Сертификация гражданской защиты информации

2.1.Положение о необходимости сертификации средств защиты информации содержится в п.2 Указа Президента РФ от 3 апреля 1995 г. # 334 "О мерах по соблюдению законности в области разработки производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации" (с изм. и доп. от 25 июля 2000 г.). Он предусматривает необходимость запрета на:

1) использование государственными организациями и предприятиями в информационно-телекоммуникационных системах шифровальных средств, включая криптографические средства обеспечения подлинности информации (электронная подпись), и защищенных технических средств хранения, обработки и передачи информации, не имеющих сертификата Федерального агентства правительственной связи и информации при Президенте Российской Федерации,

2) размещение государственных заказов на предприятиях, в организациях, использующих указанные технические и шифровальные средства, не имеющие сертификата ФАПСИ.

Таким образом, Указ предусматривает необходимость сертификации только шифровальных средств и средств технической защиты информации, используемых государственными организациями и предприятиями и предприятиями, выполняющими госзаказ.

Существует также ряд НПА, опреляющих номенклатуру и порядок сертификации средств, предназначенных для защиты сведений, составляющих государственную тайну. В связи со спецификой данного исследования, эти акты здесь не рассматриваются.

2.2. Постановление Правительства РФ от 21 апреля 2000 г. # 368 "О Межведомственной комиссии по интеллектуальным картам" предусматривает необходимость использования в автоматизированных системах федерального значения с интеллектуальными картами только отечественных сертифицированных средств защиты информации.

.2.3. Единого предметного перечня шифровальных средств и средств защиты информации, подлежащих обязательной сертификации, нет. В сводную Номенклатуру продукции и услуг (работ), в отношении которых законодательными актами Российской Федерации предусмотрена их обязательная сертификация, введенную в действие постановлением Госстандарта РФ от 23 февраля 1998 г. # 5 положения о необходимости сертификации средств защиты информации не вошли.

2.4 В отношении средств защиты информации, не содержащей государственную тайну, сертификация осуществляется в общем порядке.

2.5 Приказ ФАПСИ от 23 сентября 1999 г. # 158 "Об утверждении Положения о порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну (ПКЗ-99)" предусматривает, что при принятии решения о необходимости криптографической защиты подлежащей в соответствии с действующим законодательством обязательной защите конфиденциальной информации требования данного Положения являются обязательными для:

1) государственных органов и государственных организаций;

2) юридических лиц и индивидуальных предпринимателей, осуществляющих виды деятельности, подлежащие в соответствии с законодательством Российской Федерации лицензированию ФАПСИ;

3) негосударственных организаций и физических лиц при необходимости обмена конфиденциальной информацией с государственными органами, государственными организациями или другими организациями, выполняющими государственные оборонные заказы;

4) других организаций независимо от их организационно-правовой формы и формы собственности при выполнении ими государственных оборонных заказов.

В отношении иных лиц требования Положения носят рекомендательный характер

Федеральный закон от 10 января 2002 г. # 1-ФЗ "Об электронной цифровой подписи" (Ст.5 Пункт 4) предусматривает, что при создании ключей электронных цифровых подписей для использования в информационной системе общего пользования должны применяться только сертифицированные средства электронной цифровой подписи. При возникновении убытков в связи с созданием ключей электронных цифровых подписей несертифицированными средствами электронной цифровой подписи, убытки должны возмещаться создателями или распространителями этих средств. В корпоративных информационных системах федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления использование несертифицированных средств электронной цифровой подписи и созданных ими ключей электронных цифровых подписей вообще не допускается.

2.6 ФЗ "Об ЭЦП" предусматривает, что сертификация средств электронной цифровой подписи осуществляется в соответствии с законодательством Российской Федерации о сертификации продукции и услуг.

Это положение означает, что применяются общие положения, установленные Законом РФ от 10 июня 1993 г. # 5151-I "О сертификации продукции и услуг" и Правила по проведению сертификации в Российской Федерации (утв. постановлением Госстандарта РФ от 10 мая 2000 г. # 26).

2.7 Положение ФЗ "Об ЭЦП" не позволяет сделать вывод о том, подлежат ли средства ЭЦП, используемые в корпоративных информационных системах, обязательной сертификации, или их сертификация добровольная. В сводную Номенклатуру продукции и услуг (работ), в отношении которых законодательными актами Российской Федерации предусмотрена их обязательная сертификация, введенную в действие постановлением Госстандарта РФ от 23 февраля 1998 г. # 5 положения о необходимости сертификации средств ЭЦП не вошли; иных правовых актов, устанавливающих перечень средств ЭЦП, подлежащих обязательной сертификации, не принято.

2.8 ФЗ "Об ЭЦП” предусматривает необходимость ведения удостоверяющим центром реестра сертификатов ключей подписей, который ведется удостоверяющим центром. Удостоверяющий центр обеспечивает актуальность реестра и возможность свободного доступа к нему участников информационных систем. Это, видимо, должно считаться одним из лицензионных требований.

Вопросы страхования информационной деятельности нашли должное отражение в федеральных законах и кодексах. Однако механизмы страхования и соответствующие средства практически не используются для целей обеспечения информационной безопасности.

РАЗДЕЛ 5. ЭКОНОМИЧЕСКАЯ ЭФФЕКТИВНОСТЬ ИНФОРМАЦИОННЫХ СЕТЕЙ

___________________________________

Дата добавления: 2014-01-11