Сертификация программного обеспечения кратко

Обновлено: 18.05.2024

Сертификация — единственный инструмент независимой оценки эффективности реализации поставленных задач.

Необходимость в добровольной сертификации (подтверждении соответствия, аттестации, оценке соответствия и т. п.) программного обеспечения (ПО) и аппаратно-программных комплексов (АПК) может возникнуть в целом ряде случаев.

Наличие сертификата может служить конкурентным преимуществом при продвижении продукта. При прочих сходных характеристиках конкурирующих продуктов потребители будут склонны предпочесть продукт, имеющий сертификат, подтверждающий соответствие ПО или АПК предъявляемым к ним требованиям.

Некоторые внутриведомственные нормативные документы требуют подтверждение соответствия ПО и АПК, предлагаемых к использованию в сфере регулирования данных ведомств.

Документальное подтверждение заявленных характеристик ПО и АПК может являться необходимым условием для участия в тендере.

Иногда возникает необходимость оценить риски использования ПО или АПК, обусловленные как свойствами самих ПО и АПК, так и возможностью внешнего воздействия на них.

При получении свидетельства об утверждении типа средств измерений возникает необходимость оценки влияния ПО на метрологические характеристики средств измерений и защиты обрабатываемой информации. Это прямое требование Федерального закона "Об обеспечении единства измерений".

Наличие сертификата повышает доверие к продукту со стороны потенциальных приобретателей.

При разработке сложного программного продукта может возникнуть сомнение в качестве продукта со стороны разработчиков, которым может потребоваться независимая оценка разрабатываемого продукта.

Необходимость в тестировании ПО настоятельно подчеркивается в таких нормативных документах, как WELMEC 7.2 и ГОСТ Р 8.596.

На сегодняшний день СДС ПО и АПК — это более полутора тысяч сертификатов соответствия, выданных на ПО и АПК в самых различных сферах деятельности, таких как метрология, информационная безопасность, безопасность дорожного движения, учет и транспортировка энергоносителей, управление объектами и системами, спутниковый мониторинг, автоматизированные системы контроля и управления, испытания качества сырья, инженерные и научные расчеты, игровое оборудование и программы и многое другое.

Обращаясь в АНО "МИЦ", вы получаете высококлассных и опытных экспертов, способных решить любую поставленную задачу.

Все персональные компьютеры, ноутбуки, телефоны, планшеты и другие устройства работают благодаря программному обеспечению.

Главная ценность ПО — это его надежность и функциональность, защита от внешних угроз информации, которая носит конфиденциальный характер.

Специалисты выделяют 3 вида ПО:

аудио- и видеопрограммы.

новые разработанные программы.

Несмотря на свою важную роль в жизни населения, бизнеса и государственных служб, на территории РФ не предусмотрена обязательная сертификация программного обеспечения. Однако разработчик может на добровольной основе оформить сертификационную документацию.

Законодательное регулирование

Так, например, под действие стандарта ГОСТ Р 8.654-2015 попадают:

автоматизированные системы измерений;
информационно-измерительные приборы;
устройства, обрабатывающие измерительную информацию.

На примере ГОСТ Р 8.654-2015 разберем основные группы требований к ПО:

к документации (ТУ, спецификации, руководство пользователя)

наименование ПО, его модификация;

детальная информация об интерфейсе и назначении продукта;

варианты защиты от взлома данных;

описание требований к устройствам, на которые устанавливаются.

введенные данные не должны влиять на метрологические значения и функции.

влияние ПО на метрологические показатели

проводится в порядке аттестации;

оценка на основании результатов метрологических и программных испытаний.

защита ПО и информации

наличие устройств поиска и устранения дефектов для предотвращения нарушения целостности системы.

Идентификация и разделение

выделение значимой части, подлежащей анализу;

предоставление доступа к важным фрагментам через распространенный интерфейс.

Специальные требования к ПО

применяются при встроенной загрузке, сохранении данных и их передаче.

Основные нюансы проверок

В зависимости от своих функций продукт может представлять как отдельную программу, так и целый комплекс ПО. Это влияет на выбор схемы сертификации и срок выдачи разрешительного документа. Свидетельство действует до 3 лет.

Некоторые схемы сертификации предусматривают:

контроль производственных процессов;
подтверждение наличие СМК;
инспекционный контроль.

Этапы сертификации ПО

Процедура проходит по определенному алгоритму:

Перечень документов

При обращении в центр “Ростест Ростов” вам потребуется подготовить стандартный пакет документов:

верно оформленное заявление;
данные, содержащие основную информацию о заявителе — ИНН, ОГРН устав;
сопроводительные бумаги (при импорте продукта);
техническая документация;
доказательства, подтверждающие соответствие всем требованиям.

Содержание сертификата на программное обеспечение

В полученном документе будут указаны следующие данные:

коды ТН ВЭД;
информация об органе, ответственном за выдачу документа;
данные о заявителе и разработчике;
детальное описание продукции;
номер регистрации;
дата окончания действия.

Преимущества оформления

Центр “Ростест Ростов” настоятельно рекомендует своим клиентам пройти добровольное подтверждение качества выпускаемого программного обеспечения. Это даст заметные преимущества на рынке:

повышение деловой репутации;
построение бизнеса на основе международных стандартов, которые приведут к выходу на новые рынки;
интерес со стороны инвесторов.

Нотификация ФСБ

Услуги нашего центра

Мы выдаем документацию вовремя и по минимальной цене. Оставьте заявку на нашем официальном сайте или свяжитесь с нами по телефону.

Для чего нужна сертификация программного обеспечения?

Вопросы защиты конфиденциальной информации тесно переплетены с интересами общества, личности, бизнеса и государства. В наше время, в условиях формирования единого информационного пространства, они являются важнейшей составной частью задач, решаемых государственными органами, учреждениями и организациями при разработке, создании, эксплуатации информационных систем, баз и банка персональных данных информационных систем.

Любое государство стремится обеспечить контроль над информацией, связанной с обеспечением национальной безопасности. И поэтому к программному обеспечению, которое поставляется на рынок и используется для построения ключевых систем информационной инфраструктуры, предъявляются особые требования.

Ключевые системы информационной инфраструктуры

К таким ключевым системам можно отнести [1]:

информационные системы органов государственной власти, органов управления и правоохранительных структур;
информационные системы финансово-кредитной и банковской деятельности;
информационно-телекоммуникационные системы специального назначения;
сети связи правоохранительных структур;
сети связи общего пользования на участках, не имеющих резервных или альтернативных видов связи;
автоматизированные системы управления энергоснабжением;
автоматизированные системы управления наземным и воздушным транспортом;
автоматизированные системы управления добычей и транспортировкой нефти и газа;
автоматизированные системы предупреждения и ликвидации чрезвычайных ситуаций;
автоматизированные системы управления экологически опасными производствами;
автоматизированные системы управления водоснабжением;
географические и навигационные системы.

И это далеко не полный перечень. В указанных системах накапливается, обрабатывается и передается информация, связанная с производственной, организационно-экономической, научно-технической, кредитно-финансовой и другой деятельностью государства. В ряде систем и сетей циркулирует информация оперативно-диспетчерского и технологического управления, определяющая надежность и безопасность функционирования всего хозяйственного комплекса России и оказывающая существенное влияние на обеспечение ее национальной безопасности в информационной сфере. Именно поэтому эти системы являются ключевыми.

В связи с этим, производители программного обеспечения обязаны учитывать требования, налагаемые международными и национальными законами на информационные системы, предназначенные для работы с такой информацией.

Для проверки соответствия программного обеспечения этим требованиям и требуются процедуры сертификации!

Кто обязан использовать сертифицированные программные средства?

Ниже приведены выдержки из законодательных и регулирующих документов, из которых в совокупности следует необходимость применения сертифицированных средств защиты информации:

В соответствии с приведенными законами соответствующие организации (в частности, государственные) обязаны использовать программные и аппаратные средства с сертифицированными средствами защиты информации. [2]

Закон о персональных данных нужно соблюдать всем, кто хранит и обрабатывает данные сотрудников и клиентов. В самом законе нет технических требований к программному обеспечению и IT-системам — технические требования устанавливают приказы ФСТЭК. Расскажем, кому и зачем нужны сертификация и аттестация ФСТЭК.

Сертификат и аттестат ФСТЭК

Приказ №21 ФСТЭК России — Федеральной службы по техническому и экспортному контролю, устанавливает технические требования по защите персональных данных. Он определяет, насколько конкретные программы и IT-системы соответствуют 152-ФЗ.

Для подтверждения соответствия у ФСТЭК есть два документа: сертификат и аттестат. Давайте разберемся, чем они отличаются, когда выдаются и кому нужны.

Сертификат ФСТЭК: что это такое и для чего нужен

Возьмем компанию — разработчика программного обеспечения, и представим, что она разработала свой антивирус и хочет продавать его организациям, которые работают с персональными данными. Для этого нужно доказать, что этот антивирус безопасен и соответствует требованиям 152-ФЗ.

В России проверку на соответствие 152-ФЗ проводит ФСТЭК. Чтобы доказать безопасность нового антивируса, компании нужно получить на него сертификат ФСТЭК. Для этого нужно обратиться в представительство службы, после чего начинается долгий и сложный процесс сертификации: программу изучают, тестируют, проверяют на уязвимости и наличие недекларируемых возможностей.

Способы тестирования зависят от того, какой уровень сертификата ФСТЭК России требуется подтвердить. Так, если антивирус будут использовать в системах, где хранят биометрические данные, проверки будут более строгими. А для работы в системах с общедоступными данными, например, ФИО и профессией, требования и тесты мягче.

Зачем нужна сертификация ФСТЭК

Если антивирус пройдет проверку, компания получит на него сертификат ФСТЭК. И разработчик ПО сможет гарантировать, что его антивирус безопасен и соответствует техническим требования ФСТЭК.

Получается, что сертификат соответствия ФСТЭК нужно получать, если вы разрабатываете средства защиты, например антивирусные программы, межсетевые экраны и так далее. То есть он нужен только разработчикам ПО, которые хотят подтвердить безопасность своих программ и предлагать их компаниям для защиты персональных данных.

Кратко: Сертификация ФСТЭК — что это? Это проверка, которая показывает, насколько программа безопасна и соответствует требованиям закона о защите персональных данных. Если вы не разрабатываете программное обеспечение для защиты персональных данных, получать сертификат ФСТЭК вам не нужно. Но вам может быть нужен аттестат.

Кому и зачем нужна аттестация ФСТЭК

Сертификат соответствия по требованиям безопасности информации выдают только на сами средства защиты, например антивирусные системы. Однако кроме средств защиты, ФСТЭК проверяет и IT-системы, в которых хранятся персональные данные: серверы и сети компаний или облачные хранилища. Такая процедура проверки называется не сертификацией, а аттестацией.

Аттестация по требованиям ФСТЭК нужна не всем компаниям. Вы можете не проходить аттестацию, если:

Не храните и не обрабатываете персональные данные. Например, у вас небольшой офлайн-магазин без сотрудников и базы клиентов.
Храните данные, требующие самого низкого, четвертого уровня защищенности. К ним относят общедоступные данные клиентов и сотрудников: ФИО, дата и место рождения, адрес проживания, номер телефона, информация о профессии. Подробнее об уровнях защищенности мы рассказывали в статье Защита персональных данных в облаке: как сделать все по закону 152-ФЗ.

Если вы храните другие персональные данные, например, биометрические — характеризующие биологические и физиологические данные человека и позволяющие по ним установить его личность, то обязаны обеспечивать уже третий уровень защищенности. И систему, в которой вы храните такие данные, нужно аттестовать в органах аттестации ФСТЭК.

Процесс аттестации немного проще, чем процесс сертификации. Для аттестации у ФСТЭК есть четкий порядок и требования, которые нужно соблюсти. Также пройти аттестацию проще, если использовать средства защиты информации с сертификатом ФСТЭК России.

Получается, что для работы любой компании нужен не сертификат, а аттестат ФСТЭК. А сертификаты должны быть у программного обеспечения, которое вы используете, но о сертификации должны позаботиться производители этого ПО.

У облака VK Cloud Solutions (бывш. MCS) есть аттестат безопасности ФСТЭК. В публичном облаке VK можно хранить персональные данные в соответствии с УЗ-2, 3 и 4. Для хранения данных с УЗ-2 и УЗ-1 также есть возможность сертификации, как в формате частного облака, так и на изолированном выделенном гипервизоре в ЦОДе VK. При построении гибридной инфраструктуры для хранения персональных данных на платформе VK Cloud Solutions (бывш. MCS) вы получаете облачную инфраструктуру, уже соответствующую всем требованиям законодательства. При этом частный контур нужно аттестовать, в этом могут помочь специалисты VK, что позволит быстрее пройти необходимые процедуры.

Читайте также: