Доброго дня!
Если говорить о том, в каких ситуациях необходимо проведение каких-либо исследований в системе сертификации ФСБ РФ при использовании СКЗИ, то информация об этом содержится в эксплуатационной документации на КриптоПро CSP. В частности, перечень случаев, когда необходимо проведение работ по оценке влияния или по тематическим исследованиям (сертификации как самостоятельного СКЗИ), приведен в пункте 1.5 Формуляра, где сказано:
«1.5 При встраивании СКЗИ в прикладные системы необходимо по Техническому заданию, согласованному с 8 Центром ФСБ России, проводить оценку влияния среды функционирования СКЗИ на выполнение предъявленных к СКЗИ требований в случаях:
если информация конфиденциального характера подлежит защите в соответствии с законодательством Российской Федерации;
при организации защиты конфиденциальной информации, обрабатываемой СКЗИ, в федеральных органах исполнительной власти, органах исполнительной власти субъектов Российской Федерации;
при организации криптографической защиты конфиденциальной информации, обрабатываемой СКЗИ, в организациях независимо от их организационно-правовой формы и формы собственности при выполнении ими заказов на поставку товаров, выполнение работ или оказание услуг для государственных нужд;
если обязательность защиты информации конфиденциального характера возлагается законодательством Российской Федерации на лиц, имеющих доступ к этой информации или наделенных полномочиями по распоряжению сведениями, содержащимися в данной информации;
при обрабатывании информации конфиденциального характера, обладателем которой являются государственные органы или организации, выполняющие государственные заказы, в случае принятия ими мер по охране ее конфиденциальности путем использования средств криптографической защиты;
при обрабатывании информации конфиденциального характера в государственных органах и в организациях, выполняющих государственные заказы, обладатель которой принимает меры к охране ее конфиденциальности путем установления необходимости криптографической защиты данной информации.»
и
«В случае использования вызовов, не входящих в перечень Приложения 2 документа ЖТЯИ.00087-03 95 01. Правила пользования, необходимо производить разработку отдельного СКЗИ на базе «КриптоПро CSP» версия 4.0 R4 в соответствии с действующей нормативной базой (в частности, с Постановлением Правительства Российской Федерации от 16 апреля 2012 г. №313 и Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)).»
Цитата:Если мы используем КриптоПро SDK для интеграции нужна ли сертификация разрабатываемоего ПО?
В случае использования КриптоПро SDK для создания/проверки ЭП сертификация разрабатываемого ПО не требуется (в силу того, что для создания/проверки ЭП используются только вызовы входящие в перечень Приложения 2 Правил пользования), однако проведение работ по оценке влияния разрабатываемого ПО на СКЗИ нужно (если ваше ПО подпадает под пункты, перечисленные выше).
Цитата:Если мы используем Cryptcp.exe для проверки\создания подписей нужна ли сертификация данного ПО?
По поводу данной утилиты в Правилах пользования на КриптоПро CSP указано:
«Следующие программные компоненты СКЗИ «КриптоПро CSP» версии 4.0 R4 можно использовать без проведения дополнительных тематических исследований:
приложение командной строки для подписи и шифрования файлов cryptcp;
приложение командной строки для работы с сертификатами certmgr;
приложение для создания TLS-туннеля stunnel.»
При этом, в общем случае работы по оценке влияния на СКЗИ так же должны быть проведены (если ваше ПО подпадает под пункты, перечисленные выше).
С уважением, Багин Дмитрий
Начальник отдела анализа безопасности систем
