Антивирусник является ли СЗИ для защиты ГТ - Форум по вопросам информационной безопасности

Здравствуйте!
Коллеги, на форуме тема по антивирусной защите обсуждалась очень часто,но хотелось бы её затронуть ещё раз,может подход изменился или нмд регулирующие этот вопрос появились. Надо ли на ОИ в АС при аттестации(гт) ставить антивирусник, а если надо то на основании какого документа? И является ли антивирусник СЗИ для защиты ГТ?

Задача не ставить ? Тогда у вас все основания есть...До первой проверки .. А там уже поговорите с представителем регулятора. Пунктов в докуметнов мол "В ОИ ГТ антивирь в обяз и в обяз сертифицированный нет...).
Если задача ставить то вот вам в помощь.

ППр 912-51 п 26 абзац 9.
Положение о сертификации СЗИ от 27 октября 1995 г. N 199 прилож 1 п 2.6
СТР приложение о порядке аттестации АС в части НСД, и пункты о сертифицированности СЗИ используемого в АС ГТ.
Профили защиты средств антивирусной защиты 14 июня 2012 г.
Информационное сообщение ФСТЭК России от 30 июля 2012 г. N 240/24/3095
Информационное сообщение ФСТЭК России от 20 июля 2016 г. N 240/24/3271
Информационное сообщение ФСТЭК России от 20 ноября 2012 г. N 240/24/4669

Приветствую!
Темна вода в облацех... Ждем новый СТР и/или сборник РД по АС (ага, как же, дождемся)... Пока результат следующий:
1. Орган по аттестации работает по ГОСТ "по аттестации...", в котором требуется проверить наличие сертифицированного средства антивирусной защиты с актуальными базами. Так что без такого САВЗ аттестат на ОИ не выдают. Хотя это более вопрос к взаимодействию лицензиата с регулятором (ибо регулятор часто считает этот ГОСТ основным документом при аттестации).
2. САВЗ является СЗИ для ГТ. Вот тут: http://www.itsec.ru/forum.php?from=10&sub=11363 тов. sekira явно указал, на основании чего.
3. Новые антивирусы сертифицируют не по НДВ и ТУ (как тот же Dr.Web ESS 6), но по профилям, утвержденным в 2012 г. Так что на новые объекты (и на старые, где на САВЗ сертификат истек и не продлен) необходимо установить САВЗ с новым сертификатом (3-2 класс в зависимости от категории ОИ профилей А, Б, В или Г в зависимости от необходимого функционала САВЗ).

to sekira
Ну вот, товарищ, я на вас ссылаюсь, а вы меня опередили уже :)

ЗЫ imho, кстати, не верю в отсутствие каналов ввода "открытой" информации в любой АС ГТ с носителей, подключаемых к "открытым" системам. Так что по факту повышения защищенности - САВЗ весьма обоснован. И задача аля "не ставить" уже граничит с целенаправленным снижением защищенности АС...

И задача аля "не ставить" .

Дак они ставят но говорят что антивирус не СЗИ и нет необходимости ставить сертифицированный.

" Орган по аттестации работает по ГОСТ "по аттестации..."
Если есть ссылка на ГОСТ в контракте или в программе и методике заказчик хочет видеть, а так извините много чего с чем органы несогласны там понаписано...

Нам лет пять назад сделали устное замечание что антивирус не сертифицированный. Купили у DrWeb, не помню как эта позиция в прайсе называется, дистрибутив и бумага с голографической маркой, лицензия была и раньше, , переставили с того дистрибутива, поставили галочку "обновлять только базы", стал сертифицированный. Меньше тысячи оно тогда стоило. Со всеми бы СЗИ так было.

Более интересный вопрос, сколько голографических марок нужно например на сто компьютеров, сто или одна.

одна + лицензия на 100

Я тоже так думаю.
Но я слышал есть проверяющие которые думают иначе.

ГОСТ как бы стандарт, нет? Значит, априори обязателен... А даже если нет... То требования той самой "типовой инструкции" при оформлении ОРД все равно ведь выполнять приходится и лицензиатам, и эксплуатантам. А у нее статус еще более сомнительный, чем у оных ГОСТ...
Любопытны мне лицензиаты, которые с выводами оных ГОСТ не согласны. Лично читал и ничего криминального в них не вижу (в обоих, ага).
Что же касается антивирусов... СЗИ, ибо, все-таки, средство (антивирусной) защиты информации... Дистрибутив может быть и 1, если объекты принадлежат одной и той же организации + лицо, ответственное за безопасность, назначено одно и то же на всех объектах. Иначе, да, парадокс выходит - ибо администратор-ответственный физически не может иметь резервные копии дистрибутивов установленных СЗИ на указанные объекты... А про лицензии - вообще не компетенция наших регуляторов (если только они на ПП РФ волосатого года не ссылаются, но, обычно, не помнят и не ссылаются)... все остальное - от лукавого...

"ГОСТ как бы стандарт, нет? Значит, априори обязателен... А даже если нет... "

29.06.2015 N 162-ФЗ (ред. от 03.07.2016) "О стандартизации в Российской Федерации"Статья 2 п 1, 2,5
N 184-ФЗ от 27.12.2002 "О техническом регулировании" Статья 5 п.1 п. 2
От регуляторов обязаловки не было...

"То требования той самой "типовой инструкции" при оформлении ОРД все равно ведь выполнять приходится"

Та самая инструкция необязательна к применению при аттестации ОИ! Почитайте ее внимательно вначале.

"Лично читал и ничего криминального в них не вижу (в обоих, ага)"
К сожалению здесь нельзя а то бы я привел. Постараюсь пункты алогичные вам для обдумывания как лицензиата по ТЗКИ или органа по аттестации представить.

Как сертифицировать (маркировка, ограничения и т.д) свой продукт и лицензировать ПО продукта решает производитель.