аттестация по СТР-К - Форум по вопросам информационной безопасности

Являемся органом по аттестации по 77 Приказу. Для собственных нужд потребовался АРМ для обработки конфиденциальной информации. Можем ли мы провести аттестацию указанного АРМ собственными силами?

to Андрей.

Добрый день, да.

Также Вы сами аттестуете свой объект, который Вы делали для получения лицензии.
Правда не забываем, что создание СЗИ и аттестацию объекта должны проводить разные люди.

to АНДРЕЙ
можете, но СТР-К выпал из правового поля "Аттестация объектов информатизации" он не фигурирует в Приказе № 77 соответственно материалы по аттестации по РД АС, СТР-К ФСТЭКом не принимаются (юридически они правы)
Как регулятор будет выбираться из данного казуса - неизвестно
Это же относится и к ЗП

"Это же относится и к ЗП"
К ЗП не относится! Все требования к ЗП и Методика только СТР-К. Хотя пробел НМД в отсутствии СТР-К в 77 есть, но есть и уточнения ФСТЭК ...от 11 апреля 2022 г. N 240/24/1950.
И по ЗП материалы обязательно отправляются в окружной ФСТЭК.

В развитие
Из нового Перечня документов ФСТЭК по ТЗКИ от 10.12.2024 исключен СТР-К, такого документа больше нет. Остались только две временные методики из "старого сборника методик" - акусто&вибро и АЭП (пункты 30 и 31) по которым может оцениваться ЗП.
С учётом того, что к "просто ЗП" требований по ЗИ нет (ранее как могли ссылались на СТР-К), а по приказу 77 (Порядок...) аттестация ОИ только по требованиям, указанным в сноске к пункту 1, а в ПМИ должны указываться требования по ЗИ на соответствие которым проводится аттестация, то:
- ЗП могут "появиться" только в случае применения Требований из сноски пункта 1 Порядка (приказ 77) в рамках которого есть требования по разработке модели угроз, в которой может быть актуализирована опасность каналов акусто&вибро и АЭП. Тогда появляются требования к ЗП и проводится аттестация по двум оставшимся в Перечне ФСТЭК методикам;
- аттестовывать ЗП в системе ФСТЭК, которые не попадают под Требования по ЗИ, приведенные в сноске пункта 1 Порядка (приказ 77) теперь нет основания (СТР-К больше не "притянешь"), могут влепить нецелевое расходование средств и т.п.

to Baly

Добрый день!

Ориентироваться на перечни ФСТЭК в таком ключе "нет документа в перечне, не используем" я бы не стал. В перечнях ФСТЭК от 12.08.2020 не было, например, временных методик по акустике, ими пользовались, а появились они в перечнях 2024 года.

По ЗП в п. 3 Порядка (приказ 77) больше вопросов, чем ответов.
ЗП указаны только для положения о лицензировании ПП РФ 79 (сноска 3), хотя такие же ЗП нужны для выполнения лицензионных требований согласно положения о лицензировании ПП РФ 171.
Согласно п. 3 Порядка (приказ 77) лицензиат должен иметь ЗП, а такого "Требования из сноски пункта 1 Порядка (приказ 77)" нет.
Как Вы это объясните?