АДМIНIСТРАЦIЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦIАЛЬНОГО ЗВ'ЯЗКУ ТА ЗАХИСТУ IНФОРМАЦIЇ УКРАЇНИ

НАКАЗ

вiд 16 травня 2007 року	N 93

Про затвердження Положення про державну експертизу в сферi технiчного захисту iнформацiї

Зареєстровано
в Мiнiстерствi юстицiї України
16 липня 2007 р. за N 820/14087

Вiдповiдно до статтi 17, пункту 2 роздiлу IX "Прикiнцевi та перехiднi положення" Закону України "Про Державну службу спецiального зв'язку та захисту iнформацiї України", Положення про Адмiнiстрацiю Державної служби спецiального зв'язку та захисту iнформацiї, затвердженого постановою Кабiнету Мiнiстрiв України вiд 24.06.2006 N 868, наказую:

1. Затвердити Положення про державну експертизу в сферi технiчного захисту iнформацiї, що додається.

2. Визнати таким, що втратив чиннiсть, наказ Департаменту спецiальних телекомунiкацiйних систем та захисту iнформацiї Служби безпеки України вiд 29 грудня 1999 року N 62 "Про затвердження Положення про державну експертизу в сферi технiчного захисту iнформацiї", зареєстрований в Мiнiстерствi юстицiї України 24 сiчня 2000 року за N 40/4261.

3. Департаменту з питань захисту iнформацiї в iнформацiйно-телекомунiкацiйних системах Адмiнiстрацiї Держспецзв'язку забезпечити в установленому порядку подання наказу на державну реєстрацiю до Мiнiстерства юстицiї України.

4. Контроль за виконанням наказу покласти на заступника Голови Державної служби спецiального зв'язку та захисту iнформацiї України Фролова О. В.

Голова Служби	Ю. Б. Чеботаренко
ПОГОДЖЕНО:
В. о. Голови Державного комiтету України з питань регуляторної полiтики та пiдприємництва	К. Ващенко
Голова Антимонопольного комiтету України	О. О. Костусєв
Мiнiстр освiти i науки України	С. М. Нiколаєнко

	ЗАТВЕРДЖЕНО наказом Адмiнiстрацiї Державної служби спецiального зв'язку та захисту iнформацiї України вiд 16 травня 2007 р. N 93
	Зареєстровано в Мiнiстерствi юстицiї України 16 липня 2007 р. за N 820/14087

ПОЛОЖЕННЯ
про державну експертизу в сферi технiчного захисту iнформацiї

1. Загальна частина

1.1. Це Положення, розроблене вiдповiдно до Законiв України "Про Державну службу спецiального зв'язку та захисту iнформацiї України", "Про наукову i науково-технiчну експертизу", "Про захист iнформацiї в iнформацiйно-телекомунiкацiйних системах", "Про iнформацiю"; постанови Кабiнету Мiнiстрiв України вiд 29 березня 2006 року N 373 "Про затвердження Правил забезпечення захисту iнформацiї в iнформацiйних, телекомунiкацiйних та iнформацiйно-телекомунiкацiйних системах", документiв нормативно-технiчного характеру з технiчного захисту iнформацiї, визначає порядок проведення експертизи у цiй сферi.

1.2. Державна експертиза в сферi технiчного захисту iнформацiї (далi - експертиза) проводиться з метою дослiдження, перевiрки, аналiзу та оцiнки об'єктiв експертизи щодо можливостi їх використання для забезпечення технiчного захисту iнформацiї (далi - ТЗI).

1.3. Дiя цього Положення поширюється на всiх юридичних та фiзичних осiб, якi є суб'єктами експертизи.

Суб'єктами експертизи є:

юридичнi та фiзичнi особи, якi виступають замовниками експертизи (далi - Замовники);

Адмiнiстрацiя Державної служби спецiального зв'язку та захисту iнформацiї України (далi - Адмiнiстрацiя);

пiдроздiли Державної служби спецiального зв'язку та захисту iнформацiї України, пiдприємства, установи та органiзацiї, якi проводять експертизу (далi - Органiзатори);

державнi органи, якi проводять експертизу в сферi свого управлiння;

фiзичнi особи - виконавцi експертних робiт з ТЗI (далi - Експерти).

1.4. Об'єктами експертизи є:

комплекснi системи захисту iнформацiї (далi - КСЗI), якi є невiд'ємною складовою частиною iнформацiйної, телекомунiкацiйної або iнформацiйно-телекомунiкацiйної системи (далi - IТС);

технiчнi та програмнi засоби, якi реалiзують функцiї ТЗI (далi - засоби ТЗI).

1.5. Експертиза може бути первинною, додатковою та контрольною.

Первинна експертиза є основним видом експертизи i передбачає виконання Органiзатором усiх потрiбних заходiв, визначених у роздiлi 3 цього Положення, для пiдготовки та прийняття рiшення щодо об'єкта експертизи.

Додаткова експертиза проводиться стосовно об'єктiв експертизи, щодо яких вiдкрилися новi науковi та науково-технiчнi обставини, або в зв'язку з закiнченням термiну дiї документiв, що засвiдчують результати експертизи.

Контрольна експертиза проводиться iншим Органiзатором з iнiцiативи Замовника за наявнiстю у нього обґрунтованих претензiй до висновку первинної чи додаткової експертизи або з iнiцiативи Адмiнiстрацiї для перевiрки висновку первинної чи додаткової експертизи.

1.6. Для органiзацiї та проведення експертизи Адмiнiстрацiя:

розробляє необхiднi нормативно-правовi акти та нормативнi документи, що забезпечують проведення експертизи, iнформує Органiзаторiв та Експертiв щодо введення їх у дiю;

формує реєстри Органiзаторiв та Експертiв;

реєструє заяви на проведення експертизи, надає Замовникам та Органiзаторам консультацiї стосовно порядку та органiзацiї проведення експертизи, оформлення документiв за результатами проведення експертизи;

приймає рiшення щодо можливостi й доцiльностi проведення та органiзацiї експертизи, зокрема контрольної;

у разi експертизи засобу ТЗI приймає рiшення щодо необхiдностi розроблення порядку вiдбору зразкiв для проведення випробувань;

реєструє, видає, призупиняє дiю або анулює експертнi висновки щодо можливостi використання засобiв ТЗI (далi - Експертнi висновки) та атестати вiдповiдностi КСЗI вимогам нормативних документiв з ТЗI (далi - Атестати);

здiйснює контроль за проведенням Органiзатором експертних випробувань та за дотриманням вимог експлуатацiї об'єкта експертизи, якi впливають на захищенiсть iнформацiї.

2. Права та обов'язки суб'єктiв експертизи

2.1. Замовник експертизи має право:

використовувати без обмежень висновки, результати i матерiали експертизи у своїй дiяльностi, якщо iнше не передбачено договором на проведення експертизи;

заявляти про необхiднiсть проведення контрольної або додаткової експертизи;

брати за погодженням з Органiзатором участь у проведеннi експертних робiт;

звертатися до Адмiнiстрацiї з питань проведення Органiзатором експертних випробувань.

2.2. Замовник експертизи зобов'язаний:

сприяти Органiзатору в проведеннi всебiчного комплексного дослiдження об'єкта експертизи для формування експертної оцiнки;

передавати Органiзатору в установленi договором строки необхiднi матерiали, розрахунки, данi, додатковi вiдомостi, що стосуються об'єкта експертизи, та надавати необхiдне для проведення експертизи обладнання.

2.3. Органiзатор експертизи має право:

здiйснювати всi необхiднi заходи з метою органiзацiї та проведення експертизи вiдповiдно до договiрних умов iз Замовником;

готувати пропозицiї щодо внесення (вилучення) фахiвцiв з питань ТЗI до (з) реєстру Експертiв;

готувати пропозицiї щодо розроблення та розробляти проекти нормативних документiв з питань проведення експертизи.

2.4. Органiзатор експертизи зобов'язаний:

забезпечувати неупереджене, об'єктивне та своєчасне проведення експертизи;

здiйснювати заходи для забезпечення контролю з боку Адмiнiстрацiї за проведенням експертних випробувань;

розглядати за дорученням Адмiнiстрацiї проекти нормативних документiв щодо виконання експертних робiт i надавати змiстовнi, обґрунтованi пропозицiї та зауваження;

виконувати вимоги до конфiденцiйностi проведення експертизи.

2.5. Експерт має право:

вiльно викладати особисту думку з питань експертизи, а також стосовно результатiв виконання робiт;

вимагати вiд Органiзатора надання достовiрних вiдомостей, матерiалiв, iнженерно-технiчного забезпечення, необхiдних для виконання експертних робiт та пiдготовки висновкiв;

уносити пропозицiї щодо вдосконалення форм i методiв проведення експертизи.

2.6. Експерт зобов'язаний:

об'єктивно, неупереджено та своєчасно виконувати експертнi роботи;

не допускати розголошення iнформацiї, що мiститься у матерiалах та висновках експертизи;

пред'являти на вимогу Замовника документи, якi пiдтверджують його досвiд та рiвень квалiфiкацiї.

3. Порядок органiзацiї та проведення експертизи

3.1. Для проведення експертизи Замовник надсилає заяву на iм'я Голови (заступника Голови) Держспецзв'язку (за винятком випадкiв, передбачених у роздiлi 5 цього Положення) про проведення експертизи КСЗI в IТС (додаток 1) або засобу ТЗI (додаток 2).

3.2. З метою розгляду заяв, координацiї заходiв та прийняття рiшень щодо проведення експертиз в Адмiнiстрацiї створюється експертна рада з питань державної експертизи у сферi технiчного захисту iнформацiї (далi - Експертна рада), дiяльнiсть якої визначається вiдповiдним положенням про цей орган.

3.3. За результатами розгляду заяви Експертна рада у мiсячний термiн приймає рiшення про доцiльнiсть проведення експертизи та визначає її Органiзатора.

3.4. У разi наявностi у Замовника обґрунтованих претензiй щодо порядку проведення або результатiв експертизи, вiн може звернутися до Адмiнiстрацiї з пропозицiєю щодо здiйснення контролю за проведенням Органiзатором експертних випробувань або iз заявою на iм'я Голови (заступника Голови) Держспецзв'язку про проведення контрольної експертизи.

3.5. Порядок подання та розгляду заяви Замовника про проведення контрольної експертизи КСЗI в IТС (додаток 3) або засобу ТЗI (додаток 4) здiйснюється вiдповiдно до пунктiв 3.1 - 3.3 цього Положення.

3.6. Основним документом, що регламентує вiдносини мiж Замовником i Органiзатором, є укладений мiж ними договiр на проведення експертизи.

3.7. Порядок фiнансування експертизи визначається вiдповiдно до законодавства України.

3.8. Результати, матерiали, висновки експертизи та створене або придбане за кошти Замовника матерiально-технiчне забезпечення є його власнiстю, якщо iнше не передбачено договором мiж Замовником i Органiзатором.

3.9. Термiн проведення експертизи визначається договором i не повинен перевищувати шести мiсяцiв. У разi значного обсягу експертних робiт термiн проведення експертизи може бути продовжений за згодою Адмiнiстрацiї та Замовника.

3.10. Список Експертiв, якi залучаються до виконання експертних робiт, визначається Органiзатором.

3.11. Замовник надає Органiзатору комплект органiзацiйно-технiчної документацiї на об'єкт експертизи, необхiдний для проведення експертних випробувань.

3.12. Органiзатор за результатами аналiзу наданих документiв i з урахуванням загальних методик оцiнювання задекларованих характеристик засобiв ТЗI та КСЗI, формує програму й окремi методики проведення експертизи об'єкта та розробляє, у разi необхiдностi, порядок вiдбору зразкiв засобiв ТЗI для проведення випробувань i вiдповiдне програмно-технiчне забезпечення.

3.13. Програма проведення експертизи узгоджується iз Замовником та Департаментом з питань захисту iнформацiї в iнформацiйно-телекомунiкацiйних системах Адмiнiстрацiї, а окремi методики - з зазначеним департаментом.

3.14. Термiни розробки окремої методики та необхiдних програмно-апаратних засобiв залежать вiд характеру та складностi об'єкта експертизи i визначаються у договорi на проведення експертизи.

3.15. Пiд час проведення експертизи кожний Експерт виконує експертнi роботи тiльки за дорученням Органiзатора та у вiдповiдностi до визначеної окремої методики.

3.16. Результати роботи оформлюються у виглядi протоколу виконання робiт (додаток 5) за пiдписом Експертiв, якi її виконували. Протокол затверджується Органiзатором.

3.17. Органiзатор може рекомендувати Експерту здiйснити редагування протоколiв виконаних робiт без змiни їх змiсту (стилiстичне редагування).

3.18. Узгодження результатiв окремих робiт мiж Експертом та Органiзатором, а також унесення змiн до протоколiв пiсля їх оформлення або поєднання результатiв окремих робiт в одному протоколi не дозволяється.

3.19. У протоколi можуть бути зафiксованi особливi думки Експертiв вiдносно результатiв виконаних робiт.

3.20. У разi виявлення невiдповiдностi об'єкта експертизи вимогам нормативних документiв з ТЗI, Органiзатор може запропонувати Замовнику виконати доробку об'єкта.

3.21. Термiн доробки об'єкта експертизи визначається спiльним протоколом або додатковою угодою до договору мiж Замовником та Органiзатором.

3.22. Вiдомостi щодо всiх доробок, а також результати додаткових експертних робiт оформлюються окремими протоколами.

3.23. Результати робiт, визначених окремою методикою, узагальнюються Органiзатором в Експертному висновку.

3.24. Висновки щодо кожного пункту окремої методики, а також особливi думки Експертiв, зафiксованi в протоколах, включаються до Експертного висновку як складовi частини без унесення до них будь-яких змiн.

3.25. За результатами проведених робiт Органiзатор складає Експертний висновок (додаток 6) вiдповiдного змiсту (додаток 7) щодо вiдповiдностi об'єкта експертизи вимогам нормативних документiв з ТЗI, пiдписує його i подає до Адмiнiстрацiї.

4. Порядок надання Експертного висновку та Атестата

4.1. Експертний висновок на засiб ТЗI розглядається Експертною радою i, у разi затвердження результатiв експертизи, реєструється та видається Замовнику.

4.2. На пiдставi позитивного рiшення щодо експертизи КСЗI Замовнику видається зареєстрований Атестат вiдповiдностi (додаток 8) за пiдписом Голови (заступника Голови) Держспецзв'язку.

4.3. Експертнi висновки на засоби ТЗI та Атестати друкуються на бланках суворого облiку, якi виготовляються в установленому законодавством порядку.

4.4. Адмiнiстрацiя має право призупинити або анулювати дiю Експертного висновку або Атестата.

5. Особливостi проведення експертиз комплексних систем захисту iнформацiї державними органами

5.1. Адмiнiстрацiя надає державному органу повноваження з органiзацiї та проведення первинних або додаткових експертиз КСЗI в IТС за умови погодження з Адмiнiстрацiєю порядку їх здiйснення.

5.2. Державнi органи, якi мають дозвiл Адмiнiстрацiї на проведення робiт з ТЗI для власних потреб та отримали вiд Адмiнiстрацiї зазначенi повноваження:

здiйснюють органiзацiю та проведення експертиз КСЗI в IТС у сферi свого управлiння;

видають Атестат вiдповiдностi, який реєструється Адмiнiстрацiєю.

Заступник директора Департаменту з питань захисту iнформацiї в iнформацiйно-телекомунiкацiйних системах Адмiнiстрацiї Держспецзв'язку

О. С. Зубрицький

	Додаток 1 до пункту 3.1 Положення про державну експертизу в сферi технiчного захисту iнформацiї
	Головi (заступнику Голови) Державної служби спецiального зв'язку та захисту iнформацiї України

Заява

про проведення		експертизи комплексної системи захисту
	(первинної/додаткової)

iнформацiї iнформацiйно-телекомунiкацiйної системи

	,
(назва IТС)

що належить
	(назва органiзацiї (пiдприємства, установи) - власника (розпорядника) IТС,

її мiсцезнаходження)

Додатки:
1) технiчне завдання на створення КСЗI зазначеної IТС;
2) формуляр IТС.

Замовник експертизи	(пiдпис)	(iнiцiали, прiзвище)
М. П.
	___ ____________ ____ (дата)

О. С. Зубрицький

	Додаток 2 до пункту 3.1 Положення про державну експертизу в сферi технiчного захисту iнформацiї
	Головi (заступнику Голови) Державної служби спецiального зв'язку та захисту iнформацiї України

Заява

про проведення		експертизи засобу технiчного захисту iнформацiї
	(первинної/додаткової)

	,
(назва засобу технiчного захисту iнформацiї)

наданого
	(назва органiзацiї (пiдприємства, установи) - замовника експертизи,

її мiсцезнаходження)

Необхiднiсть проведення експертизи обумовлена:

Додаток: технiчне завдання та/або паспорт на засiб технiчного захисту iнформацiї.

Замовник експертизи	(пiдпис)	(iнiцiали, прiзвище)
М. П.
	___ ____________ ____ (дата)

О. С. Зубрицький

	Додаток 3 до пункту 3.5 Положення про державну експертизу в сферi технiчного захисту iнформацiї
	Головi (заступнику Голови) Державної служби спецiального зв'язку та захисту iнформацiї України

Заява

про проведення контрольної експертизи комплексної системи захисту iнформацiї iнформацiйно-телекомунiкацiйної системи

	,
(назва IТС)

що належить
	(назва органiзацiї (пiдприємства, установи) - власника (розпорядника) IТС,

її мiсцезнаходження)

Необхiднiсть проведення контрольної експертизи обумовлена:

Додатки:
     1) Експертний висновок первинної експертизи;
     2) технiчне завдання на створення КСЗI зазначеної IТС;
     3) формуляр IТС.

Замовник експертизи	(пiдпис)	(iнiцiали, прiзвище)
М. П.
	___ ____________ ____ (дата)

О. С. Зубрицький

	Додаток 4 до пункту 3.5 Положення про державну експертизу в сферi технiчного захисту iнформацiї
	Головi (заступнику Голови) Державної служби спецiального зв'язку та захисту iнформацiї України

Заява

про проведення контрольної експертизи засобу технiчного захисту iнформацiї

	,
(назва засобу технiчного захисту iнформацiї)

наданого
	(назва органiзацiї (пiдприємства, установи) - замовника експертизи,

її мiсцезнаходження)

Необхiднiсть проведення експертизи обумовлена:

Додатки:
1) Експертний висновок первинної експертизи;
2) технiчне завдання та/або паспорт на засiб технiчного захисту iнформацiї.

Замовник експертизи	(пiдпис)	(iнiцiали, прiзвище)
М. П.
	___ ____________ ____ (дата)

О. С. Зубрицький

	Додаток 5 до пункту 3.16 Положення про державну експертизу в сферi технiчного захисту iнформацiї
	ЗАТВЕРДЖУЮ

	(посада керiвника органiзатора експертизи)

	(пiдпис)	(iнiцiали, прiзвище)
	М. П. ___ ____________ ____

Протокол
виконання робiт вiдповiдно до _____ (пункту) окремої методики експертизи комплексної системи (засобу) технiчного захисту iнформацiї

1. Змiст _____ (пункту) окремої методики експертизи об'єкта

2. Перелiк документiв i специфiкацiї програмних та технiчних засобiв, наданих Замовником експертизи для виконання робiт

3. Результати робiт щодо _____ (пункту) окремої методики експертизи об'єкта

4. Висновок щодо вiдповiдностi об'єкта експертизи вимогам нормативних документiв системи ТЗI в обсязi функцiй, зазначених у паспортi засобу технiчного захисту iнформацiї (технiчному завданнi на створення комплексної системи захисту iнформацiї)

5. Особлива думка Експерта

Експерти
	(пiдпис)	(iнiцiали, прiзвище)
	___ ____________ ____ (дата)

О. С. Зубрицький

Додаток 6
до пункту 3.25 Положення про державну експертизу в сферi технiчного захисту iнформацiї

ЕКСПЕРТНИЙ ВИСНОВОК

	Зареєстровано¹ в Адмiнiстрацiї Державної служби спецiального зв'язку та захисту iнформацiї України
	___ ____________ ____ за N ___
	Дiйсний до ___ ____________ ____
	Голова (заступник Голови) Держспецзв'язку

	(пiдпис)	(iнiцiали, прiзвище)
	М. П.
Результати експертизи свiдчать, що комплексна система (засiб) технiчного захисту iнформацiї

	,
(назва IТС або засобу ТЗI)

що належить (наданий на експертизу)
	(назва органiзацiї (пiдприємства, установи) -

власника (розпорядника), її мiсцезнаходження)

(вiдповiдає, не вiдповiдає)

вимогам нормативних документiв з технiчного захисту iнформацiї в обсязi функцiй, зазначених у технiчному завданнi (паспортi) N __________________.

Вимоги до умов експлуатацiї (сфера використання) об'єкта експертизи визначенi у вiдповiдному роздiлi цього Експертного висновку.

Керiвник органiзатора експертизи
	(пiдпис)	(iнiцiали, прiзвище)
	М. П.

О. С. Зубрицький

____________
¹ Реєстрацiя здiйснюється тiльки для засобiв ТЗI.

Додаток 7
до пункту 3.25 Положення про державну експертизу в сферi технiчного захисту iнформацiї

ЗМIСТ
Експертного висновку

1. Загальнi вiдомостi щодо об'єкта експертизи: тип, мiсце розташування, власник.

2. Загальна характеристика об'єкта експертизи (призначення, функцiї, можливостi).

3. Вимоги нормативних документiв з технiчного захисту iнформацiї, на вiдповiднiсть яким здiйснюється оцiнка об'єкта експертизи.

4. Назва окремої методики, згiдно з якою здiйснювалася оцiнка об'єкта експертизи, ким розроблена та затверджена, реєстрацiйний номер та дата затвердження.

5. Перелiк документiв i специфiкацiй програмних та технiчних засобiв, якi надано замовником органiзатору експертизи.

6. Результати робiт щодо кожного пункту окремої методики експертизи об'єкта.

7. Розгорнутий висновок щодо вiдповiдностi об'єкта експертизи вимогам нормативних документiв системи ТЗI.

8. Сфера використання (вимоги до умов експлуатацiї) об'єкта експертизи.

9. Термiн дiї експертного висновку.

10. Особливi думки експертiв, зафiксованi в протоколах.

О. С. Зубрицький

Додаток 8
до пункту 4.2 Положення про державну експертизу в сферi технiчного захисту iнформацiї

ДЕРЖАВНА СЛУЖБА СПЕЦIАЛЬНОГО ЗВ'ЯЗКУ ТА ЗАХИСТУ IНФОРМАЦIЇ УКРАЇНИ

СИСТЕМА ТЕХНIЧНОГО ЗАХИСТУ IНФОРМАЦIЇ

АТЕСТАТ ВIДПОВIДНОСТI

	Зареєстровано в Адмiнiстрацiї Державної служби спецiального зв'язку та захисту iнформацiї України
	___ ____________ 200 за N ___
	Дiйсний до ___ ____________ 200

(назва державного органу, яким надано Атестат)

засвiдчує, що комплексна система захисту iнформацiї
	(назва

	,
IТС)

що належить
	(назва державного органу /органiзацiї, пiдприємства, установи/ - власника /розпорядника IТС,

її мiсцезнаходження)

забезпечує захист iнформацiї вiдповiдно до вимог нормативних документiв з технiчного захисту iнформацiї.
Атестат видано на пiдставi Експертного висновку, який надано органiзатором експертизи -

(назва державного органу

(органiзацiї, пiдприємства, установи), що є органiзатором експертизи)

Експертний висновок додається до цього Атестата та є його невiд'ємною частиною.
Вимоги до умов експлуатацiї об'єкта експертизи визначено у вiдповiдному роздiлi Експертного висновку.

Керiвник органу, яким надано Атестат
	(пiдпис)	(iнiцiали, прiзвище)
	М. П.

О. С. Зубрицький