Новое в системе аттестации объектов информатизации-2021 - Форум по вопросам информационной безопасности

Здравствуйте!
Подскажите пожалуйста, по каким руководящим документам необходимо аттестовывать ЦОД для размещения в нем ГИС по состоянию на сегодняшний день.

to AAA

ЦОД аттестовывается также, как и ГИС, по приказу ФСТЭК №17.
При аттестации не забудьте, что класс защищенности ГИС не должен быть выше класса защищенности информационно-телекоммуникационной инфраструктуры ЦОД (п.14.2 приказа 17 ФСТЭК).

А как же приказ ФСТЭК № 77? Суть моего вопроса вот в чём: какой пакет документов готовить для Лецинзиата и по каким образцам? Подскажите пожалуйста.

to AAA
Если чисто под аттестацию, то все четко по Приказу 77. В минималке: ТЗ на КСЗ ЦОД (согласованное с нужными регуляторами), Модель угроз и нарушителей ЦОД (согласованная с нужными регуляторами), Акт классификации и Техпаспорт по форме Приказа 77. В максималке - то, о чем договоритесь с лицензиатом и зафиксируете в ПиМ аттестационных испытаний...
И весь ЦОД, пожалуй, будет больно жирно, муторно и дорого (как минимум с позиции последующей поддержки) подводить и, соответственно, аттестовать по тому же Приказу 17. Да и смысла не имеет, если только ГИС не отожрется со временем до поглощения ресурсов всего ЦОД, ага...

Понял, спасибо за информацию. А можно аттестовать ЦОД для последующего размещения в нём ГИС, если на данный момент в нём нет обрабатываемой информации. И как это сделать, если это вообще возможно? Я так понимаю, что определенные компании это практикуют.

2 ААА
Формально, аттестовать ОИ надобно до размещения в нём "боевой" (то есть защищаемой) информации. Просто потому, что аттестация и подтверждает достаточность применяемых мер её защиты.
А это значит, что отклассифицирована она уже должна быть, а вот "заливать на серверы" нельзя.
Естественно, в жизни эти процессы растягиваются))) Но "доколоться можно и до столба", особенно, если эта ИС пока не имеет части документов от вышестоящей организации, например, ТЗ на присоединение в части ЗИ

Это все понятно и логично, а юридически правильно или нет, вот в чем вопрос. А ещё интересует вопрос, если в ИС обрабатывается информация ограниченного доступа и персональные данные, как проводить аттестацию ОИ, по каким критериям.

to AAA
>>>А как же приказ ФСТЭК № 77?
А причём тут Приказ ФСТЭК 77? Почитайте внимательно п.3 Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну (приложение к Приказу № 77), там написано на что он распространяется.

Если Вам мало приказа №17, то есть ещё ГОСТ РО 0043-003-2013.

ГОСТ РО 0043-003-2012 - с 01.09.2022г. отменен без замены.

>>ГОСТ РО 0043-003-2012 - с 01.09.2022г. отменен без замены.
Есть официальная ссылка на ресурс со статусом стандарта?

Документ довольно серьёзный, аналогов ему нет, не верится, что он отменён. Приказ 77 не покрывает того, на что распространялся ГОСТ РО 0043-003-2012.