2. Организационная структура системы сертификации

2.1. Организационную структуру системы сертификации образуют:

федеральный орган по сертификации средств защиты информации (Гостехкомиссия России);

центральный орган системы сертификации средств защиты информации;

органы по сертификации средств защиты информации;

испытательные центры (лаборатории);

заявители.

2.2. Федеральный орган по сертификации средств защиты информации в пределах своей компетенции осуществляет следующие функции:

создает и совершенствует систему сертификации средств защиты информации по требованиям безопасности информации и устанавливает правила проведения сертификации средств защиты информации;

определяет перечень средств защиты информации, подлежащих обязательной сертификации в данной системе;

утверждает нормативные документы, на соответствие требованиям которых проводится сертификация средств защиты информации в системе, и методические документы по проведению сертификационных испытаний;

согласовывает с Межведомственной комиссией по защите государственной тайны положение о сертификации средств защиты информации по требованиям безопасности информации, перечень средств защиты информации, подлежащих обязательной сертификации, нормативные документы, на соответствие требованиям которых проводится сертификация средств защиты информации в системе;

представляет на государственную регистрацию в Госстандарт России и Минюст России систему сертификации и знак соответствия;

организует функционирование системы сертификации средств защиты информации по требованиям безопасности информации;

определяет центральный орган системы сертификации средств защиты информации (при его необходимости) или выполняет функции этого органа;

устанавливает правила аккредитации органов по сертификации, испытательных центров (лабораторий) и органов по аттестации объектов информатизации по требованиям безопасности информации;

аккредитует органы по сертификации, испытательные центры (лаборатории) и органы по аттестации объектов информатизации;

организует и финансирует разработку нормативных и методических документов системы сертификации средств защиты информации по требованиям безопасности информации;

рассматривает заявки на сертификацию, принимает по ним решения, определяет схему проведения сертификации средств защиты информации и испытательный центр (лабораторию) с учетом предложений заявителя и назначает орган по сертификации;

проводит экспертизу технической, эксплуатационной документации на средства защиты информации и материалов сертификационных испытаний, оформляет экспертные заключения при проведении сертификации средств защиты информации федеральным органом по сертификации;

выдает сертификаты и лицензии на применение знака соответствия;

ведет государственный реестр участников и объектов сертификации;

осуществляет государственный контроль и надзор, устанавливает порядок инспекционного контроля за соблюдением правил сертификации и за сертифицированными средствами защиты информации;

рассматривает апелляции по вопросам сертификации;

организует периодическую публикацию информации о сертификации;

организует подготовку и аттестацию экспертов-аудиторов;

осуществляет взаимодействие с соответствующими уполномоченными органами других стран и международных организаций по вопросам сертификации, принимает решение о признании международных и зарубежных сертификатов;

приостанавливает, продлевает либо отменяет действие выданных сертификатов.

Федеральный орган по сертификации может передавать некоторые из своих функций центральному органу системы сертификации или органам по сертификации.

2.3. Центральный орган системы сертификации средств защиты информации:

координирует деятельность органов по сертификации и испытательных центров (лабораторий), входящих в систему;

разрабатывает предложения по номенклатуре средств защиты информации, сертифицируемых в системе сертификации, и представляет их в федеральный орган по сертификации;

участвует в работах по совершенствованию фонда нормативных документов, на соответствие требованиям которых проводится сертификация средств защиты информации в системе, и методических документов по проведению сертификационных испытаний;

участвует в рассмотрении апелляций по поводу действий органов по сертификации и испытательных центров (лабораторий), входящих в систему;

участвует в аккредитации органов по сертификации, испытательных центров (лабораторий) по сертификации средств защиты информации и органов по аттестации объектов информатизации;

ведет учет входящих в систему органов по сертификации, испытательных центров (лабораторий), органов по аттестации объектов информатизации, выданных и аннулированных сертификатов и лицензий на применение знака соответствия, нормативных и методических документов, содержащих правила, требования, методики и рекомендации по сертификации;

обеспечивает участников сертификации информацией о деятельности системы и готовит необходимые материалы для опубликования.

2.4. Органы по сертификации средств защиты информации в пределах установленной области аккредитации:

участвуют в определении схемы проведения сертификации средств защиты информации с учетом предложений заявителя;

уточняют требования, на соответствие которым проводятся сертификационные испытания;

рекомендуют заявителю испытательный центр (лабораторию);

утверждают программы и методики проведения сертификационных испытаний;

проводят экспертизу технической, эксплуатационной документации на средства защиты информации и материалов сертификационных испытаний;

оформляют экспертное заключение по сертификации средств защиты информации и представляют их в федеральный орган по сертификации;

организуют, при необходимости, предварительную проверку (аттестацию) производства сертифицируемых средств защиты информации;

участвуют в аккредитации испытательных центров (лабораторий) и органов по аттестации объектов информатизации;

организуют инспекционный контроль за стабильностью характеристик сертифицированных средств защиты информации и участвуют в инспекционном контроле за деятельностью испытательных центров (лабораторий);

хранят документацию (оригиналы), подтверждающую сертификацию средств защиты информации;

ходатайствуют перед федеральным органом по сертификации о приостановке или отмене действия выданных сертификатов;

формируют и актуализируют фонд нормативных и методических документов, необходимых для сертификации, участвуют в их разработке;

представляют заявителю необходимую информацию по сертификации.

2.5. Испытательные центры (лаборатории) в пределах установленной области аккредитации:

осуществляют отбор образцов средств защиты информации для проведения сертификационных испытаний;

разрабатывают программы и методики сертификационных испытаний, осуществляют сертификационные испытания средств защиты информации, оформляют протоколы сертификационных испытаний и технические заключения;

маркируют сертифицированные средства защиты информации знаком соответствия в порядке, установленном правилами системы сертификации;

участвуют в аттестации производства сертифицируемых средств защиты информации.

Испытательные центры (лаборатории) несут ответственность за полноту испытаний средств защиты информации, достоверность, объективность и требуемую точность измерений, своевременную поверку средств измерений и аттестацию испытательного оборудования.

2.6. Заявители:

обеспечивают соответствие средств защиты информации требованиям нормативных документов в системе сертификации;

осуществляют подготовку производства и принимают меры для обеспечения стабильности характеристик сертифицируемых средств защиты информации, обеспечивающих (определяющих) выполнение требований по защите информации;

указывают в технической документации сведения о сертифицируемой технике защиты информации, нормативных документах, которым она должна соответствовать, обеспечивают доведение этой информации до потребителя;

маркируют производимую сертифицированную технику защиты информации знаком соответствия в порядке, установленном правилами системы сертификации;

применяют сертификат, руководствуясь законодательными актами Российской Федерации и правилами системы сертификации;

извещают орган по сертификации и испытательный центр (лабораторию), проводившие сертификацию, о всех изменениях в технологии, конструкции (составе) сертифицированных средств защиты информации для принятия решения о необходимости проведения повторной сертификации;

обеспечивают доступ в организацию, к технической и технологической документации, технологическим процессам, местам хранения сертифицированной продукции должностных лиц органов, осуществляющих государственный контроль и надзор, инспекционный контроль за сертифицированными средствами защиты информации;

приостанавливают или прекращают реализацию средств защиты информации, если они не отвечают требованиям нормативных документов, а также по истечении срока действия сертификата, при приостановке его действия или отмены;

при обнаружении несоответствия сертифицированных средств защиты информации требованиям нормативных документов осуществляют доработку этих средств и представляют их на сертификацию.

Разработчики, изготовители и поставщики средств защиты информации должны иметь соответствующую лицензию Гостехкомиссии России.

2.7. Органы по сертификации, испытательные центры (лаборатории) и органы по аттестации объектов информатизации должны быть юридическими лицами, располагать подготовленными специалистами, необходимыми средствами измерений, испытательным оборудованием и методиками испытаний, нормативными документами для проведения испытаний средств защиты информации в соответствии с областью аккредитации.

Аккредитация производится только при наличии соответствующих лицензий.