Комплект поставки сертифицированных СЗИ - Форум по вопросам информационной безопасности

Здравствуйте, коллеги!
Всегда получали сертифицированное ПО в составе:
- компакт-диск с дистрибутивом, документацией, контрольными суммами;
- формуляр с защитным знаком;
- копия сертификата соответствия с печатью вендора;
- лицензия.
А тут поставщик прислал только лицензию, а дистрибутив и документацию предлагают скачать по интернет-ссылке с сайта вендора. Составляем письмо с требованием прислать "правильный" комплект, но как нам это обосновать? Есть нормативно-правовой или руководящий документ, где это прописано?

Спасибо.

"Правильный" комплект поставки должен прописываться в договоре на поставку. В НМД Вы такого, увы, не найдёте. Если в договоре было указана поставка сертифицированной версии СЗИ, то запрашивайте на поставленное ПО формуляр контрольными суммами на Ваш экземпляр и со знаком соответствия СЗИ, который Вы называете защитным знаком. Может у Вас с договором поставки заключалось какое-нибудь лицензионное соглашение, в котором есть какие-нибудь подробности. Не исключайте такой вариант, пока не посмотрите (всякое может быть).
Копии других документов (сертификатов, описаний работы и т.д. и т.п.) можете спокойно скачивать с сайта производителя. Копия она и в Африке копия: в бумажном она виде или электронном от этого она не перестанет быть копией.
На крайний случай, если контролёры будут требовать, то покажете им договор поставки и посьмо-запрос. Тогда вопросы будут уже к поставщику. Удачи Вам.

Читаем:
1. Договор на поставку.
2. Формуляр, где расписывается комплект поставки.
Если в формуляре или в паспорте написано, "опционально", или "в зависимости от комплектации", то вам нужно было это обговаривать в договоре.

Но разве верифицированный дистрибутив сертифицированного программного продукта можно просто так скачать из Интернета? Даже с сайта производителя. Ведь знак соответствия на формуляре или сертификате содержит идентификационный номер именно этого верифицированного дистрибутива!

С ума не сходИте! У одного и того же дистрибутива программы контрольная сумма всегда будет одинакова вне зависимости от носителя, на котором этот дистрибутив размещён. Копия программы есть копия.
Может Вы считаете, что сертифицированная программа должна быть закрытой и выдаваться по каким-нибудь "спецталонам"?

Ученик дело говорит, на любой сертифицированный ФСТЭК продукт должна быть наклейка с голографическим знаком соответствия СЗИ (СЗЗ), на котором проставлен уникальный номер этого продукта. Скачать программу вы можете и с сайта, но поставщик, если вы покупали сертифицированный продукт, должен предоставить формуляр с этой голографической наклейкой.

Да, обязательно диск, с голографическим знаком! Кто что на сайте там выложил неизвестно!

Для tor'а 43033: в посте 42973 я и говорил о запросе у поставщика формуляра со знаком соответствия СЗИ на приобретённое ПО.
Для Сотрудника 43036: "Кто что на сайте там выложил неизвестно!". Для этого есть формуляр с перечнем файлов ПО и их контрольными суммами.
Хотя, делайте как вам угодно.

А коллизия?)

Что написано в комплекте поставки, то и спрашивайте.
Если ничего не написано ни в договоре, ни в формуляре - то у вас шанс только на благосклонность поставщика. Так мол и так прошу Вас рассмотреть возможность высылки в ваш адрес дистрибутива с бумажным формуляром с СЗЗ. Можно попытаться пригрозить жалобой во ФСТЭК, если это сам производитель, или производителю СЗИ если это поставщик, что они занимаются поставкой СЗИ, но это малоперспективно.

То что у вас при проверке или аттестации по ГТ попросят показать СЗИ с СЗЗ и формуляре должна стоять дата продажи с печатью продавца это 100%.
Но вот то,что производитель\поставщик обязан так вам все продать в таком виде - ни в одном документе нет.

Вывод один-читайте комплект поставки в договоре и формуляр!

Ососбенное внмание на пункт доставка- если доставки в договоре нет, то какой смысл в сентенциях?

В чистом виде косяк при закупке если вы ищите, на какой документ сослаться.