2. Организационная структура системы аттестации объектов информатизации по требованиям безопасности информации
2.1. Организационную структуру системы аттестации объектов информатизации образуют:
-
федеральный орган по сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации - Гостехкомиссия России;
-
органы по аттестации объектов информатизации по требованиям безопасности информации;
-
испытательные центры (лаборатории) по сертификации продукции по требованиям безопасности информации;
-
заявители (заказчики, владельцы, разработчики аттестуемых объектов информатизации).
2.2. Федеральный орган по сертификации и аттестации осуществляет следующие функции:
-
организует обязательную аттестацию объектов информатизации;
-
создает системы аттестации объектов информатизации и устанавливает правила для проведения аттестации в этих системах;
-
устанавливает правила аккредитации и выдачи лицензий на проведение работ по обязательной аттестации;
-
организует, финансирует разработку и утверждает нормативные и методические документы по аттестации объектов информатизации;
-
аккредитует органы по аттестации объектов информатизации и выдает им лицензии на проведение определенных видов работ;
-
осуществляет государственный контроль и надзор за соблюдением правил аттестации и эксплуатацией аттестованных объектов информатизации;
-
рассматривает апелляции, возникающие в процессе аттестации объектов информатизации, и контроля за эксплуатацией аттестованных объектов информатизации;
-
организует периодическую публикацию информации по функционированию системы аттестации объектов информатизации по требованиям безопасности информации.
2.3. Органы по аттестации объектов информатизации аккредитуются Гостехкомиссией России и получают от нее лицензию на право проведения аттестации объектов информатизации.
Такими органами могут быть отраслевые и региональные учреждения, предприятия и организации по защите информации, специальные центры Гостехкомиссии России.
2.4. Органы по аттестации:
-
аттестуют объекты информатизации и выдают "Аттестаты соответствия";
-
осуществляют контроль за безопасностью информации, циркулирующей на аттестованных объектах информатизации, и за их эксплуатацией;
-
отменяют и приостанавливают действие выданных этим органом "Аттестатов соответствия";
-
формируют фонд нормативной и методической документации, необходимой для аттестации конкретных типов объектов информатизации, участвуют в их разработке;
-
ведут информационную базу аттестованных этим органом объектов информатизации;
-
осуществляют взаимодействие с Гостехкомиссией России и ежеквартально информируют его о своей деятельности в области аттестации.
2.5. Испытательные центры (лаборатории) по сертификации продукции по требованиям безопасности информации по заказам заявителей проводят испытания несеpтифициpованной продукции, используемой на объекте информатики, подлежащем обязательной аттестации, в соответствии с "Положением о сертификации средств защиты информации по требованиям безопасности информации".
2.6. Заявители:
-
проводят подготовку объекта информатизации для аттестации путем реализации необходимых организационно-технических мероприятий по защите информации;
-
привлекают органы по аттестации для организации и проведения аттестации объекта информатизации;
-
предоставляют органам по аттестации необходимые документы и условия для проведения аттестации;
-
привлекают, в необходимых случаях, для проведения испытаний несеpтифициpованных средств защиты информации, используемых на аттестуемом объекте информатизации, испытательные центры (лаборатории) по сертификации;
-
осуществляют эксплуатацию объекта информатизации в соответствии с условиями и требованиями, установленными в "Аттестате соответствия";
-
извещают орган по аттестации, выдавший "Аттестат соответствия", о всех изменениях в информационных технологиях, составе и размещении средств и систем информатики, условиях их эксплуатации, которые могут повлиять на эффективность мер и средств защиты информации (перечень характеристик, определяющих безопасность информации, об изменениях которых требуется обязательно извещать орган по аттестации, приводится в "Аттестате соответствия");
-
предоставляют необходимые документы и условия для осуществления контроля и надзора за эксплуатацией объекта информатизации, прошедшего обязательную аттестацию.