Шаг 1. Определите, нужно ли вам это Сначала уточните, подлежит ли ваша продукция обязательной сертификации во ФСТЭК. Это касается: · Средств межсетевого экранирования, · Средств антивирусной защиты, · Средств обнаружения вторжений (IDS/IPS), · Средств доверенной загрузки, · Систем защиты от несанкционированного доступа (СЗИ НСД), · Средств криптографической защиты (но тут еще есть ФСБ, если это СКЗИ), · Средств виртуализации, СУБД, операционных систем, если они позиционируются как защищенные. Если ваше изделие — это просто «железо» без функций защиты, сертификат ФСТЭК, скорее всего, не нужен.

Шаг 2. Выберите схему сертификации ФСТЭК использует два основных подхода: 1. Сертификация серийного производства (схема «серия»). Требуется проведение анализа производства и инспекционного контроля. 2. Сертификация партии (или единичного изделия). Актуально для конкретной поставки под проект. Также существуют схемы с испытаниями в аккредитованной лаборатории или с использованием ранее выданных протоколов (в редких случаях).

Шаг 3. Подготовьте комплект документов Заявитель (производитель, разработчик, поставщик) должен собрать: · Заявку на сертификацию (по форме ФСТЭК). · Техническую документацию: техническое задание (ТЗ), формуляр, руководство администратора, руководство пользователя, описание архитектуры, схему функциональную. · Исходные тексты программного обеспечения (если это ПО) в опечатанном виде для экспертизы (обычно предоставляются в испытательную лабораторию). · Сведения о производстве (если серия). · Ранее выданные сертификаты (если есть). · Документы, подтверждающие право на ПО (свидетельства о регистрации, лицензии).

Шаг 4. Обратитесь в орган по сертификации или испытательную лабораторию Сертификацию проводят органы по сертификации, аккредитованные ФСТЭК России. Они привлекают испытательные лаборатории (также аккредитованные). Список аккредитованных организаций можно найти на официальном сайте ФСТЭК (fstec.ru) в разделе «Система сертификации». Примеры известных лабораторий: ЗАО «НПО «Эшелон», АО «ПНППК», ФГУП «НИИ «Квант» и др.

Шаг 5. Проведение испытаний 1. Заключается договор. 2. Эксперты изучают документацию и исходные коды. 3. Проводятся сертификационные испытания на соответствие конкретному классу защищенности (например, для МЭ — 2, 3, 4 класс; для СЗИ НСД — 5, 4, 3 класс; для ОС — 1В, 1Г и т.д.). Испытания включают: · Функциональное тестирование, · Анализ уязвимостей, · Проверку отсутствия недекларированных возможностей (для высоких классов), · Стендовые и натурные испытания. 4. Составляется техническое заключение и протоколы испытаний.

Шаг 6. Получение сертификата Если испытания пройдены успешно: · Орган по сертификации оформляет сертификат соответствия. · ФСТЭК утверждает решение и вносит запись в Государственный реестр сертифицированных средств защиты информации. · Срок действия сертификата обычно 3 года (может быть 1 год, 5 лет для некоторых типов), после чего требуется продление или повторная сертификация.