Сертификация программных средств защиты информации (СЗИ)

В последнее время нередко возникает необходимость в обеспечении защиты персональных данных. Это требуется не только частным лицам, но и государственным учреждениям. Чтобы гарантировать надежность, безопасность и функциональность тех IT-программ, которые отвечают за сохранность разнообразных сведений, необходимо своевременно проводить сертификацию средств защиты информации (СЗИ).

Сертификация программных средств защиты информации — это процесс оценки и подтверждения соответствия данных программных продуктов определенным стандартам, нормам и требованиям в области информационной безопасности. Основная цель сертификации — удостовериться в эффективности и качестве защиты информации от различных угроз и уязвимостей.

В ходе сертификации проводится анализ и тестирование программного средства на соответствие следующим параметрам:

1. Конфиденциальность: способность программного средства обеспечивать защиту информации от несанкционированного доступа.
2. Целостность: способность программного продукта сохранять корректность и неизменность информации, предотвращая ее изменение или уничтожение.
3. Доступность: способность программного средства поддерживать непрерывный и быстрый доступ к информации для авторизованных пользователей.
4. Аутентификация: способность программного обеспечения подтверждать подлинность пользователя или источника данных.
5. Неотказуемость: способность программного средства удостоверять действия пользователя и предотвращать возможность отрицания совершенных действий.
6. Надежность: способность программного средства работать стабильно и без сбоев.
7. Совместимость: способность программного продукта взаимодействовать с другими системами и компонентами без конфликтов и проблем.

По результатам сертификации программному средству может быть присвоен определенный уровень доверия и сертификат соответствия, который подтверждает его эффективность и качество.

Основные разновидности СЗИ

Выделяют несколько ключевых средств защиты информации:

• Технические. Их основное предназначение – это маскировка, а также последующее перекрытие каналов утечки данных. Ассортимент таких СЗИ довольно большой. В их число входят не только генераторы шума, специальные программы для мгновенного прерывания информационного потока, но и разнообразные сетевые фильтры.
• Программные. Посредством использования таких СЗИ происходит идентификация конкретных пользователей, шифруются определенные данные, обеспечивается доступ либо же удаляются временные файлы. Ассортимент программных средств защиты огромный: межсетевые экраны, разнообразные криптографические системы, а также антивирусы.
• Смешанные. Им присущи свойства программных, а также технических СЗИ.

В отдельную категорию входят организационные СЗИ, посредством использования которых происходит подготовка отдельных объектов, их оснащение компьютерной техникой, укладка кабеля. Они выполняются профессионалами, которые обладают соответствующим опытом.

В законодательстве зафиксировано, что сертификация средств защиты информации (государственная тайна, инновационные разработки) выполняется в обязательном порядке. После проведения всех мероприятий присваивается определенный уровень доверия (сейчас их шесть). Сведениям, которые являются государственной тайной, присваивается с первого по третий уровень доверия.

Если данные мероприятия не проведены, могут быть начислены штрафы. Помимо этого, нелегальная продукция конфискуется в обязательном порядке.

Почему стоит проводить добровольную сертификацию средств защиты информации?

Если СЗИ не входит в перечень тех, которые подлежат обязательной сертификации, эту процедуру можно пройти добровольно. Такая особенность позволяет получить следующие преимущества:

• имидж разработчика повышается;
• предприниматели или компании допускаются к государственным тендерам;
• увеличивается численность клиентов и прибыль.

Сертификация программных средств защиты информации

Перед тем как обращаться в аккредитованные компании, которые проводят этот процесс, следует ознакомиться с порядком сертификации средств защиты информации:

• Изначально выбирается компания, которая занимается сертификацией СЗИ, подготавливается заявление и заявленный компанией пакет документов.
• Заявитель обязан предоставить информацию, которую запрашивает компания. Это необходимо для доскональной проверки в рамках сертификации программных средств защиты информации.
• С целью проведения исследования и проверки выбираются образцы. Все мероприятия проводят в специально подготовленной лаборатории. При необходимости дополнительно выполняют и аттестацию производства.
• Все испытания контролируются и фиксируются. Полученные данные анализируются.
• Если СЗИ успешно проходят проверку, выдается сертификат соответствия. Дополнительно профессионалы наносят маркировку.

Периодически проводится инспекционный контроль за теми СЗИ, которые прошли процесс сертификации программных средств защиты информации. Если выявлены недочеты, может быть проведен процесс аннулирования ранее выданного сертификата.

Сертификация средств защиты информации ФСТЭК

В процедуре сертификации СЗИ участвуют:

• те испытательные лаборатории и уполномоченные организации, которые имеют соответствующую аккредитацию;
• компании, которые занимаются разработкой и выпуском СЗИ;
• Росаккредитация.

Каждый участник сертификации средств защиты информации ФСТЭК выполняет конкретные функции. К примеру, компании-изготовители во время разработки программных СЗИ обязаны учитывать установленные правила и действующие требования.

Для чего необходима сертификация ФСТЭК?

Сертификат ФСТЭК выдается лишь на программные продукты. Но в процессе сертификации осуществляется проверка и того оборудования, которое используется с целью хранения личных данных, не подлежащих распространению.

Сертификация средств защиты информации ФСТЭК необходима в следующих случаях:

• необходимость в обеспечении защиты определенных конфиденциальных данных (для первого-третьего уровней доверия);
• необходимость повышения уровня доверия со стороны потребителей;
• выявление наиболее эффективных, а также качественных СИЗ.

Эту процедуру довольно часто проходят те компании, которые работают в специфических отраслях, с государственными информационными системами или с персональными данными. Несертифицированные изделия в большинстве случаев использовать запрещено.

Сертификация средств криптографической защиты информации

Сейчас активно внедряют средства криптографической защиты информации (СКЗИ). Они представляют собой специальные программы или же устройства, с помощью которых происходит шифрование отдельных документов, а также генерирование электронной подписи. Для проведения всех операций применяют ключ ЭП. Вручную его подобрать невозможно.

Порядок сертификации средств защиты информации определяет ФСБ РФ. Для этого предварительно определяется приемлемый класс. Чтобы это сделать, владелец СКЗИ определяет потенциальные угрозы. Оперируя этой информацией, присваивается соответствующий класс защиты и определяется приемлемая схема проверки.

Особенности сертификации СКЗИ

Чтобы получить сертификат соответствия и на законных основаниях пользоваться этой продукцией, следует пройти многоэтапную проверку. Выпущенное СКЗИ изучают специалисты, тестируют и оценивают устойчивость к внешним атакам, а также к взлому.

Процесс сертификация средств криптографической защиты информации обязаны проходить:

• государственные учреждения, которые занимаются обработкой конфиденциальной информации;
• системы, обеспечивающие автоматизацию отдельных процессов;
• организации и компании, отвечающие за сохранность персональных данных клиентов, сотрудников;
• учреждения, связанные с государственной тайной.

Законом предусмотрено несколько вариантов проверок, порядок сертификации средств защиты информации может быть различным. Все зависит от того, какие именно СКЗИ следует сертифицировать. Например, те программы, которые работают с биометрическими данными, проверяют более тщательно. Простые способы применяются в случае, если СКЗИ не используют для работы с конфиденциальной или секретной информацией.

Чтобы повысить эффективность выпускаемых средств защиты информации (стандартных или криптографических), следует своевременно проходить процедуру сертификации. Это дает возможность выявлять недочеты без существенных затрат в будущем.