Новый перечень КИА на ТЗКИ - Форум по вопросам информационной безопасности

П. 21 - узнали примерную цену на МP8 - цены космические. Покопался на сайте ФСТЭКа и нашел такой продукт как RedCheck. По характеристикам подходит под этот пункт. Кто нибудь работал с ним?

П. 22 - а то что эти инструментарии антивирусы, в основном, видят как вирусы, ФСТЭК ничего не будет говорить по этому поводу? Тот же самый IntercepterNG.

П. 21 - Если вы заявите в качестве сканера RedCheck и начнете оказывать услуги организациям, в которых информационные системы живут на Юниксах и Оракле, которые RedCheck анализировать не умеет, огребете кучу неприятностей и от заказчика, и от регулятора. Позиция ФСТЭК по этому поводу очень простая: на рынок услуг мониторинга защищенности будут допускаться только те, кто а) умеет это делать профессионально и б) обладает инструментарием, который действительно пригоден для решения такой задачи.

П. 22 - а какая разница? Инструментарий нужен для проведения тестирования на проникновение, а при таком тестировании специалист использует свой собственный ноут. Наличие антивируса на проверяемых машинах не мешает ему никак от слова "совсем".

Тот факт, что некоторые антивирусные вендоры считают такие программы "типа вредоносными" - это личная драма антивирусных вендоров.

" на рынок услуг мониторинга защищенности будут допускаться только те, кто а) умеет это делать профессионально "

Очень интересно, как регулятор будет это оценивать. Если лицензиат отучится по "примерной" программе переподготовки, которую утвердила ФСТЭК, то он, бедняга, даже слов таких не узнает "тестирование" и "сканер безопасности". Их программа не выходит за рамки СТР-К, спасибо ГНИИИ ПТЗИ, они, видимо, не в курсе, что существует 17-й приказ...


З.Ы. По формальным признакам, RedCheck вполне годится для получения лицензии. А вот при выполнении работ лицензиатом возможны варианты...

"""Очень интересно, как регулятор будет это оценивать. Если лицензиат отучится по "примерной" программе переподготовки, которую утвердила ФСТЭК, то он, бедняга, даже слов таких не узнает "тестирование" и "сканер безопасности". """"

Верно подмечено.
Могу конечно ошибаться, т.к. не владею полной информацией, но о сканерах, пентестах, тестировании на уязвимости и т.п., обучают, в основном, на курсах c наименованием "Этичный хакинг и тестирование на проникновение", причём эти курсы более заточены на подготовку к международной сертификации CEH - Certified Ethical Hacker, нежели для подготовки специалистов, выполняющих лицензионную деятельность ФСТЭК, а именно "мониторинг информационной безопасности средств и систем информатизации".

Вот варианты ПО и интересуют. Начальству только с одним вариантом заходить очень плохая идея :)
Вот было бы 3-4, можно отчего-то отталкиваться.

А XSpider 7.8 и Сканер-ВС могут подойти под П. 21 ?

Конечно, некоторого функционала нету, но более-менее подходит.

Плохая идея - это заходить к начальству с вариантами, которые по функционалу, в теории сравнимы, а по цене сильно отличаются )))

А то зайдете с вариантами: XSpider, Ревизор Сети, Сканер-ВС и начальство одобрит закупку Ревизора Сети... будете не рады.

А может вообще не стоит лицензироваться на данные работы, если не понимаешь в этом ничего и не можешь выбрать инструментарий для работы и надо ли это Вашей организации, а оставить это людям знающим и умеющим проводить данные работы? А то появится куча организаций оказывающих некачественные услуги.

По поводу курсов, направление относительно "новое" думаю что организации, которые сейчас проводят подобные курсы попробуют доработать, согласовать свои программы обучения, а там может быть регулятор и методики какие нибудь сделает.

Евгений | 68522 А может вообще не стоит лицензироваться на данные работы, если не понимаешь в этом ничего и не можешь выбрать инструментарий для работы

как я понимаю п.п. 21 и 22 затрагивают не только соискателей лицензий, обладателям лицензий также надо дополнять свои средства контроля защищенности

>>>как я понимаю п.п. 21 и 22 затрагивают не только соискателей лицензий, обладателям лицензий также надо дополнять свои средства контроля защищенности

Дополнять придётся в основном по п.22, т.к. п.21 действовал и ранее. Что касаемо п.22 "Средства, предназначенные для осуществления тестирования на проникновение", то из-за отсутствия иметь сертифицированное ФСТЭК средство, проблем нет, благо в наличии немало ПО, которое можно получить и использовать безвозмездно.

Уже имеется лицензия по ТЗКИ, однако в новом перечне КИО у нас нет требуемого КИО. Подскажите кто какое оборудование использует согласно п.п 1-3,6,8,11,13