положения приводится во второй части книги). Это Положение определяет области дея­тельности и сферу компетенции различных государ­ственных органов при сертификации средств защиты информации. Основной объем работ по сертификации средств защиты информации в пределах Российской Фе­дерации возлагается на Гостехкомиссию России и Феде­ральное агентство правительственной связи и информа­ции (ФАПСИ). Координация работ по организации сертификации этой продукции возложена на Межве­домственную комиссию по защите государственной тайны.

Мы думаем, что на роли и общих задачах ФАПСИ здесь нет необходимости останавливаться подробно, по­скольку они, в допустимых пределах, достаточно широ­ко освещаются в печати. А вот название такого государ­ственного органа, как Гостехкомиссия России, некото­рым из наших читателей, возможно, незнакомо.

Государственная техническая комиссия при Пре­зиденте Российской Федерации (Гостехкомиссия Рос­сии) является федеральным органом исполнительной власти, осуществляющим межотраслевую координа­цию и функциональное регулирование деятельности по обеспечению защиты информации некриптографи­ческими методами.

Непосредственное подчинение Президенту Россий­ской Федерации обеспечивает независимость Гостехкомиссии России от региональных, ведомственных и кор­поративных влияний, гарантирует соответствие ее дея­тельности высшим государственным интересам. Гостех­комиссия России - коллегиальный орган. В ее состав входят министры, председатели государственных коми­тетов, первые заместители (заместители) этих руководи­телей. Решения Гостехкомиссии России являются обяза­тельными для исполнения всеми органами государствен­ного управления, предприятиями, организациями и уч­реждениями независимо от их организационно-правовой формы и формы собственности, которые по роду своей деятельности обладают информацией, составляющей го­сударственную или служебную тайну.

Директивными документами, в частности уже упо­минавшимся Положением "О сертификации средств за­щиты информации" установлено, что:

В ведении Гостехкомиссии России нахо­дится сертификация программных и тех­нических средств защиты информации, не использующих методы криптографии (шифрования), а в ведении ФАПСИ - сертификация средств защиты информа­ции, использующих эти методы.

В соответствии с установленным распределением сфер деятельности Гостехкомиссии России и ФАПСИ в Российской Федерации созданы и функционируют две системы сертификации средств защиты инфор­мации:

• "Система сертификации средств защиты инфор­мации по требованиям безопасности информа­ции", разработанная Гостехкомиссией России и зарегистрированная Госстандартом за № РОСС RU.OOOI.OIBHOO;

• "Система сертификации средств криптографи­ческой защиты информации (СКЗИ)", разработан­ная ФАПСИ и зарегистрированная Госстандартом за № РОСС RU.OOO 1.030001.

Эти системы сертификации технических и про­граммных средств направлены на защиту интересов го­сударства и государственного информационного ресур­са, а также интересов и прав собственников и владельцев информации — предпринимателей и граждан России, потребителей продукции и услуг от недобросовестной работы исполнителей.

Добровольная сертификация по функциональным параметрам

Добровольная сертификация применяется для средств информатизации, не подлежащих в соответствии с законодательными актами Российской Федерации обя­зательной сертификации, и проводится по требованиям, на соответствие которым законодательными актами Российской Федерации не предусмотрено проведение обязательной сертификации.

Добровольная сертификация проводится для удо­стоверения качества средств и систем информатизации с целью повышения их конкурентоспособности, расширения сферы использования и получения дополнительных эконо­мических преимуществ.

В общем случае упрощенную схему добровольной сертификации можно представить следующим образом. Необходимость добровольной сертификации обычно определяет разработчик или поставщик средств ин­форматизации, руководствуясь при этом указан­ными выше соображениями. Разработчик или постав­щик обращается в аккредитованный в установленном порядке сертификационный центр и финансирует проведение работ по сертификации. Совокупность и значения показателей качества, по которым проводит­ся сертификация, формируются совместно заявителем и сертификационным центром. При положительных ре­зультатах испытаний средств информатизации, пред­ставленных для сертификации, заявитель получает сер­тификат соответствия, который используется, например, для рекламы при взаимодействии с потенциальным пользователем или потребителем. Последние не имеют непосредственных контактов с сертифика­ционным центром. В случае выявления недостатков в сертифицированном изделии они обращаются не­посредственно к поставщику, который обязан обеспе­чить доработку и повторные сертификационные испы­тания.

Характеристики

Список файлов книги