Сертификация на НДВ (ФСТЭК) - Форум по вопросам информационной безопасности

Необходимо получить сертификат по 4-му уровню НДВ на ППО разграничения доступа к информации. В одной из испытательной лаборатории (аккредитованной ФСТЭК) сказали что сначала надо получить лицензию на право "разработки и или производство средств защиты информации" а потом получать по НДВ. В принципе логично, но не совсем: во первых лицензию на НДВ могут получать не только разработчики СЗИ, во-вторых по сущ. законодательству нет четкой последовательности прох. сертификации... Помогите разобраться!

Бессовестно врут. Ткните их носом в реестр сертифицированных СЗИ (например, сертификат №1637) и попросите объяснить, почему этого сертификата не может быть. Лицензии у разработчика нет.

Заявителем при сертификации может быть кто угодно, не обязательно разработчик и даже правообладатель ПО. Главное, чтобы он имел возможность предоставить необходимую документацию и исходный код.

Такое требование предъявляется к тем, кто собирается сертифицироватьсерийное производство.
И,кстати, "лицензии на НДВ" не существует.

sorry описался, сертификат НДВ

> Такое требование предъявляется к тем, кто собирается сертифицироватьсерийное производство.

Некто, 100%? Терзают меня смутные сомнения.

Как правило, производство заключается в тиражировании эталонного сертифицированного образца, причем делает это часто не разработчик, а заявитель. Ничего, что было бы связано с разработкой как с лицензируемым видом деятельности, при производстве не происходит. Явных требований в нормативных документах я тоже что-то не припомню.

Лицензия на право "разработки и или производство средств защиты информации" обязательна.

Странник, для разработчика или заявителя? На основании какого документа?
Я не докапываюсь, просто хочу разобраться.

Для разработчика - да.
Заявитель может быть одним из разработчиков, если разработка совместна.
Заявитель просто - тогда зачем ему это делать
Если для дальнейшего производства - то лицензия нужна.
Если нет - то необходим комплект документов для сертификации, договор с разработчиком об использовании разработки ил иное основание. В данном случае зачем ему сертификат если невозможно производить с последующей продажей.

В дополнение - я правильно понимаю речь не идет о продлении сертификата, а о первичном получении?

> Для разработчика - да.

Верю, и понимаю почему.

> Заявитель может быть одним из разработчиков, если разработка совместна.

Заявителем может быть кто угодно, включая конечного потребитедя. Это - общие правила, установленные для всей системы сертификации, независимо от целевого норматива сертификации.

> Заявитель просто - тогда зачем ему это делать

Например, западный вендор хочет получить конкурентное преимущество в тендерах по госконтрактам. Российского юр.лица не имеет, зато есть партнерский договор с российским интегратором. Заявителем будет интегратор. Так сертифицируется большинство зарубежных решений.

> Если для дальнейшего производства - то лицензия нужна.

Производство, это что? Если тиражирование болванок с фиксированной контрольной суммой, лицензия на разработку не нужна ни по смыслу, ни по требованиям НД. Буду признателен, если приведете контрпример.

Производство в смысле индивидуальной доработки софта под заказчика требует пересертификации каждого экземпляра, так что это - отдельная песня. Готов согласиться, что в этом случае лицензия нужна.

> Если нет - то необходим комплект документов для сертификации, договор с
> разработчиком об использовании разработки ил иное основание. В данном случае
> зачем ему сертификат если невозможно производить с последующей продажей.

Да, это требование РД. Примеров такой сертификации десятки (SAP, IBM, Cisco и т.п.). Заявители - российские интеграторы.