Сертификация средств защиты информации осуществляется на основании требований государственных стандартов, нормативных документов, утверждаемых Правительством Российской Федерации и федеральными органами по сертификации в пределах их компетенции.
Изготовитель для получения сертификата направляет в орган по сертификации средств защиты информации заявку на проведение сертификации, к которой могут быть приложены схема проведения сертификации, государственные стандарты и иные нормативные и методические документы, требованиям которых должны соответствовать сертифицируемые средства защиты информации.
Орган по сертификации средств защиты информации в месячный срок после получения заявки направляет изготовителю решение о проведении сертификации с указанием схемы ее проведения, испытательной лаборатории, осуществляющей испытания средств защиты информации, и нормативных документов, требованиям которых должны соответствовать сертифицируемые средства защиты информации, а при необходимости - решение о проведении и сроках предварительной проверки производства средств защиты информации.
Испытательные лаборатории проводят сертификационные испытания средств защиты информации и по их результатам оформляют заключения и протоколы, которые направляют в соответствующий орган по сертификации средств защиты информации и изготовителям.
Органы по сертификации средств защиты информации выдают сертификаты и лицензии на применение знака соответствия с представлением копий в федеральные органы по сертификации и ведут их учет.
Основными схемами проведения сертификации средств защиты информации являются:
для единичных образцов средств защиты информации - проведение испытаний этих образцов на соответствие требованиям по защите информации;
для серийного производства средств защиты информации - проведение типовых испытаний образцов средств защиты информации на соответствие требованиям по защите информации и последующий инспекционный контроль за стабильностью характеристик сертифицированных средств защиты информации, определяющих выполнение этих требований.
При несоответствии результатов испытаний требованиям нормативных и методических документов по защите информации орган по сертификации средств защиты информации принимает решение об отказе в выдаче сертификата и направляет изготовителю мотивированное заключение.
Федеральный орган по сертификации и органы по сертификации средств защиты информации имеют право приостанавливать или аннулировать действие сертификата в следующих случаях:
изменение нормативных и методических документов по защите информации в части требований к средствам защиты информации, методам испытаний и контроля;
изменение технологии изготовления, конструкции (состава), комплектности средств защиты информации и системы контроля их качества;
отказ изготовителя обеспечить беспрепятственное выполнение своих полномочий лицами, осуществляющими государственные контроль и надзор, инспекционный контроль за сертификацией и сертифицированными средствами защиты информации.
При возникновении спорных вопросов в деятельности участников сертификации заинтересованная сторона может подать апелляцию в орган по сертификации средств защиты информации, в центральный орган системы сертификации, в федеральный орган по сертификации или в Межведомственную комиссию. Указанные организации в месячный срок рассматривают апелляцию с привлечением заинтересованных сторон и извещают подателя апелляции о принятом решении.
Контроль – проверка выполнения установленных требований, одна из важнейших фаз процесса управления.
Контроль состояния защиты государственной тайны - проверка соответствия организации и эффективности защиты государственной тайны установленным требованиям и/или нормам защиты государственной тайны.
Контроль организации защиты государственной тайны - проверка соответствия организации, наличия и содержания документов требованиям правовых, организационно-распорядительных и нормативных документов в области защиты государственной тайны.
Контроль эффективности защиты государственной тайны - проверка соответствия качественных и количественных показателей эффективности мероприятий по защите государственной тайны требованиям или нормам эффективности защиты государственной тайны.
Основными задачами контроля являются:
оценка полноты и качества выполнения органами, организациями и должностными лицами, осуществляющими деятельность в области защиты государственной тайны, возложенных на них обязанностей и функций;
оценка целесообразности и обоснованности принимаемых управленческих решений и мер по защите государственной тайны с целью предупреждения возможных неблагоприятных последствий их выполнения;
выявление нарушений установленных требований или норм по защите государственной тайны, установление их причин, подготовка в необходимых случаях материалов для привлечения виновных к ответственности (с использованием полномочных органов);
профилактика различных видов нарушений.
Надзор – наблюдение, разновидность контроля, одна из форм деятельности различных государственных органов по обеспечению законности. Надзор - это контроль в форме правового регулирования. Эта форма применяется, прежде всего, для осуществления контроля за соблюдением законов, установленных норм, требований, стандартов. В отличие от инспектирования субъекты надзора вправе при соответствующих обстоятельствах применять к объектам надзора меры административного принуждения. Необходимым условием надзора является отсутствие между субъектами и объектами надзора организационной соподчиненности.
Различают надзор административный надзор прокурорский, надзор судебный.
Предварительный контроль представляет собой оценочную проверку обоснованности мер защиты государственной тайны до начала работы со сведениями, составляющими государственную тайну.
Текущий контроль - это проверка в процессе работы со сведениями, составляющими государственную тайну. Текущий контроль может быть периодическим, повседневным или непрерывным.
Контроль устранения недостатков - это проверка, проводимая после устранения ранее допущенных нарушений норм и требований по защите государственной тайны на контролируемом объекте.
Внутренний контроль проводится на объекте контроля силами собственного подразделения контроля или с привлечением на договорной основе организации, имеющей лицензию на оказание услуг по контролю (аттестации) объектов.
Ведомственный контроль проводится на объекте контроля силами вышестоящей организации в рамках одного ведомства.
Межведомственный контроль (надзор) проводится специально уполномоченными государственными органами, не входящими в одну систему с подконтрольным объектом. Межведомственный контроль за обеспечением защиты государственной тайны осуществляют ФСБ, МО, СВР, ФСТЭК России и их органы на местах, на которые эта функция возложена законодательством РФ.
Организационный контроль защиты государственной тайны состоит в проверке соответствия полноты и обоснованности мероприятий по защите государственной тайны требованиям руководящих и нормативных документов.
Технический контроль эффективности защиты государственной тайны заключается в проверке эффективности мер защиты с использованием технических и/или программных средств контроля.
ФОРМЫ КОНТРОЛЯ
Инспектирование - это контроль за соблюдением установленных правил и требований.
Экспертиза - это предварительный контроль в форме оценки возможности организации исполнять заявленные этой организацией функции по защите государственной тайны.
Специальные исследования технических средств обработки информации (ТСОИ)- это предварительный контроль в форме исследования конкретного ТСОИ с целью выявления каналов утечки защищаемой информации и оценки соответствия принятых мер защиты информации на объекте защиты требованиям нормативных документов.
Специальная проверка - проверка технических средств и систем объекта защиты с целью выявления специально установленного электронного устройства, служащего для негласного получения информации.
Аттестация - это предварительный контроль в форме комплексной проверки (испытания) защищаемого (контролируемого) объекта в реальных условиях его эксплуатации с целью официальной оценки соответствия использованного комплекса мер и средств защиты установленным требованиям.
Сертификация - процедура подтверждения соответствия продукция установленным требованиям независимой от изготовителя (продавца, исполнителя) и потребителя (покупателя) организацией, которая удостоверяет это в письменной форме (в сертификате соответствия).
Система контроля состояния защиты государственной тайны включает следующие органы контроля:
органы межведомственного контроля;
органы ведомственного контроля;
объектовые (местные) органы контроля - структурные подразделения контроля организаций, учреждений и предприятий, проводящие повседневный контроль в своих организациях;
органы, уполномоченные на ведение лицензионной деятельности - контроль за соблюдением лицензионных условий лицензиатами, выполняющими работы, связанные с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны;
федеральные органы по сертификации - контроль и надзор за соблюдением участниками сертификации правил сертификации, а также - за сертифицированными средствами защиты информации;
органы по сертификации средств защиты информации - контроль и надзор за сертифицированными ими средствами защиты информации. По результатам контроля приостанавливают либо отменяют действие выданных ими сертификатов и лицензий на применение знака соответствия, принимают решение о проведении повторной сертификации при изменениях в технологии изготовления и конструкции (составе) сертифицированных средств защиты информации.
организации, оказывающих услуги по аттестации объектов по требованиям безопасности информации.
Организация контроля за состоянием защиты государственной тайны включает:
планирование контроля;
доведение решения о проведении проверки до руководителя проверяемой организации (в случае проведения гласной проверки);
проведение контроля состояния защиты государственной тайны;
доведение результатов контроля, выводов и рекомендаций до соответствующих органов и должностных лиц.
Организация контроля состояния защиты государственной тайны осуществляется уполномоченными органами в сфере их компетенции (ФСБ, ФСТЭК России, СВР, Министерство обороны).
Руководство работами по контролю в органах государственной власти осуществляется их руководителями (заместителями руководителей) через головное подразделение по контролю.
Для проведения работ по контролю могут привлекаться на договорной основе предприятия, имеющие лицензии на право проведения работ в области контроля.
Контроль состояния защиты государственной тайны осуществляется посредством проведения плановых или внезапных, гласных или негласных проверок, проверок по заявкам проверяемых организаций, а также в ходе повседневного наблюдения за состоянием защиты государственной тайны на контролируемых объектах.
Для проведения проверки руководителем контрольного органа назначается проверочная комиссия во главе с руководителем проверки, который получает предписание на право проведения проверки организации работ и выполнения требований по защите государственной тайны в организации (на объекте).
Предписание доводится руководителем проверки до руководителя проверяемой организации (объекта) или лица его замещающего, который обязан создать проверочной комиссии необходимые условия для исполнения ей своих функций, определенных положением о соответствующем органе контроля.
Руководитель проверки доводит до указанного должностного лица перечень проверяемых вопросов, а также перечень необходимых документов, изделий, технических средств и помещений, к которым должен быть обеспечен доступ членов проверочной комиссии, в соответствии с их правами.
По результатам проверки составляется Акт, который высылается в проверяемую организацию (объект), руководству органа государственной власти по подчиненности организации (объекта) и в орган, проводивший проверку.
При наличии в Акте нарушений или недостатков, проверенной организацией составляется план устранения недостатков, который согласовывается с контрольным органом, проводившим проверку.
О выполнении всех мероприятий плана устранения недостатков проверенная организация извещает орган контроля, который может направить в организацию своих сотрудников для оценки эффективности выполненных мероприятий.
Проверка считается законченной после отметки о выполнении всех мероприятий плана устранения недостатков.
Организация работ по защите государственной тайны на предприятиях осуществляется их руководителями. В зависимости от объема работ руководителем предприятия создается структурное подразделение защите государственной тайны либо назначаются штатные специалисты по этим вопросам.
Для проведения работ по защите государственной тайны могут привлекаться на договорной основе специализированные предприятия и организации, имеющие лицензии на проведения работ в области защите государственной тайны.
Правовую основу для организации защиты государственной тайны составляют действующий на объекте Перечень сведений, подлежащим засекречиванию.
Общая технологическая схема организации защиты государственной тайны представляет собой последовательную итерационную процедуру: