Контролируемая зона в Дата-центре - Форум по вопросам информационной безопасности

Часть автоматизированной системы (АС) расположена в Дата-центре, т.е. арендуется одно стойко-место. Т.е. маленькое стойко-место на фоне большого помещения Дата-центра, в котором мы, по сути, ничего не можем контролировать(((

1. Можно ли определить контролируемую зону (КЗ) для этой части АС?
2. Можно ли нарисовать схему этой КЗ, план размещения ОТСС и ВТСС? (т.е. на схеме КЗ будет маленьким квадратиком по периметру стойкоместа?)
3. Как и с какой формулировкой вводить такую КЗ?
"Определить контролируемые зоны АС № 1 ......
по периметру следующего объекта.... или в радиусе размещения следующего объекта:
стойкоместо № 25", расположенного по адресу....." ?

АС - ГИС, ИСПДн, другое. Угрозы тех_каналов актуальные?

ИСПДн, угрозы утечки по тех. каналам неактуальные.

Тогда зачем вам схема КЗ? и план размещения ОТСС и ВТСС? Техканалы не актуальны -только вопрос физической охраны и разграничения доступа к ТС.
Опишите словами режим и ответственность ваши и организации Дата-центра (из режим) договорные отношения по сохранности и доступу (допуску) к ТС и все.

Планируем сертификацию АС.
Сертифицирующий орган, зная про размещение части АС в Дата-центре, требует такой документ:
-приказ об определении КЗ и помещений, в которых ведется обработка защищаемой информации

to Сергей | 76564

В датацентре должна быть определёна своя КЗ...
По хорошему, вы можете оперировать только тем, что указано в вашем договоре с датацентром, либо в регламенте датацентра по предоставлению услуг...

Т.е. в приказе определяете свои помещения со словами "обеспечить контроль доступа и т.п...",
а по датацентру - "размещатьТС там-то, где в соответствии с договором/регламентом обеспечивается ..."

to Сергей
Аттестация, а не сертификация. Сертификации подвергается софт (или программная прошивка аппаратной платформы). Автоматизированные (информационные) системы проходят аттестацию по требованиям безопасности информации. Для ИСПДн это, кстати, актуально с большой натяжкой (потому что официально о необходимости аттестации регуляторы не сообщали)...
В остальном, присоединяюсь к тов. nekto. Собственную КЗ для стойки не сможете организовать никак, кроме случая ее размещения в пространстве, огороженном от машзала какими-либо сплошными конструкциями (с . Или несколько автоматчиков по периметру стойки 24/7, ага. Поэтому, если собрались/требуется делаете привязку к КЗ дата-центра, указываете размещение своей стойки и добиваетесь от дата-центра инструкции по пропускному режиму в помещение машзала, на которую уже ссылаетесь в своих документах. Также рекомендуется стойку опечатать (ежели СКЗИ используете, ага), а в дата-центре завести лист учета сотрудников, допущенных к вскрытию/иным операциям (например, техобслуживание) стойки. С журнализацией таких действий.