Главная / Глоссарий / Сертификация средств защиты информации (СЗИ) в системе ФСТЭК России

Сертификация СЗИ в системе ФСТЭК России — полный порядок, требования, сроки

Сертификация средств защиты информации (СЗИ) в системе ФСТЭК России — это обязательная процедура подтверждения соответствия программных, аппаратных и программно-аппаратных средств защиты информации установленным требованиям безопасности. Проводится аккредитованными испытательными лабораториями и органами по сертификации ФСТЭК.

Простыми словами: Это официальное «удостоверение качества» для вашего продукта. После получения сертификата СЗИ можно легально продавать, использовать в госорганах и на объектах критической инфраструктуры. Без сертификата — ни один серьёзный заказчик не купит ваше средство защиты.

Содержание

Что такое сертификация СЗИ?

Сертификация СЗИ в системе ФСТЭК России — это форма подтверждения соответствия продукции требованиям нормативных документов в области технической защиты информации. Сертификация является обязательной для средств защиты, предназначенных для обработки информации ограниченного доступа, в том числе персональных данных и государственной тайны.

В отличие от декларирования соответствия, сертификация предполагает проведение полноценных испытаний образца СЗИ в аккредитованной лаборатории. Результатом является сертификат соответствия, который вносится в единый реестр ФСТЭК. Срок действия сертификата — от 1 до 5 лет в зависимости от типа СЗИ и категории защищаемой информации.

Сертификация СЗИ регулируется следующими основными документами:

  • Приказ ФСТЭК России № 108 от 03.04.2020 — «Об утверждении Порядка сертификации СЗИ».
  • Приказ ФСТЭК России № 21 от 11.02.2013 — требования к защите информации.
  • ГОСТ Р ИСО/МЭК 15408-2012 — «Общие критерии оценки безопасности информационных технологий».

📌 Важно: Без действующего сертификата ФСТЭК использование СЗИ для защиты гостайны и персональных данных категорически запрещено. Это прямое нарушение законодательства.

Зачем нужна сертификация СЗИ? 5 ключевых причин

Сертификация решает несколько критически важных задач для любого производителя или поставщика СЗИ:

№ПричинаОписание
1 Легальность использования Сертифицированные СЗИ разрешены к применению в госорганах, на объектах КИИ и в системах обработки персональных данных (152-ФЗ). Без сертификата — только для личного использования.
2 Доступ к тендерам и госзакупкам Наличие сертификата — обязательное условие участия в тендерах по 44-ФЗ и 223-ФЗ. Без него заявка будет отклонена на этапе проверки.
3 Юридическая защита В случае инцидента (утечки данных, взлома) использование сертифицированного СЗИ снижает риск ответственности для владельца объекта.
4 Подтверждение качества и надёжности Сертификация подтверждает, что средство соответствует заявленным характеристикам, не содержит недекларированных возможностей и защищено от известных атак.
5 Конкурентное преимущество Наличие сертификата ФСТЭК — это знак качества, который выделяет ваш продукт среди аналогов и повышает доверие заказчиков.

⚠️ Внимание: Использование несертифицированных СЗИ на объектах КИИ и в госорганах влечёт административную ответственность (штрафы до 500 000 руб.) и уголовную (ст. 274.1 УК РФ — до 10 лет лишения свободы).

Виды сертификатов ФСТЭК

В системе ФСТЭК существует несколько видов сертификатов в зависимости от объекта сертификации и целей использования:

Виды сертификатов ФСТЭК
Схема: виды сертификатов фстэк — инфографика для наглядного представления информации

📌 Важно: Тип сертификата зависит от объекта сертификации и целей использования. Для большинства производителей СЗИ требуется именно сертификат соответствия.

Пошаговый порядок сертификации СЗИ

Процесс сертификации СЗИ в системе ФСТЭК включает следующие этапы:

Пошаговый порядок сертификации СЗИ
Схема: пошаговый порядок сертификации сзи — инфографика для наглядного представления информации

Подробное описание каждого этапа:

ЭтапОписаниеСрокОтветственный
1. Подача заявки Заявка в аккредитованную испытательную лабораторию. Определение схемы сертификации. Заключение договора. 1-2 недели Заявитель
2. Разработка ТД Подготовка технической документации: ТУ, формуляр, руководство пользователя, описание СЗИ, модель угроз. 2-4 недели Разработчик СЗИ
3. Сертификационные испытания Проверка СЗИ на соответствие требованиям: функциональные тесты, анализ защищённости, поиск НДВ, проверка устойчивости к атакам. 4-8 недель Испытательная лаборатория
4. Оформление Оформление акта испытаний и сертификата ФСТЭК. Утверждение в органе по сертификации. 2-3 недели Орган по сертификации
5. Внесение в реестр Публикация в Реестре сертифицированных СЗИ ФСТЭК. Присвоение номера. 1 неделя ФСТЭК России
6. Инспекционный контроль Ежегодная проверка: подтверждение соответствия. Проводится органом по сертификации. 1 раз в год Орган по сертификации

⚠️ Внимание: Без успешного прохождения всех этапов сертификат не выдаётся. Попытки ускорить процесс за счёт качества недопустимы и могут привести к отказу.

Требования к СЗИ для сертификации

Основные требования к СЗИ для получения сертификата ФСТЭК:

ТребованиеОписаниеНормативный документ
Соответствие нормативным документам СЗИ должно соответствовать требованиям Приказов ФСТЭК № 21, № 239, ГОСТ Р 56545-2015 и другим нормативным актам. Приказы ФСТЭК
Отсутствие НДВ Подтверждённое отсутствие недекларированных возможностей (программных закладок). Проверяется в ходе испытаний. Приказ ФСТЭК № 31
Использование сертифицированных криптоалгоритмов ГОСТ 28147-89 (шифрование), ГОСТ Р 34.10-2012 (ЭП), ГОСТ Р 34.11-2012 (хеширование). ГОСТ Р 34.10, ГОСТ Р 34.11
Защита от атак Проверка устойчивости к известным видам атак (в т.ч. DoS/DDoS). Тестирование на проникновение. ГОСТ Р 56545-2015
Совместимость Работоспособность на сертифицированных ОС (Astra Linux Special Edition, Alt Linux, РЕД ОС и др.). Реестр отечественного ПО
Документированность Наличие полного комплекта технической документации (ТУ, формуляр, руководство, описание). Приказ ФСТЭК № 108

📌 Совет: Начинайте подготовку к сертификации с анализа нормативных требований и аудита существующего СЗИ. Это поможет выявить проблемы на ранних этапах.

Реестр сертифицированных СЗИ

Все выданные сертификаты ФСТЭК вносятся в единый Реестр сертифицированных средств защиты информации, доступный на официальном сайте ФСТЭК России (reestr.fstec.ru).

В реестре можно проверить:

  • Действительность сертификата — дата выдачи и окончания, статус («Действует», «Приостановлен», «Аннулирован»).
  • Сфера применения СЗИ — для каких систем разрешено использование (ГИС, КИИ, ПДн).
  • Орган по сертификации и испытательную лабораторию, проводившую испытания.
  • Класс защищённости СЗИ — например, 4 класс для СЗИ от НСД.

Проверка в реестре — обязательный шаг перед покупкой любого СЗИ. Если сертификата нет в реестре — он недействителен, даже при наличии бумажной копии.

⚠️ Важно: Перед покупкой СЗИ всегда проверяйте его наличие в реестре. Отсутствие — признак недействительного сертификата, использование такого СЗИ незаконно.

Сроки сертификации СЗИ

Сроки сертификации зависят от сложности СЗИ, объёма испытаний и готовности документации:

Тип СЗИОриентировочный срокОсобенности
Программное СЗИ (простое) 2-3 месяца Минимальный объём испытаний, простая документация
Программное СЗИ (сложное) 3-5 месяцев Расширенные испытания, проверка на НДВ
Аппаратное СЗИ 4-6 месяцев Дополнительные испытания аппаратной части
Программно-аппаратный комплекс (ПАК) 6-12 месяцев Максимальный объём испытаний, сложная документация
СКЗИ (сертификация ФСБ) 6-12 месяцев Отдельная процедура, требования ФСБ

Факторы, влияющие на сроки:

  • Готовность технической документации — задержки на этом этапе самые частые.
  • Наличие НДВ в коде — требует доработки и повторных испытаний.
  • Загруженность испытательной лаборатории — очередь может увеличить срок на 2-4 недели.
  • Сложность СЗИ — чем сложнее, тем дольше испытания.

📌 Совет: Закладывайте дополнительные 20-30% времени на непредвиденные задержки. Это позволит избежать срывов сроков.

Частые ошибки при сертификации СЗИ

При прохождении сертификации организации часто допускают следующие ошибки:

ОшибкаПоследствияКак избежать
Неполная техническая документация Отказ в приёме заявки, задержки на 2-4 недели Заранее подготовить полный комплект ТД по требованиям ФСТЭК
Использование несертифицированных компонентов Отказ в выдаче сертификата Проверять сертификаты всех используемых библиотек и компонентов
Наличие НДВ в коде Отказ в сертификации, необходимость доработки Провести внутренний аудит кода до подачи заявки
Несовместимость с сертифицированными ОС Сертификат с ограничениями по применению Тестировать на Astra Linux, Alt Linux до подачи заявки
Недостаточная защита от атак Отказ по результатам испытаний Провести пентест до подачи заявки
Отсутствие модели угроз Невозможность обосновать выбор СЗИ Разработать модель угроз заранее

⚠️ Внимание: Самая частая ошибка — попытка сэкономить на подготовке документации. Это приводит к задержкам и дополнительным расходам. Лучше вложиться в качественную подготовку на старте.

Ответственность за отсутствие сертификации

За использование несертифицированных СЗИ или нарушение правил сертификации предусмотрена ответственность:

Вид ответственностиНаказаниеНормативный акт
Административная Штраф на юридических лиц — до 500 000 руб. КоАП РФ ст. 13.12
Административная Штраф на должностных лиц — до 50 000 руб. КоАП РФ ст. 13.12
Административная Штраф за нарушение защиты ПДн — до 500 000 руб. КоАП РФ ст. 13.11
Уголовная До 10 лет лишения свободы (за КИИ) УК РФ ст. 274.1
Дисциплинарная Выговор, увольнение (для госслужащих) Трудовой кодекс

⚠️ Внимание: Ответственность наступает не только за использование, но и за продажу несертифицированных СЗИ. Проверки проводятся регулярно.

Часто задаваемые вопросы (FAQ)

Сколько времени занимает сертификация СЗИ?
В среднем 2-4 месяца, в зависимости от сложности СЗИ и готовности документации. Простой СЗИ — 1-2 месяца, сложные ПАК — до 6-12 месяцев.
Какие документы нужны для сертификации?
Заявка, техническая документация (ТУ, формуляр, руководство), модель угроз, описание СЗИ, результаты внутреннего аудита.
Нужно ли сертифицировать СЗИ, если оно используется только внутри компании?
Если СЗИ обрабатывает персональные данные или конфиденциальную информацию — да, обязательно. Для личного использования сертификация не требуется.
Как проверить сертификат СЗИ?
На сайте Реестра ФСТЭК (reestr.fstec.ru) по номеру сертификата или названию СЗИ.
Что такое инспекционный контроль?
Ежегодная проверка соответствия СЗИ требованиям сертификата. Проводится органом по сертификации.
Можно ли продлить сертификат?
Да, сертификат можно продлить при условии, что СЗИ соответствует текущим требованиям. Продление оформляется за 3-6 месяцев до истечения срока.
Кто может проводить сертификацию?
Только аккредитованные ФСТЭК органы по сертификации и испытательные лаборатории.
Что будет, если сертификат аннулирован?
Использование СЗИ с аннулированным сертификатом запрещено. Необходимо устранить нарушения и пройти пересертификацию.
Обязательна ли сертификация для СКЗИ?
Да, СКЗИ подлежат обязательной сертификации в ФСБ России (не в ФСТЭК). Порядок сертификации отличается.
Какие штрафы за отсутствие сертификата?
Для юридических лиц — до 500 000 руб. по ст. 13.12 КоАП РФ. При наличии ущерба — уголовная ответственность.
Можно ли ускорить сертификацию?
Да, за счёт качественной подготовки документации, выбора аккредитованной лаборатории с меньшей очередью и параллельной работы над этапами.
Что такое НДВ и как их проверяют?
НДВ — недекларированные возможности (программные закладки). Проверяются статическим и динамическим анализом кода, а также реверс-инжинирингом.
Нужна ли модель угроз для сертификации?
Да, модель угроз является обязательным документом для обоснования выбора СЗИ и его сертификации.
Какие ОС поддерживаются для сертификации?
Сертифицированные ОС из реестра отечественного ПО: Astra Linux Special Edition, Alt Linux, РЕД ОС и др.
Что делать при отказе в сертификации?
Устранить замечания, указанные в акте испытаний, и подать заявку повторно. Срок повторного рассмотрения — до 30 дней.

Связанные термины

ФСТЭК России Аттестация объектов информатизации Реестр ФСТЭК СКЗИ Техническая защита информации (ТЗИ) НДВ Модель угроз

Наши услуги по теме

Смотрите также

СКЗИ — средства криптографической защиты информации ФСТЭК России Реестр ФСТЭК России Лицензия ФСТЭК России

Экспертная помощь по ИБ

Ответим на любые вопросы по защите информации и поможем выбрать решение

Или звоните: +7 (495) 777-75-77