Схема требует аттестации как ИСПДн - Форум по вопросам информационной безопасности

Добрый день!
Прошу дать пояснение по подключению к системе ФИС ГИА и Приема, ФИС ФРДО.
Три года назад куплен ViP Net Terminal своими силами проведены мероприятия по защите.
В 2017 приходит письмо - система обновляется, переходит на VipNet 4.Х, всем купить випнеты и пересогласовать схемы подключения в ФГБУ ФЦТ, а то всех накажем.
Вот тут - то и засада, для пересогласования схемы ФГБУ ФЦТ требует аттестат ИСПДн и обращает внимание, что решение об аттестации рабочего места принимается оператором ИСПДн (т. е. самой образовательной организацией).
Что нам делать? Достаточно проведение мероприятий по защите своими силами?
http://www.rustest.ru/ege/zkspd/oo/fis/skhemy/skhema-1-variant-2/

Насколько я знаю схема с терминалом не требует аттестации т.к. это уже защищенное рабочее место "из коробки". В любом случае требования по защите и аттестации рабочего места подключаемого к ФИС определяет владелец сети, основываясь на вышестоящие требования в области ИБ.
Владелец сети предоставляет методические рекомендации по подключению и с ним согласовываются требования. Сейчас не знаю, но год назад нужно было им прислать скан аттестата соответствия или подтвертить использование терминала.

Типичная картина. Есть некая ГИС, она аттестована. К ней подключается АРМ детского садика. Оператор ГИС требует от детсада аттестовать свой АРМ, мотивируя тем, что он подключается к аттестованной ИС.
Надо это или нет? Вообще-то нет: АРМ детсада не входит в состав аттестованной ИС. Другое дело, что оператор ИС задает свои требования: хочешь подключиться - покажи аттестат, нет аттестата - гуляй.

Вывод: если вы от них зависите - аттестуете АРМ, если нет - шлете куда подальше.

ФИС ГИА вообще то ГИС.
Песня давняя большинство вузов ее прошли, добираются и до сузов.
"если вы от них зависите - аттестуете АРМ"
Еще как зависят.
Вам же написали п.9 надо...

Тут бы еще не худо сразу уточнить, что должно быть написано в аттестате. Каким требованиям должна соответствовать ваша ИСПДн? 21-му приказу? 17-му Приказу? А по какому классу? А, может, вообще СТР-К?

Нередко бывает, что эти умники сами не знают на какие требования нужен аттестат. Или требуют чтобы класс вашей системы был не ниже класса их.

21-му приказу и 17-му приказу система ГИС ИСПДн. Класс 3, уровень 4(3).
Еще раз говорю система действует почти все уже реализовано по всей стране почти во всех вузах.

Если не выполнять требования ЗИ на оконечной точке, ответственной за внос/вынос части/всей БД, то грош цена такой безопасности (что в ГИС, что в ИСПДн, что в АС). А фактическое подтверждение выполнения требований безопасности и есть аттестация. Тем более, если подключение идет к ГИС, для которых аттестационные испытания "не имеют гвоздей", как в случае с ИСПДн. Так что Центр тут в своем праве требовать подтверждения в форме обязательной аттестации...

" 21-му приказу и 17-му приказу система ГИС ИСПДн. Класс 3, уровень 4(3) "

А почему именно класс 3? Как вы любите говорить, тов. sekira, "назовите пункт документа". Есть операторы ГИС, которые хотят, чтобы подключаемые к ним ИС имели тот же класс, что и их ГИС либо выше. В чем они не правы?

Просто 3 класс ГИС сейчас самый низкий -
http://fstec.ru/normotvorcheskaya/akty/53-prikazy/702-prikaz-fstek-rossii-ot-11-fevralya-2013-g-n-17

То, что самый низкий, я знаю. Я поэтому и спросил, почему именно его нужно присваивать, и что делать, если оператор ГИС хочет, чтобы был К1?