Сертификация информационных систем

В России зарегистрированы государственные и частные компании, которые оказывают населению услуги по информационному обеспечению. Сертификация информационных систем выполняется в добровольном порядке для повышения конкурентоспособности бизнеса, подтверждения безопасности услуг, качества сервиса, получения конкурентных преимуществ.

Справка! Для осуществления некоторых видов деятельности необходимо получить лицензию.

Что такое сертификация услуг в сфере ИТ

Информационные системы – это совокупность аппаратных, программных ресурсов, предназначенных для сбора, хранения, обработки, анализа, защиты информации и решения управленческих задач при ведении бизнеса.

К ним относятся компьютеры, серверы, сетевое оборудование, прочие технические средства, а также программные продукты – приложения, электронные учебные пособия, базы данных, специализированные программы.

Сертификация заключается в подтверждении соответствия выполняемой работы или предоставляемой услуги требованиям, установленным в следующих стандартах:

• ГОСТ Р 57392-2017 – управление услугами компаний в области ИТ;
• ГОСТ Р 57486-2017 – требования к услугам по информационному обеспечению населения;
• ГОСТ Р ИСО/МЭК 38500-2017 – стратегия управления в сфере IT;
• ISO/IEC (ГОСТ Р ИСО/МЭК) 27001 – требования к системам менеджмента информационной безопасности (СМИБ);
• иных стандартах.

Инициировать независимую оценку вправе любые фирмы, независимо от масштаба, структуры, организационно-правовой формы.

Кто организует сертификацию информационных систем

Сертификат на IT-системы могут получить компании, которые:

• разрабатывают программные продукты;
• занимаются обеспечением безопасности и защиты информации;
• создают сайты, обучающие программы, онлайн-курсы, реализуют их продвижение;
• занимаются автоматизацией бизнес-процессов;
• осуществляют иные виды деятельности в области IT.

Основными причинами, по которым предприниматели предпочитают оформить сертификат на информационные системы, являются развитие, продвижение и повышение конкурентоспособности бизнеса.

Выгоды от сертификации услуг в сфере ИТ

Сертифицированные компании получают ряд преимуществ, например:

• повышение шансов на выигрыш в конкурсных процедурах (тендерах);
• расширение базы клиентов, увеличение спроса на услуги;
• повышение доверия со стороны пользователей систем, клиентов, партнеров компании;
• минимизация нецелевых затрат, связанных с применением неэффективных информационных систем, средств, обеспечивающих безопасность данных;
• создание имиджа фирмы, повышение узнаваемости бренда;
• привлекательность компании для инвесторов;
• расширение бизнеса, освоение новых рынков;
• решение маркетинговых задач и пр.

Сертификация в сфере ИТ обеспечивает:

• конфиденциальность информации – за счет безопасности, защиты от несанкционированного доступа;
• безопасность – за счет выявления и устранения уязвимых мест, несоответствий стандартам;
• доступность для пользователей – за счет обеспечения ее бесперебойной работы;
• целостность информации – за счет обеспечения ее точности, полноты.

Сертификаты, подтверждающие качество услуг и информационную безопасность системы, выдаются по результатам комплексной проверки деятельности.

Критерии и требования к сертификации информационных систем

Для оформления сертификата организация должна пройти ряд оценочных мероприятий, в которые входят анализ документации и аудит деятельности.

Поскольку в рамках сертификации проверяется качество выполнения работ, уровень обслуживания клиентов, а не продукция, лабораторные исследования не предусмотрены.

В ходе сертификационных процедур оценивают:

• наличие и полноту документации, описывающей функциональные возможности информационных систем;
• корректность работы системы в различных условиях использования;
• устойчивость системы к сбоям и ошибкам, время восстановления работоспособности в случае сбоев;
• квалификацию специалистов;
• качество обслуживания;
• информационную безопасность, защиту программного обеспечения несанкционированного доступа, взломов, кибератак, утечки данных;
• наличие необходимых ресурсов для качественной и эффективной работы информационных систем;
• эффективность работы СМИБ, внедренной в организации;
• управление рисками (проверяется наличие процессов, механизмов для контроля безопасности, идентификации, анализа и управления рисками);
• способность оперативно реагировать на изменения, угрозы безопасности;
• опыт работы компании в данном сегменте рынка, деловая репутация – на основании отзывов клиентов, информации в СМИ;
• выполнение договорных обязательств;
• иное.

В ходе сертификационных мероприятий могут проверяться и иные аспекты – в зависимости от вида деятельности, требований стандарта. Для успешного прохождения сертификационных процедур необходимо обеспечить безопасность работ, соответствие проверяемым показателям.

Какие документы нужны для сертификации услуг

Оформить сертификат на информационные системы могут органы, имеющие аккредитацию в данной области сертификации, на основании заявки и комплекта документов заявителя.

В состав необходимой документации включают:

• регистрационные данные (ОГРН, ИНН), устав, учредительные документы;
• вид деятельности по ОКВЭД;
• внутреннюю документацию, характеризующую деятельность предприятия (инструкции, положения, политика качества, руководства систем управления);
• обязательные разрешения на оборудование, аппаратуру, если они ввезены из других стран (лицензии Минпромторга, нотификации ФСБ, сертификаты / декларации Минсвязи, заключение ФСТЭК, иные);
• разрешительную документацию на устройства и оборудование, подтверждающую безопасность, соответствие регламентам (сертификаты / декларации);
• договор аренды на помещение (или свидетельство, подтверждающее право собственности);
• документы, подтверждающие квалификацию, образование персонала (аттестация, документальное подтверждение прохождения обучения, курсов повышения квалификации и т.д.).

При необходимости специалисты органа по сертификации могут запросить дополнительные сведения.

Этапы оформления документа

Оценочные процедуры включают следующие этапы:

1. Изучение заявки предприятия-заявителя.
2. Экспертиза документов компании.
3. Принятие органом решения по заявке.
4. Проведение оценочных мероприятий (камеральной проверки и/или внешнего аудита в компании) для оценки функциональности, безопасности, надежности модели управления, подтверждения соответствия выбранным стандартам.
5. Принятие решения о выдаче сертификата. Орган по сертификации принимает решение о выдаче или отказе в выдаче сертификата. Решение принимается на основании результатов экспертизы документации, осмотра условий производства, анализа системы управления безопасностью, иных проверок, предусмотренных выбранной схемой оценки.

Действует добровольный сертификат не больше трех лет. Орган по сертификации ежегодно проводит инспекционный контроль, чтобы убедиться, что заявленная услуга соответствует требованиям стандартов.

Предприниматели могут обратиться за помощью в оформлении документов в центр сертификации «ЕАС Аудит» в Москве.

Цена на сертификат на информационные системы формируется индивидуально. Стоимость и срок проведения процедуры зависит от сложности, объема проверок.

Для получения бесплатной консультации по вопросам цены, особенностям оформления документов, просто направьте заявку специалистам.