Виды сертификации компьютерной техники

Обновлено: 04.07.2024

Сертификация компьютерной техники и её комплектующих

Электронно-вычислительная техника оценивается на предмет безопасности в системе Технических регламентов Таможенного союза. Нормативно-правовую базу для этой продукции создают три регламента: ТР ТС004/2011 «О безопасности низковольтного оборудования», ТР ТС 020/2011 «Электромагнитная совместимость технических средств» и ТР ЕАЭС 037/2016 «Об ограничении применения опасных веществ в изделиях электроники и радиоэлектроники». Объекты регулирования этих нормативных актов проходят оценку соответствия в форме декларирования и сертификации. Получить сертификат или декларацию можно в сертификационном центре, просто представив пакет документов на продукцию.

Для простоты понимания процедуры сертификации компьютерной техники и «железа», следует разделить предмет оценки на три категории:

Портативная техника (планшеты, ноутбуки, нетобуки, электронные книги и т.д.), и периферийные устройства, не имеющие питания от сети 220в.

Стационарные компьютерные блоки –декстопы, и периферийные устройства, имеющие самостоятельное питание от сети.

Принцип данного, условного разделения основан на пороговых значениях, определяющих область применения ТР ТС 004/2011 – от 50В переменного тока и от 70В постоянного тока. Портативная компьютерная техника, как правило, не имеет встроенного блока питания, а значит, не попадает под действие этого регламента. Стационарные ПК и некоторые периферийные устройства, в силу отсутствия необходимости беспокоиться о весе и объеме, уже имеют интегрированные блоки питания. Компьютерное «железо» – особый вид продукции, который также не попадает под действие ТР ТС 004/2011 «О безопасности низковольтного оборудования» (за исключением блоков питания). Однако под всеми вышеперечисленными категориями продукции есть знаменатель – ТР ЕАЭС 037/2016 «Об ограничении применения опасных веществ в изделиях электроники и радиоэлектроники». Этот регламент распространяется абсолютно на все виды электроники, к коим, безусловно, относится и компьютерная техника.

Сертификация компьютерной техники попадающей под требования ТР ТС 004/2011

Речь идет, конечно же, о десктопах, блоках питания и оргтехнике имеющей интегрированные БП. Сразу следует оговориться, что данная категория изделий попадает в сферу регулирования и ТР ТС 020/2011 «Электромагнитная совместимость технических средств». Однако оценка соответствия требованиям этого регламента осуществляется в общем порядке. Отдельно сертификат оформлять не нужно. Такой же принцип оценки применим и для ТР ЕАЭС 037/2016. Собственно, именно для таких случаев разработчик регламента предусмотрел возможность замены декларации на сертификат. И так как процедура оценки и набор типовых схем не различаются, сертификация компьютерной техники осуществляется «в один заход». То есть заявитель получить один сертификат соответствия, где будет указано, что изделие соответствует требованиям трех регламентов.

Для того чтобы получить сертификат, потребуется подобрать подходящую схему, сформировать пакет документов и подать заявку. Схему поможет подобрать специалист сертификационного центра. Он же составит перечень того, что нужно иметь на руках, для сертификации по этой самой схеме. Базовый пакет документов выглядит следующим образом:

копия учредительных документов, регистрационные данные;

описание изделия с указанием основных характеристик;

ТУ или перечень стандартов, которым должен соответствовать продукт;

руководство по эксплуатации;

договор на поставку (для импортной компьютерной техники);

сведения о комплектующих и документы, подтверждающие их безопасность (при наличии).

После того как подготовлен пакет документов, подается заявка на проведение сертификации компьютерной техники на предмет соответствия требованиям безопасности. Проводятся лабораторные испытания в аккредитованной организации и иные мероприятия, предусмотренные схемой. Если в заключении экспертов не будет указано, что продукция имеет отклонения от требований регламентов, заявителю выдается сертификат соответствия, данные о котором заносятся в Единый реестр.

Декларирование и сертификация комплектующих, компьютерной техники и периферийных устройств по требованиям ТР ЕАЭС 037/2016

Перед тем как говорить о процедуре нужно, отметить, что уже производимая и продаваемая на нашем рынке продукция не подлежит оценке соответствия требованиям ТР ЕАЭС 037/2016 «Об ограничении применения опасных веществ в изделиях электроники и радиоэлектроники» до 2020 года. Необходимо получать сертификат или декларацию, только на вновь ввезенные или производимые изделия.

Если изделие попадает под требование «электрических» регламентов, порядок оценки соответствия изложен выше. Другое дело, если продукт попадает в сферу действия только ТР ЕАЭС 037/2016. В этом случае, можно оформить только декларацию соответствия. Собственно, замена декларации на сертификат сугубо добровольна, но при необходимости сертифицировать продукт по требованиям ТР ТС 004/2011, целесообразно заменить декларирование сертификацией, чтобы не проводить две разные процедуры оценки соответствия.

Оформить декларацию по требованиям ТР ЕАЭС 037/2016 можно на следующие изделия:

электронные книги (читалки);

устройства ввода (мыши, клавиатуры, игровые джойстики, графические устройства и т.д.);

комплектующие (материнские платы, процессоры, видеокарты, звуковые карты, контроллеры, платы оперативной памяти, жесткие диски, wifi модули, и т.д.).

Для подачи декларации нужно подобрать схему, сформировать пакет документов и подать заявку. Регламент предлагает пять схем, на выбор: 1Д, 2Д, 3Д, 4Д и 6Д. Первые две допускают подачу декларации без проведения испытаний в аккредитованной лаборатории. По схеме 6Д необходимо получить сертификат менеджмента качества (СМК). Импортные комплектующие можно задекларировать по схеме 2Д и 4Д. Учитывая тот факт, что на территории ЕАЭС они почти не производятся, эти две схемы будут основными.

Пакет документов для подачи заявки тот же, что указан выше, для оформления сертификата. Исключением являются схемы 1Д и 2Д. Если выбраны они, то потребуется представить собственные доказательства безопасности изделия.

После принятия заявки пакет документов, специалисты сертификационного центра проводят испытания компьютерной техники или комплектующих. По результатам испытаний составляется заключение и выносится решение по заявке. Если она удовлетворяется, декларация регистрируется в Едином Реестре, а заявителю выдается документ установленного образца.

Сертификация ФСТЭК – процедура получения документа, подтверждающего, что средство защиты информации соответствует требованиям нормативных и методических документов ФСТЭК России.

Сертификация ФСТЭК для средств защиты информации создана для того, чтобы обеспечить:

Защиту конфиденциальной информации строго определенного уровня.
Возможность для потребителей выбирать качественные и эффективные средства защиты информации.
Содействие формированию рынка защищенных информационных технологий и средств их обеспечения.

Зачем нужна сертификация ФСТЭК?

Сертификация ФСТЭК необходима для строго определенных сфер деятельности и ее необходимость зависит от того, какая именно информация будет обрабатываться в той или иной информационной системе.

Сферы деятельности с обязательной сертификацией средств защиты информации:

Государственные информационные системы (ГИС).
Автоматизированные системы управления технологическим процессом (АСУ ТП).
Персональные данные (ЗПДн).
Критическая информационная инфраструктура (КИИ).
Государственная тайна (ЗГТ).
Конфиденциальная информация (служебная информация).

Несертифицированный продукт невозможно использовать в тех сферах деятельности, где обязательно использование сертифицированных продуктов.

Использование компанией несертифицированной продукции в сфере деятельности, требующей обязательной сертификации средств защиты информации, может повлечь за собой серьезные последствия: от больших штрафов до уголовной ответственности для руководителей.

Отличия сертифицированных версий от версий общего пользования

Сертифицированные версии решений поставляются с соответствующим сертификатом, формуляром, инструкциями и прочими документами, подтверждающими класс, уровень защищенности информационной системы.

У сертифицированных версий продуктов есть свои особенности:

Их непросто обновлять. Сертификация продукта занимает от 0,5 до 1 года. И обычно ее делают на версии продуктов, которые уже отлажены, проверены на практике, имеют достаточное количество накопленных обновлений. Таким образом, сертифицированные версии запаздывают по сравнению с версиями общего пользования.
У сертифицированной версии могут быть дополнительные ограничения, связанные с определенным уровнем защищенности или классом защиты. Если мы говорим про ОС и офисные продукты, то в версии с сертификацией ФСТЭК могут быть закрыты некоторые функции и опции. Особенно, если есть сертификат на отсутствие недекларированных возможностей.

Когда можно покупать решения общего пользования, а когда нужны сертифицированные?

В пределах одной компании может быть несколько информационных систем. Некоторые из них нуждаются в сертифицированных средствах защиты, а некоторые – нет. Все зависит от характера информации, которая обрабатывается в этих системах. В случае, если данные касаются вышеперечисленных сфер деятельности, сертификация обязательна.

Можно ли устанавливать на сертифицированную операционную систему несертифицированные продукты?

При необходимости можно использовать пакеты, которые не входят в состав дистрибутива, поставляемого вместе с операционной системой. Для этого несертифицированные продукты должны соответствовать следующим требованиям:

Их установка не требует замены пакетов, входящих в состав сертифицированного дистрибутива.
Они не имеют отношения к средствам защиты информации.
Они могут работать в замкнутой программной среде.

Для удобства контроля и обновления сторонние пакеты помещаются в служебный репозиторий.

В том случае, если продукт относится к средствам защиты информации, он должен быть обеспечен соответствующим сертификатом.

Что делать, если изменился характер деятельности компании, а продукты не сертифицированы?

Есть два варианта дальнейшего развития событий:

Приобретение сертифицированной версии продукта, возможно, со скидкой производителя, если предыдущая версия принадлежит тому же разработчику. В этом случае с большой вероятностью придется сделать даунгрейд – откат решения до предыдущей сертифицированной версии.
Можно не менять решение, а приобрести сертифицированные наложенные программные или программно-аппаратные средства, в зависимости от того, какую подсистему нужно закрыть.

Требования ФСТЭК могут измениться, насколько это может затронуть компанию-пользователя?

Требования ФСТЭК меняются не единовременно. О любых изменениях предупреждают заранее. Кроме того, после принятия нового документа с требованиями дается около года на то, чтобы подготовить все системы компании к новым реалиям.

Чем может помочь компания Softline?

В ряде случаев поставщики сертифицированных решений также должны обладать соответствующими лицензиями. У нас есть все необходимые статусы для поставки широкого круга сертифицированных продуктов и оказания услуг по их внедрению.
У нас большая экспертиза в вопросе поставок сертифицированных решений и ведется сотрудничество с огромным количеством вендоров. Мы всегда сможем квалифицированно определить, в каком случае нужна сертифицированная, а в каком – несертифицированная версия продуктов, а затем выбрать оптимальный вариант.

Автор статьи: руководитель органа по аттестации объектов информатизации Softline Антон Казаков

Читайте также: