Запрос «криптопро csp сертификат фсб» относится к сертификату соответствия на конкретное исполнение средства криптографической защиты информации, а не к электронной подписи пользователя. Чтобы оценить применимость продукта, нужно сопоставить версию, исполнение, условия эксплуатации и документацию с требованиями информационной системы, заказчика и проекта защиты.
Коротко о главном
- КриптоПро CSP представляет собой криптопровайдер для выполнения криптографических операций, включая создание и проверку электронной подписи.
- Сертификат ФСБ России относится к конкретному средству криптографической защиты информации и его сертифицированному исполнению.
- Одного коммерческого названия продукта недостаточно. Проверке подлежат версия КриптоПро CSP, исполнение, состав поставки и эксплуатационная документация.
- Лицензия на программное обеспечение, сертификат ключа проверки электронной подписи и нотификация ФСБ решают другие задачи.
- Сертификат на отдельный криптографический компонент не подтверждает соответствие всей информационной системы требованиям по защите информации.
- До закупки, обновления или миграции следует проверить реквизиты сертификата, область применения и ограничения конкретной поставки.
Что означает сертификат ФСБ на КриптоПро CSP
Средство криптографической защиты информации, сокращённо СКЗИ, выполняет криптографические преобразования для защиты данных. В зависимости от назначения решения это может быть формирование и проверка электронной подписи, вычисление хеш-значений, шифрование, расшифрование, контроль целостности, работа с ключевой информацией и другие операции, предусмотренные функциональностью продукта.
КриптоПро CSP работает как криптопровайдер. При использовании электронной подписи он взаимодействует с операционной системой, прикладным программным обеспечением, ключевым носителем, сертификатом ключа проверки электронной подписи и сервисом, в котором пользователь подписывает или проверяет документ. Браузерный плагин, корпоративная система или веб-сервис могут обращаться к криптопровайдеру, но не заменяют его.
Сертификат соответствия ФСБ России подтверждает, что определённое средство криптографической защиты информации в указанном исполнении соответствует установленным требованиям в пределах, отражённых в сертификате и связанной с ним документации. Такой документ нельзя переносить на любые редакции, произвольные сборки, неописанные обновления или иной состав программных компонентов только из-за совпадения торгового наименования.
Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» задаёт общий правовой контекст защиты информации. Федеральный закон № 63-ФЗ «Об электронной подписи» регулирует отношения в области электронной подписи и использует отдельное понятие сертификата ключа проверки электронной подписи. Эти документы не дают оснований считать пользовательский сертификат подписи сертификатом соответствия на СКЗИ.
Поддержка алгоритмов, установленных российскими стандартами серии ГОСТ Р 34, тоже не равна сертификации продукта. В описании программного обеспечения могут упоминаться алгоритмы электронной подписи, хеширования и блочного шифрования по ГОСТ Р 34.10, ГОСТ Р 34.11, ГОСТ Р 34.12 и ГОСТ Р 34.13. Это характеризует функциональность, но сертификат ФСБ проверяют отдельно для конкретной версии и исполнения.
Чем сертификат соответствия ФСБ отличается от других документов
Слово «сертификат» используется сразу в нескольких контекстах. Из-за этого лицензию на КриптоПро CSP или сертификат электронной подписи иногда ошибочно предъявляют как подтверждение сертификации СКЗИ. Назначение документа нужно определять по его содержанию и органу, который его оформил.
| Документ или понятие | Что подтверждает или регулирует | Чего не подтверждает |
|---|---|---|
| Сертификат соответствия ФСБ России на СКЗИ | Соответствие конкретного средства криптографической защиты информации установленным требованиям в пределах указанного исполнения и условий применения | Соответствие всей информационной системы и наличие электронной подписи у пользователя |
| Сертификат ключа проверки электронной подписи | Связь ключа проверки электронной подписи с владельцем сертификата и другие сведения, предусмотренные инфраструктурой электронной подписи | Сертификацию установленного криптопровайдера как СКЗИ |
| Лицензия на программное обеспечение | Право использовать КриптоПро CSP в установленном лицензионными условиями объёме | Соответствие программного продукта требованиям ФСБ России |
| Нотификация ФСБ | Сведения о продукции с криптографическими функциями для целей внешнеэкономического регулирования | Сертификацию средства криптографической защиты информации |
| Лицензия ФСБ России на деятельность | Право организации выполнять виды работ в области криптографической защиты информации, для которых законодательство предусматривает лицензирование | Наличие сертификата соответствия на конкретный программный продукт |
| Аттестат соответствия объекта информатизации | Результат оценки объекта информатизации в установленной для него области и конфигурации | Сертификацию каждого применяемого продукта вне контекста аттестованного объекта |
Поставщик программного обеспечения вправе передать лицензию, дистрибутив, документацию и копию сертификата производителя. Самостоятельно «выдать сертификат ФСБ» поставщик не может. Сертификат соответствия оформляют в установленной системе сертификации, а его реквизиты должны совпадать с данными о проверяемом продукте.
В каких случаях нужно проверять сертификат на КриптоПро CSP
Сертифицированное исполнение требуется не для каждого компьютера, на котором пользователь подписывает документы. Основание для проверки возникает из нормативных требований к системе, модели защиты, проектной документации, договора, технического задания либо правил владельца информационного ресурса. Сначала определяют режим эксплуатации, затем выбирают программное средство.
Защищаемые информационные системы
При обработке персональных данных криптографическая защита рассматривается в составе системы мер безопасности. Федеральный закон № 152-ФЗ «О персональных данных» устанавливает обязанности оператора по защите персональных данных. Приказ ФСБ России № 378 регулирует организационные и технические меры при использовании средств криптографической защиты информации, а приказ ФСТЭК России № 21 устанавливает состав и содержание мер по обеспечению безопасности персональных данных в информационных системах.
Ни один из этих актов нельзя сводить к универсальной формуле «установить КриптоПро CSP». Конкретный набор мер зависит от характеристик системы, обрабатываемых данных, актуальных угроз, архитектуры и принятых проектных решений. Если выбран криптографический метод защиты, специалисты проверяют допустимость СКЗИ и условия его эксплуатации применительно к этой системе.
Для государственных, ведомственных, корпоративных и отраслевых систем могут действовать отдельные требования владельца или заказчика. ФСБ России отвечает за вопросы криптографической защиты в пределах своей компетенции. ФСТЭК России регулирует техническую защиту информации в относящихся к её компетенции областях, а Роскомнадзор контролирует соблюдение законодательства о персональных данных.
Закупки, тендеры и договоры с заказчиками
В техническом задании заказчик может потребовать сертифицированное СКЗИ, обозначить необходимую версию, исполнение, совместимость или документальное подтверждение. Участнику закупки следует проверить, соответствует ли предлагаемая поставка каждому проверяемому условию. Формулировка продавца «версия сертифицирована» не заменяет копию документа и сопоставление реквизитов.
Если документация требует конкретный класс или уровень защиты, его нельзя определять по общему описанию продукта. Нужное значение проверяют по сертификату, эксплуатационной документации и требованиям системы. Отсутствие точного соответствия способно привести к отклонению предложения, невозможности приёмки или необходимости менять конфигурацию после закупки.
Обновление КриптоПро CSP
Переход с КриптоПро CSP 4.0 на КриптоПро CSP 5.0 либо на другую редакцию нельзя считать простой заменой номера версии, когда система предусматривает применение сертифицированного СКЗИ. До обновления проверяют, какое исполнение планируется установить, охватывается ли оно сертификатом, поддерживает ли нужную операционную систему и разрешена ли такая конфигурация документацией проекта.
Изменение младшей редакции, установка патча или замена дистрибутива также требуют внимания, если состав сертифицированного исполнения ограничен документацией. Универсального правила, по которому любое обновление сохраняет сертифицированный статус, нет. Решение должно опираться на документы к конкретной поставке, а не на сходство интерфейса или функций.
Работа с электронной подписью без регулируемого контура
Для типовой подписи документов пользователь обычно ориентируется на требования информационной системы, рекомендации удостоверяющего центра и совместимость рабочего места. Самостоятельная экспертиза сертификата ФСБ требуется не во всех таких случаях. Вопрос становится существенным, когда организация проектирует защищённую систему, исполняет условия заказчика, проходит контроль или должна документально подтвердить использование сертифицированного СКЗИ.
Как проверить, подходит ли конкретная версия КриптоПро CSP
Проверку лучше проводить до покупки лицензий и установки дистрибутива. Тогда несоответствие можно устранить на уровне спецификации, не меняя уже развёрнутую систему. Для регулируемого контура результаты сопоставления стоит сохранять вместе с проектной и эксплуатационной документацией.
- Зафиксируйте продукт. Запишите точное наименование, номер версии, редакцию, сборку и характеристики исполнения, указанные в дистрибутиве и документах поставщика. Разрядность учитывают, если она влияет на состав поставки или условия совместимости.
- Определите сценарий применения. Уточните, нужен ли криптопровайдер для электронной подписи, шифрования, защиты персональных данных, доступа к ведомственной системе, корпоративной интеграции или выполнения требований договора.
- Соберите требования. Изучите техническое задание, модель угроз, проект системы защиты, внутренние регламенты и требования владельца информационной системы. Нельзя оценить применимость СКЗИ без понимания задачи.
- Получите первичные документы. Запросите реквизиты сертификата соответствия, его копию, сведения о сертифицированном исполнении и эксплуатационную документацию. Информацию сопоставляют с официальными сведениями ФСБ России и документами производителя.
- Сверьте идентификационные признаки. Проверьте название средства, версию, исполнение, состав компонентов и ограничения. Совпадение только слов «КриптоПро CSP» недостаточно.
- Оцените актуальность. Установите статус сертификата на дату закупки, обновления или принятия проектного решения. Одновременно изучите условия использования ранее приобретённых экземпляров, если срок действия документа завершился.
- Проверьте среду эксплуатации. Сопоставьте операционную систему, архитектуру, ключевые носители, прикладное программное обеспечение и другие компоненты с документацией на выбранное исполнение.
- Зафиксируйте решение. Сохраните копии документов и результат сопоставления во внутреннем комплекте проекта, если этого требуют закупочная процедура, заказчик, аттестация или правила контроля.
Что запросить у поставщика или интегратора
- Реквизиты документа. Нужны сведения, по которым можно однозначно определить сертификат соответствия и проверить его статус.
- Описание исполнения. Поставщик должен обозначить версию, редакцию, сборку и состав передаваемого программного обеспечения.
- Лицензионные условия. Они показывают, на каком количестве рабочих мест или в каком режиме разрешено использовать продукт, но не заменяют сертификат.
- Эксплуатационную документацию. В ней проверяют порядок установки, настройки, применения и ограничения сертифицированного исполнения.
- Сведения о совместимости. Оцениваются операционная система, прикладные решения, браузерные компоненты, носители ключей и предполагаемая архитектура.
- Состав поставки. Для проекта может иметь значение происхождение дистрибутива, комплект документации и наличие предусмотренных формуляров либо иных сопроводительных материалов.
А что делать, если поставщик прислал только лицензионный ключ и рекламное описание? Этого недостаточно для подтверждения сертифицированного исполнения. Следует запросить идентифицирующие сведения о поставляемой версии, реквизиты сертификата и документацию, которая связывает конкретный дистрибутив с сертифицированным продуктом.
Сертификат, версия и исполнение: почему нельзя ориентироваться только на название продукта
Одно коммерческое название может охватывать несколько поколений, редакций и вариантов поставки. КриптоПро CSP 4.0 и КриптоПро CSP 5.0 нельзя объединять в один объект проверки только потому, что обе версии выполняют сходные криптографические операции. У каждой поставки могут отличаться компоненты, совместимость, документация и область допустимого применения.
Исполнение описывает продукт точнее, чем название на коробке или в счёте. Оно может учитывать состав программных модулей, поддерживаемую платформу, способ поставки, документацию и условия эксплуатации. Значимые идентификаторы нужно брать из сертификата и документации, не предполагая их заранее.
Обновление способно изменить программный код или состав компонентов. Даже если после установки сохраняется поддержка тех же алгоритмов ГОСТ и электронная подпись продолжает работать, из этого не следует, что новая конфигурация охватывается прежним сертификатом. Функциональная работоспособность и подтверждённое соответствие представляют собой разные критерии.
В техническом задании формулировка «КриптоПро CSP с сертификатом ФСБ» оставляет слишком много неопределённости. Проверяемое требование должно описывать назначение средства, совместимость, необходимое исполнение и документы, которыми участник подтвердит соответствие. Если проект устанавливает требования к классу защиты, их также фиксируют по применимой документации, не подставляя значение по памяти.
Что означает завершение срока действия сертификата
Завершение срока действия сертификата не даёт универсального ответа о судьбе уже приобретённого экземпляра программы. Нельзя без анализа утверждать ни то, что продукт следует немедленно удалить, ни то, что его разрешено бессрочно использовать в любой системе. Условия зависят от содержания документа, времени выпуска или приобретения экземпляра, эксплуатационной документации и требований конкретного контура.
Перед продолжением эксплуатации ответственный специалист устанавливает, какая версия фактически установлена, когда и на каком основании она введена в работу, распространяются ли на неё предусмотренные условия, а также требует ли проект перехода на новое сертифицированное исполнение. Для закупки новых лицензий актуальность оценивают на дату принятия решения.
Общий порядок действий с документами, срок которых завершился, разобран в материале что делать после окончания срока действия сертификата. Правила обращения продукции и эксплуатация СКЗИ относятся к разным режимам регулирования, поэтому выводы из одного режима нельзя автоматически переносить в другой.
Какие ошибки встречаются чаще всего
Путают сертификат ФСБ и сертификат электронной подписи
Сертификат ключа проверки электронной подписи содержит сведения, связывающие ключ проверки с владельцем. Сертификат ФСБ на СКЗИ относится к криптографическому средству. Пользователь может иметь действующую квалифицированную электронную подпись, но этот факт сам по себе ничего не говорит о сертифицированном статусе установленной версии криптопровайдера.
Устанавливают более новую версию без проверки документов
Новая версия может быть удобнее, поддерживать актуальную операционную систему и успешно подписывать документы. Для защищённого контура этого недостаточно. До миграции проверяют сертификат, исполнение, совместимость и допустимость изменений по проектной документации.
Считают, что сертификат на ПО заменяет защиту всей системы
СКЗИ представляет собой один компонент. Без правил управления ключами, разграничения доступа, настройки рабочих мест, контроля целостности, подготовки персонала и других предусмотренных мер система не получает подтверждение соответствия только за счёт установки криптопровайдера.
Используют нотификацию вместо подтверждения сертификации СКЗИ
Нотификация ФСБ относится к внешнеэкономическим операциям с продукцией, имеющей криптографические функции. Она не подтверждает свойства КриптоПро CSP как сертифицированного средства криптографической защиты информации. Нотификация и сертификат соответствия различаются по предмету, назначению и процедуре.
Ориентируются на новость, а не на документ
Сообщение производителя о получении или продлении сертификата полезно как начальная информация. Окончательное решение принимают после сверки реквизитов, версии, исполнения, области применения и статуса документа. Заголовок новости не показывает всех ограничений.
Считают отказное письмо альтернативой сертификату
Отказные письма применяются в сфере подтверждения соответствия продукции, когда нужно обосновать отсутствие определённого обязательного документа. Они не подтверждают сертификацию СКЗИ и не заменяют сертификат ФСБ. Различия в назначении таких документов раскрывает материал об оформлении отказного письма по сертификации.
Практический сценарий проверки перед внедрением
Ситуация: организация планирует установить криптопровайдер в информационной системе, для которой заказчик требует использовать сертифицированное средство криптографической защиты информации. В спецификации указано название КриптоПро CSP, но не определены редакция и состав исполнения.
- ИТ-специалист описывает среду. Он фиксирует предполагаемую версию криптопровайдера, операционную систему, прикладной сервис, ключевые носители и способ использования электронной подписи.
- Ответственный за защиту информации изучает требования. Он сопоставляет техническое задание, проектную документацию, модель угроз и внутренние регламенты.
- Поставщик раскрывает состав поставки. Организация получает данные о версии и исполнении, реквизиты сертификата соответствия, лицензионные условия и эксплуатационную документацию.
- Команда проводит документальную сверку. Название, версия, исполнение и условия эксплуатации сравниваются с требованиями проекта и официальными сведениями.
- Результат включают в документы проекта. Решение о закупке, внедрении или корректировке спецификации принимают после проверки, а не после установки программы.
В этом сценарии решающим становится доказуемое соответствие конкретной поставки требованиям заказчика. Сам факт наличия КриптоПро CSP на рабочем месте не закрывает вопрос о применимости сертифицированного исполнения.
Связанные темы, которые стоит проверить вместе с сертификатом
Работоспособность электронной подписи зависит не только от криптопровайдера. Перед вводом рабочего места в эксплуатацию проверяют сертификат ключа, закрытый ключ и носитель, корректность системного времени, доверенные сертификаты, браузерный компонент, права пользователя и совместимость с целевой информационной системой.
- Установка и настройка КриптоПро CSP. Нужны корректный дистрибутив, лицензия, поддерживаемая операционная система и соблюдение эксплуатационной документации.
- Проверка электронной подписи. Следует различать состояние пользовательского сертификата, доступность закрытого ключа и исправность криптопровайдера.
- КриптоПро ЭЦП Browser plug-in. Плагин связывает браузерный сценарий подписания с КриптоПро CSP, но выполняет другую функцию и проверяется отдельно.
- Регистрация деклараций. Для работы во ФГИС Росаккредитации организация использует электронную подпись и программные компоненты, соответствующие техническим требованиям системы.
- Нотификация ФСБ. Этот документ проверяют при внешнеэкономических операциях с продукцией, имеющей функции шифрования. Он не подтверждает сертификацию КриптоПро CSP как СКЗИ.
Вывод
Сертификат ФСБ на КриптоПро CSP оценивают вместе с версией, исполнением, дистрибутивом, документацией и условиями эксплуатации. Сертификат на криптопровайдер не заменяет проектирование защиты всей информационной системы. Перед закупкой, миграцией или обновлением следует документально сопоставить конкретную поставку с требованиями проекта.
FAQ
КриптоПро CSP и сертификат электронной подписи — это одно и то же?
Нет. КриптоПро CSP представляет собой криптопровайдер, который выполняет криптографические операции. Сертификат ключа проверки электронной подписи относится к владельцу подписи и его ключу, а сертификат соответствия ФСБ России относится к конкретному исполнению СКЗИ.
Нужно ли проверять сертификат ФСБ при каждом обновлении КриптоПро CSP?
Если продукт применяется в системе с требованиями к сертифицированным СКЗИ, до обновления нужно установить, охватывает ли сертификат предполагаемую версию и исполнение. Для обычного пользовательского обновления порядок определяют требования владельца системы, заказчика и используемого сервиса.
Можно ли подтвердить сертификат ФСБ лицензией на КриптоПро CSP?
Нет. Лицензия подтверждает право использования программного обеспечения в установленном объёме. Сертификат соответствия подтверждает свойства конкретного сертифицированного исполнения средства криптографической защиты информации. При закупке могут потребоваться оба документа.
Нотификация ФСБ заменяет сертификат соответствия на КриптоПро CSP?
Нет. Нотификация связана с внешнеэкономическим регулированием продукции, содержащей функции шифрования. Сертификат соответствия ФСБ России подтверждает соответствие конкретного СКЗИ установленным требованиям в пределах указанного исполнения.
Что делать, если срок действия сертификата на используемую версию закончился?
Нужно проверить условия сертификата, документацию производителя, дату и основания ввода экземпляра в эксплуатацию, а также требования конкретной информационной системы. Само окончание срока документа не позволяет без анализа сделать универсальный вывод о немедленном прекращении или бессрочном продолжении эксплуатации.
Достаточно ли сертификата ФСБ для использования КриптоПро CSP в системе персональных данных?
Нет. Сертификат подтверждает свойства конкретного СКЗИ, но защита персональных данных включает совокупность организационных и технических мер. Их определяют с учётом требований к системе, актуальных угроз, архитектуры, приказа ФСБ России № 378 и приказа ФСТЭК России № 21.
