Оценка соответствия программного обеспечения требованиям безопасности информации

Добровольная оценка соответствия осуществляется по инициативе разработчика, изготовителя или потребителя.

Обязательная оценка соответствия ПО, СЗИ и защищенных средств обработки информации проводится в форме сертификации.

Сертификация – процесс подтверждения соответствия продукции установленным требованиям:

• государственным стандартам или иным нормативно правовым актам, утвержденным Правительством России, для продукции, используемой при обработке информации, содержащей сведения, составляющие государственную тайну
• государственным стандартам или иным нормативно-правовым актам, утвержденным Правительством России, ФСТЭК России, ФСБ России - для продукции, используемой при обработке конфиденциальной информации, не содержащей сведений, составляющих ГТ

Сертификация проводится в соответствии с:

• Положением о сертификации средств защиты информации, утвержденного постановлением Правительства Российской Федерации от 26 июня 1995 г. N 608
• Положением о системе сертификации средств защиты информации, утвержденного приказом ФСТЭК России от 3 апреля 2018 г. N 55

Сертификация средств защиты информации и защищенных средств обработки информации осуществляется по следующим схемам:

• для единичного образца средства защиты информации
• для партии средств защиты информации
• для серийного производства средства защиты информации

Изготовители (разработчики) средств защиты информации, ограниченного доступа, содержащей и не содержащей сведения, составляющие государственную тайну, должны иметь лицензии ФСТЭК России на проведение работ, связанных с созданием средств защиты информации, составляющей государственную тайну и на деятельность по разработке и производству средств защиты конфиденциальной информации, соответственно

Изготовители средств защиты информации должны иметь лицензию профильного ведомства (Минобороны России, ФСТЭК России, ФСБ России) на проведение работ, связанных с созданием средств защиты информации

Сертификат соответствия, подтверждает, что средство защиты информации, программное обеспечение или защищенное средство обработки информации:

• соответствует требованиям нормативно-методических документов (НМД) по соответствующему классу защиты
• можно применять в защищенных информационных системах до соответствующего класса защищенности
• прошло подтверждение отсутствия уязвимостей
• было разработано и произведено с соблюдением изготовителем процедур безопасной разработки