Сертификат ФСТЭК: что подтверждает и кому нужен
Сертификат ФСТЭК подтверждает проверку средства защиты информации. Разбираем 3 роли в процедуре, условия применения продукта и проверку документа в реестре.
Сертификат ФСТЭК подтверждает, что конкретное средство защиты информации прошло оценку на соответствие заявленным требованиям безопасности. Он относится к продукту и условиям его применения: название программы само по себе не означает, что любая её версия подходит для вашей системы. Перед покупкой проверьте требования к системе, запись в реестре и описание сертифицированной конфигурации.
Что такое сертификат ФСТЭК
Сертификат ФСТЭК — документ о соответствии средства защиты информации требованиям безопасности. Его получают по результатам испытаний продукта. Для пользователя важен объём проверки: сертификат относится к указанному в нём изделию, версии и условиям применения. Если поставщик предлагает другую сборку или конфигурацию, одного совпадения в названии продукта недостаточно.
Средством защиты информации может быть программа, программно-аппаратный комплекс или компонент системы. Например, его задача — ограничивать доступ к данным или контролировать действия в системе. Сертификация касается свойств этого средства. Защита всей организации складывается ещё и из настроек, правил доступа и работы сотрудников.
Похожие документы отвечают на другие вопросы. Лицензия ФСТЭК касается права организации выполнять определённые работы. Аттестация относится к конкретному объекту информатизации, где применяют средства защиты. Декларация соответствия основана на заявлении изготовителя. Поэтому при запросе «пришлите документы ФСТЭК» стоит уточнить, какой продукт и какое подтверждение нужны.
<!-- inline-cta -->
Кому и когда сертификат обязателен
Потребность в сертифицированном средстве защиты зависит от требований к вашей информационной системе и выбранных для неё мер защиты. Вопрос возникает при работе с государственными информационными системами, персональными данными и значимыми объектами критической информационной инфраструктуры. Решение принимают по документации конкретной системы: одного названия организации или продукта для вывода недостаточно.
Сначала определите, какие данные обрабатывает система и какие требования к её защите применяются. Затем посмотрите, какие средства нужны для выполнения этих требований. После этого можно оценивать сертификаты продуктов. Покупка сертифицированного решения без такой проверки не отвечает на вопрос, подходит ли оно для вашей системы.
Для коммерческой организации сертификат может быть условием закупки: заказчик указывает его в техническом задании или договоре. В этом случае проверьте формулировку требования. Заказчику может быть нужна определённая функция защиты, подтверждённая версия или конкретные условия применения.
Сертификат ФСТЭК не служит документом для выбора бронежилета или тактического снаряжения. Если вы сравниваете защитные изделия, начните с их назначения и документов производителя. Например, при выборе бронежилета класса Бр5 важны сведения о самом бронеизделии.
Что сертифицируют: типы средств защиты информации
ФСТЭК сертифицирует средства, которые выполняют функции защиты информации. К ним относятся продукты для контроля доступа, защиты рабочих станций и наблюдения за событиями в информационной системе. Объект оценки — определённый продукт с заявленными функциями, а не все решения разработчика и не любая будущая версия программы.
Часто сравнивают такие типы средств:
| Тип средства | Для какой задачи его рассматривают | Что уточнить в документах |
|---|---|---|
| Межсетевой экран | Контроль сетевого обмена | Какие функции и режимы работы проверены |
| Антивирусное средство | Защита от вредоносных программ | Какая версия и конфигурация указаны |
| Средство доверенной загрузки | Контроль запуска устройства | На какой платформе оно применяется |
| Средство защиты от несанкционированного доступа | Разграничение доступа пользователей | Какие функции входят в оценку |
| Средство обнаружения вторжений | Выявление подозрительных событий | Какие компоненты и настройки охвачены |
Таблица помогает выбрать направление поиска, но не заменяет изучение сертификата. У одного продукта могут быть разные редакции, состав компонентов и настройки. После обновления программы сверьте новую версию с документами поставщика: условия ранее полученного сертификата нельзя автоматически переносить на изменённый продукт.
Для бронезащиты нужен другой набор вопросов. Бронеплёнка в жилете относится к конструкции защитного изделия, а не к средствам защиты информации.
Кто выдаёт сертификат и как устроена система
В процедуре участвуют заявитель, испытательная лаборатория и ФСТЭК России. Заявитель представляет продукт и документацию. Лаборатория испытывает средство защиты и оформляет результаты. ФСТЭК рассматривает материалы и принимает решение о сертификате. Поэтому заключение лаборатории и сертификат — разные документы, даже если они относятся к одному продукту.
Заявителем обычно выступает разработчик или его уполномоченный представитель. Ему нужно описать функции защиты, состав продукта и условия работы. Лаборатории, в свою очередь, нужны материалы, по которым можно проверить заявленные свойства. Если описание расходится с фактической работой средства, вопрос придётся решить до завершения процедуры.
Покупателю полезно знать распределение ролей, чтобы оценивать ответ поставщика. Фраза «продукт испытывают» говорит о ходе работы, но не подтверждает, что решение по сертификату уже принято. Просите реквизиты готового документа и сверяйте их с записью в реестре. Если поставщик показывает только письмо, заключение или изображение сертификата, уточните, какой именно статус у продукта сейчас.
Как проходит сертификация: этапы и сроки
Сертификация начинается с заявки и подготовки продукта к испытаниям, а заканчивается решением по результатам проверки. Между этими точками заявитель передаёт документацию и образцы, лаборатория проверяет заявленные функции, затем оформляет материалы для рассмотрения. Срок зависит от продукта, готовности документов и результатов испытаний; универсальную дату завершения без оценки проекта назвать нельзя.
Практический порядок выглядит так:
1. Заявитель определяет продукт и функции, которые хочет подтвердить. 2. Готовит описание, необходимые документы и образцы. 3. Подаёт заявку и согласует проведение испытаний. 4. Лаборатория проверяет продукт и оформляет результаты. 5. ФСТЭК рассматривает материалы и принимает решение.
Испытания могут показать, что описание функции неточно или продукт работает иначе, чем заявлено. Тогда разработчику потребуется уточнить документацию либо доработать средство. Это влияет на календарный план сильнее, чем само заполнение заявки.
Для планирования закупки запросите у разработчика текущий этап процедуры и подтверждающие материалы. Формулировка «скоро получим сертификат» не даёт даты, на которую можно опереться в договоре. Если продукт ещё проходит испытания, отдельно согласуйте, допустима ли его поставка до решения ФСТЭК.
Как проверить сертификат в реестре
Проверьте сертификат через официальный сайт ФСТЭК: найдите реестр сертифицированных средств защиты информации и сопоставьте его запись с документом поставщика. Начните с номера сертификата. Затем сравните название продукта, изготовителя, версию, срок действия и условия применения. Скриншот, присланный продавцом, не заменяет такую сверку.
Поиск по названию полезен, если номер неизвестен, но здесь легче ошибиться: у продукта могут быть похожие названия или несколько редакций. Откройте карточку подходящей записи и посмотрите сведения целиком. При расхождении в одной букве версии, составе компонентов или платформе попросите поставщика объяснить, относится ли предложенная конфигурация к сертификату.
Если запись не находится, не делайте вывод по одному неудачному запросу. Проверьте номер без лишних символов, попробуйте название продукта и запросите у поставщика точные реквизиты. Если данные всё равно расходятся, отложите решение о закупке до уточнения у изготовителя или ФСТЭК.
Что подготовить до старта
Перед сертификацией продукта или закупкой сертифицированного средства соберите сведения о системе и самом продукте. Этот короткий перечень поможет сформулировать запрос разработчику, лаборатории или поставщику. Он также покажет, каких данных пока не хватает для решения о необходимости сертификата.
- Назначение системы. Запишите, какие задачи она выполняет и какие данные обрабатывает. От этого зависит выбор требований к защите.
- Требования заказчика. Найдите точную формулировку в техническом задании или договоре. Уточните, какое подтверждение там названо.
- Название и версия продукта. Сверьте их с документами разработчика. Общее название линейки недостаточно точно.
- Состав поставки. Укажите компоненты, оборудование и программные модули, которые вы собираетесь использовать.
- Условия применения. Опишите платформу и настройки, чтобы сравнить их с областью действия сертификата.
- Реквизиты сертификата. Попросите номер документа и проверьте запись в реестре.
- Статус незавершённой процедуры. Если сертификат ещё получают, запросите подтверждение текущего этапа и согласуйте последствия для закупки.
Когда сведения собраны, можно сравнивать предложения. Если задача связана именно с бронезащитой, выбирайте изделие по его назначению и профильным документам: начните с разделов бронежилетов и баллистических пакетов.
Если выбираете защитное изделие или средство защиты информации, сначала уточните назначение и требования к нему. Затем запросите документы на конкретный вариант поставки и проверьте их до оформления заявки.
Источники
- Официальный сайт ФСТЭК России — ФСТЭК России.
- Реестры ФСТЭК России — ФСТЭК России.
Частые вопросы
Достаточно ли фотографии сертификата от продавца?
Фотография помогает получить номер и название продукта, но по ней трудно подтвердить текущие сведения и условия применения. Сверьте реквизиты с официальным реестром и запросите у продавца документы на поставляемую версию.
Что делать, если в названии продукта есть небольшое отличие?
Попросите изготовителя письменно пояснить, к какой версии и конфигурации относится сертификат. Похожее коммерческое название само по себе не подтверждает совпадение продуктов.
Можно ли заменить проверку сертификата требованием в договоре?
Условие договора фиксирует обязательство поставщика. Чтобы принять конкретный продукт, всё равно сопоставьте поставку с сертификатом и записью в реестре.
Этот материал — часть раздела Комплект снаряжения: как собрать систему под задачу.
Снаряжение от производителя с 2019 года. Проконсультируем по совместимости плит, размерам и комплектации — без обязательств.
Шьём сами с 2019 года — как устроено наше производство.
