Вопрос №315 от 07.11.2013

Вопрос: Здравствуйте! Если предприятие А хочет аттестоваться, оно приглашает специализированные фирмы (предприятие В) для этой цели. Когда фирмы приходят, они состовляют комплект документов, например, техническое задание, технологический процесс и т.д.. Вопрос в том, что, например, в тех. процесс входят обычно как приложения "модель нарушителя" и другие документы. Если на предприятии А, не были установлены, ни межсетевые экраны, ни антивирусов, вообщем никаких средств зашиты. Предприятие В состовляет техническое задание - т.е. то что необходимо выполнить, чтобы защититься, а остальные документы оно пишет на "голую" систему А, или с учетом своего технического задания? (Алексей)

Ответ: Добрый день!

Рекомендую почитать приказ ФСТЭК России №17, а так же СТР-К. В обоих документах подробно описаны этапы построения системы защиты информации (предпроектный, проектирование, ввод в действие). Каждый этап сопровождается пакетом необходимых документов.

В Вашем случае, перед написанием ТЗ, предприятие В должно было разработать и согласовать с Вами аналитическое обоснование на создание системы защиты инсорфмации. После этого составляется техническое задание, по которому Вашей организациии необходимо произвести закупку необходимых средств защиты информации, произвести своими или их силами установку и настройку этих средств, и разработать необходимую документацию на информационную систему. После этого предприятие В должно будет разработать Проект и далее реализовывать его.