Можно ли обновлять ПО после аттестации ГИС? - Форум по вопросам информационной безопасности

Например - есть антивирус, имеющий сертификат ФСТЭК. Можно ли обновить SP1 этого продукта (на который имеются дистрибутивы с контрольными суммами...) на тот же продукт, но SP2.
И обязательно ли после этого закупать дистрибутив с SP2 и вносить изменения в технический паспорт?

Именно случая не нашел... Понятно что посташика ПО того же антивируса просто так менять нельзя. Просто как то двояко получается - вроде и обновлять надо и нельзя.

Приказ 17 ГИС 18.1. В ходе управления (администрирования) системой защиты информации информационной системы осуществляются:

...установка обновлений программного обеспечения, включая программное обеспечение средств защиты информации, выпускаемых разработчиками (производителями) средств защиты информации или по их поручению;

18.3. В ходе управления конфигурацией аттестованной информационной системы и ее системы защиты информации осуществляются:

поддержание конфигурации информационной системы и ее системы защиты информации (структуры системы защиты информации информационной системы, состава, мест установки и параметров настройки средств защиты информации, программного обеспечения и технических средств) в соответствии с эксплуатационной документацией на систему защиты информации (поддержание базовой конфигурации информационной системы и ее системы защиты информации);

управление изменениями базовой конфигурации информационной системы и ее системы защиты информации, в том числе определение типов возможных изменений базовой конфигурации информационной системы и ее системы защиты информации, санкционирование внесения изменений в базовую конфигурацию информационной системы и ее системы защиты информации, документирование действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации, сохранение данных об изменениях базовой конфигурации информационной системы и ее системы защиты информации, контроль действий по внесению изменений в базовую конфигурацию информационной системы и ее системы защиты информации;

Спасибо! Нашел ответ! https://certifiedbuilds.kaspersky.ru/

to Андрей
А теперь, на базе почерпнутого на сайте Касперского, составьте, утвердите и приложите к аттестационным документам нечто навроде "Регламент обновления программных и программно-аппаратных средств защиты информации в информационной системе (название системы)". Поскольку официально ФСТЭК так никакой порядок действий для обновления не опубликовал (хотя грозился), постольку решение можете принимать самостоятельно (и будете все равно не правы, ага, но это другой разговор). Но решение (и фактический порядок действий, например, качаем - проверяем КС - инсталлируем/обновляем - вносим изменения в формуляр - вносим изменения в тех.документацию по ИС) должно быть оформлено документально, чтобы впредь не было претензий...