И
наконец то переходим к анализу собственно Положения
1.
Начнем
с названия Положения:
«Об
утверждении Положения о сертификации продукции, используемой в целях защиты
сведений, составляющих государственную тайну или относимых к охраняемой в
соответствии с законодательством Российской Федерации иной информации
ограниченного доступа по требованиям
безопасности информации».
Смотрим
п. 1 ПП 608
«Сертификация
средств защиты информации осуществляется на основании требований
государственных стандартов, нормативных
документов, утверждаемых
Правительством Российской Федерации и федеральными органами по сертификации в пределах их компетенции.»
Смотрим
п.5 проекта Положения
ФСТЭК России в
соответствии с законодательством Российской Федерации организует проведение
сертификации продукции, разрабатывает и устанавливает
в пределах своей компетенции обязательные
требования в области технического регулирования к продукции (далее –
требования безопасности информации к продукции).
Смотрим
п.10 проекта Положения
«Сертификация
продукции осуществляется на соответствие
требованиям безопасности информации, установленным нормативными правовыми
актами ФСТЭК России или изложенным в технических условиях (задании по безопасности), согласованных ФСТЭК России.»
Итог:
ТУ
(Задание по безопасности) не имеет статуса нормативного правового акта
ФСТЭК и не утверждается ФСТЭК, а только согласуется ей.
Вопрос: ФСТЭК
будет по каждому согласованному ТУ от заявителя выпускать отдельный приказ? Или
будет нарушать Постановление Правительства РФ?
2.
Участники и их роли в Проекте не соответствуют вышестоящим
подзаконным актам.
*Где в проекте приказа:
Постановление Госстандарта РФ от 10.05.2000 № 26 (ред. от 05.07.2002) «Об утверждении Правил по проведению сертификации в Российской Федерации» (Зарегистрировано в Минюсте РФ 27.06.2000 N 2284)?
3.
Полная
путаница в определениях и логике в п. 14
«Срок действия сертификата соответствия
распространяется на заявителя.
Вопрос: Что за ерунда? Срок действия у бумажки, а не у заявителя.
См. п.13 «Срок
действия сертификата соответствия - 5 лет.». И распространяется он на ПРОДУКЦИЮ.
«По
окончании срока действия сертификата соответствия заявитель
может организовать проведение процедуры по продлению срока действия сертификата
соответствия.»
Вопрос:
Мне что бы
продлить необходимо дождаться окончания ранее выданного сертификата? Заранее я
не имею права организовать процедуру сертификации? А что делать в получившийся
разрыв, когда старый истек и новый только оформляется? Зачем запрещать
досрочное продление сертификата?
Потребитель, не являющийся заявителем, может эксплуатировать продукцию вне
зависимости от срока действия сертификата соответствия
при выполнении следующих условий:
·
не истек срок эксплуатации, установленный
заявителем на сертификацию (при его наличии);
·
заявитель осуществляет техническую
поддержку сертифицированной продукции;
·
применение продукции не противоречит
требованиям по защите информации, установленным ФСТЭК России;
·
ФСТЭК России не принял решение о запрете
применения продукции, и сведения о сертификате соответствия на продукцию
находятся в государственном реестре
сертифицированных средств защиты информации, ведение которого
осуществляется ФСТЭК России в соответствии с Положением о сертификации средств
защиты информации, утвержденным постановлением Правительства Российской
Федерации от 26 июня 1995 г. № 608.»
Вопрос:
Это что за дискриминация такая? Почему заявителю запрещено эксплуатировать СЗИ при выполнении этих
условий? Производить и продавать не может без сертификата, как и указано в п.8
«прекращают производство и реализацию сертифицированной продукции при её
несоответствии требованиям безопасности информации к продукции или по истечении
срока действия сертификата, а также в случае приостановки или прекращения
действия сертификата соответствия.». А эксплуатация почему запрещена?
4.
Отдельный
вопрос с импортными СЗИ
В п.8 ПП 608 указан
отдельный случай для зарубежных производителей:
«Для признания
зарубежного сертификата изготовитель направляет его копию и заявку на признание
сертификата в федеральный орган по сертификации, который извещает изготовителя
о признании сертификата или необходимости проведения сертификационных испытаний
в срок не позднее одного месяца после получения указанных документов. В случае
признания зарубежного сертификата федеральный орган по сертификации оформляет и
выдает изготовителю сертификат соответствия установленного образца.
Сертификация
импортируемых средств защиты информации проводится по тем же правилам, что и
отечественных.»
В проекте Положения этот
пункт никак не конкретизирован, вообще игнорирование.
Вопрос: Почему не описана процедура рассмотрения
зарубежного сертификата?
*Здесь вообще должны
ударно «впахивать» юристы зарубежных компаний, заинтересованных в рынках сбыта
своей продукции. Именно сейчас есть возможность заставить ФСТЭК прописать
формулировки, соответствующие ПП 608 и устраивающие все стороны процесса
сертификации.
5.
А что же с Перечнем продукции?
Пункт 18 проекта
Положения требует «Заявитель определяет
в соответствии с Перечнем продукции тип (типы), к которым относится
производимая им продукция. А есть интересная сноска к п.18 проекта Положения
«Наименование типа (наименования типов) продукции определяется в соответствии с
Перечнем продукции, используемой в целях защиты сведений, составляющих
государственную тайну или относимых к охраняемой в соответствии с
законодательством Российской Федерации иной информации ограниченного доступа, и
продукции, сведения о которой составляют государственную тайну, формируемым
ФСТЭК России.»
Вопрос: где этот Перечень? К проекту приказа он не
прилагается. Реквизитов нормативных документов, которыми установлен данный
Перечень не приведено. В действующем приказе от 27.10.1995 № 199 есть Приложение
1 «Перечень средств защиты информации, подлежащих сертификации в системе
сертификации средств защиты информации по требованиям безопасности информации
Гостехкомиссии России (N РОСС RU.0001.01БИ00)». Названия разные, да и
получается тогда, что будет действовать одновременно 2 Положения о
сертификации.
Продолжение следует….
