Аттестация автоматизированной системы своими силами - Форум по вопросам информационной безопасности

Уважаемые коллеги! Столкнулись со следующей неоднозначной (на наш взгляд) ситуацией.
Мы имеем лицензию на ТЗКИ и имеем право проводить аттестацию своих АС (фактически - компьютеров/ноутбуков). Возникла необходимость иметь несколько ноутбуков для разработки документов "дсп".
Раньше мы аттестовывали АС по СТР-К и "Положением по аттестации ...." от 1994 г. Формально эти документы еще действуют, но их нет даже в обязательном перечне НТД для лицензиатов по ТЗКИ, так что фактический статус их неясен.
Если аттестацию проводить по приказу ФСТЭК №77 от 29.04.2021 (информационное сообщение №240/24/1950 от 11.04.2022, последний абзац, разрешает по решению владельца ОИ, т.е. нас, проводить аттестацию по приказу №77), то неясно - какой класс защищенности указывать в Акте классификации - К3 (например), или по РД от 1992 года - там было все понятно - все пользователи имеют одинаковые права на доступ - 3А, 2А, 1Г и т.д.
Просьба подсказать!

АС классифицируйте по РД АС, никто этот документ не отменял.
Аттестацию проводите по приказу 77.

А можно ли смешивать эти два нормативных документа при аттестации? В Приложении №3 к Порядку проведения работ по аттестации (Приказ №77) приведена форма Акта классификации информационной (автоматизированной) системы, в нем требуется указать: Масштаб информационной (автоматизированной) системы, Уровень значимости информации, содержащейся в информационной (автоматизированной) системе и, как вывод - Класс защищенности. А если мы возмем класс из РД (например, 3А или 1Г), то преамбула перед выводм должна быть другой - не масштаб, а пользователи имеют одинаковый или разный доступ к информации и т.д. И получится, что Акт будет не 77-ому Приказу.

to Александр
А зачем тащить в "новый мир", играющий по "новым правилам" старых "хвосты" и пытаться их героически прилепить?
Сиречь, на основании чего обработка "ДСП" у вас предполагается на ОИ, классифицированном по АС по РД ГТК НСД? И что это за "ДСП"?
Если "ДСП" - это реально материалы государственного характера (а кроме ФОИВ, Росатома, Роскосмоса и с недавних пор Минобороны - ДСП официально ни у кого быть и не может, ибо не покрыто соответствующим НПА), то идите в приравнивание своего ОИ к ГИС соответствующего класса, который рассчитан на основании масштаба ОИ и значимости информации. И применяйте к нему 117 Приказы регуляторов + упомянутый 77 Приказ ФСТЭК в полной мере...
Если же "ДСП" досталось по остаточному историческому принципу от какого-то органа, то, прощу прощения, пните этот орган - нехай он уточненные правила игры и определит...
Остально же от лукавого...

ЗЫ С 2021 г. любая "аттестация" - только по 77 Приказу ФСТЭК. И на форуме уже обсуждалось: классическую АС (читай, обработка коммерческой тайны и проч особо нерегулируемых типов ИОД) допустимо аттестовать по 77 Приказу, переделав Акты под свою классификацю и не высылая регулятору никаких уведомлений. Ибо это "белое пятно" регулятор до сих пор не покрыл. Но это допустимо тогда и только тогда, когда о ПДн, ДСП, взаимодействии с гос.органами или применимости 187-ФЗ (т.е. о явных сферах, покрытых 77 Приказом) речи не идет...

Поднимаю тему - имеется следующая ситуация.
Мы коммерческое предприятие, имеем значимый объект КИИ, приняли решение - его аттестовывать по 77-ому Приказу. В этом случае все документы направляются в Управление ФСТЭК по соответствующему фед. округую
Наше предприятие имеет лицензию по ТЗКИ и, соответственно, может аттестовывать АС, в том числе и собственные. Если мы работаем по 77-ому Приказу, то по п.8 Приказа "При назначении экспертов органа по аттестации должна быть обеспечена их независимость от владельца объекта информатизации с целью исключения возможности влияния владельца аттестуемого объекта информатизации на результаты аттестационных испытаний, проведенных экспертами органа по аттестации", а если это сотрудники нашего предприятия, то какая м.б. независимость?