Обзор существующих правовых документов

Правовой базой работ по сертификации информационных технологий являются законы РФ «О сертификации продукции и услуг», «О стандартизации», «О защите прав потребителей», «Об информации, информатизации и защите информации», «О государственной тайне», Указы Президента РФ, постановления Правительства РФ, а также ряд других подзаконных актов. Основные термины и определения

Аккредитация — процедура, посредством которой аккредитующий орган официально признает компетентность лица выполнять работы в определенной области оценки соответствия; безопасность продукции, процессов (методов) производства, эксплуатации и утилизации (далее — безопасность) — отсутствие недопустимого риска, связанного с причинением вреда жизни, здоровью граждан, окружающей среде, в том числе жизни и здоровью животных или растений, имуществу физических и юридических лиц, государственному или муниципальному имуществу.

Подтверждение соответствия — процедура, результатом которой является документальное удостоверение (в идее декларации о соответствии или сертификата соответствия) того, что продукция, процессы (методы) производства, эксплуатации и утилизации работы или услуги соответствуют установленным требованиям технических регламентов или положениям стандартов, условиям гражданско-правовых договоров.

Продукция — результат деятельности, представленный в вещественной форме и предназначенный для дальнейшего использования в хозяйственных и иных целях.

Сертификация — форма подтверждения соответствия, в ходе которого орган по сертификации документально удостоверяет, что продукция, процессы (методы) производства, эксплуатации и утилизации работы или услуги соответствуют установленным требованиям, техническим регламентам или положениям стандартов.

Сертификат соответствия — документ, удостоверяющий, что сертифицированные продукция, процессы (методы) производства, эксплуатации и утилизации работы или услуги соответствуют установленным требованиям технических регламентов, положениям стандартов или условиям договора.

Техническое регулирование — деятельность по установлению обязательных требований, добровольных правил, общих принципов, характеристик в отношении продукции, процессов (методов) производства, эксплуатации и утилизации работы или услуг, оценки соответствия, а также по контролю за соблюдением соответствующих требований.

Технический регламент — федеральный закон или постановление Правительства Российской Федерации, а в случае, прямо предусмотренным настоящим Федеральным законом, указ Президента Российской Федерации, устанавливающий обязательные для применения и соблюдения требования к объектам технического регулирования (продукции, в том числе к зданиям и сооружениям, процессам и методам производства, эксплуатации и утилизации), а также устанавливающий в случае необходимости процедуры оценки соответствия обязательным требованиям, и (или) требования к терминологии, упаковке, конструкции, способу исполнения, маркировке или этикетированию, если это необходимо для достижения целей принятия технических регламентов.

Национальным органом по сертификации определен Госстандарт РФ. В свою очередь, Госстандартом в 1994 г. утверждены «Правила по проведению сертификации в Российской Федерации», которые устанавливают цели, принципы, общие положения и рекомендации по практическому осуществлению сертификации. При этом под сертификацией понимается деятельность третьей стороны, независимой от изготовителя (продавца) и потребителя продукции, по подтверждению соответствия продукции установленным требованиям. А совокупность участников сертификации, осуществляющих сертификацию по установленным правилам, образует систему сертификации. Основными целями сертификации определены:

• создание условий для деятельности предприятий, учреждений, организаций и предпринимателей на едином товарном рынке Российской Федерации, а также для участия в международном экономическом, научно-техническом сотрудничестве и международной торговле;

• содействие потребителям в компетентном выборе продукции;

• содействие экспорту и повышение конкурентоспособности продукции;

• защита потребителя от недобросовестности изготовителя (продавца, исполнителя);

• контроль безопасности продукции для окружающей среды, жизни, здоровья и имущества;

• подтверждение показателей качества продукции, заявленных изготовителями.

Актуальность решения проблемы сертификации АИС на государственном уровне отражена в ряде документов. Так, законом РФ «Об информации, информатизации и защите информации» введена обязательная сертификация информационных систем государственных органов и организаций, которые обрабатывают документированную информацию с ограниченным доступом. При этом риск, связанный с использованием несертифицированных систем и получаемой из них информации, полностью ложится на потребителя. Сертификация качества функционирования АИС принципиально может осуществляться в нескольких системах сертификации. Система сертификации ГОСТ Р предназначена для осуществления обязательной и добровольной сертификации. Эта система имеет многолетнюю историю и насчитывает десятки органов и испытательных лабораторий в области информационных технологий, ее центральным органом является Госстандарт РФ. В свою очередь, согласно Указу Президента РФ от 17.2.94 г. № 328 на Роскоминформ совместно с Комитетом РФ по стандартизации, метрологии и сертификации возложено обеспечение проведения работ по стандартизации средств и систем информатизации, включая разработку проектов государственных стандартов, организацию их внедрения и контроля за их соблюдением, а также учету и сертификации информационных, информационно-вычислительных и автоматизированных систем и сетей, программных средств для ЭВМ, баз и банков данных. Одной из главных задач Роскоминформа является разработка предложений по обеспечению единой государственной политики в области добровольной сертификации средств и систем в сфере информатизации и их реализация. На базе Роскоминформа создана система сертификации средств и систем в сфере информатизации (система РОСИНФОСЕРТ).

С целью организации разработки основных механизмов реализации Закона РФ «О государственной тайне» Президентом РФ был принят Указ от 30.03.94 г. № 614, временно возлагающий на Гостехкомиссию при Президенте РФ функции межведомственной комиссии по защите государственной тайны. В целом же на Гостехкомиссию возложены обязанности по координации, организационно-методическому руководству, лицензированию деятельности предприятий и сертификации продукции в области защиты информации. В соответствии с Постановлением Правительства РФ от 26.06.95 г. № 608 «О сертификации средств защиты информации» созданы системы сертификации Гостехкомиссии при Президенте РФ, Министерства обороны РФ, разработаны и введены в действие перечни средств защиты информации, подлежащие обязательной сертификации в этих системах. Вместе с тем, Указом Президента РФ от 03.04.95 г. № 334 запрещено использование государственными организациями и предприятиями в информационно-телекоммуникационных системах шифровальных средств (в том числе электронной подписи и защищенных технических средств хранения, обработки и передачи информации), не имеющих сертификата Федерального агентства правительственной связи и информатизации (ФАПСИ), как центрального органа системы сертификации средств криптографической защиты информации.

В общем случае системы сертификации Гостехкомиссии, Министерства обороны и ФАПСИ предназначены с учетом специфики своей деятельности для обеспечения обязательной сертификации средств защиты информации, в том числе технических, криптографических, программных средств, средств контроля эффективности защиты информации, информационных систем, обрабатывающих и хранящих информацию, составляющих государственную тайну, а также технологий их разработки и применения. Наряду с перечисленными системами сертификации в области информационных технологий действуют системы доб-ровольной сертификации банковских технологий (МЕКАС) и средств связи. Перечень систем обязательной и добровольной сертификации определен Госреестром Госстандарта России.