Основы информационного права России - Олег Городов

ФСБ РФ в пределах своей компетенции осуществляет, в частности, функции по:

– созданию системы сертификации и установлению правил проведения сертификации;

– представлению на государственную регистрацию в Госстандарт РФ системы сертификации СЗИ-ГТ и ее знаки соответствия;

– организации функционирования системы сертификации;

– определению номенклатуры СЗИ-ГТ;

– установлению правил аккредитации и выдачи лицензий на проведение работ по сертификации;

– утверждению нормативных документов, на соответствие которым проводится сертификация СЗИ-ГТ в системе сертификации, и методических документов по проведению сертификационных испытаний.

– ведению государственного реестра сертифицированных средств защиты информации, аккредитованных в системе сертификации СЗИ-ГТ, органов по сертификации и испытательных центров (лабораторий), других участников сертификации, а также выданных и аннулированных сертификатов соответствия и лицензий на применение знака соответствия.

Органы по сертификации СЗИ-ГТ в пределах установленной области аккредитации, в частности:

– проводят идентификацию средств защиты информации;

– определяют схему сертификации конкретных средств защиты;

– разрабатывают предложения по номенклатуре СЗИ-ГТ;

– оформляют экспертное заключение по сертификации СЗИ-ГТ, сертификаты соответствия и лицензии на применение знака соответствия и представляют их в ФСБ РФ для регистрации в государственном реестре;

– выдают сертификаты соответствия и лицензии на применение знака соответствия;

– представляют заявителю перечень испытательных центров (лабораторий), в которых могут проводиться испытания конкретного СЗИ-ГТ;

– приостанавливают либо отменяют действие выданных сертификатов соответствия и лицензий на применение знака соответствия.

Испытательные центры (лаборатории) в пределах установленной области аккредитации, в частности:

– разрабатывают, утверждают программы и методики проведения сертификационных испытаний;

– осуществляют отбор образцов СЗИ-ГТ для проведения сертификационных испытаний;

– осуществляют сертификационные и инспекционные испытания СЗИ-ГТ, оформляют технические заключения и протоколы сертификационных испытаний;

– обеспечивают сохранность образцов СЗИ-ГТ и конфиденциальность информации.

Учебно-методический центр:

– осуществляет подготовку, переподготовку и повышение квалификации кадров;

– осуществляет подготовку и аттестацию экспертов;

– участвует в разработке и совершенствовании нормативных и методических документов в системе сертификации СЗИ-ГТ.

Заявители (разработчики, изготовители, продавцы) должны иметь лицензию на соответствующий вид деятельности и обязаны, в частности:

– применять сертификат и знак соответствия СЗИ-ГТ, руководствуясь правилами системы сертификации;

– указывать в сопроводительной технической документации сведения о сертификате на СЗИ-ГТ, обеспечивать доведение этой информации до потребителя;

– принимать меры для обеспечения стабильности характеристик СЗИ-ГТ, определяющих безопасность информации;

– извещать орган по сертификации, проводивший сертификацию, обо всех изменениях в технологии, конструкции (составе) сертифицированного СЗИ-ГТ и технической документации на него для принятия решения о необходимости проведения повторной сертификации данного СЗИ-ГТ.

Органы по сертификации и испытательные центры (лаборатории) должны быть юридическими лицами, располагать подготовленными специалистами, необходимыми средствами измерений, испытательным оборудованием и методиками испытаний, нормативными документами для проведения всего комплекса работ по испытаниям СЗИ-ГТ в своей области аккредитации.

Проведению сертификации предшествует подача заявки на сертификацию, осуществляемая заявителем. Заявка с указанием схемы проведения сертификации, государственных стандартов и иных нормативно-методических документов направляется в орган по сертификации, который обязан в десятидневный срок передать копию заявки на проведение сертификации продукции в ФСБ РФ.

В месячный срок после получения заявки орган по сертификации СЗИ-ГТ направляет заявителю решение на проведение сертификации, в котором указывается перечень испытательных центров, область аккредитации которых позволяет проводить сертификационные испытания данного СЗИ-ГТ.

После получения решения заявитель представляет средство защиты в испытательный центр или (в отдельных случаях) в орган по сертификации. Сроки проведения испытаний могут быть установлены в договоре между заявителем и испытательным центром.

Результаты испытаний оформляются протоколами и техническим заключением, которые направляются органу по сертификации и заявителю.

Орган по сертификации проводит экспертизу результатов испытаний и готовит экспертное заключение. При соответствии результатов испытаний требованиям нормативных документов данный орган оформляет сертификат соответствия и лицензию на применение знака соответствия, которые вместе с копией экспертного заключения направляет в ФСБ РФ для регистрации в государственном реестре. Срок действия сертификата соответствия устанавливается не более чем на пять лет.

Заявителю сертификат соответствия и лицензия на применение знака соответствия выдаются после их регистрации в государственном реестре системы сертификации СЗИ-ГТ.

Инспекционный контроль за сертифицированными СЗИ-ГТ осуществляет орган по сертификации, проводивший сертификацию с привлечением в случае необходимости испытательного центра.

Глава XI

Правовые вопросы обеспечения информационной безопасности

Дополнительная литература

Бачило И. Л. Методология решения правовых проблем в области информационной безопасности // Информатика и вычислительная техника. 1992. № 2–3; Волокитин А. В., Копылов В. А. Информационная безопасность и информационное законодательство // Сборник научно-технической информации. Сер. 1 1996. № 7; Фатьянов А. А. Концептуальные основы обеспечения безопасности на современном этапе // Безопасность информационных технологий. 1999. № 1. С. 26–40; Ярочкин В. И. Информационная безопасность. Учебное пособие. М., 2000; Бачило И. П., Лопатин В. И., Федотов М. А. Информационное право: Учебник/ Под ред. акад. Б. Н. Топорнина. СПб. 2001. С. 408–480; Копылов В. А. Информационное право: Учебник. М., 2002. С. 218–231.

§ 1. Понятие информационной безопасности, основные задачи и методы ее обеспечения

Понятие информационной безопасности. Понятие информационной безопасности в российской юридической терминологии не является устоявшимся по причине отсутствия единого методологического основания, на базе которого только и могут быть определены его сущность, степень необходимости использования и границы применения. К сожалению, это методологическое основание до сих пор не выработано, что отчетливо проявляется не только в обсуждении понятия информационной безопасности на страницах учебных и научных изданий, но и в текстах официальных документов, в том числе нормативных актов[198].

Легальное определение информационной безопасности сформулировано в ст. 2 Федерального закона «Об участии в международном информационном обмене», согласно которой это состояние защищенности информационной среды общества, обеспечивающее ее формирование, использование и развитие в интересах граждан, организаций, государства[199].

Данное определение со значительными содержательными изменениями получило развитие в Доктрине информационной безопасности Российской Федерации (далее – Доктрина), являющейся совокупностью официальных взглядов на цели, задачи, принципы и основные направления обеспечения информационной безопасности государства. В соответствии с п. 1 Доктрины под информационной безопасностью Российской Федерации понимается состояние защищенности ее национальных интересов в информационной сфере, определяющихся совокупностью сбалансированных интересов личности, общества и государства[200].

В основу доктринального определения информационной безопасности, равно как и легального, положено родовое понятие безопасности, как «состояния защищенности», закрепленное в Законе РФ «О безопасности»[201]. На этом, собственно, сходство двух приведенных определений информационной безопасности и заканчивается, поскольку в легальной формулировке речь идет о защищенности информационной среды (сферы) в интересах граждан и государства, а в доктринальной – о защищенности национальных интересов в информационной сфере. Таким образом, уже в самом выборе объекта защиты кроются противоречия, хотя с формально-юридических позиций в этом качестве должна выступать информационная среда, под которой понимают сферу деятельности субъектов, связанную с созданием, использованием, преобразованием и потреблением информации. С другой стороны, доктринальная формула объекта защиты соответствует родовому объекту, идентифицированному в Законе РФ «О безопасности» как «жизненно важные интересы». Учитывая роль и значимость Доктрины, следует признать, что дальнейшее использование и развитие понятия информационной безопасности будет происходить в заданном этим документом направлении, хотя оно и наиболее проблемно, поскольку требует ответа на не найденный до сих пор несколькими поколениями ученых вопрос. Этот вопрос, коль скоро речь идет об объекте защиты, в качестве которого полагаются национальные интересы, определяющиеся совокупностью сбалансированных интересов личности, общества и государства, состоит в определении баланса интересов отдельной личности и общества в целом. Ведь то, что отвечает интересам отдельного индивида, не всегда отвечает интересам общества в целом; и наоборот, то, что соответствует интересам всего общества, может явно противоречить интересу отдельного индивида.