25 октября 2012
Организация криптографической защиты информации
Часть 3
СКЗИ
В указанных нами документах регулятора говорится о применении СКЗИ, причем в обоих случаях дается трактовка этого термина (хотя собственно оба документа имеют общий источник).
В соответствии с Инструкцией, утвержденной Приказом ФАПСИ от 13.06.2001 № 152, под СКЗИ понимаются «…сертифицированные ФАПСИ средства криптографической защиты конфиденциальной информации…»1.
С точки зрения ПКЗ-2005 под СКЗИ понимаются «…шифровальные (криптографические) средства защиты информации конфиденциального характера…»2. Однако, п. 10 данного Положения указывает на то, что СКЗИ «…должны удовлетворять требованиям технических регламентов, оценка выполнения которых осуществляется…» в соответствии с ФЗ «О техническом регулировании»3. С точки зрения Законодателя под техническим регламентом понимается «…документ, который принят … федеральным законом, или указом Президента Российской Федерации, или постановлением Правительства Российской Федерации, или нормативным правовым актом федерального органа исполнительной власти по техническому регулированию и устанавливает обязательные для применения и исполнения требования к объектам технического регулирования…»4. О каком «органе» в части криптозащиты идет речь, вне всякого сомнения, понятно – это ФСБ России (см. первую часть настоящей публикации). Т.о. получается, что ФСБ России разрабатывает некие требования, которым разрабатываемое/ производимое/ реализуемое/ эксплуатируемое СКЗИ должно удовлетворять.
Теперь посмотрим, а что значит «удовлетворять требованиям технических регламентов». Под прямым или косвенным определением соблюдения требований, предъявляемых к объекту, понимается «оценка соответствия»5. Документальное удостоверение соответствие носит название «подтверждения соответствия» и принято различать добровольную и обязательную формы6. По результатам успешного подтверждения соответствия продукции требованиям технических регламентов оформляется так называемый «сертификат соответствия» («декларация о соответствии»).
С другой стороны согласно ПКЗ-2005 «…для криптографической защиты информации конфиденциального характера должны использоваться СКЗИ, удовлетворяющие требованиям по безопасности информации, устанавливаемые в соответствии с законодательством Российской Федерации…»7. Выполнение этих требований обеспечивает необходимое качество криптографической защиты информации8. И именно в рамках сертификации продукции выполняется подтверждение её соответствия установленным требованиям по безопасности9.
Т.о. получаем, что если обеспечивается защита информации в соответствии с рассматриваемыми документами, то целесообразно под СКЗИ понимать именно сертифицированные средства.
Примечание
1. На взгляд автора интересно то, что средства криптографической защиты информации не включены в перечень продукции, подлежащей обязательной сертификации10.
2. Вопросы, связанные с использованием сертифицированных средств защиты информации, довольно часто обсуждаются и для интересующихся этой темой будет интересным познакомиться с дискуссией, развернутой в рамках блога http://lukatsky.blogspot.com/2012/08/blog-post_29.html.
Продолжение следует
1 Инструкция, утвержденная Приказом ФАПСИ при Президенте РФ от 13.06.2001 № 152, п. 1.
2 Положение, утвержденное Приказом ФСБ России от 09.02.2005 № 66, п.2.
3 Положение, утвержденное Приказом ФСБ России от 09.02.2005 № 66, п.10.
4 ФЗ от 27.12.2002 № 184-ФЗ «О техническом регулировании», ст.2.
5 ФЗ от 27.12.2002 № 184-ФЗ «О техническом регулировании», ст.2.
6 ФЗ от 27.12.2002 № 184-ФЗ «О техническом регулировании», ст.21.
7 Положение, утвержденное Приказом ФСБ России от 09.02.2005 № 66, п.12.
8 Положение, утвержденное Приказом ФСБ России от 09.02.2005 № 66, п. 11.
9 Система сертификации средств криптографической защиты информации. Утверждена Генеральным директором ФАПСИ 28.10.1993 г. Регистрационный номер Госстандарта России - РОСС RU.0001.030001 от 15.11.1993. П. 1.4.
10 Единый перечень продукции, подлежащей обязательной сертификации, утвержденный Постановлением Правительства РФ от 01.12.2009 № 982.
