|
Instrumente
Dicţionar
ACREDITAREA ENTITĂŢILOR CARE DESFĂŞOARĂ ACTIVITĂŢI DE PRODUCŢIE ÎN DOMENIUL TEMPEST - INFOSEC 15
Valabil la data 22-05-2019
Temei legalTemeiul legal al acreditării îl constituie Metodologia aprobată prin Ordinul nr. 116 din 27 martie 2019, publicat în Monitorul Oficial al României, Partea I, nr. 317 din 23 aprilie 2019.Pot desfăşura activităţi de producţie în domeniul TEMPEST numai persoane juridice de drept public sau privat acreditate de către Oficiul Registrului Naţional al Informaţiilor Secrete de Stat, denumit în continuare ORNISS, conform prevederilor Metodologiei privind acreditarea entităţilor care desfăşoară activităţi de producţie în domeniul TEMPEST - INFOSEC 15, denumită în continuare metodologia. Etapele procesului de acreditare a entităţilor producătoare sunt prezentate în capitolul II al Metodologiei.Persoanele juridice care desfăşoară în prezent activităţi de producţie în domeniul TEMPEST trebuie să finalizeze procesul de acreditare în maximum un an de la data intrării în vigoare a prezentei metodologii. După această dată, persoanele juridice producătoare în domeniul TEMPEST care nu sunt acreditate vor fi eliminate din Catalogul naţional cu pachete, produse şi profile de protecţie INFOSEC.O persoană juridică poate solicita:a) acreditarea ca entitate producătoare în domeniul TEMPEST fără capacităţi de evaluare TEMPEST;b) acreditarea ca entitate producătoare în domeniul TEMPEST cu capacităţi de evaluare TEMPEST.Domeniu de aplicabilitateMetodologia se adresează persoanelor juridice de drept public sau privat române care sunt implicate în activităţi de producţie în domeniul TEMPEST şi ORNISS în calitate de Autoritate TEMPEST Naţională.În ceea ce priveşte capacităţile de evaluare TEMPEST ale entităţilor producătoare în curs de acreditare, ORNISS poate solicita sprijinul entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul autorităţilor desemnate de securitate, denumite în continuare ADS.Aplicarea prevederilor prezentei metodologii este obligatorie pentru produsele TEMPEST destinate sistemelor informatice şi de comunicaţii care stochează, procesează sau transmit informaţii naţionale clasificate secret de stat, informaţii NATO clasificate, informaţii UE clasificate sau informaţii echivalente care fac obiectul tratatelor, acordurilor sau înţelegerilor internaţionale la care România este parte.Scop și obiectiveProcesul de acreditare a persoanelor juridice care desfăşoară activităţi de producţie în domeniul TEMPEST are drept scop asigurarea faptului că produsele protejate TEMPEST dezvoltate de acestea sunt conforme cu standardele în domeniu recunoscute la nivel naţional.Metodologia de acreditare a entităţilor producătoare TEMPEST are următoarele obiective:a) asigurarea faptului că persoana juridică solicitantă a implementat un sistem de asigurare a calităţii procesului de producţie TEMPEST, certificat conform ISO 9001 şi, după caz, de evaluare TEMPEST, certificat conform ISO 17025;b) asigurarea faptului că personalul entităţii solicitante are nivelul de pregătire tehnică necesară pentru desfăşurarea activităţilor aferente proceselor de producţie în domeniul TEMPEST şi, după caz, aferente procesului de evaluare TEMPEST;c) asigurarea faptului că persoana juridică care solicită acreditare ca producător cu capacităţi de evaluare TEMPEST are dotarea tehnică minimă necesară desfăşurării măsurătorilor prevăzute în standardele de evaluare TEMPEST;d) în cazul producătorilor de echipamente TEMPEST cu capacităţi de evaluare TEMPEST, asigurarea faptului că persoana juridică solicitantă are implementat un sistem de protecţie a informaţiilor clasificate, care să îi permită accesul la standardele de evaluare TEMPEST.În vederea acreditării de către ORNISS, persoana juridică solicitantă trebuie să îndeplinească o serie de criterii de acreditare, prevăzute în anexa la metodologie.Criterii de eligibilitateO persoană juridică de drept public sau privat poate solicita acreditarea pentru a desfăşura activităţi de producţie în domeniul TEMPEST numai în condiţiile în care îndeplineşte următoarele cerinţe minime:a) este persoană juridică de drept public sau privat română;b) deţine capacităţi de producţie şi, după caz, capacităţi de evaluare TEMPEST, potrivit solicitării de acreditare;c) deţine personal cu pregătire de specialitate în activitatea de producţie în domeniul TEMPEST şi, după caz, de evaluare TEMPEST.Etapele procesului de acreditareProcesul de acreditare a persoanelor juridice pentru a desfăşura activităţi de producţie în domeniul TEMPEST constă în următoarele etape principale:a) solicitarea acreditării şi pregătirea documentaţiei necesare susţinerii procesului de acreditare;b) analiza documentaţiei de acreditare;c) inspecţia de acreditare;d) luarea unei decizii privind acreditarea şi emiterea documentelor conform cu decizia de acreditare;e) activităţi post-acreditare.Activităţile aferente procesului de acreditare şi documentaţia necesar a fi întocmită sunt specifice fiecărui tip de acreditare solicitată: acreditarea ca entitate producătoare fără capacităţi de evaluare TEMPEST sau entitate producătoare cu capacităţi de evaluare TEMPEST.Figura de mai jos prezintă schematic aceste activităţi şi structurile responsabile cu realizarea acestora.
Descrierea procesului de acreditare1. Solicitarea acreditării Solicitarea acreditării se realizează prin transmiterea către ORNISS, de către reprezentantul legal al persoanei juridice solicitante, a unei cereri de acreditare, în condiţiile în care sunt îndeplinite criteriile stabilite la art. 11 din metodologie.Cererea trebuie să specifice tipul de acreditare pentru care se solicită declanşarea procesului: acreditarea ca entitate producătoare fără capacităţi de evaluare TEMPEST sau entitate producătoare cu capacităţi de evaluare TEMPEST.Cererea trebuie să fie însoţită de cel puţin următoarele documente:a) certificat de înregistrare emis de Oficiul Naţional al Registrului Comerţului - copie;b) certificat constatator emis de Oficiul Naţional al Registrului Comerţului - copie;c) document care să ateste că persoana juridică are în obiectul de activitate producţia de sisteme de calcul sau dezvoltarea de soluţii de securitate a informaţiilor;d) documente care să ateste că persoana juridică activează în domeniul producţiei de sisteme de calcul sau dezvoltării de soluţii de securitate a informaţiilor (portofoliu activităţi);e) modalitatea de respectare a criteriilor prevăzute în anexa la metodologie;f) copie a documentului care confirmă certificarea conform ISO 9001 privind procesul de producţie TEMPEST. În cazul în care entitatea solicitantă aplică pentru recunoaşterea ca producător TEMPEST la nivelul NATO şi/sau UE şi/sau pentru acreditarea la nivel naţional ca entitate producătoare care deţine capacităţi de evaluare TEMPEST, aceasta trebuie să transmită copii ale certificării conform ISO 17025;g) tipurile de produse ce urmează a fi dezvoltate în baza acreditării (sisteme de calcul, incinte ecranate etc.);h) proceduri tehnice de lucru aferente procesului de producţie pentru tipurile de produse specificate conform lit. g) şi evaluare TEMPEST, după caz;i) acordul solicitantului ca documentele prevăzute la lit. h) să poată fi puse la dispoziţia entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS.Pentru ca persoana juridică să fie acreditată ca producător TEMPEST şi pentru păstrarea statutului de producător TEMPEST acreditat, reprezentantul legal trebuie să se angajeze în scris să îndeplinească următoarele:a) să asigure respectarea criteriilor de acreditare stabilite în anexa la metodologie;b) să cunoască şi să respecte prezenta metodologie şi să asigure condiţiile necesare pentru realizarea activităţilor de inspecţie;c) să analizeze recomandările formulate de ORNISS şi să asigure implementarea de măsuri corective, în termenele prevăzute de ORNISS;d) să notifice ORNISS, în termen de maximum 30 de zile, cu privire la orice modificare majoră care poate afecta activitatea de producţie în domeniul TEMPEST, cum ar fi:(i) modificarea statutului juridic, a structurii organizatorice, a acţionariatului sau a obiectului de activitate;(ii) modificări ale politicilor şi procedurilor interne de securitate, după caz;(iii) modificarea sediului;(iv) modificări privind personalul, echipamente, ale mediului operaţional sau ale altor resurse, având relevanţă pentru procesul de producţie sau evaluare, după caz, în domeniul TEMPEST;(v) orice alte aspecte care pot afecta activitatea de producţie sau evaluare, după caz, în domeniul TEMPEST sau respectarea de către aceasta a criteriilor de acreditare;e) să returneze ORNISS certificatul de acreditare la expirarea termenului de valabilitate a acreditării, în cazurile în care ORNISS decide să retragă acest document, precum şi la iniţiativa sa, odată cu notificarea ORNISS despre decizia de a renunţa la efectuarea activităţilor de producţie sau evaluare, după caz, în domeniul TEMPEST;f) să returneze ORNISS documentele clasificate care au stat la baza desfăşurării activităţii de producţie sau evaluare, după caz, în domeniul TEMPEST, în cazul încetării acreditării ca producător TEMPEST, dacă astfel de documente au fost transmise de către ORNISS.Dacă documentaţia de acreditare nu este completă, în sensul existenţei documentelor precizate la art. 17 din metodologie, ORNISS informează persoana juridică solicitantă asupra acestui fapt, în vederea furnizării informaţiilor adiţionale necesare.Dacă documentaţia de susţinere a procesului de acreditare este completă, ORNISS înştiinţează persoana juridică solicitantă şi demarează etapa de analiză a documentaţiei.În cazul în care apar modificări ale datelor cuprinse în documentaţia transmisă, versiunile modificate ale documentelor sau copii ale acestora, după caz, trebuie transmise ORNISS, în maximum 30 zile de la data producerii acestor modificări.2. Analiza documentaţiei În procesul de analiză a procedurilor tehnice de lucru aferente procesului de evaluare TEMPEST [art. 17 lit. h)], ORNISS poate solicita sprijinul entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS, în conformitate cu prevederile art. 5 din metodologie.În termen de maximum 45 de zile lucrătoare de la primirea documentaţiei de acreditare, ORNISS întocmeşte şi transmite persoanei juridice solicitante concluziile analizei acestei documentaţii.În cazul în care documentaţia de acreditare necesită completări sau modificări, ORNISS informează persoana juridică solicitantă în acest sens.După corectarea deficienţelor, persoana juridică solicitantă transmite ORNISS noua versiune a documentaţiei de acreditare, care va fi reanalizată şi va face obiectul unui nou document cu concluzii.În cazul în care se constată faptul că documentaţia de acreditare este completă şi corect întocmită, ORNISS informează solicitantul cu privire la posibilitatea continuării procesului de acreditare.Procesul de acreditare cuprinde etape diferite, în funcţie de tipul de acreditare solicitat, şi anume acreditarea ca producător TEMPEST cu capacităţi de evaluare TEMPEST sau fără capacităţi de evaluare TEMPEST.3. Etapele procesului de acreditare în cazul în care se solicită acreditarea fără capacităţi de evaluare TEMPEST A. Inspecţia de acreditare În momentul în care documentaţia de acreditare este completă şi corectă, o comisie formată din reprezentanţi ai ORNISS efectuează inspecţia de acreditare la sediul unde se intenţionează a se realiza activitatea de producţie în domeniul TEMPEST.Inspecţia de acreditare este activitatea prin care comisia de inspecţie verifică modul în care persoana juridică ce solicită acreditarea pentru a desfăşura activităţi de producţie în domeniul TEMPEST îndeplineşte criteriile de acreditare. Totodată, în cursul inspecţiei se verifică dacă persoana juridică solicitantă are capacitatea tehnică pentru a desfăşura activităţi de producţie în domeniul TEMPEST.ORNISS comunică în scris persoanei juridice solicitante perioada în care urmează să se desfăşoare inspecţia de acreditare, precum şi componenţa comisiei de inspecţie.În urma inspecţiei, comisia întocmeşte un raport care conţine constatările, recomandările formulate şi concluziile privind conformitatea procedurilor cu criteriile de acreditare şi cu capacitatea tehnică existentă.În termen de maximum 45 de zile lucrătoare de la data finalizării inspecţiei, ORNISS notifică în scris persoana juridică solicitantă cu privire la rezultatele evaluării şi, dacă este cazul, formulează recomandări care trebuie implementate de persoana juridică solicitantă în vederea obţinerii acreditării pentru a desfăşura activităţi de producţie în domeniul TEMPEST.După implementarea recomandărilor conţinute de raport, persoana juridică solicitantă notifică ORNISS modul în care acestea au fost puse în aplicare.În funcţie de tipul şi natura recomandărilor, ORNISS poate decide asupra necesităţii efectuării unei noi inspecţii la sediul persoanei juridice solicitante pentru a verifica modul de implementare a acestora.B. Decizia privind acreditareaDupă parcurgerea activităţilor menţionate la art. 27-33 din metodologie, directorul general al ORNISS decide cu privire la acreditarea persoanei juridice solicitante.Opţiunile referitoare la acreditare sunt următoarele:a) acreditarea - se acordă pentru o perioadă de maximum 3 ani, în cazul în care criteriile de acreditare sunt respectate;b) neacreditarea - reprezintă decizia luată în cazul în care se identifică deficienţe în îndeplinirea criteriilor de acreditare.În cazul în care se ia decizia acreditării, directorul general al ORNISS emite certificatul de acreditare corespunzător.ORNISS actualizează Catalogul naţional cu pachete, produse şi profile de protecţie INFOSEC prin adăugarea entităţii producătoare în Lista producătorilor TEMPEST naţionali.Ca urmare a acreditării, persoana juridică solicitantă, denumită în continuare entitatea producătoare, trebuie să stabilească o delimitare clară între activităţile autorizate prin certificatul de acreditare emis de ORNISS şi celelalte activităţi pe care le realizează. Această delimitare trebuie să se reflecte în toate documentele oficiale emise de entitatea producătoare (oferte, contracte etc.).Toate produsele realizate de entităţile producătoare acreditate fără capacităţi de evaluare TEMPEST vor fi supuse spre evaluare entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS, conform reglementărilor naţionale în vigoare.4. Etapele procesului de acreditare în cazul în care se solicită acreditarea cu capacităţi de evaluare TEMPEST I. Obţinerea accesului la informaţii naţionale, NATO şi UE clasificate Persoana juridică solicitantă va întreprinde demersurile necesare obţinerii accesului la informaţii naţionale, NATO şi UE clasificate, potrivit reglementărilor în vigoare privind securitatea industrială şi securitatea informaţiilor vehiculate prin intermediul sistemelor informatice şi de comunicaţii, având nivelul minim NATO SECRET şi echivalent.După finalizarea procesului prevăzut la art. 40 din metodologie, ORNISS pune la dispoziţia persoanei juridice solicitante standardele aplicabile în domeniul evaluării produselor TEMPEST.II. Implementarea măsurilor prevăzute de standardele de evaluare TEMPEST Pe baza standardelor de evaluare TEMPEST puse la dispoziţie de ORNISS, persoana juridică solicitantă va implementa măsurile tehnice şi procedurale prevăzute de acestea.Procedurile de lucru privind evaluarea TEMPEST, elaborate la nivelul persoanei juridice solicitante sunt transmise ORNISS, spre analiză, cu specificarea acordului conducerii persoanei juridice că acestea pot fi puse la dispoziţia entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS.În procesul de analiză a procedurilor de lucru privind evaluarea TEMPEST, prevăzute la art. 43, ORNISS poate solicita sprijinul entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS, în conformitate cu prevederile art. 5 din metodologie.În termen de maximum 45 de zile lucrătoare de la primirea procedurilor de lucru, ORNISS întocmeşte şi transmite persoanei juridice solicitante concluziile analizei acestei documentaţii.În cazul în care procedurile de lucru privind evaluarea TEMPEST prevăzute la art. 43 din metodologie necesită completări sau modificări, ORNISS informează persoana juridică solicitantă în acest sens.După corectarea deficienţelor, persoana juridică solicitantă transmite ORNISS noua versiune a documentaţiei, care va fi reanalizată şi va face obiectul unui nou document cu concluzii.În cazul în care se constată faptul că documentaţia este completă şi corect întocmită, ORNISS informează solicitantul cu privire la posibilitatea continuării procesului de acreditare.Procesul de acreditare va urma în continuare etapele descrise la punctele anterioare. Pentru aceste activităţi, ORNISS poate solicita sprijinul entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS, în conformitate cu prevederile art. 5 din metodologie.Entităţile producătoare acreditate cu capacităţi de evaluare TEMPEST vor putea opta pentru certificarea loturilor de produse realizate pe baza prototipurilor aprobate, prin evaluarea unor eşantioane din acestea de către entităţile evaluatoare în domeniul TEMPEST acreditate în cadrul ADS, în conformitate cu reglementările emise de ORNISS.Entitatea producătoare de echipamente TEMPEST, acreditată de ORNISS, care deţine capacităţi de evaluare a acestora şi nu face parte din cadrul ADS, poate realiza evaluări ale echipamentelor din această categorie numai pentru propriile produse, realizate pe baza unui prototip aprobat conform reglementărilor naţionale în vigoare.Activităţi post-acreditarePe toată perioada de valabilitate a certificatului de acreditare, ORNISS desfăşoară inspecţii post-acreditare pentru a verifica menţinerea respectării criteriilor de acreditare.Verificările post-acreditare sunt realizate anual sau ori de câte ori ORNISS primeşte notificarea de la reprezentantul legal al entităţii producătoare cu privire la modificări survenite în organizarea sau activitatea din domeniul TEMPEST, modificări care pot influenţa procesul de producţie sau evaluare, după caz, precum şi în cazul în care ORNISS primeşte sesizări privind neconformităţi în derularea acestor activităţi sau privind nerespectarea criteriilor în baza cărora a fost acordată acreditarea.În cazul în care verificările implică şi inspecţii la sediul entităţii producătoare, acestea vor fi realizate de către o comisie formată din reprezentanţi ai ORNISS. Pentru aceste activităţi, ORNISS poate solicita sprijinul entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS, în conformitate cu art. 5 din metodologie.Verificările au ca scop analiza modului de menţinere a respectării criteriilor în baza cărora a fost emisă acreditarea şi a faptului că nu au avut loc modificări ale proceselor de producţie, de evaluare sau ale produselor aprobate.Pe durata inspecţiilor, entitatea producătoare are obligaţia să permită accesul comisiei de inspecţie la facilităţile de producţie sau evaluare, după caz, şi să pună la dispoziţia acesteia documentele relevante scopului inspecţiei.Entitatea producătoare are obligaţia de a raporta ORNISS orice modificare de natură organizatorică, funcţională sau structurală care poate afecta îndeplinirea criteriilor în baza cărora a fost emisă acreditarea.În funcţie de natura modificării, ORNISS poate decide cu privire la reluarea tuturor etapelor procesului de acreditare, a anumitor etape aferente acestui proces sau la retragerea acreditării.Prelungirea acredităriiReprezentantul legal al entităţii producătoare poate solicita ORNISS prelungirea certificatului de acreditare.Solicitarea se transmite ORNISS cu cel puţin 90 de zile lucrătoare înainte de expirarea perioadei de valabilitate a certificatului de acreditare pe care îl deţine.În această etapă ORNISS verifică, atât scriptic, cât şi la faţa locului, menţinerea conformităţii cu criteriile de acreditare, modul în care au fost îndeplinite obligaţiile ce revin entităţii producătoare prin certificatul de acreditare.În urma verificării, directorul general al ORNISS ia decizia privind reacreditarea.În cazul în care entitatea producătoare nu doreşte reînnoirea acreditării, transmite ORNISS originalul certificatului de acreditare în termen de maximum 10 zile lucrătoare de la data expirării acestuia.În situaţia prevăzută anterior, entitatea producătoare returnează ORNISS documentele clasificate puse la dispoziţie în vederea derulării activităţilor în domeniul TEMPEST.ORNISS actualizează Catalogul naţional cu pachete, produse şi profile de protecţie INFOSEC prin ştergerea entităţii producătoare din Lista producătorilor TEMPEST naţionali.Anularea certificatului de acreditare acordat entităţii producătoareÎn cazul în care ORNISS constată faptul că entitatea producătoare nu mai îndeplineşte criteriile de acreditare, directorul general al ORNISS poate lua decizia anulării certificatului de acreditare.Procedura de anulare a certificatului de acreditare poate fi declanşată în următoarele situaţii:a) entitatea producătoare nu mai îndeplineşte condiţiile de acces la informaţii clasificate;b) entitatea producătoare nu şi-a respectat obligaţiile ce îi revin conform certificatului de acreditare;c) entitatea producătoare nu a informat ORNISS sau a furnizat date false cu privire la activităţile din domeniu TEMPEST;d) în cazul în care în cadrul entităţii producătoare au loc incidente de securitate, care pot afecta activitatea TEMPEST;e) entitatea producătoare nu şi-a îndeplinit obligaţiile de raportare periodică a situaţiei produselor TEMPEST fabricate/livrate, conform reglementărilor naţionale în vigoare;f) din motive ce privesc apărarea naţională sau siguranţa statului;g) entităţii producătoare i-au fost anulate aprobările pentru două sau mai multe produse TEMPEST.ORNISS notifică entitatea producătoare, în scris, cu privire la intenţia de a anula certificatul de acreditare, precizând motivele pentru care a luat o astfel de decizie.ORNISS acordă entităţii producătoare un termen de maximum 14 zile lucrătoare în care entitatea poate prezenta argumente cu privire la necesitatea menţinerii acreditării şi măsurile aplicate menite să corecteze neconformităţile.După analiza de către ORNISS, cu sprijinul entităţilor evaluatoare în domeniul TEMPEST acreditate în cadrul ADS, conform , a aspectelor formulate de către entitatea producătoare, directorul general al ORNISS ia o decizie cu privire la anularea certificatului de acreditare.Decizia se comunică în scris entităţii producătoare, precizându-se data de la care se aplică.De la momentul notificării prevăzute la până la momentul comunicării deciziei, prevăzute la , activitatea producătorului în domeniul TEMPEST se suspendă.În termen de 10 zile lucrătoare de la data anulării, entitatea producătoare returnează ORNISS certificatul anulat, precum şi toate informaţiile şi materialele clasificate puse la dispoziţie în baza acreditării, pentru desfăşurarea de activităţi în domeniul TEMPEST.ORNISS actualizează Catalogul naţional cu pachete, produse şi profile de protecţie INFOSEC prin eliminarea entităţii producătoare din Lista producătorilor TEMPEST naţionali. Entitatea producătoare poate solicita demararea unui nou proces de acreditare, după remedierea deficienţelor constatate.
logo