Вопрос: СБ ЗОКИИ: будет ли действовать сертификат соответствия СрЗИ при использовании функций безопасности, не указанных в документации на СрЗИ?
Ответ: Ответ: действие сертификата соответствия требованиям по безопасности, выданный на определенное средство защита информации (далее – СрЗИ), не будет приостановлено, но он не распространяется на те функции безопасности, которые не указаны в соответствующем сертификате.
  
  	 Согласно пункту 28 Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденных приказом ФСТЭК России от 25.12.2017 № 239, для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться СрЗИ, прошедшие оценку соответствия требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.
  
  	 Согласно пункту 20 Положения о системе сертификации средств защиты информации, утвержденного приказом ФСТЭК России от 03.04.2018 № 55 (далее – Положение о сертификации СрЗИ), для получения сертификата заявитель (разработчик) предоставляет в ФСТЭК России заявку на сертификацию и в ней указывает тип (типы) средств защиты информации (далее – СрЗИ), к которому (которым) относится представляемое на сертификацию СрЗИ (например, средства контроля подключения съемных машинных носителей информации, средства антивирусной защиты и др.).
  
  	 К заявке на сертификацию должен также прилагаться формуляр (паспорт) на СрЗИ (пункт Положения о сертификации СрЗИ). В таком документе на СрЗИ прописаны его функциональные возможности, описаны функции безопасности (например, разграничение доступа к управлению программным изделием, управление работой программного изделия, управление параметрами программного изделия и т. д.) Кроме того, в формуляре на сертифицированные СрЗИ указаны условия эксплуатации (в том числе в части используемых функций безопасности), при которых сертификат действует.
  
  	 Далее проводятся сертификационные испытания в соответствии с требованиями по безопасности информации и методическими документами, утвержденными ФСТЭК России. ФСТЭК России разработала и утвердила требования по безопасности для следующих типов программных и программно-аппаратных средств:
  
  		 системы управления базами данных;
  	
  		 средства виртуализации;
  	
  		 средства контейнеризации;
  	
  		 межсетевые экраны;
  	
  		 операционные системы;
  	
  		 средства контроля съемных машинных носителей информации;
  	
  		 средства доверенной загрузки;
  	
  		 средства антивирусной защиты;
  	
  		 системы обнаружения вторжений.
  	
  	 Таким образом, сертификационные испытания проводятся в соответствии с утвержденными документами для тех типов СрЗИ, которые были указаны при подаче заявления на сертификацию. Например, если СрЗИ было подано на сертификацию как средство антивирусной защиты, то его оценка соответствия будет проводиться только по соответствующему профилю защиты.
  
  	 Также сертификация может проводиться по отдельным функциям безопасности в соответствии с техническими условиями или заданием по безопасности, представляемыми при подаче заявки на сертификацию.
  
  	 Таким образом, сертификат соответствия СрЗИ распространяется только на те функции безопасности, которые указаны в конструкторской, программной и эксплуатационной документации и в обозначенных условиях эксплуатации (в том числе в части использования иных функций безопасности). Соответственно, при использовании функций безопасности СрЗИ, которые не указаны в сертификационной документации, необходимо провести дополнительную оценку соответствия в форме испытаний или приемки для всех используемых функций безопасности, в том числе для тех, на которые распространяется сертификат соответствия.
Цитаты из НПА: {"25.12.2017 № 239": ["Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки.", "Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами.", "Функции безопасности средств защиты информации должны обеспечивать выполнение настоящих Требований. 29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети \"Интернет\", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности). В случае отсутствия технической возможности применения в значимых объектах 1 категории значимости граничных маршрутизаторов, сертифицированных на соответствие требованиям по безопасности информации, функции безопасности граничных маршрутизаторов подлежат оценке на соответствие требованиям по безопасности в рамках приемки или испытаний значимых объектов."], "03.04.2018 № 55": ["Заявитель, не являющийся разработчиком средства защиты информации, проводит испытания средства защиты информации с привлечением испытательной лаборатории в случае внесения в сертифицированное средство защиты информации изменений, связанных с добавлением новых функций безопасности информации, или изменений в имеющиеся функции безопасности информации устранением уязвимостей (недекларированных возможностей) средства защиты информации.", "20. Для получения сертификата соответствия заявитель представляет в ФСТЭК России заявку на сертификацию.", "Действие сертификата соответствия приостанавливается в случаях: изменения требований по безопасности информации; установления факта несоответствия сертифицированного средства защиты информации требованиям по безопасности информации на основании поступившей в ФСТЭК России информации, в том числе о наличии в сертифицированном средстве защиты информации уязвимостей или недекларированных возможностей; прекращения технической поддержки сертифицированного средства защиты информации, отсутствие которой может привести к несоответствию средства защиты информации требованиям по безопасности информации, а также к невыполнению требований о защите информации при применении средства защиты информации; обращения заявителя о приостановлении действия сертификата соответствия.", "Действие сертификата соответствия может быть приостановлено на срок не более 90 календарных дней. ФСТЭК России в течение 5 рабочих дней со дня принятия решения направляет заказным почтовым отправлением с уведомлением о вручении или вручает заявителю уведомление о приостановлении действия сертификата соответствия. В уведомлении указывается срок устранения несоответствия средства защиты информации требованиям по безопасности информации, который не должен превышать 90 календарных дней."]}
full_text: {"25.12.2017 № 239": "Приказ Федеральной службы по техническому и экспортному контролю от 25 декабря 2017 г. N 239 \"Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\"\nВ соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2017, N 31, ст. 4736) приказываю:\nУтвердить прилагаемые Требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации. Зарегистрировано в Минюсте РФ 26 марта 2018 г. Регистрационный N 50524\nУТВЕРЖДЕНЫ приказом ФСТЭК России от 25 декабря 2017 г. N 239\nТребования по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации\nI. Общие положения\n1. Настоящие Требования разработаны в соответствии с Федеральным законом от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" и направлены на обеспечение устойчивого функционирования значимых объектов критической информационной инфраструктуры Российской Федерации (далее - значимые объекты, критическая информационная инфраструктура) при проведении в отношении них компьютерных атак. 2. Действие настоящих Требований распространяется на информационные системы, автоматизированные системы управления, информационно-телекоммуникационные сети, которые отнесены к значимым объектам критической информационной инфраструктуры в соответствии со статьей 7 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 3. По решению субъекта критической информационной инфраструктуры настоящие Требования могут применяться для обеспечения безопасности объектов критической информационной инфраструктуры, не отнесенных к значимым объектам. 4. Обеспечение безопасности значимых объектов, в которых обрабатывается информация, составляющая государственную тайну, осуществляется в соответствии с законодательством Российской Федерации о государственной тайне. 5. Для обеспечения безопасности значимых объектов, являющихся информационными системами персональных данных, настоящие Требования применяются с учетом Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257). Для обеспечения безопасности значимых объектов, являющихся государственными информационными системами, настоящие Требования применяются с учетом Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17 (зарегистрирован Минюстом России 31 мая 2013 г., регистрационный N 28608) (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 г. N 27 \"О внесении изменений в Требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17\" (зарегистрирован Минюстом России 14 марта 2017 г., регистрационный N 45933). 6. Безопасность значимых объектов обеспечивается субъектами критической информационной инфраструктуры в рамках функционирования систем безопасности значимых объектов, создаваемых субъектами критической информационной инфраструктуры в соответствии со статьей 10 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". II. Требования к обеспечению безопасности в ходе создания, эксплуатации и вывода из эксплуатации значимых объектов\n7. Обеспечение безопасности значимых объектов является составной частью работ по созданию (модернизации, при которой изменяется архитектура значимого объекта, в том числе подсистема его безопасности, в соответствии с отдельным техническим заданием на модернизацию значимого объекта и (или) техническим заданием (частным техническим заданием) на модернизацию подсистемы безопасности значимого объекта (далее - модернизация), эксплуатации и вывода из эксплуатации значимых объектов. Меры по обеспечению безопасности значимых объектов принимаются на всех стадиях (этапах) их жизненного цикла. 8. На стадиях (этапах) жизненного цикла в ходе создания (модернизации), эксплуатации и вывода из эксплуатации значимого объекта проводятся:\nа) установление требований к обеспечению безопасности значимого объекта;\nб) разработка организационных и технических мер по обеспечению безопасности значимого объекта;\nв) внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие;\nг) обеспечение безопасности значимого объекта в ходе его эксплуатации;\nд) обеспечение безопасности значимого объекта при выводе его из эксплуатации. Результаты реализации мероприятий, проводимых для обеспечения безопасности значимого объекта на стадиях (этапах) его жизненного цикла, подлежат документированию. Состав и формы документов определяются субъектом критической информационной инфраструктуры. 9. Для значимых объектов, находящихся в эксплуатации, настоящие Требования подлежат реализации в рамках модернизации или дооснащения подсистем безопасности эксплуатируемых значимых объектов. Модернизация или дооснащение подсистем безопасности значимых объектов осуществляется в порядке, установленном настоящими Требованиями для создания значимых объектов и их подсистем безопасности, с учетом имеющихся у субъектов критической информационной инфраструктуры программ (планов) по модернизации или дооснащению значимых объектов. Установление требований к обеспечению безопасности значимого объекта\n10. Задание требований к обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, устанавливающим требования к обеспечению безопасности значимых объектов, в соответствии с категорией значимости значимого объекта, определенной в порядке, установленном Правилами категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденными постановлением Правительства Российской Федерации от 8 февраля 2018 г. N 127 \"Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации\" (Собрание законодательства Российской Федерации, 2018, N 8, ст. 1204). Требования к обеспечению безопасности включаются в техническое задание на создание значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, которые должны содержать:\nа) цель и задачи обеспечения безопасности значимого объекта или подсистемы безопасности значимого объекта;\nб) категорию значимости значимого объекта;\nв) перечень нормативных правовых актов, методических документов и национальных стандартов, которым должен соответствовать значимый объект;\nг) перечень типов объектов защиты значимого объекта;\nд) требования к организационным и техническим мерам, применяемым для обеспечения безопасности значимого объекта;\nе) стадии (этапы работ) создания подсистемы безопасности значимого объекта;\nж) требования к применяемым программным и программно-аппаратным средствам, в том числе средствам защиты информации;\nз) требования к защите средств и систем, обеспечивающих функционирование значимого объекта (обеспечивающей инфраструктуре);\nи) требования к информационному взаимодействию значимого объекта с иными объектами критической информационной инфраструктуры, а также иными информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями;\nк) требования к составу и содержанию документации, разрабатываемой в ходе создания значимого объекта. В случае если значимый объект создается в рамках объекта капитального строительства, требования к обеспечению безопасности значимого объекта задаются застройщиком и оформляются в виде приложения к заданию на проектирование (реконструкцию) объекта капитального строительства. При определении требований к обеспечению безопасности значимого объекта учитываются положения организационно-распорядительных документов по обеспечению безопасности значимых объектов, разрабатываемых субъектами критической информационной инфраструктуры в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\" (далее - организационно-распорядительные документы по безопасности значимых объектов). Разработка организационных и технических мер по обеспечению безопасности значимого объекта\n11. Разработка организационных и технических мер по обеспечению безопасности значимого объекта осуществляется субъектом критической информационной инфраструктуры и (или) лицом, привлекаемым в соответствии с законодательством Российской Федерации к проведению работ по созданию (модернизации) значимого объекта и (или) обеспечению его безопасности, в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта и должна включать:\nа) анализ угроз безопасности информации и разработку модели угроз безопасности информации или ее уточнение (при ее наличии);\nб) проектирование подсистемы безопасности значимого объекта;\nв) разработку рабочей (эксплуатационной) документации на значимый объект (в части обеспечения его безопасности). Разрабатываемые организационные и технические меры по обеспечению безопасности значимого объекта не должны оказывать негативного влияния на создание и функционирование значимого объекта. При разработке организационных и технических мер по обеспечению безопасности значимого объекта учитывается его информационное взаимодействие с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. 11.1. Целью анализа угроз безопасности информации является определение возможных способов реализации (возникновения) угроз безопасности информации и последствий их реализации (возникновения) с учетом состава пользователей и их полномочий, программных и программно-аппаратных средств, взаимосвязей компонентов значимого объекта, взаимодействия с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления, информационно-телекоммуникационными сетями (далее - архитектура значимого объекта), а также особенностей функционирования значимого объекта. Анализ угроз безопасности информации должен включать:\nа) выявление источников угроз безопасности информации и оценку возможностей (потенциала) внешних и внутренних нарушителей;\nб) анализ возможных уязвимостей значимого объекта и его программных, программно-аппаратных средств;\nв) определение возможных способов (сценариев) реализации (возникновения) угроз безопасности информации;\nг) оценку возможных последствий от реализации (возникновения) угроз безопасности информации. В качестве исходных данных для анализа угроз безопасности информации используется банк данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание законодательства Российской Федерации, 2004, N 34, ст. 3541; 2006, N 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7, ст. 818; 2013, N 26, ст. 3314; N 53, ст. 7137; 2014, N 36, ст. 4833; N 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48, ст. 7198) (далее - банк данных угроз безопасности информации ФСТЭК России), а также источники, содержащие иные сведения об уязвимостях и угрозах безопасности информации. По результатам анализа угроз безопасности информации могут быть разработаны рекомендации по корректировке архитектуры значимого объекта и организационно-распорядительных документов по безопасности значимых объектов, направленные на блокирование (нейтрализацию) отдельных угроз безопасности информации. Модель угроз безопасности информации должна содержать краткое описание архитектуры значимого объекта, характеристику источников угроз безопасности информации, в том числе модель нарушителя, и описание всех угроз безопасности информации, актуальных для значимого объекта. Описание каждой угрозы безопасности информации должно включать:\nа) источник угрозы безопасности информации;\nб) уязвимости (ошибки), которые могут быть использованы для реализации (способствовать возникновению) угрозы безопасности информации;\nв) возможные способы (сценарии) реализации угрозы безопасности информации;\nг) возможные последствия от реализации (возникновения) угрозы безопасности информации. Модель угроз безопасности информации может разрабатываться для нескольких значимых объектов, имеющих одинаковые цели создания и архитектуру, а также типовые угрозы безопасности информации. Для определения угроз безопасности информации и разработки модели угроз безопасности информации должны применяться методические документы, разработанные и утвержденные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 11.2. Проектирование подсистемы безопасности значимого объекта должно осуществляться в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта с учетом модели угроз безопасности информации и категории значимости значимого объекта. При проектировании подсистемы безопасности значимого объекта:\nа) определяются субъекты доступа (пользователи, процессы и иные субъекты доступа) и объекты доступа;\nб) определяются политики управления доступом (дискреционная, мандатная, ролевая, комбинированная);\nв) определяются и обосновываются организационные и технические меры, подлежащие реализации в рамках подсистемы безопасности значимого объекта;\nг) определяются виды и типы средств защиты информации, обеспечивающие реализацию технических мер по обеспечению безопасности значимого объекта;\nд) осуществляется выбор средств защиты информации и (или) их разработка с учетом категории значимости значимого объекта, совместимости с программными и программно-аппаратными средствами, выполняемых функций безопасности и ограничений на эксплуатацию;\nе) разрабатывается архитектура подсистемы безопасности значимого объекта, включающая состав, места установки, взаимосвязи средств защиты информации;\nж) определяются требования к параметрам настройки программных и программно-аппаратных средств, включая средства защиты информации, обеспечивающие реализацию мер по обеспечению безопасности, блокирование (нейтрализацию) угроз безопасности информации и устранение уязвимостей значимого объекта;\nз) определяются меры по обеспечению безопасности при взаимодействии значимого объекта с иными объектами критической информационной инфраструктуры, информационными системами, автоматизированными системами управления или информационно-телекоммуникационными сетями. В случае если в ходе проектирования подсистемы безопасности значимого объекта предусмотрена разработка программного обеспечения, в том числе программного обеспечения средств защиты информации, такая разработка проводится в соответствии со стандартами безопасной разработки программного обеспечения. Результаты проектирования подсистемы безопасности значимого объекта отражаются в проектной документации на значимый объект (подсистему безопасности значимого объекта), разрабатываемой в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. В процессе проектирования значимого объекта его категория значимости может быть уточнена. В целях тестирования подсистемы безопасности значимого объекта в ходе проектирования может осуществляться ее макетирование или создание тестовой среды. Тестирование должно быть направлено на:\nобеспечение работоспособности и совместимости выбранных средств защиты информации с программными и аппаратными средствами значимого объекта;\nпрактическую отработку выполнения средствами защиты информации функций безопасности, а также выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований;\nисключение влияния подсистемы безопасности на функционирование значимого объекта. Макетирование подсистемы безопасности значимого объекта и ее тестирование может проводиться с использованием средств и методов моделирования, а также с использованием технологий виртуализации. При проектировании подсистем безопасности значимых объектов, являющихся информационно-телекоммуникационными сетями, настоящие Требования применяются с учетом Требований к проектированию сетей электросвязи, утвержденных приказом Минкомсвязи России от 9 марта 2017 г. N 101 (зарегистрирован Минюстом России 31 мая 2017 г., регистрационный N 46915), а также иных нормативных правовых актов федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в области связи. 11.3. Разработка рабочей (эксплуатационной) документации на значимый объект осуществляется в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта на основе проектной документации. Рабочая (эксплуатационная) документация на значимый объект должна содержать:\nописание архитектуры подсистемы безопасности значимого объекта;\nпорядок и параметры настройки программных и программно-аппаратных средств, в том числе средств защиты информации;\nправила эксплуатации программных и программно-аппаратных средств, в том числе средств защиты информации (правила безопасной эксплуатации). Состав и формы рабочей (эксплуатационной) документации определяются в соответствии с техническим заданием на создание значимого объекта и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимого объекта. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие\n12. Внедрение организационных и технических мер по обеспечению безопасности значимого объекта организуется субъектом критической информационной инфраструктуры в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, стандартами организаций и включает:\nа) установку и настройку средств защиты информации, настройку программных и программно-аппаратных средств;\nб) разработку организационно-распорядительных документов, регламентирующих правила и процедуры обеспечения безопасности значимого объекта;\nв) внедрение организационных мер по обеспечению безопасности значимого объекта;\nг) предварительные испытания значимого объекта и его подсистемы безопасности;\nд) опытную эксплуатацию значимого объекта и его подсистемы безопасности;\nе) анализ уязвимостей значимого объекта и принятие мер по их устранению;\nж) приемочные испытания значимого объекта и его подсистемы безопасности. По решению субъекта критической информационной инфраструктуры к разработке и внедрению организационных и технических мер по обеспечению безопасности значимого объекта может привлекаться лицо, эксплуатирующее (планирующее эксплуатировать) значимый объект. 12.1. Установка и настройка средств защиты информации должна проводиться в соответствии с проектной и рабочей (эксплуатационной) документацией на значимый объект, а также в соответствии с эксплуатационной документацией на отдельные средства защиты информации. При установке и настройке средств защиты информации должно быть обеспечено выполнение ограничений на эксплуатацию этих средств защиты информации, в случае их наличия в эксплуатационной документации. 12.2. Разрабатываемые организационно-распорядительные документы по безопасности значимого объекта должны определять правила и процедуры реализации отдельных организационных и (или) технических мер (политик безопасности), разработанных и внедренных в рамках подсистемы безопасности значимого объекта в соответствии с главой III настоящих Требований. Организационно-распорядительные документы по безопасности значимого объекта должны в том числе устанавливать правила безопасной работы работников, эксплуатирующих значимые объекты, и работников, обеспечивающих функционирование значимых объектов, а также действия работников при возникновении нештатных ситуаций, в том числе вызванных компьютерными инцидентами. Состав и формы организационно-распорядительных документов по безопасности значимых объектов определяются субъектом критической информационной инфраструктуры с учетом особенностей его деятельности. 12.3. При внедрении организационных мер по обеспечению безопасности значимого объекта осуществляются:\nа) организация контроля физического доступа к программно-аппаратным средствам значимого объекта и его линиям связи;\nб) реализация правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации программных и программно-аппаратных средств;\nв) проверка полноты и детальности описания в организационно-распорядительных документах по безопасности значимых объектов действий пользователей и администраторов значимого объекта по реализации организационных мер;\nг) определение администратора безопасности значимого объекта;\nд) отработка действий пользователей и администраторов значимого объекта по реализации мер по обеспечению безопасности значимого объекта. 12.4. Предварительные испытания значимого объекта и его подсистемы безопасности должны проводиться в соответствии с программой и методиками предварительных испытаний и включать проверку работоспособности подсистемы безопасности значимого объекта и отдельных средств защиты информации, оценку выполнения требований по безопасности, предъявляемых к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в соответствии с пунктами 27 - 31 настоящих Требований, оценку влияния подсистемы безопасности на функционирование значимого объекта при проектных режимах его работы, установленных проектной документацией, а также принятие решения о возможности опытной эксплуатации значимого объекта и его подсистемы безопасности. 12.5. Опытная эксплуатация значимого объекта и его подсистемы безопасности должна проводиться в соответствии с программой и методиками опытной эксплуатации и включать проверку функционирования подсистемы безопасности значимого объекта, в том числе реализованных организационных и технических мер, а также знаний и умений пользователей и администраторов, необходимых для эксплуатации значимого объекта и его подсистемы безопасности. По результатам опытной эксплуатации принимается решение о возможности (или невозможности) проведения приемочных испытаний значимого объекта и его подсистемы безопасности. 12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта. Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта. При проведении анализа уязвимостей применяются следующие способы их выявления:\nа) анализ проектной, рабочей (эксплуатационной) документации и организационно-распорядительных документов по безопасности значимого объекта;\nб) анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта;\nв) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля (анализа) защищенности и (или) иных средств защиты информации;\nг) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля (анализа) защищенности;\nд) тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации. Применение способов и средств выявления уязвимостей осуществляется субъектом критической информационной инфраструктуры с учетом особенностей функционирования значимого объекта. Допускается проведение анализа уязвимостей на макете (в тестовой зоне) значимого объекта или макетах отдельных сегментов значимого объекта. Анализ уязвимостей значимого объекта проводится до ввода его в эксплуатацию на этапах, определяемых субъектом критической информационной инфраструктуры. В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации (способствовать возникновению) угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования (эксплуатации) нарушителем выявленных уязвимостей. По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований, или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта. 12.7. В ходе приемочных испытаний значимого объекта и его подсистемы безопасности должен быть проведен комплекс организационных и технических мероприятий (испытаний), в результате которых подтверждается соответствие значимого объекта и его подсистемы безопасности настоящим Требованиям, а также требованиям технического задания на создание значимого объекта и (или) технического задания (частного технического задания) на создание подсистемы безопасности значимого объекта. В качестве исходных данных при приемочных испытаниях используются модель угроз безопасности информации, результаты (акт) категорирования, техническое задание на создание (модернизацию) значимого объекта и (или) техническое задание (частное техническое задание) на создание подсистемы безопасности значимого объекта, проектная и рабочая (эксплуатационная) документация на значимый объект, организационно-распорядительные документы по безопасности значимых объектов, результаты анализа уязвимостей значимого объекта, материалы предварительных испытаний и опытной эксплуатации, а также иные документы, разрабатываемые в соответствии с настоящими Требованиями и требованиями стандартов организации. Приемочные испытания значимого объекта и его подсистемы безопасности проводятся в соответствии с программой и методикой приемочных испытаний. Результаты приемочных испытаний значимого объекта и его подсистемы безопасности с выводом о ее соответствии установленным требованиям включаются в акт приемки значимого объекта в эксплуатацию. В случае если значимый объект является государственной информационной системой, в иных случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры, оценка значимого объекта и его подсистемы безопасности проводится в форме аттестации значимого объекта в соответствии с Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17. Ввод в эксплуатацию значимого объекта и его подсистемы безопасности осуществляется при положительном заключении (выводе) в акте приемки (или в аттестате соответствия) о соответствии значимого объекта установленным требованиям по обеспечению безопасности. Обеспечение безопасности значимого объекта в ходе его эксплуатации\n13. Обеспечение безопасности в ходе эксплуатации значимого объекта осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией и организационно-распорядительными документами по безопасности значимого объекта и должно включать реализацию следующих мероприятий:\nа) планирование мероприятий по обеспечению безопасности значимого объекта;\nб) анализ угроз безопасности информации в значимом объекте и последствий от их реализации;\nв) управление (администрирование) подсистемой безопасности значимого объекта;\nг) управление конфигурацией значимого объекта и его подсистемой безопасности;\nд) реагирование на компьютерные инциденты в ходе эксплуатации значимого объекта;\nе) обеспечение действий в нештатных ситуациях в ходе эксплуатации значимого объекта;\nж) информирование и обучение персонала значимого объекта;\nз) контроль за обеспечением безопасности значимого объекта. 13.1. В ходе планирования мероприятий по обеспечению безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за планирование и контроль мероприятий по обеспечению безопасности значимого объекта;\nб) разработка, утверждение и актуализация плана мероприятий по обеспечению безопасности значимого объекта;\nв) определения порядка контроля выполнения мероприятий по обеспечению безопасности значимого объекта, предусмотренных утвержденным планом. Планирование мероприятий по обеспечению безопасности значимого объекта должно осуществляться в рамах процесса планирования, внедренного в соответствии с требованиями к созданию систем безопасности значимых объектов и обеспечению их функционирования, утвержденными в соответствии с пунктом 4 части 3 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". 13.2. В ходе анализа угроз безопасности информации в значимом объекте и возможных последствий их реализации осуществляются:\nа) анализ уязвимостей значимого объекта, возникающих в ходе его эксплуатации;\nб) анализ изменения угроз безопасности информации в значимом объекте, возникающих в ходе его эксплуатации;\nв) оценка возможных последствий реализации угроз безопасности информации в значимом объекте. Периодичность проведения указанных работ определяется субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимых объектов с учетом категории значимости объекта и особенностей его функционирования. 13.3. В ходе управления (администрирования) подсистемой безопасности значимого объекта осуществляются:\nа) определение лиц, ответственных за управление (администрирование) подсистемой безопасности значимого объекта;\nб) управление учетными записями пользователей и поддержание в актуальном состоянии правил разграничения доступа в значимом объекте;\nв) управление средствами защиты информации значимого объекта;\nг) управление обновлениями программных и программно-аппаратных средств, в том числе средств защиты информации, с учетом особенностей функционирования значимого объекта;\nд) централизованное управление подсистемой безопасности значимого объекта (при необходимости);\nе) мониторинг и анализ зарегистрированных событий в значимом объекте, связанных с обеспечением безопасности (далее - события безопасности);\nж) сопровождение функционирования подсистемы безопасности значимого объекта в ходе ее эксплуатации, включая ведение эксплуатационной документации и организационно-распорядительных документов по безопасности значимого объекта. 13.4. В ходе управления конфигурацией значимого объекта и его подсистемы безопасности для целей обеспечения его безопасности осуществляются:\nа) определение лиц, которым разрешены действия по внесению изменений в конфигурацию значимого объекта и его подсистемы безопасности, и их полномочий;\nб) определение компонентов значимого объекта и его подсистемы безопасности, подлежащих изменению в рамках управления конфигурации (идентификация объектов управления конфигурации): программно-аппаратные, программные средства, включая средства защиты информации, и их настройки и программный код, эксплуатационная документация, интерфейсы, файлы и иные компоненты, подлежащие изменению и контролю;\nв) управление изменениями значимого объекта и его подсистемы безопасности: разработка параметров настройки, обеспечивающих безопасность значимого объекта, анализ потенциального воздействия планируемых изменений на обеспечение безопасности значимого объекта, санкционирование внесения изменений в значимый объект и его подсистему безопасности, документирование действий по внесению изменений в значимый объект и сохранение данных об изменениях конфигурации;\nг) контроль действий по внесению изменений в значимый объект и его подсистему безопасности. Реализованные процессы управления изменениями значимого объекта и его подсистемы безопасности должны охватывать процессы гарантийного и (или) технического обслуживания, в том числе дистанционного (удаленного), программных и программно-аппаратных средств, включая средства защиты информации, значимого объекта. 13.5. Реагирование на компьютерные инциденты осуществляется в порядке, установленном в соответствии с пунктом 6 части 4 статьи 6 Федерального закона от 26 июля 2017 г. N 187-ФЗ \"О безопасности критической информационной инфраструктуры Российской Федерации\". Для реагирования на компьютерные инциденты определяются работники, ответственные за выявление компьютерных инцидентов и реагирование на них, и определяются их функции. 13.6. Для обеспечения действий в нештатных ситуациях при эксплуатации значимого объекта осуществляются:\nа) планирование мероприятий по обеспечению безопасности значимого объекта на случай возникновения нештатных ситуаций;\nб) обучение и отработка действий персонала по обеспечению безопасности значимого объекта в случае возникновения нештатных ситуаций;\nв) создание альтернативных мест хранения и обработки информации на случай возникновения нештатных ситуаций;\nг) резервирование программных и программно-аппаратных средств, в том числе средств защиты информации, каналов связи на случай возникновения нештатных ситуаций;\nд) обеспечение возможности восстановления значимого объекта и (или) его компонентов в случае возникновения нештатных ситуаций;\nе) определение порядка анализа возникших нештатных ситуаций и принятия мер по недопущению их повторного возникновения. 13.7. В ходе информирования и обучения персонала значимого объекта осуществляются:\nа) информирование персонала об угрозах безопасности информации, о правилах безопасной эксплуатации значимого объекта;\nб) доведение до персонала требований по обеспечению безопасности значимых объектов, а также положений организационно-распорядительных документов по безопасности значимых объектов в части, их касающейся;\nв) обучение персонала правилам эксплуатации отдельных средств защиты информации, включая проведение практических занятий с персоналом;\nг) контроль осведомленности персонала об угрозах безопасности информации и уровня знаний персонала по вопросам обеспечения безопасности критической информационной инфраструктуры. Периодичность проведения указанных мероприятий устанавливается субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта с учетом категории значимости и особенностей функционирования значимого объекта. 13.8. В ходе контроля за обеспечением безопасности значимого объекта осуществляются:\nа) контроль (анализ) защищенности значимого объекта с учетом особенностей его функционирования;\nб) анализ и оценка функционирования значимого объекта и его подсистемы безопасности, включая анализ и устранение уязвимостей и иных недостатков в функционировании подсистемы безопасности значимого объекта;\nв) документирование процедур и результатов контроля за обеспечением безопасности значимого объекта;\nг) принятие решения по результатам контроля за обеспечением безопасности значимого объекта о необходимости доработки (модернизации) его подсистемы безопасности. Обеспечение безопасности значимого объекта при выводе его из эксплуатации\n14. Обеспечение безопасности значимого объекта при выводе его из эксплуатации или после принятия решения об окончании обработки информации осуществляется субъектом критической информационной инфраструктуры в соответствии с эксплуатационной документацией на значимый объект и организационно-распорядительными документами по безопасности значимого объекта. Обеспечение безопасности значимого объекта при выводе его из эксплуатации должно предусматривать:\nа) архивирование информации, содержащейся в значимом объекте;\nб) уничтожение (стирание) данных и остаточной информации с машинных носителей информации и (или) уничтожение машинных носителей информации;\nв) уничтожение или архивирование данных об архитектуре и конфигурации значимого объекта;\nг) архивирование или уничтожение эксплуатационной документации на значимый объект и его подсистему безопасности и организационно-распорядительных документов по безопасности значимого объекта. 14.1. Архивирование информации, содержащейся в значимом объекте, должно осуществляться в случае ее дальнейшего использования в деятельности субъекта критической информационной инфраструктуры. 14.2. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации осуществляется в случае обработки значимым объектом информации ограниченного доступа или в случае принятия такого решения субъектом критической информационной инфраструктуры. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации производится при необходимости передачи машинного носителя информации другому пользователю значимого объекта или в иные организации для ремонта, технического обслуживания или дальнейшего уничтожения. При выводе из эксплуатации машинных носителей информации, на которых осуществлялись хранение и обработка информации, производится или физическое уничтожение самих машинных носителей информации или уничтожение содержащейся на машинных носителях информации методами, не предусматривающими возможность ее восстановления. Уничтожение (стирание) данных и остаточной информации с машинных носителей информации подлежит документированию в соответствии с организационно-распорядительными документами по безопасности значимого объекта. 14.3. При выводе значимого объекта из эксплуатации должен быть осуществлен сброс настроек программных и программно-аппаратных средств, в том числе средств защиты информации, удалена информация о субъектах доступа и объектах доступа, удалены учетные записи пользователей, а также идентификационная и аутентификационная информация субъектов доступа. 14.4. При выводе значимого объекта из эксплуатации вся эксплуатационная документация на значимый объект и его подсистему безопасности, эксплуатационная документация на отдельные средства защиты информации подлежит архивному хранению. Сроки хранения документации определяются субъектом критической информационной инфраструктуры в организационно-распорядительных документах по безопасности значимого объекта. По решению субъекта критической информационной инфраструктуры эксплуатационная документация на значимый объект и его подсистему безопасности, а также организационно-распорядительные документы по безопасности значимого объекта (инструкции, руководства) могут быть уничтожены. В этом случае факт уничтожения подлежит документированию субъектом критической информационной инфраструктуры с указанием наименования, состава документов, способов и даты их уничтожения. III. Требования к организационным и техническим мерам, принимаемым для обеспечения безопасности значимых объектов\n15. Целью обеспечения безопасности значимого объекта является обеспечение его устойчивого функционирования в проектных режимах работы в условиях реализации в отношении значимого объекта угроз безопасности информации. 16. Задачами обеспечения безопасности значимого объекта являются:\nа) предотвращение неправомерного доступа к информации, обрабатываемой значимым объектом, уничтожения такой информации, ее модифицирования, блокирования, копирования, предоставления и распространения, а также иных неправомерных действий в отношении такой информации;\nб) недопущение информационного воздействия на программные и программно-аппаратные средства, в результате которого может быть нарушено и (или) прекращено функционирование значимого объекта;\nв) обеспечение функционирования значимого объекта в проектных режимах его работы в условиях воздействия угроз безопасности информации;\nг) обеспечение возможности восстановления функционирования значимого объекта критической информационной инфраструктуры. 17. В значимых объектах объектами, подлежащими защите от угроз безопасности информации (объектами защиты), являются:\nа) в информационных системах:\nинформация, обрабатываемая в информационной системе;\nпрограммно-аппаратные средства (в том числе машинные носители информации, автоматизированные рабочие места, серверы, телекоммуникационное оборудование, линии связи, средства обработки буквенно-цифровой, графической, видео- и речевой информации);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация информационной системы;\nб) в информационно-телекоммуникационных сетях:\nинформация, передаваемая по линиям связи;\nтелекоммуникационное оборудование (в том числе программное обеспечение, система управления);\nсредства защиты информации;\nархитектура и конфигурация информационно-телекоммуникационной сети;\nв) в автоматизированных системах управления:\nинформация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (в том числе входная (выходная) информация, управляющая (командная) информация, контрольно-измерительная информация, иная критически важная (технологическая) информация);\nпрограммно-аппаратные средства (в том числе автоматизированные рабочие места, промышленные серверы, телекоммуникационное оборудование, линии связи, программируемые логические контроллеры, производственное, технологическое оборудование (исполнительные устройства);\nпрограммные средства (в том числе микропрограммное, общесистемное, прикладное программное обеспечение);\nсредства защиты информации;\nархитектура и конфигурация автоматизированной системы управления. 18. Обеспечение безопасности значимого объекта достигается путем принятия в рамках подсистемы безопасности значимого объекта совокупности организационных и технических мер, направленных на блокирование (нейтрализацию) угроз безопасности информации, реализация которых может привести к прекращению или нарушению функционирования значимого объекта и обеспечивающего (управляемого, контролируемого) им процесса, а также нарушению безопасности обрабатываемой информации (нарушению доступности, целостности, конфиденциальности информации). Организационные и технические меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры совместно с лицом, эксплуатирующим значимый объект (при его наличии). При этом между субъектом критической информационной инфраструктуры и лицом, эксплуатирующим значимый объект, должно быть проведено разграничение функций по обеспечению безопасности значимого объекта в ходе его эксплуатации. 19. Меры по обеспечению безопасности выбираются и реализуются в значимом объекте с учетом угроз безопасности информации применительно ко всем объектам и субъектам доступа на аппаратном, системном, прикладном и сетевом уровнях, в том числе в среде виртуализации. 20. Меры по обеспечению безопасности значимого объекта принимаются субъектом критической информационной инфраструктуры самостоятельно или при необходимости с привлечением в соответствии с законодательством Российской Федерации организаций, имеющих в зависимости от информации, обрабатываемой значимым объектом, лицензию на деятельность по технической защите информации, составляющей государственную тайну, и (или) на деятельность по технической защите конфиденциальной информации\n21. Принимаемые организационные и технические меры по обеспечению безопасности значимого объекта должны соотноситься с мерами по промышленной, функциональной безопасности, иными мерами по обеспечению безопасности значимого объекта и обеспечивающего (управляемого, контролируемого) объекта или процесса. При этом меры по обеспечению безопасности значимого объекта не должны оказывать отрицательного влияния на функционирование значимого объекта в проектных режимах его работы. 22. В значимых объектах в зависимости от их категории значимости и угроз безопасности информации должны быть реализованы следующие организационные и технические меры:\nидентификация и аутентификация (ИАФ);\nуправление доступом (УПД);\nограничение программной среды (ОПС);\nзащита машинных носителей информации (ЗНИ);\nаудит безопасности (АУД);\nантивирусная защита (АВЗ);\nпредотвращение вторжений (компьютерных атак) (СОВ);\nобеспечение целостности (ОЦЛ);\nобеспечение доступности (ОДТ);\nзащита технических средств и систем (ЗТС);\nзащита информационной (автоматизированной) системы и ее компонентов (ЗИС);\nпланирование мероприятий по обеспечению безопасности (ПЛН);\nуправление конфигурацией (УКФ);\nуправление обновлениями программного обеспечения (ОПО);\nреагирование на инциденты информационной безопасности (ИНЦ);\nобеспечение действий в нештатных ситуациях (ДНС);\nинформирование и обучение персонала (ИПО). Состав мер по обеспечению безопасности значимых объектов в зависимости от категории значимости приведен в приложении к настоящим Требованиям. При реализации мер по обеспечению безопасности значимых объектов применяются методические документы, разработанные ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. 23. Выбор мер по обеспечению безопасности значимых объектов для их реализации включает:\nа) определение базового набора мер по обеспечению безопасности значимого объекта;\nб) адаптацию базового набора мер по обеспечению безопасности значимого объекта;\nв) дополнение адаптированного набора мер по обеспечению безопасности значимого объекта мерами, установленными иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации и защиты информации. Базовый набор мер по обеспечению безопасности значимого объекта определяется на основе установленной категории значимости значимого объекта в соответствии с приложением к настоящим Требованиям. Базовый набор мер по обеспечению безопасности значимого объекта подлежит адаптации в соответствии с угрозами безопасности информации, применяемыми информационными технологиями и особенностями функционирования значимого объекта. При этом из базового набора могут быть исключены меры, непосредственно связанные с информационными технологиями, не используемыми в значимом объекте, или характеристиками, не свойственными значимому объекту. При адаптации базового набора мер по обеспечению безопасности значимого объекта для каждой угрозы безопасности информации, включенной в модель угроз, сопоставляется мера или группа мер, обеспечивающие блокирование одной или нескольких угроз безопасности или снижающие возможность ее реализации исходя из условий функционирования значимого объекта. В случае если базовый набор мер не позволяет обеспечить блокирование (нейтрализацию) всех угроз безопасности информации, в него дополнительно включаются меры, приведенные в приложении к настоящим Требованиям. Дополнение адаптированного набора мер по обеспечению безопасности значимого объекта осуществляется с целью выполнения требований, установленных иными нормативными правовыми актами в области обеспечения безопасности критической информационной инфраструктуры и защиты информации. Дополнение адаптированного набора мер проводится в случае, если в отношении значимого объекта в соответствии с законодательством Российской Федерации также установлены требования о защите информации, содержащейся в государственных информационных системах, требования к защите персональных данных при их обработке в информационных системах персональных данных, требования к криптографической защите информации или иные требования в области защиты информации и обеспечения безопасности критической информационной инфраструктуры. 24. В случае если значимый объект является государственной информационной системой или информационной системой персональных данных, меры по обеспечению безопасности значимого объекта и меры защиты информации (по обеспечению персональных данных) принимаются в соответствии с более высокой категорией значимости, классом защищенности или уровнем защищенности персональных данных. 25. Если принятые в значимом объекте меры по обеспечению промышленной, функциональной безопасности и (или) физической безопасности достаточны для блокирования (нейтрализации) отдельных угроз безопасности информации, дополнительные меры, выбранные в соответствии с пунктами 22 и 23 настоящих Требований, могут не применяться. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должна быть обоснована достаточность применения мер по обеспечению промышленной безопасности или физической безопасности для блокирования (нейтрализации) соответствующих угроз безопасности информации. 26. При отсутствии возможности реализации отдельных мер по обеспечению безопасности и (или) невозможности их применения к отдельным объектам и субъектам доступа, в том числе вследствие их негативного влияния на функционирование значимого объекта в проектных режимах значимого объекта, должны быть разработаны и внедрены компенсирующие меры, обеспечивающие блокирование (нейтрализацию) угроз безопасности информации с необходимым уровнем защищенности значимого объекта. При этом в ходе разработки организационных и технических мер по обеспечению безопасности значимого объекта должно быть обосновано применение компенсирующих мер, а при приемочных испытаниях (аттестации) оценена достаточность и адекватность данных компенсирующих мер для блокирования (нейтрализации) угроз безопасности информации. В качестве компенсирующих мер могут быть рассмотрены меры по обеспечению промышленной, функциональной и (или) физической безопасности значимого объекта, поддерживающие необходимый уровень его защищенности. 26.1. При использовании в значимых объектах новых информационных технологий и выявлении дополнительных угроз безопасности информации, для которых не определены меры по обеспечению безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 26 настоящих Требований. IV. Требования к программным и программно-аппаратным средствам, применяемым для обеспечения безопасности значимых объектов\n27. Технические меры по обеспечению безопасности в значимом объекте реализуются посредством использования программных и программно-аппаратных средств, применяемых для обеспечения безопасности значимых объектов - средств защиты информации (в том числе встроенных в общесистемное, прикладное программное обеспечение), а также обеспечения безопасности программного обеспечения и программно-аппаратных средств, применяемых в значимых объектах. При этом в приоритетном порядке подлежат применению средства защиты информации, встроенные в программное обеспечение и (или) программно-аппаратные средства значимых объектов (при их наличии). 28. Для обеспечения безопасности значимых объектов критической информационной инфраструктуры должны применяться средства защиты информации, прошедшие оценку на соответствие требованиям по безопасности в формах обязательной сертификации, испытаний или приемки. Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры. В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации. Абзац утратил силу с 1 января 2023 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\n29. В случае использования в значимом объекте сертифицированных на соответствие требованиям по безопасности информации средств защиты информации:\nа) в значимых объектах 1 категории применяются средства защиты информации не ниже 4 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nб) в значимых объектах 2 категории применяются средства защиты информации не ниже 5 класса защиты, а также средства вычислительной техники не ниже 5 класса;\nв) в значимых объектах 3 категории применяются средства защиты информации 6 класса защиты, а также средства вычислительной техники не ниже 5 класса. При этом в значимых объектах 1 категории значимости применяются сертифицированные средства защиты информации, соответствующие 4 или более высокому уровню доверия. В значимых объектах 2 категории значимости применяются сертифицированные средства защиты информации, соответствующие 5 или более высокому уровню доверия. В значимых объектах 3 категории значимости применяются сертифицированные средства защиты информации, соответствующие 6 или более высокому уровню доверия. Классы защиты и уровни доверия определяются в соответствии с нормативными правовыми актами ФСТЭК России, изданными в соответствии с подпунктом 13.1 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. N 1085. При использовании в значимом объекте средств защиты информации, сертифицированных по требованиям безопасности информации, указанные средства должны быть сертифицированы на соответствие обязательным требованиям по безопасности информации, установленным нормативными правовыми актами, или требованиям, указанным в технических условиях (заданиях по безопасности). Функции безопасности средств защиты информации должны обеспечивать выполнение настоящих Требований. 29.1. При проектировании вновь создаваемых или модернизируемых значимых объектов 1 категории значимости в качестве граничных маршрутизаторов, имеющих доступ к информационно-телекоммуникационной сети \"Интернет\", выбираются маршрутизаторы, сертифицированные на соответствие требованиям по безопасности информации (в части реализованных в них функций безопасности). В случае отсутствия технической возможности применения в значимых объектах 1 категории значимости граничных маршрутизаторов, сертифицированных на соответствие требованиям по безопасности информации, функции безопасности граничных маршрутизаторов подлежат оценке на соответствие требованиям по безопасности в рамках приемки или испытаний значимых объектов. Обоснование отсутствия технической возможности приводится в проектной документации на значимые объекты (подсистемы безопасности значимых объектов), разрабатываемой в соответствии с техническим заданием на создание значимых объектов и (или) техническим заданием (частным техническим заданием) на создание подсистемы безопасности значимых объектов. 29.2. Средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, должны соответствовать требованиям к функциям безопасности, установленным в соответствии с подпунктом \"ж\" пункта 10 настоящих Требований. Не встроенные в общесистемное и прикладное программное обеспечение средства защиты информации, оценка соответствия которых проводится в форме испытаний или приемки, дополнительно к указанным требованиям должны соответствовать 6 или более высокому уровню доверия. Испытания (приемка) средств защиты информации на соответствие требованиям к уровню доверия и требованиям к функциям безопасности проводятся на этапе предварительных испытаний в соответствии с пунктом 12.4 настоящих Требований. Испытания (приемка) проводятся отдельно или в составе значимого объекта. Программа и методики испытаний (приемки) утверждаются субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В случае проведения испытаний иным лицом, программа и методики испытаний (приемки) утверждаются этим лицом по согласованию с субъектом критической информационной инфраструктуры. По результатам испытаний (приемки) средства защиты информации оформляется протокол испытаний, в котором указываются:\nдата и место проведения испытаний (приемки);\nописание испытываемого средства защиты информации;\nописание проведенных испытаний;\nрезультаты испытаний по каждому испытываемому параметру (характеристике);\nвыводы о соответствии (несоответствии) средства защиты информации требованиям по безопасности информации. Протокол испытаний утверждается субъектом критической информационной инфраструктуры в случае самостоятельного проведения испытаний. В ином случае протокол испытаний утверждается лицом, проводившим испытания, и представляется субъекту критической информационной инфраструктуры на этапе приемочных испытаний для принятия решения о возможности применения средства защиты информации в значимом объекте. Испытания (приемка), предусмотренные настоящим пунктом, проводятся в отношении средств защиты информации, планируемых к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимых объектов. 29.3. Прикладное программное обеспечение, планируемое к внедрению в рамках создания (модернизации или реконструкции, ремонта) значимого объекта и обеспечивающее выполнение его функций по назначению (далее - программное обеспечение), должно соответствовать следующим требованиям по безопасности:\n29.3.1. Требования по безопасной разработке программного обеспечения:\nналичие руководства по безопасной разработке программного обеспечения;\nпроведение анализа угроз безопасности информации программного обеспечения;\nналичие описания структуры программного обеспечения на уровне подсистем и результатов сопоставления функций программного обеспечения и интерфейсов, описанных в функциональной спецификации, с его подсистемами (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.2. Требования к испытаниям по выявлению уязвимостей в программном обеспечении:\nпроведение статического анализа исходного кода программы;\nпроведение фаззинг-тестирования программы, направленного на выявление в ней уязвимостей;\nпроведение динамического анализа кода программы (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.3.3. Требования к поддержке безопасности программного обеспечения:\nналичие процедур отслеживания и исправления обнаруженных ошибок и уязвимостей программного обеспечения;\nопределение способов и сроков доведения разработчиком (производителем) программного обеспечения до его пользователей информации об уязвимостях программного обеспечения, о компенсирующих мерах по защите информации или ограничениях по применению программного обеспечения, способов получения пользователями программного обеспечения его обновлений, проверки их целостности и подлинности;\nналичие процедур информирования субъекта критической информационной инфраструктуры об окончании производства и (или) поддержки программного обеспечения (для программного обеспечения, планируемого к применению в значимых объектах 1 категории значимости). 29.4. Выполнение требований по безопасности, указанных в подпунктах 29.3.1 - 29.3.3 пункта 29.3 настоящих Требований, оценивается лицом, выполняющим работы по созданию (модернизации, реконструкции или ремонту) значимого объекта и (или) обеспечению его безопасности, на этапе проектирования значимого объекта на основе результатов анализа материалов и документов, представляемых разработчиком (производителем) программного обеспечения в соответствии с техническим заданием (частным техническим заданием), разрабатываемым в соответствии с пунктом 10 настоящих Требований. Результаты оценки включаются в проектную документацию на значимый объект (подсистему безопасности значимого объекта) и представляются субъекту критической информационной инфраструктуры.\". 30. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны эксплуатироваться в соответствии с инструкциями (правилами) по эксплуатации, разработанными разработчиками (производителями) этих средств, и иной эксплуатационной документацией. 31. Применяемые в значимом объекте программные и программно-аппаратные средства, в том числе средства защиты информации, должны быть обеспечены гарантийной и (или) технической поддержкой. При выборе программных и программно-аппаратных средств, в том числе средств защиты информации, необходимо учитывать наличие ограничений на возможность их применения субъектом критической информационной инфраструктуры на любом из принадлежащих ему значимых объектов критической информационной инфраструктуры со стороны разработчиков (производителей) или иных лиц. В значимом объекте не допускаются:\nналичие удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, а также работниками его дочерних и зависимых обществ;\nналичие локального бесконтрольного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, для обновления или управления со стороны лиц, не являющихся работниками субъекта критической информационной инфраструктуры, его дочерних и зависимых обществ;\nпередача информации, в том числе технологической информации, разработчику (производителю) программных и программно-аппаратных средств, в том числе средств защиты информации, или иным лицам без контроля со стороны субъекта критической информационной инфраструктуры. В случае технической невозможности исключения удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, в значимом объекте принимаются организационные и технические меры по обеспечению безопасности такого доступа, предусматривающие:\nопределение лиц и устройств, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, предоставление им минимальных полномочий при доступе к этим средствам;\nконтроль доступа к программным и программно-аппаратным средствам значимого объекта;\nзащиту информации и данных при их передаче по каналам связи при удаленном доступе к программным и программно-аппаратным средствам значимого объекта;\nмониторинг и регистрацию действий лиц, которым разрешен удаленный доступ к программным и программно-аппаратным средствам значимого объекта, а также инициируемых ими процессов, анализ этих действий в целях выявления фактов неправомерных действий;\nобеспечение невозможности отказа лиц от выполненных действий при осуществлении удаленного доступа к программным и программно-аппаратным средствам значимого объекта. В значимом объекте могут приниматься дополнительные организационные и технические меры по обеспечению безопасности удаленного доступа к программным и программно-аппаратным средствам, в том числе средствам защиты информации, направленные на блокирование (нейтрализацию) угроз безопасности информации, приведенных в модели угроз безопасности информации, разрабатываемой в соответствии с пунктом 11.1 настоящих Требований. Входящие в состав значимого объекта 1 и 2 категорий значимости программные и программно-аппаратные средства, осуществляющие хранение и обработку информации, должны размещаться на территории Российской Федерации (за исключением случаев, когда размещение указанных средств осуществляется в зарубежных обособленных подразделениях субъекта критической информационной инфраструктуры (филиалах, представительствах), а также случаев, установленных законодательством Российской Федерации и (или) международными договорами Российской Федерации). 32. Утратил силу с 25 сентября 2020 г. - Приказ ФСТЭК России от 20 февраля 2020 г. N 35\nПриложение к Требованиям по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации, утвержденным приказом ФСТЭК России от 25 декабря 2017 г. N 239\nСостав мер по обеспечению безопасности для значимого объекта соответствующей категории значимости\n\"+\" - мера обеспечения безопасности включена в базовый набор мер для соответствующей категории значимого объекта. Меры обеспечения безопасности, не обозначенные знаком \"+\", применяются при адаптации и дополнении базового набора мер, а также при разработке компенсирующих мер в значимом объекте критической информационной инфраструктуры соответствующей категории значимости.", "03.04.2018 № 55": "Приказ Федеральной службы по техническому и экспортному контролю от 3 апреля 2018 г. N 55 \"Об утверждении Положения о системе сертификации средств защиты информации\"\nС изменениями и дополнениями от:\n5 августа 2021 г., 19 сентября 2022 г. В соответствии с подпунктом 13 пункта 8 Положения о Федеральной службе\nпо техническому и экспортному контролю, утвержденного Указом\nПрезидента Российской Федерации от 16 августа 2004 г. N 1085 (Собрание\nзаконодательства Российской Федерации, 2004, N 34, ст. 3541; 2006,\nN 49, ст. 5192; 2008, N 43, ст. 4921; N 47, ст. 5431; 2012, N 7,\nст. 818; 2013, N 26, ст. 3314; N 52, ст. 7137; 2014, N 36, ст. 4833;\nN 44, ст. 6041; 2015, N 4, ст. 641; 2016, N 1, ст. 211; 2017, N 48,\nст. 7198), пунктом 2 постановления Правительства Российской Федерации\nот 26 июня 1995 г. N 608 \"О сертификации средств защиты информации\"\n(Собрание законодательства Российской Федерации, 1995, N 274,\nст. 2579; 1996, N 18, ст. 2142; 1999, N 14, ст. 1722; 2004, N 52,\nст. 5480; 2010, N 18, ст. 2238) и пунктом 9 Положения об особенностях\nоценки соответствия продукции (работ, услуг), используемой в целях\nзащиты сведений, относимых к охраняемой в соответствии с\nзаконодательством Российской Федерации информации ограниченного\nдоступа, не содержащей сведения, составляющие государственную тайну, а\nтакже процессов ее проектирования (включая изыскания), производства,\nстроительства, монтажа, наладки, эксплуатации, хранения, перевозки,\nреализации, утилизации и захоронения, утвержденного постановлением\nПравительства Российской Федерации от 15 мая 2010 г. N 330,\nприказываю:\n1. Утвердить прилагаемое Положение о системе сертификации средств\nзащиты информации. 2. Установить, что настоящий приказ вступает в силу с 1 августа\n2018 г. +--------------------------------------------------------+------------+\n|   Директор Федеральной службы по техническому и        |   В. Селин |\n|   экспортному контролю                                 |            |\n+--------------------------------------------------------+------------+\nЗарегистрировано в Минюсте РФ 11 мая 2018 г. Регистрационный N 51063\nУтверждено приказом ФСТЭК России от 3 апреля 2018 г. N 55\nПоложение о системе сертификации средств защиты информации\nС изменениями и дополнениями от:\n5 августа 2021 г., 19 сентября 2022 г. I. Общие положения\n1. Настоящее Положение разработано в соответствии со статьей 28 Закона\nРоссийской Федерации от 21 июля 1993 г. N 5485-1 \"О государственной\nтайне\" (Российская газета, 1993, 21 сентября; Собрание\nзаконодательства Российской Федерации, 1997, N 41, ст. 4673; 2003,\nN 27, ст. 2700; 2004, N 27, ст. 2711; 2011, N 30, ст. 4596), статьей 5\nФедерального закона от 27 декабря 2002 г. N 184-ФЗ \"О техническом\nрегулировании\" (Собрание законодательства Российской Федерации, 2002,\nN 52, ст. 5140; 2007, N 19, ст. 2293; 2011, N 49, ст. 7025; 2016,\nN 15, ст. 2066), подпунктом 13 пункта 8 Положения о Федеральной службе\nпо техническому и экспортному контролю, утвержденного Указом\nПрезидента Российской Федерации от 16 августа 2004 г. N 1085,\nпостановлением Правительства Российской Федерации от 26 июня 1995 г. N 608 \"О сертификации средств защиты информации\" и постановлением\nПравительства Российской Федерации от 15 мая 2010 г. N 330 \"Об\nособенностях оценки соответствия продукции (работ, услуг),\nиспользуемой в целях защиты сведений, относимых к охраняемой в\nсоответствии с законодательством Российской Федерации информации\nограниченного доступа, не содержащей сведения, составляющие\nгосударственную тайну, а также процессов ее проектирования (включая\nизыскания), производства, строительства, монтажа, наладки,\nэксплуатации, хранения, перевозки, реализации, утилизации и\nзахоронения\". 2. Настоящее Положение определяет состав участников системы\nсертификации средств защиты информации, создаваемой ФСТЭК России в\nсоответствии с пунктом 1 Положения о сертификации средств защиты\nинформации, утвержденного постановлением Правительства Российской\nФедерации от 26 июня 1995 г. N 608 (далее - система сертификации ФСТЭК\nРоссии), а также организацию и порядок сертификации продукции,\nиспользуемой в целях защиты сведений, составляющих государственную\nтайну или относимых к охраняемой в соответствии с законодательством\nРоссийской Федерации иной информации ограниченного доступа, являющейся\nгосударственным информационным ресурсом и (или) персональными данными,\nпродукции, сведения о которой составляют государственную тайну\n(далее - средства защиты информации), подлежащей сертификации в рамках\nуказанной системы. Информация об изменениях:\nПункт 3 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n3. Сертификации в системе сертификации ФСТЭК России подлежат:\nсредства противодействия иностранным техническим разведкам, а также\nсредства контроля эффективности противодействия иностранным\nтехническим разведкам;\nсредства технической защиты информации, включая средства, в которых\nони реализованы, а также средства контроля эффективности технической\nзащиты информации;\nсредства обеспечения безопасности информационных технологий, включая\nзащищенные средства обработки информации. Сертификация средств защиты информации иностранного производства, в\nотношении которых нормативными правовыми актами Российской Федерации\nустановлены ограничения или запреты на их использование в Российской\nФедерации, в системе сертификации ФСТЭК России не осуществляется. 4. Сертификация средств защиты информации осуществляется на\nсоответствие требованиям по безопасности информации, установленным\nнормативными правовыми актами ФСТЭК России, а также техническими\nусловиями, техническим заданием, заданием по безопасности,\nсогласованными заявителями на сертификацию с ФСТЭК России (далее -\nтребования по безопасности информации). II. Система сертификации ФСТЭК России\n5. Участниками системы сертификации ФСТЭК России являются:\nфедеральный орган по сертификации;\nорганизации, аккредитованные ФСТЭК России в качестве органа по\nсертификации (далее - органы по сертификации);\nорганизации, аккредитованные ФСТЭК России в качестве испытательной\nлаборатории (далее - испытательные лаборатории);\nизготовители средств защиты информации. 6. ФСТЭК России в соответствии с подпунктами 13 и 13.1 пункта 8\nПоложения о Федеральной службе по техническому и экспортному контролю,\nутвержденного Указом Президента Российской Федерации от 16 августа\n2004 г. N 1085, организует проведение сертификации средств защиты\nинформации, разрабатывает и устанавливает в пределах своей компетенции\nтребования по безопасности информации к средствам защиты информации, а\nтакже в соответствии с Положением о сертификации средств защиты\nинформации, утвержденным постановлением Правительства Российской\nФедерации от 26 июня 1995 г. N 608, выполняет функции федерального\nоргана по сертификации. 7. Органы по сертификации осуществляют сертификацию средств защиты\nинформации, оформляют сертификаты соответствия средств защиты\nинформации требованиям по безопасности информации (далее - сертификат\nсоответствия). 8. Испытательные лаборатории проводят сертификационные испытания\nсредств защиты информации и по их результатам оформляют технические\nзаключения и протоколы. Испытательные лаборатории должны обеспечивать\nполноту сертификационных испытаний средств защиты информации и\nдостоверность их результатов. 9. Изготовители разрабатывают и (или) производят средства защиты\nинформации в соответствии с требованиями по безопасности информации. Изготовители средств защиты информации, составляющей государственную\nтайну, должны иметь лицензию ФСТЭК России на проведение работ,\nсвязанных с созданием средств защиты информации, составляющей\nгосударственную тайну. ¹\n──────────────────────────────\n¹ Статья 27 Закона Российской Федерации от 21 июля 1993 г. N 5485-1 \"О\nгосударственной тайне\", Положение о лицензировании деятельности\nпредприятий, учреждений и организаций по проведению работ, связанных с\nиспользованием сведений, составляющих государственную тайну, созданием\nсредств защиты информации, а также с осуществлением мероприятий и\n(или) оказанием услуг по защите государственной тайны, утвержденное\nпостановлением Правительства Российской Федерации от 15 апреля 1995 г. N 333 (Собрание законодательства Российской Федерации, 1995, N 17,\nст. 1540; 1996, N 18, ст. 2142; 1997, N 20, ст. 2283; 1998, N 32,\nст. 3899; 2002, N 41, ст. 3983; 2004, N 52, ст. 5479; 2007, N 6,\nст. 760; 2008, N 21, ст. 2465; 2010, N 14, ст. 1665; N 40, ст. 5076;\n2011, N 46, ст. 6521; 2012, N 20, ст. 2545; 2015, N 1, ст. 262). ──────────────────────────────\nИзготовители средств защиты информации ограниченного доступа, не\nсоставляющей государственную тайну, должны иметь лицензию ФСТЭК России\nна деятельность по разработке и производству средств защиты\nконфиденциальной информации. ²\n──────────────────────────────\n² Статья 12 Федерального закона от 4 мая 2011 г. N 99-ФЗ \"О\nлицензировании отдельных видов деятельности\" (Собрание\nзаконодательства Российской Федерации, 2011, N 19, ст. 2716; N 48,\nст. 6728; 2012, N 26, ст. 3446; N 31, ст. 4322; 2013, N 9, ст. 874;\nN 27, ст. 3477; 2014, N 30, ст. 4256; N 42, ст. 5615; 2015, N 1,\nст. 11; N 29, ст. 434; N 44, ст. 6047; 2016, N 1, ст. 51), Положение о\nлицензировании деятельности по разработке и производству средств\nзащиты конфиденциальной информации, утвержденное постановлением\nПравительства Российской Федерации от 3 марта 2012 г. N 171 (Собрание\nзаконодательства Российской Федерации, 2012, N 11, ст. 1297; 2016,\nN 26, ст. 4049). ──────────────────────────────\n10. Заявителями на осуществление сертификации являются изготовители, а\nтакже федеральные органы государственной власти, органы\nгосударственной власти субъектов Российской Федерации, органы местного\nсамоуправления и организации, планирующие применять средства защиты\nинформации. 11. Заявители должны обеспечивать соответствие сертифицированных\nсредств защиты информации требованиям по безопасности информации, а\nтакже осуществлять устранение недостатков и дефектов средств защиты\nинформации, в том числе устранение уязвимостей и недекларированных\nвозможностей программного обеспечения средств защиты информации,\nинформирование потребителей об обновлении программного обеспечения\nсредств защиты информации, доведение до потребителей обновлений\nпрограммного обеспечения средств защиты информации, а также изменений\nв эксплуатационную документацию (далее - техническая поддержка средств\nзащиты информации). 12. Сертификация средств защиты информации осуществляется по следующим\nсхемам:\nдля единичного образца средства защиты информации - проведение\nиспытаний образца средства защиты информации и проверки организации\nего технической поддержки;\nдля партии средства защиты информации - проведение испытаний выборки\nобразцов средства защиты информации и проверки организации его\nтехнической поддержки;\nдля серийного производства средства защиты информации - проведение\nиспытаний выборки образцов средства защиты информации и проверки\nорганизации его производства и технической поддержки. Сертификация единичного образца или партии средства защиты информации\nорганизуется заявителем, планирующим применять средство защиты\nинформации, в случае, если отсутствуют идентичные серийно производимые\nсертифицированные средства защиты информации. Сертификация серийного производства средства защиты информации\nорганизуется заявителем, осуществляющим разработку и (или)\nпроизводство средства защиты информации. 13. Сертификационные испытания средств защиты информации проводятся на\nматериально-технической базе испытательной лаборатории, а также на\nматериально-технических базах заявителя и (или) изготовителя,\nрасположенных на территории Российской Федерации. Информация об изменениях:\nПункт 14 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n14. Срок действия сертификата соответствия не может превышать 5 лет. ¹\n──────────────────────────────\n¹ Пункт 8 Положения о сертификации средств защиты информации,\nутвержденного постановлением Правительства Российской Федерации от 26\nиюня 1995 г. N 608. ──────────────────────────────\nСертификат соответствия выдается на срок, указанный в заявке на\nсертификацию. Серийно производимое средство защиты информации считается\nсертифицированным, если оно произведено в период срока действия\nсертификата соответствия на его серийное производство, соответствует\nтребованиям по безопасности информации и изготовитель и (или)\nзаявитель осуществляют его техническую поддержку. Для единичного образца или партии средства защиты информации срок\nдействия сертификата соответствия не устанавливается. 15. По окончании срока действия сертификата соответствия заявитель\nвправе подать заявку на продление срока действия сертификата\nсоответствия. Абзац утратил силу с 7 ноября 2021 г. - Приказ ФСТЭК России от 5\nавгуста 2021 г. N 121\nИнформация об изменениях:\nСм. предыдущую редакцию\n16. Сертификация средств защиты информации осуществляется на основании\nдоговоров, заключаемых заявителем с испытательной лабораторией и\nорганом по сертификации. ²\n──────────────────────────────\n² Пункт 11 Положения о сертификации средств защиты информации,\nутвержденного постановлением Правительства Российской Федерации от 26\nиюня 1995 г. N 608. ──────────────────────────────\n17. Органы по сертификации, испытательные лаборатории должны\nобеспечивать защиту информации о средствах защиты информации, о\nтребованиях по безопасности информации, методиках сертификационных\nиспытаний в рамках систем менеджмента информационной безопасности. Органы по сертификации и испытательные лаборатории на основании\nзаключенных договоров обязаны обеспечивать защиту информации,\nобладателем которой является заявитель. III. Порядок проведения сертификации средства защиты информации\n18. Сертификация средства защиты информации включает следующие\nпроцедуры:\nподача заявки на сертификацию;\nпринятие решения о проведении сертификации средства защиты информации;\nсертификационные испытания средства защиты информации;\nоформление экспертного заключения по результатам сертификации средства\nзащиты информации и проекта сертификата соответствия;\nвыдача (отказ в выдаче) сертификата соответствия;\nпредоставление дубликата сертификата соответствия;\nмаркирование средств защиты информации;\nвнесение изменений в сертифицированное средство защиты информации;\nпереоформление сертификата соответствия;\nпродление срока действия сертификата соответствия;\nприостановление действия сертификата соответствия;\nпрекращение действия сертификата соответствия. Подача заявки на сертификацию\n19. Заявитель при намерении сертифицировать средство защиты\nинформации:\n1) относит планируемое к сертификации средство защиты информации к\nодному из типов средств защиты информации, установленных требованиями\nпо безопасности информации и подлежащих сертификации в системе\nсертификации ФСТЭК России;\n2) определяет требования по безопасности информации, на соответствие\nкоторым планируется проведение сертификации средства защиты\nинформации;\n3) осуществляет производство (подготовку) образца (образцов) средства\nзащиты информации;\n4) готовит конструкторскую, программную и эксплуатационную\nдокументацию на средство защиты информации;\n5) выбирает для проведения сертификационных испытаний средства защиты\nинформации аккредитованную ФСТЭК России в соответствующей области\nаккредитации испытательную лабораторию ¹, согласовывает с ней\nвозможность и сроки проведения сертификационных испытаний. ──────────────────────────────\n¹ Реестр аккредитованных ФСТЭК России органов по сертификации и\nиспытательных лабораторий размещается на официальном сайте ФСТЭК\nРоссии в информационно-телекоммуникационной сети \"Интернет\" в\nсоответствии с Порядком ведения реестра аккредитованных ФСТЭК России\nорганов по сертификации и испытательных лабораторий, утвержденным\nприказом ФСТЭК России от 18 июня 2015 г. N 67 \"Об утверждении формы и\nпорядка ведения реестра аккредитованных ФСТЭК России органов по\nсертификации и испытательных лабораторий\" (зарегистрирован Минюстом\nРоссии 10 июля 2015 г., регистрационный N 37974). ──────────────────────────────\n20. Для получения сертификата соответствия заявитель представляет в\nФСТЭК России заявку на сертификацию. В заявке на сертификацию указываются:\nнаименование средства защиты информации;\nназначение средства защиты информации;\nполное и сокращенное (в случае, если имеется) наименование заявителя,\nего организационно-правовая форма;\nадрес местонахождения, почтовый адрес заявителя;\nномер и дата выдачи имеющейся у заявителя лицензии ФСТЭК России на\nпроведение работ, связанных с созданием средств защиты информации,\nсоставляющей государственную тайну, и (или) лицензии ФСТЭК России по\nразработке и производству средств защиты конфиденциальной информации\n(указывается заявителем, являющимся изготовителем);\nфамилия, имя и отчество (при наличии) руководителя заявителя;\nфамилия, имя и отчество (при наличии) лица, ответственного за\nсертификацию средства защиты информации;\nномер контактного телефона и адрес электронной почты (при наличии)\nзаявителя;\nнаименование лица (лиц), разработавшего (разработавших) средство\nзащиты информации, адрес его (их) местонахождения (указываются при\nналичии такого лица (таких лиц));\nномер и дата выдачи имеющейся у разработчика (разработчиков) средства\nзащиты информации лицензии ФСТЭК России на проведение работ, связанных\nс созданием средств защиты информации, составляющей государственную\nтайну, и (или) лицензии ФСТЭК России по разработке и производству\nсредств защиты конфиденциальной информации (для российских юридических\nлиц);\nнаименование лица (лиц), обладающего (обладающих) исключительными\nправами на средство защиты информации, адрес его (их) местонахождения\n(указываются при наличии такого лица (таких лиц));\nнаименование испытательной лаборатории, в которой планируется\nпроведение сертификационных испытаний средства защиты информации;\nтип (типы) средств защиты информации, к которому (которым) относится\nпредставляемое на сертификацию средство защиты информации;\nдокументы, на соответствие требованиям которых должна проводиться\nсертификация средства защиты информации;\nсхема сертификации средства защиты информации (при сертификации партии\nсредства защиты информации указывается количество образцов средства\nзащиты информации в партии);\nзаявляемый срок действия сертификата соответствия;\nнаименование лица, на материально-технической базе которого\nпланируется проводить сертификационные испытания средства защиты\nинформации, адрес места (адреса мест) проведения сертификационных\nиспытаний. Заявка на сертификацию должна быть подписана руководителем заявителя\n(лицом, которое в силу закона или учредительных документов выступает\nот его имени) и руководителем испытательной лаборатории. Рекомендуемый образец заявки на сертификацию приведен в приложении N 1\nк настоящему Положению. 21. К заявке на сертификацию прилагаются следующие документы:\nтехнические условия в двух экземплярах;\nтехническое задание в двух экземплярах (в случае, если планируется\nпроведение сертификации средства защиты информации на соответствие\nтребованиям по безопасности информации, изложенным в техническом\nзадании);\nзадание по безопасности в двух экземплярах (в случае необходимости его\nразработки в соответствии с требованиями по безопасности информации);\nформуляр (паспорт) на средство защиты информации;\nдоговор с лицом (лицами), обладающим (обладающими) исключительными\nправами на средство защиты информации, о предоставлении заявителю\nправа на сертификацию, эксплуатацию или производство средства защиты\nинформации, а также на техническую поддержку средства защиты\nинформации (прилагается в случае, если заявитель не обладает\nисключительными правами на средство защиты информации). 22. Заявка на сертификацию и прилагаемые к ней документы направляются\nзаказным почтовым отправлением с уведомлением о вручении или\nпредставляются непосредственно в ФСТЭК России. Заявка на сертификацию и прилагаемые к ней документы оформляются на\nрусском языке. Допускается указывать на иностранном языке фирменное\nнаименование средства защиты информации, наименования лица,\nразработавшего средство защиты информации, и лица, обладающего\nисключительными правами на средство защиты информации, а также адреса\nих местонахождения. Принятие решения о проведении сертификации средства защиты информации\nИнформация об изменениях:\nПункт 23 изменен с 30 октября 2022 г. - Приказ ФСТЭК России от 19\nсентября 2022 г. N 172\nСм. предыдущую редакцию\n23. ФСТЭК России рассматривает заявку на сертификацию и прилагаемые к\nней документы в течение 15 календарных дней со дня получения заявки на\nсертификацию. 24. Заявка на сертификацию и (или) прилагаемые к ней документы\nвозвращаются для доработки в случае отсутствия сведений или\nдокументов, предусмотренных пунктами 20 и 21 настоящего Положения, а\nтакже в случае несоответствия документов, прилагаемых к заявке на\nсертификацию, требованиям по безопасности информации. 25. По итогам рассмотрения заявки на сертификацию и прилагаемых к ней\nдокументов в проведении сертификации средства защиты информации может\nбыть отказано. Основаниями для отказа в проведении сертификации средства защиты\nинформации являются:\nнесоответствие назначения средства защиты информации компетенции ФСТЭК\nРоссии;\nотсутствие у заявителя и (или) изготовителя лицензии ФСТЭК России в\nслучае, если наличие такой лицензии предусмотрено законодательством\nРоссийской Федерации;\nналичие в заявке на сертификацию и (или) в прилагаемых к ней\nдокументах недостоверных сведений;\nналичие в банке данных угроз безопасности информации, ведение которого\nосуществляется ФСТЭК России в соответствии с подпунктом 21 пункта 8\nПоложения о Федеральной службе по техническому и экспортному контролю,\nутвержденного Указом Президента Российской Федерации от 16 августа\n2004 г. N 1085, сведений об уязвимостях средства защиты информации или\nпоступивших в ФСТЭК России от уполномоченных органов сведений об\nугрозах безопасности, связанных с применением средства защиты\nинформации. 26. Уведомление об отказе в проведении сертификации средства защиты\nинформации или уведомление о необходимости доработки заявки на\nсертификацию и (или) прилагаемых к ней документов в срок не более трех\nдней со дня принятия решения подписывается уполномоченным должностным\nлицом ФСТЭК России и вручается заявителю или направляется ему заказным\nпочтовым отправлением с уведомлением о вручении. 27. В случае принятия решения о проведении сертификации средства\nзащиты информации в решении указываются:\nномер и дата принятия решения;\nнаименование средства защиты информации;\nназначение средства защиты информации;\nполное и сокращенное (в случае, если имеется) наименование заявителя,\nего организационно-правовая форма, адрес местонахождения заявителя;\nнаименование испытательной лаборатории, в которой будут проведены\nсертификационные испытания средства защиты информации;\nнаименование органа по сертификации, в котором будет проведена\nсертификация средства защиты информации;\nдокументы, на соответствие требованиям которых должна проводиться\nсертификация средства защиты информации;\nсхема сертификации средства защиты информации;\nнаименование лица, на материально-технической базе которого\nпланируется проводить сертификационные испытания средства защиты\nинформации, адрес места (адреса мест) проведения сертификационных\nиспытаний. Решение о проведении сертификации средства защиты информации\nоформляется в четырёх экземплярах, подписывается уполномоченным\nдолжностным лицом ФСТЭК России и направляется заказным почтовым\nотправлением с уведомлением о вручении или вручается по одному\nэкземпляру заявителю, испытательной лаборатории и органу по\nсертификации. 28. В случае сертификации средства защиты информации на соответствие\nтребованиям по безопасности информации, изложенным в технических\nусловиях, техническом задании или задании по безопасности, ФСТЭК\nРоссии рассматривает и согласовывает технические условия, техническое\nзадание или задание по безопасности, прилагаемые к заявке на\nсертификацию. Один экземпляр технических условий, технического задания или задания\nпо безопасности прикладывается к решению о проведении сертификации\nсредства защиты информации и направляется заявителю. В ходе проведения сертификации средства защиты информации в\nтехнические условия, техническое задание или задание по безопасности\nмогут вноситься изменения по согласованию с ФСТЭК России. 29. Не допускается проводить сертификацию (сертификационные испытания)\nсредства защиты информации до принятия решения о проведении\nсертификации средства защиты информации. 30. Заявитель должен в трехдневный срок письменно известить ФСТЭК\nРоссии о заключении договоров с испытательной лабораторией и органом\nпо сертификации с указанием определенного договорами срока проведения\nсертификации средства защиты информации. 31. Решение о проведении сертификации средства защиты информации\nподлежит переоформлению в случаях:\nизменения наименования средства защиты информации;\nзамены испытательной лаборатории или органа по сертификации, в том\nчисле в связи с приостановлением, прекращением действия аттестатов\nаккредитации испытательной лаборатории или органа по сертификации;\nизменения состава документов, на соответствие которым проводится\nсертификация средства защиты информации;\nизменения схемы сертификации средства защиты информации, в том числе\nизменения количества образцов в партии средств защиты информации;\nизменения места (мест) проведения сертификационных испытаний. 32. Обращение заявителя с обоснованием необходимости переоформления\nрешения о проведении сертификации средства защиты информации\nнаправляется в ФСТЭК России заказным почтовым отправлением с\nуведомлением о вручении или представляется непосредственно в ФСТЭК\nРоссии. 33. Решение о проведении сертификации средства защиты информации\nпереоформляется в четырёх экземплярах в течение 10 рабочих дней со дня\nпоступления обращения заявителя, подписывается уполномоченным\nдолжностным лицом ФСТЭК России и направляется заказными почтовыми\nотправлениями с уведомлением о вручении или вручается по одному\nэкземпляру заявителю, испытательной лаборатории и органу по\nсертификации. 34. В случае отказа в переоформлении решения о проведении сертификации\nсредства защиты информации уведомление с обоснованием отказа\nподписывается уполномоченным должностным лицом ФСТЭК России и\nвручается заявителю или направляется ему заказным почтовым\nотправлением с уведомлением о вручении. 35. Решение о проведении сертификации средства защиты информации\nаннулируется в случае:\nобращения заявителя о прекращении сертификации средства защиты\nинформации;\nнезаключения заявителем договоров с испытательной лабораторией и\nорганом по сертификации на проведение сертификации по истечении 1 года\nс даты принятия решения о проведении сертификации средства защиты\nинформации. 36. Уведомление об аннулировании решения о проведении сертификации\nсредства защиты информации подписывается уполномоченным должностным\nлицом ФСТЭК России и направляется заказными почтовыми отправлениями с\nуведомлением о вручении или вручается заявителю, испытательной\nлаборатории и органу по сертификации. Сертификационные испытания средства защиты информации\nИнформация об изменениях:\nПункт 37 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n37. Для проведения сертификационных испытаний испытательная\nлаборатория осуществляет отбор образца (образцов) средства защиты\nинформации. При сертификации партии средства, предназначенного для защиты\nинформации от утечки по техническим каналам, для отбора образцов\nдолжна быть представлена вся партия образцов средства защиты\nинформации. При сертификации серийного производства средств защиты информации для\nосуществления отбора образцов должна быть представлена партия средства\nзащиты информации, численность которой не менее чем в два раза\nпревышает количество образцов, которое необходимо отобрать для\nпроведения сертификационных испытаний. При сертификации партии или серийно производимого средства,\nпредназначенного для защиты информации от утечки по техническим\nканалам, объем выборки образцов определяется исходя из условий\nстатистической достоверности и с учетом затрат заявителя в случае,\nесли при проведении сертификационных испытаний возможен вывод из строя\nобразца (образцов) средства защиты информации. При сертификации партии или серийно производимого средства,\nпредназначенного для защиты информации от несанкционированного доступа\nк информации (воздействия на информацию), или средства обеспечения\nбезопасности информационных технологий отбирается один образец\nсредства защиты информации. Отбираемый образец (образцы) средства защиты информации по\nконструкции, составу и технологии изготовления должен соответствовать\nобразцам средства защиты информации, предназначенным для реализации\nпотребителю. Информация об изменениях:\nПоложение дополнено пунктом 37.1 с 7 ноября 2021 г. - Приказ ФСТЭК\nРоссии от 5 августа 2021 г. N 121\n37.1. По результатам отбора составляется акт отбора образца (образцов)\nсредства защиты информации, в котором указываются:\nномер и дата решения о проведении сертификации;\nдата осуществления отбора образца (образцов) средства защиты\nинформации;\nнаименование средства защиты информации;\nнаименование заявителя;\nнаименование испытательной лаборатории;\nфамилия, имя и отчество (при наличии) специалиста (специалистов)\nиспытательной лаборатории, производившего (производивших) отбор\nобразца (образцов) средства защиты информации;\nфамилия, имя и отчество (при наличии) специалиста (специалистов)\nзаявителя, присутствовавшего (присутствовавших) при отборе образца\n(образцов) средства защиты информации;\nсхема сертификации средства защиты информации (при сертификации партии\nсредства защиты информации указывается количество образцов средства\nзащиты информации в партии);\nколичество образцов в партии средства защиты информации,\nпредставленной для осуществления отбора образца (образцов) средства\nзащиты информации с указанием заводских номеров образцов средства\nзащиты информации;\nколичество отобранных образцов средства защиты информации с указанием\nих заводских номеров;\nконтрольные суммы программного обеспечения образца (образцов) средства\nзащиты информации (при наличии программного обеспечения средства\nзащиты информации). Акт отбора образца (образцов) средства защиты информации подписывается\nспециалистами заявителя и испытательной лаборатории, участвовавшими в\nотборе образца (образцов) средства защиты информации, и утверждается\nруководителем испытательной лаборатории. Информация об изменениях:\nПоложение дополнено пунктом 37.2 с 7 ноября 2021 г. - Приказ ФСТЭК\nРоссии от 5 августа 2021 г. N 121\n37.2. На отобранный образец (образцы) средства защиты информации\nзаявитель представляет в испытательную лабораторию следующую\nдокументацию:\nтехнические условия;\nзадание по безопасности (в случае его разработки в соответствии с\nтребованиями по безопасности информации);\nформуляр (паспорт) на средство защиты информации;\nиную конструкторскую (программную) и эксплуатационную документацию на\nсредство защиты информации, предусмотренную требованиями по\nбезопасности информации. В целях соблюдения конфиденциальности информации о средстве защиты\nинформации документация на средство защиты информации может быть\nпредставлена заявителем непосредственно на месте проведения\nсертификационных испытаний средства защиты информации. Информация об изменениях:\nПункт 38 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n38. Заявитель обязан предоставить возможность ознакомления\nиспытательной лаборатории с образцом средства защиты информации и его\nпроизводством. Информация об изменениях:\nПункт 39 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n39. В случае невозможности представления образца средства защиты\nинформации в испытательную лабораторию по причине его массогабаритных\nхарактеристик или необходимости демонтажа, образец средства защиты\nинформации может быть представлен заявителем непосредственно на месте\nпроведения сертификационных испытаний средства защиты информации. Информация об изменениях:\nПункт 40 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n40. Испытательная лаборатория осуществляет рассмотрение отобранного\nобразца средства защиты информации и документации на него и при\nвыявлении недостатков направляет заявителю предложения по доработке\nсредства защиты информации и (или) документации. Информация об изменениях:\nПункт 41 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n41. Если выявленные недостатки не могут быть устранены в сроки,\nпредусмотренные договором на проведение сертификации средства защиты\nинформации, испытательная лаборатория представляет в ФСТЭК России\nпредложение об отказе в выдаче сертификата соответствия и извещает об\nэтом заявителя. Информация об изменениях:\nПункт 42 изменен с 30 октября 2022 г. - Приказ ФСТЭК России от 19\nсентября 2022 г. N 172\nСм. предыдущую редакцию\n42. Для проведения сертификационных испытаний средства защиты\nинформации испытательная лаборатория в течение 20 календарных дней со\nдня отбора образца (образцов) разрабатывает программу и методику\nсертификационных испытаний средства защиты информации в соответствии с\nтребованиями по безопасности информации и методическими документами,\nутвержденными ФСТЭК России в соответствии с подпунктом 4 пункта 8\nПоложения о Федеральной службе по техническому и экспортному контролю,\nутвержденного Указом Президента Российской Федерации от 16 августа\n2004 г. N 1085. Программа и методика сертификационных испытаний средства защиты\nинформации должны содержать описание средства защиты информации,\nколичество образцов средства защиты информации, необходимых для\nпроведения сертификационных испытаний, сроки проведения испытаний,\nправила отбора образцов средства защиты информации, состав и порядок\nиспытаний средства защиты информации, методы испытаний и применяемые\nсредства, требования к конструкторской, программной и эксплуатационной\nдокументации. Информация об изменениях:\nПункт 43 изменен с 30 октября 2022 г. - Приказ ФСТЭК России от 19\nсентября 2022 г. N 172\nСм. предыдущую редакцию\n43. Программа и методика сертификационных испытаний средства защиты\nинформации согласовываются с заявителем и представляются на\nутверждение в орган по сертификации. К программе и методике сертификационных испытаний, представляемым на\nутверждение в орган по сертификации, прилагается следующая\nдокументация:\nтехнические условия;\nзадание по безопасности (в случае его разработки в соответствии с\nтребованиями по безопасности информации);\nформуляр (паспорт) на средство защиты информации;\nиная конструкторская (программная) и эксплуатационная документация на\nсредство защиты информации, предусмотренная требованиями по\nбезопасности информации. Орган по сертификации в течение 10 рабочих дней со дня получения\nпрограммы и методики сертификационных испытаний рассматривает\nпрограмму и методику сертификационных испытаний средства защиты\nинформации и при отсутствии недостатков утверждает их. В случае выявления недостатков орган по сертификации в течение трех\nкалендарных дней возвращает программу и методику сертификационных\nиспытаний средства защиты информации в испытательную лабораторию на\nдоработку, о чем уведомляет заявителя. Испытательная лаборатория в течение 10 календарных дней со дня\nполучения программы и методики сертификационных испытаний устраняет\nнедостатки, повторно согласовывает программу и методику\nсертификационных испытаний с заявителем и представляет их в орган по\nсертификации на утверждение. При повторном рассмотрении программы и методики сертификационных\nиспытаний органом по сертификации проверяется устранение ранее\nвыявленных недостатков. Общий срок рассмотрения и утверждения программы и методики\nсертификационных испытаний средства защиты информации органом по\nсертификации не должен превышать 30 календарных дней со дня получения\nпрограммы и методики сертификационных испытаний. Орган по сертификации письменно информирует ФСТЭК России об\nутверждении программы и методики сертификационных испытаний средства\nзащиты информации. 44. Утратил силу с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nИнформация об изменениях:\nСм. предыдущую редакцию\n45. Утратил силу с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nИнформация об изменениях:\nСм. предыдущую редакцию\n46. Испытательная лаборатория проводит сертификационные испытания в\nсоответствии с утвержденными органом по сертификации программой и\nметодикой сертификационных испытаний средства защиты информации. Орган по сертификации осуществляет контроль проведения\nсертификационных испытаний. Эксперт (эксперты) органа по сертификации\nможет (могут) присутствовать при проведении сертификационных\nиспытаний. Информация об изменениях:\nПункт 47 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n47. Сертификационные испытания включают:\nпроведение испытаний отобранного образца (образцов) средства защиты\nинформации, предусматривающих оценку соответствия параметров и\nхарактеристик (функций безопасности информации) средства защиты\nинформации требованиям по безопасности информации;\nпроверку организации технической поддержки средства защиты информации,\nпредусматривающую оценку соответствия работ (услуг) по технической\nподдержке средства защиты информации в ходе его эксплуатации,\nпроводимых (предоставляемых) заявителем, требованиям по безопасности\nинформации;\nпроверку организации производства средства защиты информации,\nпредусматривающую оценку соответствия работ по изготовлению средства\nзащиты информации с целью подтверждения неизменности параметров и\nхарактеристик (функций безопасности информации) образцов серийно\nпроизводимого средства защиты информации требованиям по безопасности\nинформации (при сертификации производства средства защиты информации). При проверке организации производства программных и\nпрограммно-технических средств защиты информации проверяется внедрение\nзаявителем процедур безопасной разработки программного обеспечения в\nсоответствии с требованиями по безопасности информации, на\nсоответствие которым проводятся сертификационные испытания. Сертификационные испытания проводятся в сроки, установленные\nдоговором, заключенным заявителем с испытательной лабораторией. 48. По результатам испытаний и проверок оформляются протоколы\nиспытаний (проверок), содержащие основание для проведения испытаний\n(номер решения о проведении сертификации), даты и места проведения\nиспытаний, описание испытываемого средства защиты информации, описание\nпроведенных испытаний, результаты испытаний по каждому испытываемому\nпараметру или характеристике (функции безопасности информации)\nсредства защиты информации, выводы о соответствии (несоответствии)\nсредства защиты информации, организации технической поддержки и\nпроизводства средства защиты информации требованиям по безопасности\nинформации. Протоколы испытаний (проверок) подписываются специалистами\nиспытательной лаборатории, проводившими сертификационные испытания. 49. По завершении испытаний и проверок, предусмотренных программой и\nметодикой сертификационных испытаний средства защиты информации,\nоформляется техническое заключение о соответствии (несоответствии)\nсредства защиты информации требованиям по безопасности информации,\nсодержащее основание для проведения испытаний (номер решения о\nпроведении сертификации), описание испытываемого средства защиты\nинформации, требования, на соответствие которым проводились испытания,\nрезультаты испытаний, вывод о соответствии (несоответствии) средства\nзащиты информации требованиям по безопасности информации. Техническое заключение утверждается руководителем испытательной\nлаборатории. 50. В случае несоответствия средства защиты информации требованиям по\nбезопасности информации техническое заключение направляется заявителю. Заявитель должен устранить выявленные несоответствия средства защиты\nинформации требованиям по безопасности информации и проинформировать\nоб этом испытательную лабораторию в соответствии с договром# на\nпроведение сертификационных испытаний. Сертификационные испытания проводятся в сроки, установленные\nдоговором, заключенным заявителем с испытательной лабораторией. 51. Повторные сертификационные испытания средства защиты информации\nпроводятся в соответствии с договром# на проведение сертификационных\nиспытаний в объеме, необходимом для проверки устранения выявленных при\nпроведении сертификационных испытаний несоответствий средства защиты\nинформации требованиям по безопасности информации. По результатам повторных сертификационных испытаний оформляются\nпротоколы повторных испытаний (проверок) и техническое заключение. 52. Материалы сертификационных испытаний средства защиты информации\nпредставляются испытательной лабораторией в орган по сертификации. Материалы сертификационных испытаний средства защиты информации должны\nвключать:\nпрограмму и методику сертификационных испытаний средства защиты\nинформации, протоколы сертификационных испытаний средства защиты\nинформации и техническое заключение;\nпротоколы повторных сертификационных испытаний средства защиты\nинформации и техническое заключение (в случае проведения повторных\nсертификационных испытаний);\nакт отбора образца (образцов) средства защиты информации;\nтехнические условия и извещение о внесении изменений в технические\nусловия в двух экземплярах (в случае внесения таких изменений);\nдополнительное техническое задание в двух экземплярах (в случае\nпроведения сертификации средства защиты информации на соответствие\nтребованиям по безопасности информации, изложенным в техническом\nзадании);\nзадание по безопасности в двух экземплярах (в случае его разработки в\nсоответствии с требованиями по безопасности информации);\nформуляр (паспорт) на средство защиты информации в двух экземплярах;\nдополнительную документацию на средство защиты информации,\nпредставленную заявителем при проведении сертификационных испытаний. Все документы, за исключением дополнительной документации на средство\nзащиты информации, представляются на бумажном носителе и в электронном\nвиде. Дополнительная документация на средство защиты информации\nпредставляется только в электронном виде. Оформление экспертного заключения по результатам сертификации средства защиты информации и проекта сертификата соответствия\n53. Орган по сертификации проводит оценку поступивших материалов\nсертификационных испытаний средства защиты информации на соответствие\nтребованиям настоящего Положения и требованиям по безопасности\nинформации, в том числе наличие в средстве защиты информации\nуязвимостей или недекларированных возможностей, несоответствие\nсредства защиты информации требованиям по безопасности информации,\nналичие информации об угрозах безопасности, связанных с применением\nсредства защиты информации. Срок проведения оценки материалов сертификационных испытаний\nустанавливается договором между заявителем и органом по сертификации и\nне должен превышать 45 календарных дней с даты поступления в орган по\nсертификации всех документов, предусмотренных пунктом 52 настоящего\nПоложения. В случае непредставления документов, предусмотренных пунктом 52\nнастоящего Положения, орган по сертификации запрашивает их в\nиспытательной лаборатории. 54. По результатам оценки материалов сертификационных испытаний\nсредства защиты информации орган по сертификации оформляет экспертное\nзаключение о возможности (невозможности) выдачи сертификата\nсоответствия. Экспертное заключение оформляется в трех экземплярах, подписывается\nвсеми экспертами органа по сертификации, проводившими сертификацию\n(присутствовавшими при проведении сертификационных испытаний), и\nутверждается руководителем органа по сертификации. Экспертное заключение должно содержать основание для проведения\nсертификации средства защиты информации (номер решения о проведении\nсертификации), наименование участников сертификации (заявителя,\nиспытательной лаборатории и органа по сертификации), требования, на\nсоответствие которым проведена сертификация средства защиты\nинформации, результаты оценки материалов сертификационных испытаний,\nвыводы о возможности (невозможности) выдачи сертификата соответствия. 55. В случае наличия в экспертном заключении вывода о возможности\nвыдачи сертификата соответствия орган по сертификации подготавливает\nпроект сертификата соответствия (рекомендуемый образец приведен в\nприложении N 3 к настоящему Положению). 56. Один экземпляр экспертного заключения, проект сертификата\nсоответствия и материалы сертификационных испытаний, предусмотренные\nпунктом 52 настоящего Положения, представляются органом по\nсертификации в ФСТЭК России. Экспертное заключение и проект сертификата соответствия представляются\nна бумажном носителе и в электронном виде. Один экземпляр экспертного заключения направляется заявителю. Выдача (отказ в выдаче) сертификата соответствия\n57. В случае если в экспертном заключении сделан вывод о невозможности\nвыдачи сертификата соответствия, ФСТЭК России в срок не позднее 5\nрабочих дней со дня поступления материалов по сертификации средства\nзащиты информации принимает решение об отказе в выдаче сертификата\nсоответствия. Информация об изменениях:\nПункт 58 изменен с 30 октября 2022 г. - Приказ ФСТЭК России от 19\nсентября 2022 г. N 172\nСм. предыдущую редакцию\n58. В случае если в экспертном заключении сделан вывод о возможности\nвыдачи сертификата соответствия, ФСТЭК России в срок не более 30\nкалендарных дней рассматривает материалы по сертификации средства\nзащиты информации и при отсутствии недостатков принимает решение о\nвыдаче сертификата соответствия. В случае выявления в материалах по сертификации средства защиты\nинформации недостатков ФСТЭК России направляет материалы в орган по\nсертификации на доработку с приложением описания выявленных\nнедостатков и предложениями по их устранению. Уведомление о выявленных в материалах по сертификации средства защиты\nинформации недостатках с их описанием и предложениями по устранению\nнаправляется испытательной лаборатории и заявителю. Информация об изменениях:\nПункт 59 изменен с 30 октября 2022 г. - Приказ ФСТЭК России от 19\nсентября 2022 г. N 172\nСм. предыдущую редакцию\n59. Орган по сертификации, испытательная лаборатория и заявитель в\nсрок не более 30 календарных дней со дня подписания уведомления должны\nустранить выявленные недостатки, при необходимости провести повторные\nсертификационные испытания средства защиты информации и представить в\nФСТЭК России доработанные материалы по сертификации средства защиты\nинформации. 60. В случае непредставления доработанных материалов по сертификации\nсредства защиты информации ФСТЭК России принимает решение об отказе в\nвыдаче сертификата соответствия. Решение об отказе в выдаче сертификата соответствия подписывается\nуполномоченным должностным лицом ФСТЭК России и в течение 5 рабочих\nдней вручается заявителю или направляется ему заказным почтовым\nотправлением с уведомлением о вручении. 61. В случае принятия решения о выдаче сертификата соответствия\nсертификат соответствия подписывается уполномоченным должностным лицом\nФСТЭК России, сведения о сертификате соответствия вносятся в\nгосударственный реестр сертифицированных средств защиты информации. Сертификат соответствия в течение 10 рабочих дней после подписания\nвручается заявителю или направляется ему заказным почтовым\nотправлением с уведомлением о вручении. Предоставление дубликата сертификата соответствия\n62. В случае утраты сертификата соответствия заявитель вправе\nобратиться в ФСТЭК России с заявлением о выдаче дубликата сертификата\nсоответствия. В течение 10 рабочих дней со дня регистрации заявления о выдаче\nдубликата сертификата соответствия ФСТЭК России оформляет дубликат на\nбланке сертификата соответствия с пометкой \"дубликат, оригинал\nсертификата соответствия признается недействующим\" и вручает заявителю\nили направляет ему заказным почтовым отправлением с уведомлением о\nвручении. Маркирование средств защиты информации\nИнформация об изменениях:\nПункт 63 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n63. На основании сертификата соответствия заявитель организует\nмаркирование средства защиты информации идентификатором, состоящим из\nпрописных букв и групп цифр, разделенных точками, который имеет вид:\nРОСС RU.01.XXXXX.XXXXXX. Первая группа знаков содержит прописные буквы и цифры РОСС RU.01,\nуказывающие на систему сертификации ФСТЭК России. Вторая группа знаков содержит число от 00001 до 99999, указывающее на\nномер сертификата соответствия средства защиты информации. Третья группа знаков содержит число от 000001 до 999999, указывающее\nна заводской или серийный номер образца сертифицированного средства\nзащиты информации. Идентификатор может содержать наименование заявителя и (или) его\nфирменный знак, наименование средства защиты информации. Информация об изменениях:\nПункт 64 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n64. В случае сертификации единичного образца средства защиты\nинформации или партии средства защиты информации идентификатор\nсертифицированных образцов средства защиты информации указывается в\nсертификате соответствия. 65. Утратил силу с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nИнформация об изменениях:\nСм. предыдущую редакцию\n66. Утратил силу с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nИнформация об изменениях:\nСм. предыдущую редакцию\nИнформация об изменениях:\nПункт 67 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n67. Маркирование средств защиты информации осуществляется только при\nналичии сертификата соответствия. Заявитель маркирует идентификатором каждый образец средства защиты\nинформации, на которое выдан сертификат соответствия. Абзац утратил силу с 7 ноября 2021 г. - Приказ ФСТЭК России от 5\nавгуста 2021 г. N 121\nИнформация об изменениях:\nСм. предыдущую редакцию\nИнформация об изменениях:\nПункт 68 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n68. Заявитель ведет журнал, в котором регистрирует промаркированные\nобразцы средства защиты информации с указанием идентификаторов. Информация об изменениях:\nПункт 69 изменен с 7 ноября 2021 г. - Приказ ФСТЭК России от 5 августа\n2021 г. N 121\nСм. предыдущую редакцию\n69. Идентификатором маркируется корпус изделия (при наличии) или\nсъемный машинный носитель информации, содержащий программное\nобеспечения# сертифицированного средства защиты информации. Идентификатор заносится в формуляр (паспорт) на средство защиты\nинформации. 70. Маркирование средств защиты информации, являющихся программным\nобеспечением, распространяемым по сетям связи, осуществляется с\nприменением электронной подписи или любым способом, подтверждающим\nподлинность средств защиты информации. Информация об изменениях:\nПоложение дополнено пунктом 70.1 с 7 ноября 2021 г. - Приказ ФСТЭК\nРоссии от 5 августа 2021 г. N 121\n70.1. Заявитель ежегодно не позднее 1 февраля года, следующего за\nотчетным, представляет в ФСТЭК России сведения о произведенных и (или)\nпромаркированных сертифицированных средствах защиты информации,\nсодержащие наименование средства и присвоенные образцам\nидентификаторы. Внесение изменений в сертифицированное средство защиты информации\n71. Заявитель, являющийся разработчиком средства защиты информации,\nпроводит испытания средства защиты информации с привлечением\nиспытательной лаборатории в случае внесения в сертифицированное\nсредство защиты информации изменений, связанных с добавлением новых\nфункций безопасности информации, или изменений в имеющиеся функции\nбезопасности информации. В случае внесения в средство защиты информации иных изменений\nзаявитель, являющийся разработчиком средства защиты информации,\nпроводит испытания средства защиты информации самостоятельно или с\nпривлечением испытательной лаборатории. Информация об изменениях:\nПоложение дополнено пунктом 71.1 с 30 октября 2022 г. - Приказ ФСТЭК\nРоссии от 19 сентября 2022 г. N 172\n71.1. Заявитель, являющийся разработчиком средства защиты информации и\nимеющий сертификат соответствия процедур безопасной разработки\nпрограммного обеспечения требованиям национальных стандартов в области\nзащиты информации, в случае внесения в сертифицированное средство\nзащиты информации изменений, в том числе изменений, связанных с\nдобавлением новых функций безопасности информации или изменением\nимеющихся функций безопасности информации, с обновлением версий\nпрограммного обеспечения, включая совершенствование функций его\nбезопасности или добавление новых функций безопасности, а также с\nдобавлением новых или изменением существующих аппаратных платформ,\nпроводит испытания средства защиты информации самостоятельно или с\nпривлечением испытательной лаборатории. 72. Заявитель, не являющийся разработчиком средства защиты информации,\nпроводит испытания средства защиты информации с привлечением\nиспытательной лаборатории в случае внесения в сертифицированное\nсредство защиты информации изменений, связанных с добавлением новых\nфункций безопасности информации, или изменений в имеющиеся функции\nбезопасности информации устранением уязвимостей (недекларированных\nвозможностей) средства защиты информации. В случае внесения в средство защиты информации иных изменений\nзаявитель, не являющийся разработчиком средства защиты информации,\nпроводит испытания средства защиты информации самостоятельно или с\nпривлечением испытательной лаборатории. 73. В случае внесения в сертифицированное средство защиты информации\nизменений, связанных с устранением уязвимостей (недекларированных\nвозможностей) средства защиты информации или обновлением баз данных,\nнеобходимых для реализации функций безопасности средства защиты\nинформации, заявитель информирует потребителей о необходимости\nобновления средства защиты информации и доводит до потребителей\nобновления средства защиты информации до проведения испытаний,\nпредусмотренных пунктами 71 и 72 настоящего Положения. Испытания средства защиты информации в связи с внесением в него\nизменений, связанных с обновлением баз данных, необходимых для\nреализации функций безопасности средства защиты информации, проводятся\nв порядке, предусмотренном требованиями по безопасности информации. 74. По результатам проведенных испытаний средства защиты информации в\nсвязи с внесением в него изменений заявитель представляет в ФСТЭК\nРоссии материалы испытаний, содержащие:\nтехническое заключение;\nпротоколы по результатам проведенных испытаний;\nтехнические условия и извещение о внесении изменений в технические\nусловия в двух экземплярах (в случае внесения таких изменений);\nдополнительное техническое задание в двух экземплярах (в случае\nпроведения сертификации средства защиты информации на соответствие\nтребованиям по безопасности информации, изложенным в техническом\nзадании, и в случае внесения изменений в техническое задание);\nзадание по безопасности (при наличии) в двух экземплярах (в случае\nвнесения изменений в задание по безопасности);\nформуляр (паспорт) на средство защиты информации и извещение о\nвнесении изменений в формуляр (паспорт) в двух экземплярах (в случае\nвнесения таких изменений). 75. ФСТЭК России # течение 20 календарных дней рассматривает\nпоступившие материалы испытаний, согласовывает технические условия,\nдополнительное техническое задание (при наличии) или задание по\nбезопасности (при наличии) и формуляр (паспорт) на средство защиты\nинформации, переоформляет сертификат соответствия. Переоформление сертификата соответствия\n76. Сертификат соответствия подлежит переоформлению в случае:\nа) реорганизации заявителя в форме преобразования;\nб) изменения наименования заявителя;\nв) изменения местонахождения заявителя;\nг) внесения изменений в сертифицированное средство защиты информации,\nтребующих внесения изменений в сертификат соответствия. 77. Для переоформления сертификата соответствия в случаях, указанных в\nподпунктах \"а\", \"б\" и \"в\" пункта 76 настоящего Положения, заявитель\nлибо его правопреемник представляют в ФСТЭК России заявление о\nпереоформлении сертификата соответствия. В заявлении о переоформлении сертификата соответствия указываются\nновые сведения о заявителе или его правопреемнике. Заявление о переоформлении сертификата соответствия представляется\nнепосредственно в ФСТЭК России или направляется заказным почтовым\nотправлением с уведомлением о вручении. 78. ФСТЭК России в срок, не превышающий 10 рабочих дней со дня\nполучения заявления о переоформлении сертификата соответствия,\nосуществляет проверку достоверности содержащихся в заявлении о\nпереоформлении сертификата соответствия новых сведений и принимает\nрешение о переоформлении сертификата соответствия или об отказе в его\nпереоформлении. Основаниями для отказа в переоформлении сертификата соответствия\nявляются:\nа) наличие в заявлении о переоформлении сертификата соответствия\nнедостоверных сведений;\nб) отсутствие у заявителя, занимающегося разработкой и (или)\nпроизводством средства защиты информации, переоформленной лицензии\nФСТЭК России в случае, если наличие такой лицензии предусмотрено\nзаконодательством Российской Федерации. 79. ФСТЭК России в случае отказа в переоформлении сертификата\nсоответствия в течение 5 рабочих дней со дня принятия такого решения\nвручает заявителю или его правопреемнику уведомление об отказе в\nпереоформлении сертификата соответствия с указанием причин отказа или\nнаправляет его заказным почтовым отправлением с уведомлением о\nвручении. 80. Уведомление о переоформлении сертификата соответствия с\nприложением переоформленного сертификата соответствия в течение 5\nрабочих дней со дня принятия такого решения направляется заказным\nпочтовым отправлением с уведомлением о вручении или вручается\nзаявителю или его правопреемнику. 81. Заявитель в течение 5 рабочих дней со дня получения\nпереоформленного сертификата соответствия должен представить\n(направить) в ФСТЭК России подлинник ранее выданного сертификата\nсоответствия. Продление срока действия сертификата соответствия\n82. В целях производства и реализации сертифицированного средства\nзащиты информации срок действия сертификата соответствия может быть\nпродлен в порядке, предусмотренном для сертификации средств защиты\nинформации в соответствии с пунктами 19 - 61 настоящего Положения. Информация об изменениях:\nПоложение дополнено пунктом 82.1 с 7 ноября 2021 г. - Приказ ФСТЭК\nРоссии от 5 августа 2021 г. N 121\n82.1. При продлении срока действия сертификата соответствия\nсертификационные испытания проводятся по сокращенной программе:\nдля средства, предназначенного для защиты информации от утечки по\nтехническим каналам, проводится проверка его производства;\nдля средства, предназначенного для защиты информации от\nнесанкционированного доступа к информации (воздействия на информацию),\nили средства обеспечения безопасности информационных технологий\nпроводится оценка его соответствия требованиям по безопасности\nинформации, устанавливающим уровни доверия. Приостановление действия сертификата соответствия\n83. Действие сертификата соответствия приостанавливается в случаях:\nизменения требований по безопасности информации;\nустановления факта несоответствия сертифицированного средства защиты\nинформации требованиям по безопасности информации на основании\nпоступившей в ФСТЭК России информации, в том числе о наличии в\nсертифицированном средстве защиты информации уязвимостей или\nнедекларированных возможностей;\nпрекращения технической поддержки сертифицированного средства защиты\nинформации, отсутствие которой может привести к несоответствию\nсредства защиты информации требованиям по безопасности информации, а\nтакже к невыполнению требований о защите информации при применении\nсредства защиты информации;\nобращения заявителя о приостановлении действия сертификата\nсоответствия. 84. Решение о приостановлении действия сертификата соответствия\nоформляется приказом ФСТЭК России. Действие сертификата соответствия может быть приостановлено на срок не\nболее 90 календарных дней. ФСТЭК России в течение 5 рабочих дней со дня принятия решения\nнаправляет заказным почтовым отправлением с уведомлением о вручении\nили вручает заявителю уведомление о приостановлении действия\nсертификата соответствия. В уведомлении указывается срок устранения\nнесоответствия средства защиты информации требованиям по безопасности\nинформации, который не должен превышать 90 календарных дней. 85. В случае приостановления действия сертификата соответствия\nзаявитель должен прекратить производство и реализацию\nсертифицированного средства защиты информации. 86. Действие сертификата соответствия возобновляется в случае:\nустранения несоответствия средства защиты информации требованиям по\nбезопасности информации и представления в ФСТЭК России материалов,\nподтверждающих устранение несоответствия;\nвозобновления технической поддержки средства защиты информации;\nобращения заявителя о возобновлении действия сертификата соответствия\nв случае, если решение о приостановлении действия сертификата\nсоответствия было принято по обращению заявителя. 87. Решение о возобновлении действия сертификата соответствия\nоформляется приказом ФСТЭК России. ФСТЭК России в течение 5 рабочих дней со дня принятия решения\nнаправляет заказным почтовым отправлением с уведомлением о вручении\nили вручает заявителю уведомление о возобновлении действия сертификата\nсоответствия. 88. ФСТЭК России вносит сведения о приостановлении и возобновлении\nдействия сертификата соответствия в государственный реестр\nсертифицированных средств защиты информации. Прекращение действия сертификата соответствия\n89. Действие сертификата соответствия прекращается в случае:\nнепредставления заявителем в установленный срок материалов,\nподтверждающих устранение несоответствия средства защиты информации\nтребованиям по безопасности информации;\nневозобновления заявителем в установленный срок технической поддержки\nсредства защиты информации;\nобращения заявителя о прекращении действия сертификата соответствия. 90. Решение о прекращении действия сертификата соответствия\nоформляется приказом ФСТЭК России. ФСТЭК России в течение 5 рабочих дней со дня принятия решения\nнаправляет заказным почтовым отправлением с уведомлением о вручении\nили вручает заявителю уведомление о прекращении действия сертификата\nсоответствия. 91. В случае прекращения действия сертификата соответствия заявитель\nдолжен прекратить производство и реализацию сертифицированного\nсредства защиты информации, если такие мероприятия не были проведены в\nсвязи с приостановлением действия сертификата соответствия. 92. ФСТЭК России вносит сведения о прекращении действия сертификата\nсоответствия в государственный реестр сертифицированных средств защиты\nинформации. Информация об изменениях:\nПриложение 1 изменено с 30 октября 2022 г. - Приказ ФСТЭК России от 19\nсентября 2022 г. N 172\nСм. предыдущую редакцию\nПриложение N 1 к Положению о системе сертификации средств защиты\nинформации, утвержденному приказом ФСТЭК России от 3 апреля 2018 г. N 55 (с изменениями от 19 сентября 2022 г.)\nРекомендуемый образец\nФедеральная служба по техническому и\nэкспортному контролю\nЗАЯВКА\nна________________________________________\n(сертификацию средства защиты информации,\nпродление срока действия сертификата соответствия)\n+-------------------------------+----+-------------------------------+\n|   Наименование средства       |    |                               |\n|   защиты информации:          |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Назначение средства защиты  |    |                               |\n|   информации:                 |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   степень секретности         |\n|                               |    |   защищаемой информации,      |\n|                               |    |   категория объекта           |\n|                               |    |   информатизации, тип и класс |\n|                               |    |   защищенности информационной |\n|                               |    |   (автоматизированной)        |\n|                               |    |   системы                     |\n+-------------------------------+----+-------------------------------+\n|   Заявитель:                  |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   организационно-правовая     |\n|                               |    |   форма и наименование        |\n+-------------------------------+----+-------------------------------+\n|   Адрес в пределах            |    |                               |\n|   местонахождения заявителя:  |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Почтовый адрес заявителя:   |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Лицензии ФСТЭК России,      |    |                               |\n|   имеющиеся у заявителя:      |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   номера и даты выдачи        |\n|                               |    |   лицензий                    |\n+-------------------------------+----+-------------------------------+\n|   Ф.И.О. руководителя         |    |                               |\n|   заявителя:                  |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Ф.И.О. лица, ответственного |    |                               |\n|   за сертификацию средства    |    |                               |\n|   защиты информации:          |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Контактный телефон          |    |                               |\n|   (телефоны) заявителя:       |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Адрес электронной почты     |    |                               |\n|   заявителя (при наличии):    |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Разработчик (разработчики)  |    |                               |\n|   средства защиты информации  |    |                               |\n|   (при наличии разработчика   |    |                               |\n|   средства защиты             |    |                               |\n|   информации):                |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   наименование, адрес         |\n|                               |    |   местонахождения             |\n+-------------------------------+----+-------------------------------+\n|   Лицензии ФСТЭК России,      |    |                               |\n|   имеющиеся у разработчика    |    |                               |\n|   (разработчиков) средства    |    |                               |\n|   защиты информации:          |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   номера и даты выдачи        |\n|                               |    |   лицензий                    |\n+-------------------------------+----+-------------------------------+\n|   Сертификат соответствия     |    |                               |\n|   процедур безопасной         |    |                               |\n|   разработки программного     |    |                               |\n|   обеспечения требованиям     |    |                               |\n|   национальных стандартов в   |    |                               |\n|   области защиты информации   |    |                               |\n|   (при наличии)               |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   номера и дата выдачи        |\n|                               |    |   сертификата соответствия    |\n+-------------------------------+----+-------------------------------+\n|   Правообладатель             |    |                               |\n|   (правообладатели) средства  |    |                               |\n|   защиты информации (при      |    |                               |\n|   наличии правообладателя     |    |                               |\n|   (правообладателей) средства |    |                               |\n|   защиты информации):         |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   наименование лица (лиц),    |\n|                               |    |   обладающего (обладающих)    |\n|                               |    |   исключительными правами на  |\n|                               |    |   средство защиты информации, |\n|                               |    |   адрес его (их)              |\n|                               |    |   местонахождения             |\n+-------------------------------+----+-------------------------------+\n|   Испытательная лаборатория:  |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   наименование, адрес в       |\n|                               |    |   пределах местонахождения    |\n+-------------------------------+----+-------------------------------+\n|   Тип средства защиты         |    |                               |\n|   информации:                 |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   наименование типа           |\n|                               |    |   (наименования типов)        |\n|                               |    |   средства защиты информации  |\n+-------------------------------+----+-------------------------------+\n|   Требования по безопасности  |    |                               |\n|   информации:                 |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   наименования документов, на |\n|                               |    |   соответствие которым        |\n|                               |    |   планируется проводить       |\n|                               |    |   сертификацию средства       |\n|                               |    |   защиты информации           |\n+-------------------------------+----+-------------------------------+\n|   Схема сертификации средства |    |                               |\n|   защиты информации:          |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Заявляемый срок действия    |    |                               |\n|   сертификата соответствия    |    |                               |\n+-------------------------------+----+-------------------------------+\n|   Место проведения            |    |                               |\n|   сертификационных испытаний: |    |                               |\n+-------------------------------+----+-------------------------------+\n|                               |    |   адрес места (адреса мест)   |\n|                               |    |   проведения сертификационных |\n|                               |    |   испытаний, наименование     |\n|                               |    |   лица, на                    |\n|                               |    |   материально-технической     |\n|                               |    |   базе которого планируется   |\n|                               |    |   проводить сертификационные  |\n|                               |    |   испытания средства защиты   |\n|                               |    |   информации                  |\n+-------------------------------+----+-------------------------------+\nПриложение 1. Документы, прилагаемые к заявке\n2. Опись прилагаемых к заявке документов\nДолжность М.П. подпись инициалы, фамилия\nруководителя (при \"_\"______ 20___ г. заявителя (лица, наличии)\nкоторое в силу закона\nили учредительных\nдокументов выступает\nот его имени)\nДолжность М.П. подпись инициалы, фамилия\nруководителя (при \"_\"______ 20___ г. испытательной наличии)\nлаборатории\nПриложение N 2 к Положению о системе сертификации средств защиты\nинформации, утвержденному приказом ФСТЭК России от 3 апреля 2018 г. N 55\nРекомендуемый образец\n[ ]\n[ ]\nПриложение N 3 к Положению о системе сертификации средств защиты\nинформации, утвержденному приказом ФСТЭК России от 3 апреля 2018 г. N 55\nРекомендуемый образец\n[ ]\n[ ]"}