सूचना संरक्षण के अनुपालन का मूल्यांकन प्रमाणीकरण का मतलब क्यों है?

पिछली पोस्ट में सुरक्षा सुविधाओं और व्यक्तिगत डेटा के प्रमाणन में प्रमाणन के मुद्दे में विशिष्टता का अभाव था।
इस बार, मैंने इस मुद्दे के बारे में अपना दृष्टिकोण निर्धारित नहीं किया है, लेकिन कानूनों से यह निष्कर्ष निकाला गया है कि थीसिस के लिए सूचना सुरक्षा आवश्यकताओं के साथ सुरक्षा उपकरणों की अनुरूपता का आकलन करने का एकमात्र तरीका प्रमाणन है ।
लेख थोड़ा गड़बड़ हो गया, लेकिन, उम्मीद है, समझ में आता है।

पैर कहाँ से बढ़ते हैं?

हम नवीनतम नियामक दस्तावेजों के अनुसार सुरक्षात्मक उपकरणों के लिए आवश्यकताओं पर विचार करेंगे: ऑर्डर ऑफ एफएसटीईसी नंबर 21, सरकारी निर्णय संख्या 1119 - वे अनुरूपता मूल्यांकन के लिए आवश्यकता को स्थापित करते हैं।
क्रम संख्या 21 का अंक 4

4. व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के उपाय, सूचना प्रणाली में सूचना सुरक्षा उपकरणों के उपयोग के माध्यम से, अन्य बातों के साथ, निर्धारित तरीके से अनुरूपता मूल्यांकन प्रक्रिया पारित कर चुके हैं, ऐसे मामलों में जहां व्यक्तिगत डेटा की सुरक्षा के लिए वर्तमान खतरों को बेअसर करने के लिए ऐसे उपकरणों का उपयोग आवश्यक है।

डिक्री संख्या 1119 का अनुच्छेद 13

यह सुनिश्चित करने के लिए ... सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा का स्तर, निम्न आवश्यकताओं को पूरा किया जाना चाहिए: ...
d) सूचना सुरक्षा उपकरणों का उपयोग जिन्होंने सूचना सुरक्षा के क्षेत्र में रूसी संघ के कानून की आवश्यकताओं के अनुपालन का आकलन करने के लिए प्रक्रिया को पारित किया है, उस स्थिति में जब ऐसे उपकरणों का उपयोग वर्तमान खतरों को बेअसर करने के लिए आवश्यक है।

इस प्रकार, सुरक्षात्मक उपकरणों की मदद से खतरों को बेअसर करते समय, सूचना सुरक्षा उपायों का उपयोग करना आवश्यक है जो अनुरूपता मूल्यांकन से गुजर चुके हैं।
कई लोगों के लिए, इस बिंदु पर सवाल उठता है, क्योंकि सूचना के संरक्षण पर प्रत्यक्ष दस्तावेज अनुरूपता मूल्यांकन की स्पष्ट परिभाषा नहीं देते हैं।

"अनुरूपता मूल्यांकन" क्या है?

यह समझने के लिए कि यह क्या है, आपको 1 दिसंबर, 2013 को संशोधित किए गए 27 दिसंबर 2002 के संघीय कानून के नवीनतम संस्करण एन 184-ulation "ऑन टेक्निकल रेगुलेशन" का उल्लेख करना चाहिए (इसके बाद संघीय कानून संख्या 184)
सबसे पहले, आइए अवधारणाओं को परिभाषित करते हैं:

अनुरूपता की घोषणा - तकनीकी नियमों की आवश्यकताओं के साथ उत्पादों के अनुपालन की पुष्टि का एक रूप;
अनुरूपता की घोषणा - तकनीकी नियमों की आवश्यकताओं के साथ प्रचलन में डाले गए उत्पादों की अनुरूपता को प्रमाणित करने वाला एक दस्तावेज;
अनुरूपता मूल्यांकन - सुविधा के लिए आवश्यकताओं के अनुपालन का प्रत्यक्ष या अप्रत्यक्ष निर्धारण;
अनुरूपता की पुष्टि - उत्पादों या अन्य वस्तुओं, उत्पादन की प्रक्रिया, संचालन, भंडारण, परिवहन, बिक्री और निपटान, काम के प्रदर्शन या तकनीकी नियमों की आवश्यकताओं, सेवाओं के प्रावधानों या अनुबंध की शर्तों के प्रावधान के अनुरूपता के दस्तावेजी सबूत;
तकनीकी विनियमन - एक दस्तावेज जिसे रूसी संघ की एक अंतरराष्ट्रीय संधि द्वारा अपनाया जाता है, रूसी संघ के कानून या संघीय कानून या रूसी संघ के राष्ट्रपति के एक डिक्री द्वारा या रूसी संघ की सरकार के एक संकल्प द्वारा स्थापित तरीके से पुष्टि की जाती है, और आवेदन और निष्पादन पर बाध्यकारी तकनीकी विनियमन की वस्तुओं के लिए आवश्यकताओं को स्थापित करता है। उत्पादों, इमारतों, संरचनाओं और संरचनाओं सहित, उत्पादन, संचालन, भंडारण, परिवहन, बिक्री की प्रक्रियाएं और निपटान);
अनुरूपता पुष्टि फॉर्म - उत्पादों या अन्य सुविधाओं, उत्पादन, संचालन, भंडारण, परिवहन, बिक्री और निपटान की प्रक्रियाओं, तकनीकी नियमों, मानकों या अनुबंध की शर्तों की आवश्यकताओं के लिए काम या सेवाओं की अनुरूपता के लिए एक विशिष्ट प्रक्रिया।

संघीय कानून संख्या 184 के अनुच्छेद 20 के बाद:

पुष्टि प्रपत्र
1. रूसी संघ के क्षेत्र में अनुपालन की पुष्टि स्वैच्छिक या अनिवार्य हो सकती है।
2. स्वैच्छिक प्रमाणीकरण के रूप में अनुरूपता की स्वैच्छिक पुष्टि की जाती है।
3. अनुपालन की अनिवार्य पुष्टि रूपों में की जाती है:
- अनुरूपता की घोषणा को अपनाना (बाद में अनुरूपता की घोषणा के रूप में संदर्भित);
- अनिवार्य प्रमाणीकरण।

, - हमें पता चलता है कि स्वैच्छिक प्रमाणीकरण और अनुपालन की अनिवार्य पुष्टि है ।
बदले में, अनिवार्य दो रूप ले सकता है: अनुरूपता और अनिवार्य प्रमाणीकरण की घोषणा ।
वास्तव में, हमें अनुपालन की पुष्टि करने के 3 तरीके मिलते हैं:
- स्वैच्छिक प्रमाणीकरण
- अनिवार्य प्रमाणीकरण
- अनुरूपता की घोषणा
हम अनिवार्य प्रमाणीकरण पर विचार नहीं करेंगे: इस विषय पर, यह हमारे लिए कोई दिलचस्पी नहीं है। बाकी पर विचार करें।

स्वैच्छिक प्रमाणीकरण

मैं इस फॉर्म पर ज्यादा ध्यान नहीं दूंगा, क्योंकि इस समय वास्तव में कोई प्रमाणन निकाय नहीं हैं (मैं गलत हो सकता है)। केवल एक चीज जो दिमाग में आती है वह है गजप्रॉमर, और वह कंपनी के भीतर उत्पादों का उपयोग करने के लिए अधिक है।
21 लेखों के अनुसार:

धारा 21. अनुरूपता की स्वैच्छिक पुष्टि
1. आवेदक और प्रमाणन निकाय के बीच एक समझौते की शर्तों पर आवेदक की पहल पर अनुपालन की स्वैच्छिक पुष्टि की जाती है। अनुपालन की स्वैच्छिक पुष्टि राष्ट्रीय मानकों, प्रारंभिक राष्ट्रीय मानकों, संगठनों के मानकों, अभ्यास के कोड, स्वैच्छिक प्रमाणीकरण प्रणाली, अनुबंध की शर्तों के अनुपालन की स्थापना के लिए की जा सकती है। ...
2. स्वैच्छिक प्रमाणीकरण की प्रणाली एक कानूनी इकाई और (या) व्यक्तिगत उद्यमी या कई कानूनी संस्थाओं और (या) व्यक्तिगत उद्यमियों द्वारा बनाई जा सकती है।

, - यह देखा जा सकता है कि इसका उपयोग कॉर्पोरेट मानकों को पूरा करने के लिए किया जाता है।
एक समय में पीडी संरक्षण के संदर्भ में स्वैच्छिक प्रमाणीकरण की एक प्रणाली बनाने के लिए एक आंदोलन था, लेकिन ऐसा लगता है कि चीजें ठीक नहीं हुईं।
और अनिवार्य प्रमाणीकरण की तुलना में समय और संसाधनों की बर्बादी में अंतर नगण्य (यदि बिल्कुल भी) आता है।

अनुरूपता की घोषणा

कानून के निम्नलिखित अनुच्छेद सबसे आकर्षक लग सकते हैं:

धारा 24. अनुरूपता की घोषणा
1. घोषणा की घोषणा निम्नलिखित योजनाओं में से एक के अनुसार की जाती है:
- खुद के साक्ष्य के आधार पर अनुरूपता की घोषणा को अपनाना;
- अपने स्वयं के साक्ष्यों, प्रमाणन निकाय और (या) एक मान्यता प्राप्त परीक्षण प्रयोगशाला (केंद्र) (बाद में - तीसरे पक्ष) की भागीदारी के साथ प्राप्त साक्ष्य के आधार पर अनुरूपता की घोषणा को अपनाना।

और विशेष रूप से एक ही लेख की आत्मा-वार्मिंग लाइनें:

2. जब अपने स्वयं के साक्ष्य के आधार पर अनुपालन की घोषणा करते हैं, तो आवेदक स्वतंत्र रूप से तकनीकी नियमों की आवश्यकताओं के साथ उत्पादों के अनुपालन की पुष्टि करने के उद्देश्य से साक्ष्य बनाता है । सबूत सामग्री, तकनीकी दस्तावेज के रूप में, हमारे स्वयं के अनुसंधान (परीक्षण) और माप और (या) अन्य दस्तावेजों के परिणामों का उपयोग किया जाता है, जो तकनीकी नियमों की आवश्यकताओं के साथ उत्पादों की अनुरूपता की पुष्टि करने के लिए एक प्रेरित आधार के रूप में कार्य करता है। सबूत की संरचना प्रासंगिक तकनीकी नियमों द्वारा निर्धारित की जाती है।

विशेष रूप से अनुच्छेद 23 के अनुच्छेद 3 को ध्यान में रखते हुए:

3. अनुरूपता की घोषणा और अनुरूपता के प्रमाण पत्र में अनिवार्य पुष्टि की योजनाओं की परवाह किए बिना समान कानूनी बल है और पूरे रूसी संघ में मान्य हैं।

लेकिन हमें अनुच्छेद 24 के पैरा 2 के अंतिम वाक्य पर ध्यान देना चाहिए: "साक्ष्य की संरचना संबंधित तकनीकी विनियमन द्वारा निर्धारित की जाती है।" , साथ ही अध्याय 24 के पैरा 5:

सबूत की संरचना प्रासंगिक तकनीकी नियमों द्वारा निर्धारित की जाती है।

यह भी और सबसे पहले) यह अनुच्छेद 23 के पैरा 1 पर विचार करने योग्य है:

1. अनुपालन की अनिवार्य पुष्टि केवल प्रासंगिक तकनीकी विनियमन द्वारा स्थापित मामलों में की जाती है, और विशेष रूप से तकनीकी विनियमन की आवश्यकताओं के अनुपालन के लिए ।

उपरोक्त सभी को संक्षेप में बताते हुए , यह निम्नलिखित है: किसी भी तरह से कानून यह घोषित करने के हमारे अधिकार को प्रतिबंधित करता है कि सूचना संरक्षण का मतलब सूचना सुरक्षा आवश्यकताओं (अनुच्छेद 28 के अनुच्छेद 1 के अनुसार, "आवेदक को अधिकार है ... कुछ विशेष प्रकार के उत्पादों के लिए प्रदान की गई अनुरूपता की पुष्टि के रूप और योजना को चुनने का है। प्रासंगिक तकनीकी विनियमन; „), लेकिन इस प्रक्रिया को तकनीकी विनियमन (अनुच्छेद 28 के अनुच्छेद 2 के अनुसार" के अनुसार किया जाना चाहिए "आवेदक को ... प्रदान करना चाहिए तकनीकी नियमों की आवश्यकताओं के अनुरूप उत्पादों की अनुरूपता ") ।
लेकिन एक तकनीकी विनियमन क्या है? ऊपर वर्णित परिभाषा के अनुसार, यह एक नियामक दस्तावेज है जो सरकार के स्तर पर प्रकाशित होता है और उत्पाद आवश्यकताओं को परिभाषित करता है।

तो "प्रमाणन" = "अनुरूपता मूल्यांकन" क्यों?

मैं ध्यान देता हूं कि यह कथन आंशिक रूप से सत्य है ... वर्तमान में एक पोस्टस्क्रिप्ट बनाने के लिए बेहतर है:
हमें ऊपर पता चला कि अनुरूपता की घोषणा तकनीकी नियमों के अनुसार की जानी चाहिए, जो हमारे मामले में, एफएसटीईसी कर्मचारियों द्वारा विकसित की जानी चाहिए। लेकिन ... "चीजें अभी भी हैं।"
पीडी कानून के अस्तित्व की पूरी अवधि में, एक भी तकनीकी विनियमन जारी नहीं किया गया है। फिलहाल जो एकमात्र चीज मौजूद है वह है सुरक्षा प्रोफाइल, लेकिन वे सुरक्षा उपकरणों के डेवलपर्स के लिए अभिप्रेत हैं (और फटे हुए, वैसे, यह NIST के साथ लगता है)। आप उनके साथ खुद को यहां परिचित कर सकते हैं: मसौदा संरक्षण प्रोफाइल का पैकेज ।

संघीय कानून 184 "तकनीकी विनियमन पर" रूस की FSTEC की आधिकारिक वेबसाइट पर पाया जा सकता है:
संघीय कानून 27 दिसंबर, 2002 एन 184-एफजेड
यदि संरक्षण प्रोफाइल में रुचि है, तो नियामक दस्तावेजों को यहां देखा जा सकता है ।