Каталог средств ЗИ
Весь каталог

deHack.ru » Лицензирование, сертификация и аттестация » Аттестация в области защиты информации

Аттестация в области защиты информации



Аттестация объекта – официальное подтверждение наличия на объекте защиты необходимых и достаточных условий, обеспечивающих выполнение установленных требований руководящих документов по защите информации.

Под аттестацией объекта информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа - «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативных документов по защите информации, утвержденных ФСТЭК (Гостехкомиссией) России.

Перед началом обработки подлежащей защите информации необходимо официально подтвердить эффективность комплекса используемых на конкретном объекте информатизации мер и средств защиты информации.

Аттестация объектов информатизации носит обязательный характер в случае, если объект информатизации предназначен для обработки информации, отнесённой к служебной тайне или персональным данным, в остальных случаях – рекомендательный характер. Аттестация объектов проводится на соответствие требованиям СТР-К и РД ФСТЭК России. Наличие на объекте информатизации действующего «Аттестата соответствия» дает право обработки конфиденциальной информации на период времени, установленный в этом «Аттестате соответствия».

Объектами аттестации являются защищаемые помещения и объекты информатизации в состав которых входят средства и системы непосредственно обрабатывающие защищаемую информацию. В целом, объект аттестации представляет собой совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, средств обеспечения объекта информатизации, помещений или объектов (зданий, сооружений, технических средств), в которых они установлены, или помещения и объекты, предназначенные для ведения конфиденциальных переговоров.

Аттестацию объектов информатизации могут проводить организации имеющие лицензию на право оказания услуг по технической защите конфиденциальной информации, органы по аттестации объектов информатизации, аккредитованные ФСТЭК России.

Аттестация объектов информатизации проводится в соответствии со следующими нормативными документами:

Порядок проведения аттестации объектов информатизации:

  • Подача и рассмотрение заявки на аттестацию
  • Предварительное ознакомление с аттестуемым объектом (при необходимости)
  • Разработка программы и методики аттестационных испытаний
  • Заключение договора на проведение аттестации
  • Анализ организационной структуры объекта информатизации, информационных потоков, состава и структуры комплекса технических средств и программного обеспечения, системы защиты информации на объекте, разработанной документации и её соответствия требованиям нормативной документации по защите информации
  • Оценка правильности классификации АС (при аттестации автоматизированных систем), выбора и применения сертифицированных и несертифицированных средств и систем защиты информации
  • Проверка уровня подготовки кадров и распределения ответственности персонала за обеспечение выполнения требований по безопасности информации
  • Комплексные аттестационные испытания объекта информатизации в реальных условиях эксплуатации путем проверки фактического выполнения установленных требований на различных этапах технологического процесса обработки защищаемой информации
  • Оформление протоколов испытаний и заключения по результатам аттестации с конкретными рекомендациями по устранению допущенных нарушений, приведению системы защиты объекта информатизации в соответствие с установленными требованиями и совершенствованию этой системы, а также рекомендациями по контролю за функционированием объекта информатизации
  • Оформление, регистрация и выдача "Аттестата соответствия"

При проведении аттестационных испытаний может применяться метод измерения и оценки уровней защищенности для отдельных технических средств и каналов утечки или проверка функций или комплекса функций защиты информации от НСД, а также пробный запуск средств защиты информации от НСД. Так же может применяться экспертно-документальный метод.

При проведении аттестации, исполнитель получает отчетные документы в виде протоколов испытаний (протокол от утечки информации за счет НСД и по техническим каналам), заключение по итогам аттестационных испытаний и, если все необходимые требования соблюдены, аттестат соответствия объекта информатизации по требованиям безопасности информации.

При выявлении нарушения правил эксплуатации аттестованных объектов информатизации, технологии обработки защищаемой информации и требований по безопасности информации органом, проводящим контроль и надзор, может быть приостановлено или аннулировано действие «Аттестата соответствия», с оформлением этого решения в «Аттестате соответствия». Владелец аттестованного объекта информатизации несёт ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки защищаемой информации и требований по безопасности информации.

vbcnthcvbn - 17:25:22 15-09-2010
А на каком основании аттестацию объектов информатизации могут проводить организации имеющие лицензию на право оказания услуг по технической защите конфиденциальной информации.
kira - 21:58:59 15-09-2010
kiraОрганизации, имеющие лицензию на право оказания услуг по технической защите конфиденциальной информации, в праве заявить о себе как об органе по аттестации (выполнив ряд требований) и получить аттестат аккредитации, после чего, это юридическое лицо будет в праве проводить аттестацию ОИ.
Только авторизованные пользователи могут оставлять комментарии - авторизация, а если Вы впервые, то нужно зарегистрироваться в системе