ДОБРОВОЛЬНАЯ СЕРТИФИКАЦИЯ

Организация добровольной сертификации. Права заявителя. Правила проведения работ в области добровольной сертификации.

Статья 17. Добровольная сертификация

1. Добровольная сертификация проводится по инициативе заявителей (изготовителей, продавцов, исполнителей) в целях подтверждения соответствия продукции требованиям стандартов, технических условий, рецептур и других документов, определяемых заявителем.

Добровольная сертификация проводится на условиях договора между заявителем и органом по сертификации.

2. Добровольная сертификация продукции, подлежащей обязательной сертификации, не может заменить обязательную сертификацию такой продукции.

Статья 18. Организация добровольной сертификации

1. Добровольная сертификация осуществляется органами по добровольной сертификации, входящими в систему добровольной сертификации, образованную любым юридическим лицом, зарегистрировавшим данную систему и знак соответствия в специально уполномоченном федеральным органе исполнительной власти в области сертификации в установленном им порядке. Органом по добровольной сертификации может быть юридическое лицо, образовавшее систему добровольной сертификации, а также юридическое лицо, взявшее на себя функции органа по добровольной сертификации на условиях договора с юридическим лицом, образовавшим данную систему. Орган по добровольной сертификации:

·         осуществляет сертификацию продукции, выдает сертификаты, а также на условиях договора с заявителем предоставляет ему право на применение знака соответствия;

·         приостанавливает либо отменяет действие выданных сертификатов.

2. Юридическое лицо, образовавшее систему добровольной сертификации, устанавливает правила проведения работ в системе сертификации, порядок оплаты таких работ и определяет участников системы добровольной сертификации.

3. Добровольная сертификация может проводиться также в системе обязательной сертификации, если это предусмотрено правилами системы обязательной сертификации и при наличии в данной системе зарегистрированного в установленном порядке знака соответствия добровольной сертификации.

Статья 19. Права заявителя

При заключении договора на проведение сертификации заявитель вправе получить от органа по добровольной сертификации необходимую информацию о правилах сертификации продукции, а также определить форму сертификации.

Программная продукция подлежит добровольной сертификации на соответствие программно-техническим, эргономическим и психолого-педагогическим требованиям. Добровольная сертификация - сертификация третьей стороной (разработчик reg. Министерство образования reg. пользователь) - осуществляется от имени Министерства образования Институтом информатизации образования.

В Ининфо разработаны организационно-распорядительные документы для организации системы сертификации ПС УН, включая координацию деятельности внутри системы. Каждый испытательный центр, организуемый при отделении Росфокомп будет аккредитован на техническую компетенцию и независимость. В 1993 году головное отделение Росфокомпа при Ининфо приступило к практическим работам по сертификации ПС УН. Программные средства учебного назначения относятся к 50-му классу Общероссийского классификатора продукции. По закону РФ "О сертификации продукции и услуг" этот вид продукции подлежит обязательной сертификации на безопасность. Согласно классификации ЮНЕСКО, ПС УН подразделяются в соответствии с областью использования на инструментальные, управленческие, педагогические, медицинские, коррекционные, досуговые. Специфика такой отрасли, как образование, наряду с эффективностью преподавания подразумевает высокую степень ответственности за последствия применения тех или иных средств обучения. Именно по этой причине ПС УН должны оцениваться с учетом фактора безопасности, соблюдения санитарно-гигиенических норм, методических, психолого-педагогических и других аспектов внедрения программно-методических комплексов в традиционное образование.

Главным звеном процесса сертификации является программа испытаний и экспертизы программной продукции по следующим направлениям:

- экспертиза на полноту комплекта материалов, представленных на сертификацию;

- экспертиза на соответствие оформления документации, сопровождающей программную продукцию, требованиям Единой системы программной документации (ЕСПД) и системы сертификации ПС УН;

- испытание программной продукции на модульном уровне с помощью программы оценки качества;

- тестирование ПС УН;

- испытания программно-технических характеристик ПС УН;

- экспертиза эргономических характеристик ПС УН;

- экспертиза психолого-педагогических требований ПС УН;

- экспертиза дидактических характеристик ПС УН;

- экспертиза методических характеристик ПС УН.

При представлении ПС УН на сертификацию оформляется заявление на сертификацию, которое подтверждает согласие заявителя с программой испытаний и экспертизы программного продукта. Заявление на сертификацию имеет форму установленного образца в составе типового комплекта материалов, представляемого на сертификацию. Типовой комплект материалов включает:

- заявление на сертификацию;

- информационную карту Российского фонда компьютерных учебных программ;

- рабочую версию программного средства (на дискете);

- исходные модули на языке программирования (на дискете, не более 2);

- руководство пользователя в отпечатанном виде на бумаге;

- акты о внедрении, или акты об опытной эксплуатации, или отзывы организаций-пользователей;

- сопроводительное письмо (в случае почтового отправления);

- доверенность на представителя, уполномоченного получить сертификат на программный продукт;

- ряд других необязательных документов, которые заявитель вправе передать на сертификацию.

Сертификация ПС УН проводится в течение трех месяцев. Затем Ининфо оповещает заявителя о результатах сертификации и выдает (высылает) документ, отражающий суть решений экспертного совета:

- сертификат Министерства образования на компьютерную учебную программу в комплекте с выпиской из протокола заседания экспертного совета Росфокомпа, или

- рекомендации экспертного совета Росфокомпа по доработке рассматриваемого ПС УН, или

- мотивированный отказ экспертного совета Росфокомпа в сертификации данных ПС УН.

2.1. Организационную структуру системы сертификации образуют:

·         Гостехкомиссия России (федеральный орган по сертификации средств защиты информации);

·         центральный орган системы сертификации средств защиты информации;

·         органы по сертификации средств защиты информации;

·         испытательные центры (лаборатории);

·         заявители (разработчики, изготовители, поставщики, потребители средств защиты информации).

2.2. Гостехкомиссия России в пределах своей компетенции осуществляет следующие функции:

·         создает систему сертификации средств защиты информации и устанавливает правила проведения сертификации конкретных видов средств защиты информации в этой системе;

·         организует функционирование системы сертификации средств защиты информации;

·         определяет перечень средств защиты информации, подлежащих обязательной сертификации в данной системе;

·         устанавливает правила аккредитации и выдачи лицензий на проведение работ по сертификации;

·         организует и финансирует разработку нормативных и методических документов системы сертификации средств защиты информации;

·         определяет центральный орган системы сертификации средств защиты информации (при его необходимости) или выполняет функции этого органа;

·         утверждает нормативные документы по безопасности информации, на соответствие которым проводится сертификация средств защиты информации в системе, и методические документы по проведению сертификационных испытаний;

·         аккредитует органы по сертификации и испытательные центры (лаборатории), выдает им лицензии на право проведения определенных видов работ;

·         ведет государственный реестр участников и объектов сертификации;

·         осуществляет государственный контроль и надзор и устанавливает порядок инспекционного контроля за соблюдением правил сертификации и за сертифицированными средствами защиты информации;

·         рассматривает апелляции по вопросам сертификации;

·         представляет на государственную регистрацию в Госстандарт России систему сертификации и знак соответствия;

·         организует периодическую публикацию информации о сертификации;

·         осуществляет взаимодействие с соответствующими уполномоченными органами других стран и международных организаций по вопросам сертификации, принимает решение о признании международных и зарубежных сертификатов;

·         организует подготовку и аттестацию экспертов - аудиторов;

·         выдает сертификаты и лицензии на применение знака соответствия;

·         приостанавливает либо отменяют действие выданных сертификатов.

Гостехкомиссия России может передавать некоторые из своих функций центральному органу системы сертификации и органам по сертификации.

2.3. Центральный орган системы сертификации средств защиты информации:

·         координирует деятельность органов по сертификации и испытательных центров (лабораторий), входящих в систему;

·         разрабатывает предложения по номенклатуре средств защиты информации, сертифицируемых в системе и представляет их в Гостехкомиссию России;

·         участвует в работах по совершенствованию фонда нормативных документов, на соответствие которым проводится сертификация средств защиты информации в системе, и методических документов по проведению сертификационных испытаний;

·         участвует в рассмотрении апелляций по поводу действий органов по сертификации и испытательных центров (лабораторий), входящих в систему;

·         участвует в аккредитации органов по сертификации и испытательных центров (лабораторий) по сертификации средств защиты информации, входящих в систему;

·         ведет учет входящих в систему органов по сертификации и испытательных центров (лабораторий), выданных и аннулированных сертификатов и лицензий на применение знака соответствия, нормативных и методических документов, содержащих правила, требования, методики и рекомендации по сертификации;

·         обеспечивает участников сертификации информацией о деятельности системы и готовит необходимые материалы для опубликования.

2.4. Органы по сертификации средств защиты информации в пределах установленной области аккредитации:

·         определяют схему проведения сертификации конкретных средств защиты информации с учетом предложений заявителя;

·         уточняют требования на соответствие которым проводятся сертификационные испытания;

·         рекомендуют заявителю испытательный центр (лабораторию);

·         утверждают программы и методики проведения сертификационных испытаний;

·         проводят экспертизу технической, эксплуатационной документации на средства защиты информации и материалов сертификационных испытаний этих средств;

·         оформляют экспертное заключение по сертификации средств защиты информации, проекты сертификатов и лицензий на применение знака соответствия и представляют их в Гостехкомиссию России;

·         организуют, при необходимости, предварительную проверку (аттестацию) производства сертифицируемых средств защиты информации;

·         участвуют в аккредитации испытательных центров (лабораторий);

·         участвуют в инспекционном контроле за стабильностью характеристик сертифицированных средств защиты информации и за деятельностью испытательных центров (лабораторий);

·         хранят документацию (оригиналы), подтверждающую сертификацию средств защиты информации;

·         ходатайствует перед Гостехкомиссией России об отмене действия выданных сертификатов;

·         формируют и актуализируют фонд нормативных и методических документов, необходимых для сертификации, участвуют в их разработке;

·         представляют заявителю необходимую информацию по сертификации.

2.5. Испытательные центры (лаборатории) в пределах установленной области аккредитации:

·         осуществляют сертификационные испытания конкретных средств защиты информации, оформляют заключения и протоколы сертификационных испытаний, разрабатывают программы и методики сертификационных испытаний ;

·         осуществляют отбор образцов средств защиты информации для проведения сертификационных испытаний;

·         участвуют в предварительной проверке (аттестации) производства сертифицируемых средств защиты информации.

Испытательные центры (лаборатории) несут ответственность за полноту испытаний средств защиты информации, достоверность, объективность и требуемую точность измерений, своевременную поверку средств измерений и аттестацию испытательного оборудования.

2.6. Заявители (разработчики, изготовители, поставщики, потребители средств защиты информации):

·         обеспечивают соответствие средств защиты информации требованиям нормативных документов по безопасности информации;

·         осуществляют подготовку производства и принимают меры для обеспечения стабильности характеристик средств защиты информации, определяющих безопасность информации;

·         указывают в технической документации сведения о сертифицированном средстве защиты информации, нормативных документах, которым оно должно соответствовать, обеспечивают доведение этой информации до потребителя;

·         маркируют сертифицированные средства защиты информации знаком соответствия в порядке, установленном правилами системы сертификации;

·         применяют сертификат и знак соответствия, руководствуясь законодательными актами Российской Федерации и правилами системы сертификации;

·         извещают орган по сертификации и испытательный центр (лабораторию), проводивших сертификацию, о всех изменениях в технологии, конструкции (составе) сертифицированных средств защиты информации для принятия решения о необходимости проведения повторной сертификации данных средств защиты информации;

·         обеспечивают беспрепятственное выполнение своих полномочий должностными лицами органов, осуществляющих инспекционный контроль за сертифицированными средствами защиты информации;

·         приостанавливают или прекращают реализацию средств защиты информации, если они не отвечают требованиям нормативных документов, а также по истечению срока действия сертификата, при приостановке его действия или отмены ;

·         при обнаружении несоответствия сертифицированных средств защиты информации требованиям нормативных документов осуществляют мероприятия по доработке этих средств защиты информации и проведения сертификационных испытаний.

Заявители (разработчики, изготовители, поставщики) должны иметь лицензию Гостехкомиссии России на соответствующий вид деятельности.

3.1. Порядок проведения сертификации включает следующие действия:

·         подачу и рассмотрение заявки на сертификацию средств защиты информации; испытания сертифицируемых средств защиты информации и аттестация их производства;

·         экспертизу результатов испытаний, оформление, регистрацию и выдачу сертификата и лицензии на право использования знака соответствия;

·         осуществление государственный контроля и надзора, инспекционного контроля за соблюдением правил обязательной сертификации и за сертифицированными средствами защиты информации.

·         информирование о результатах сертификации средств защиты информации;

·         рассмотрение апелляций.

3.2. Подача и рассмотрение заявки на сертификацию средств защиты информации.

3.2.1. Заявитель для получения сертификата направляет в Гостехкомиссию России заявку (Приложение 1) на проведение испытаний с указанием схемы проведения сертификации, стандартов и иных нормативных документов, на соответствие требованиям которых должна проводиться сертификация.

3.2.2. Гостехкомиссия России в месячный срок после получения заявки направляет заявителю , в назначенные для проведения сертификации орган по сертификации и испытательный центр (лабораторию) решение на проведение сертификации (Приложении 2). По желанию заявителя орган по сертификации и испытательный центр (лаборатория) могут быть изменены.

После получения решения заявитель обязан представить в орган по сертификации и испытательный центр (лабораторию) средства защиты информации согласно ТУ на это средство, а также комплект технической и эксплуатационной документации, согласно нормативных документов по ЕСКД, ЕСПД на сертифицируемое средство защиты информации.

3.3. Испытания сертифицируемых средств защиты информации в испытательных центрах (лабораториях).

3.3.1. Испытания сертифицируемых средств защиты информации проводятся на образцах, конструкция, состав и технология изготовления которых должны быть такими же, как и у образцов, поставляемых потребителю, заказчику по программам и методикам испытаний, согласованным с заявителем и утвержденным органом по сертификации. Техническая и эксплуатационная документация на серийные средства защиты информации должна иметь литеру не ниже “О1” (по ЕСКД). Количество образцов, порядок их отбора и идентификации должен соответствовать требованиям нормативных и методических документов на данный вид средства защиты информации. В случае отсутствия на момент сертификации испытательных центров (лабораторий) орган по сертификации определяет возможность, место и условия проведения испытаний, обеспечивающих объективность их результатов.

3.3.2. Сроки проведения испытаний устанавливаются договором между заявителем и испытательным центром (лабораторией).

3.3.3. По просьбе заявителя его представителям должна быть предоставлена возможность ознакомиться с условиями хранения и испытаний образцов средств защиты информации в испытательном центре (лаборатории).

3.3.4. Результаты испытаний оформляются протоколами и заключением, которые направляются испытательным центром (лабораторией) органу по сертификации, а в копии - заявителю.

3.3.5. При внесении изменений в конструкцию (состав) средств защиты информации или технологию их производства, которые могут повлиять на характеристики средств защиты информации, заявитель (разработчик, изготовитель, поставщик) извещает об этом орган по сертификации. Последний принимает решение о необходимости проведения новых испытаний этих средств защиты информации.

3.3.6. Сертификация импортируемых средств защиты информации проводится по тем же правилам, что и отечественных.

3.4. Экспертиза результатов испытаний, оформление, регистрация и выдача сертификата и лицензии на право использования знака соответствия.

3.4.1. Орган по сертификации проводит экспертизу результатов испытаний и оформляет экспертное заключение. При соответствии результатов испытаний требованиям нормативных документов по защите информации орган по сертификации оформляет проект сертификата, который вместе с экспертным заключением и ТУ на средство защиты информации направляет в Гостехкомиссию России.

После утверждения экспертного заключения, согласования ТУ на средство защиты информации, присвоения сертификату регистрационного номера Гостехкомиссия России оформляет сертификат (Приложение 3) и все документы затем выдаются заявителю. Срок действия сертификата устанавливается не более, чем на пять лет. При несоответствии результатов испытаний требованиям стандартов или иных нормативных документов по защите информации Гостехкомиссия России принимает решение об отказе в выдаче сертификата и направляет заявителю мотивированное заключение. В случае несогласия с отказом в выдаче сертификата заявитель имеет право обратиться в апелляционный совет Гостехкомиссии России для дополнительного рассмотрения материалов сертификации.

3.4.2. Получение изготовителем средств защиты информации сертификата дает ему право получить у Гостехкомиссии России сертификационную лицензию (Приложение 4) на маркировку этих средств знаком соответствия. Форма знака соответствия устанавливается Гостехкомиссией России (Приложение 5).

Владелец лицензии на применение знака соответствия несет ответственность за поставку маркированных средств защиты информации, не отвечающих требованиям нормативной и методической документации, указанной в сертификате.

3.4.3. Для признания зарубежного сертификата заявитель направляет его копию и заявку на признание сертификата в Гостехкомиссию России, которая извещает заявителя о признании или необходимости проведения сертификационных испытаний не позднее двух месяцев после их получения. В случае признания - заявителю выдается сертификат установленного образца (Приложение 3).

3.5. Государственный контроль и надзор, инспекционный контроль за соблюдением правил обязательной сертификации и за сертифицированными средствами защиты информации.

3.5.1. Государственный контроль и надзор за соблюдением заявителями, испытательными центрами (лабораториями), органами по сертификации правил обязательной сертификации и за сертифицированными средствами защиты информации осуществляет Гостехкомиссия России. Объем, содержание и порядок государственного контроля и надзора устанавливаются в нормативной и методической документации, действующей в системе сертификации средств защиты информации.

3.5.2. Инспекционный контроль за сертифицированными средствами защиты информации осуществляет орган по сертификации, проводивший сертификацию этих средств защиты информации. Общие правила инспекционного контроля за конкретными видами сертифицированных средств защиты информации устанавливаются в нормативных и методических документах системы сертификации средств защиты информации. Периодичность и объемы испытаний сертифицированных средств защиты информации в испытательных центрах (лабораториях) должны предусматриваться в нормативных и методических документах по сертификации конкретных видов средств защиты информации.

3.5.3. По результатам контроля Гостехкомиссия России может приостановить или отменить действие сертификата и аттестата аккредитации, а орган по сертификации - ходатайствовать об этом. Решение об отмене действия сертификата принимается только в том случае, если в результате принятых незамедлительных мер не может быть восстановлено соответствие средств защиты информации установленным требованиям. Причинами, которые могут заставить принять такое решение, являются:

·         изменение нормативных и методических документов на средства защиты информации или методов испытаний и контроля;

·         изменение конструкции (состава), комплектности средств защиты информации, системы контроля их качества;

·         невыполнение требований технологии изготовления, контроля, испытаний средств защиты информации;

отказ заявителя в допуске (приеме) лиц, уполномоченных осуществлять государственный контроль и надзор, инспекционный контроль за сертификацией и за сертифицированными средствами защиты информации .