Сертификация ФСТЭК в России: всё, что нужно знать для защиты информации и соблюдения требований

Сертификация ФСТЭК — процесс, требующий понимания специфики, последовательности шагов и выбора надежного партнера. В этой статье мы поделимся нашим опытом и практическими рекомендациями, которые помогут вам пройти процедуру быстро и с минимальными затратами

Сертификат соответствия ФСТЭК является обязательным для организаций, использующих средства защиты информации (СЗИ) и работающих с конфиденциальными данными.

Он подтверждает, что СЗИ отвечает требованиям безопасности, установленным Федеральной службой по техническому и экспортному контролю (ФСТЭК России). Это особенно важно для госучреждений, организаций, обрабатывающих личные данные граждан, и компаний, работающих с критически важными данными.

Сертификат соответствия ФСТЭК России — это не только правовое подтверждение, но и дополнительная защита бизнеса.

Существует несколько категорий продукции, подлежащей сертификации:

-1-

Сертификат соответствия ФСТЭК России

Требуется для компаний, предоставляющих услуги или производящих продукцию, связанную с информационной безопасностью
-2-

Сертификат соответствия ФСТЭК ФСБ

Обязательный документ для средств криптографической защиты информации
-3-

Сертификат соответствия средств защиты информации ФСТЭК

Необходим для продукции, которая обеспечивает защиту от несанкционированного доступа к данным

Какие требования предъявляются к продукту?

Требования зависят от типа продукта или системы. Например, шифровальные программы должны соответствовать стандартам защиты от несанкционированного доступа, а межсетевые экраны и антивирусы — требованиям к устойчивости перед внешними атаками. Ключевые критерии включают защиту от вирусных угроз, устойчивость к кибератакам и соблюдение конфиденциальности данных

Соответствие нормативной базе ФСТЭК:

Продукт обязан соответствовать требованиям, прописанным в нормативных актах и методических документах ФСТЭК, таких как ГОСТ Р 56 939−2016 «Защита информации. Разработка безопасного программного обеспечения. Общие требования». Эти стандарты регламентируют основные подходы к разработке и внедрению защищённых систем
Функциональные возможности для обеспечения безопасности:

Продукт должен быть оснащён необходимыми мерами защиты, предотвращающими несанкционированный доступ и утечки информации, а также способами противодействия угрозам, установленным для конкретного типа решений
Качество и надёжность программного обеспечения:

Для сертификации необходимо продемонстрировать, что продукт соответствует стандартам качества, обеспечивая стабильную работу, устойчивость к отказам и корректное выполнение всех заявленных функций безопасности
Полный комплект документации:

Обязательным условием является наличие подробной документации для пользователей и администраторов, включая руководство по эксплуатации и описание архитектурных особенностей безопасности, что помогает в эффективном управлении и поддержке продукта
Процессы разработки:

Для продуктов серийного выпуска нужно подтвердить, что процессы разработки соответствуют требованиям безопасности. Это включает следование ГОСТ Р 56 939−2016 для обеспечения надёжной разработки
Испытания в аккредитованных лабораториях:

Продукт должен пройти тестирование в сертифицированных лабораториях ФСТЭК, которые проверяют его соответствие заявленным требованиям по безопасности
Управление конфигурацией продукта:

Необходимо внедрение системы управления конфигурацией, которая отслеживает изменения, обеспечивает контроль версий и сохранение целостности продукта на всех этапах эксплуатации

Ключевые этапы

Для компаний, которые только начинают путь к получению сертификата соответствия ФСТЭК или ФСБ России, важно понимать этапы процесса:

1

Предварительная оценка системы защиты информации:

На этом этапе проводится аудит текущего состояния системы защиты. Важно понимать, какие требования ФСТЭК применимы именно к вашей сфере. Здесь критично выбрать квалифицированного партнера, который точно определит, где необходима доработка системы.

2

Подготовка и тестирование средств защиты:

После оценки следует настройка системы и её проверка в условиях, максимально приближенных к реальным. Услуги испытательной лаборатории сертификации по ФСТЭК могут сыграть решающую роль, поскольку на этом этапе тестируется устойчивость средств защиты информации к угрозам безопасности

3

Составление пакета документации

Важно подготовить комплект документов, который не только полностью отражает технические параметры и возможности защиты, но и отвечает требованиям регулятора. Это могут быть различные инструкции, методические пособия по эксплуатации и отчеты о проведенных испытаниях

4

Получение сертификата соответствия ФСТЭК

По окончании всех проверок организация получает сертификат соответствия ФСТЭК ФСБ или ФСТЭК России, в зависимости от требований.

5

Техническая поддержка и обновления:

После сертификации владелец обязан поддерживать безопасность продукта, устранять уязвимости, обновлять документацию и своевременно информировать пользователей об изменениях для обеспечения надежной защиты

Список ключевых документов

Руководство по эксплуатации

Инструкция по установке, настройке и эксплуатации продукта, включая рекомендации по защите данных и предотвращению угроз

Модель угроз безопасности

Документ с описанием возможных угроз для продукта, включая сценарии атак и их влияние на систему

Техническое описание продукта

Подробное описание архитектуры и функционала продукта, включая его модули и подсистемы

Акт о соответствии требованиям безопасности

Документ, подтверждающий соответствие продукта установленным требованиям безопасности, включая методы защиты информации

Руководство администратора

Инструкции для администратора продукта по его безопасной настройке, управлению пользователями и правами доступа

Акт испытаний

Протокол с результатами тестирования продукта в аккредитованной лаборатории, подтверждающий его устойчивость к угрозам

Руководство по установке и настройке

Пошаговая инструкция по установке и настройке продукта с описанием методов защиты данных при конфигурации

Сертификаты соответствия

Документы о соответствии используемых компонентов (например, шифрования) требованиям безопасности

План управления конфигурацией

Документ, описывающий процесс контроля изменений и версий продукта для поддержания его целостности

Документ о лицензиях на ПО

Подтверждение наличия лицензий на сторонние компоненты или программное обеспечение, используемое в продукте

Часто задаваемые вопросы

Вопрос:

Сколько времени занимает сертификация ФСТЭК?

Ответ:

Срок сертификации зависит от сложности продукта, объема испытаний и может занимать от нескольких недель до нескольких месяцев
Вопрос:

Как долго действует сертификат ФСТЭК?

Ответ:

Сертификат обычно выдается на срок от нескольких лет, после чего может потребоваться его обновление или продление
Вопрос:

Можно ли обойтись без сертификации, если продукт соответствует требованиям?

Ответ:

Нет, сертификация необходима, даже если продукт соответствует внутренним требованиям безопасности. Она официально подтверждает соответствие стандартам ФСТЭК
Вопрос:

Можно ли обойтись без сертификации, если продукт соответствует требованиям?

Ответ:

Сертификат обычно выдается на срок от трех до пяти лет, после чего может потребоваться его обновление для соответствия актуальным стандартам