Вопрос по переаттестации - Форум по вопросам информационной безопасности

Посмотрите "Положение по аттестации..." пункт 3.8.5, где сказано: "... принимает решение о необходимости проведения ДОПОЛНИТЕЛЬНОЙ ПРОВЕРКИ ЭФФЕКТИВНОСТИ ЗАЩИТЫ...". Т.о. если условия изменились, но уловия эксплуатации всё-таки обеспечивают защиту, то просто внеплановый контроль. Если же защита не обеспечивается, то действие Аттестата приостанавливается, что влечет доработку объекта, а как следствие - переаттестацию. И посмотрите Постановление Правительства №912-51 от 15.09.93 (радел 3 п.27, раздел 4, п.52).

Arogo, - ответ ради ответа - это можете кому другому писать.

Arogo, если Вы пишете сюда, будучи представителем органа по аттестации по такому вопросу - то Вы не способны оценить ответ "как есть", ибо не можете самостоятельно найти правильное решение. При этом, очевидно, Вам никто не может ответить в вашем органе аттестации. При этом за Вашу работу Вам ещё и деньги платят. При этом "орган аттестации" ещё и аттестат аккредитации имеет, т.е. на этапе лицензирования специалисты сдавали зачёты либо иначе подтверждали свою квалификацию.

* РД АС НСД это требование к ОИ как впрочем и СТР,

И в том и в другом документе есть условия эксплуатации, при изменении которых квалифицированный представитель органа по аттестации принимает юридическое решение, и принимая на себя ответственность, подписывает соответствующее заключение.
В случае, если для этого "эксперта" нужно указкой указывать соответствующий пункт РД - грош цена такому эксперту.

* если вы их не читали, зачем тогда это здесь показывать

Докажите, что лично я не читал этих доументов.

*- там четких инструкций нет

о чётких инструкциях см. ранее.

Маленький пример из РД АС НСД:
Подсистема обеспечения целостности:
- должна быть обеспечена ... неизменность программной среды.

Официальная информация в помощь:
При выявлении нарушения правил эксплуатации аттестованных объектов информатизации, технологии обработки защищаемой информации и требований по безопасности информации ... действие аттестата соответствия может быть приостановлено или аннулировано.
Решение об аннулировании действия аттестата соответствия принимается в случае, когда в результате оперативного принятия организационно-технических мер защиты требуемый уровень безопасности информации на объекте не соответствует требованиям нормативных документов и не может быть восстановлен без проведения повторной аттестации объекта информатизации.

Владелец аттестованного объекта информатизации несет ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки защищаемой информации и требований по безопасности информации.
В случае изменения условий и технологии обработки защищаемой информации владельцы аттестованных объектов обязаны известить об этом … орган по аттестации, проводивший аттестацию объекта информатизации.

Василь я вам ничего доказывать не буду :) отписываться не просил ...- насчет ваших фраз я прерасно понимаю о неизменности, но требование есть на бумаге - а есть работа когда надо работать иначе десятки тысяч людей без финансирования останется..... и патчик нужно поставить от производителя.... тут камней подводных много - не тут об этом говорить
sadem спс насколько я понял все таки решение должны принимать органы аттестации руководствуясь данными документами ( к сожалению четкой инструкции "для чайников" аля ... "сменил железо свт - получи переатестацию" нету (
но спс за то что отозвались :)

А насчет решения - вы правы я его не принимаю - моя компетенция проверка технической части - документальное на руководителе - но как видите - стараюсь и с документами разобраться

Вопрос к знающим.
Переаттестация ОИ. В принципе, не важно какого: ВП или АС. При этом с первичной аттестации условия функционирования не изменились(имеется в ввиду тех. каналы).
Вопрос в следующем, есть ли необходимость органу по аттестации выдавать протокол оценки защищенности или можно выпустить только протокол оценки эффективности принятых мер?
Вопрос родился из того, что каждый протокол это деньги, а если "ежу понятно", что в протоколе не будет не чего жизнеутверждающего, то какой смысл за него платить?
И сразу же вопрос аналогичный (но только относительно ВП), но с учетом, что аттестация первичная, хотя САЗ уже установлена (инициатива заказчика). Имеет ли смысл контроль защищенности в проводить в точках, где все равно стоят шумелки?

Аrogo, я Вас прекрасно понимаю, сам этим вопросом мучаюсь уже не один год. Конкретно ничего не написано, что нужно делать, когда меняется что-либо в ОТСС, ВТСС или технологическом процессе. Я обычно руководствуюсь здравым смыслом. Полностью согласен, что работать-то людям надо. Ведь безопасность не должна быть ради безопасности. Наша задача - найти баланс. Просто отменить аттестат и потребовать переаттестации? что может быть проще. Я считаю так нужно делать, если есть реально серьезные нарушения.

Прошу вспомнить, что аттестационные испытания (нет в РД понятия переаттестация) проводятся с целью подтверждения соответствия созданной системы защиты ОИ требованиям ...
Факт выдачи аттестата соответствия говорит о том, что объект соответствует, т.е. ВСЕ возможные каналы утечки перекрыты ( КСЗИ эффективна). Аттестат фиксирует состояние объекта и КСЗИ на момент выдачи. Если условия эксплуатации (состав, технология, комплектность и т.д.) изменились, то уведомленный об этом орган по аттестации должен принять решение (на основе изменений и информации об объекте) есть ли необходимость и в каком объеме проводить дополнительные исследования для подтверждения действия аттестата. В каждом конкретном случае.

SKYCEBERg Конкретно ничего не написано, что нужно делать, когда меняется что-либо в ОТСС, ВТСС или технологическом процессе.

Внимательно перечитайте нормативную документацию, в т.ч. административный регламент - там достаточно информации для принятия правильного решения.
В крайнем случае - обратитесь в орган по аттестации.

Отменить действие аттестата либо приостановить действие оного, как и отправить ОИ на переаттестацию - принимает решение лицензиат ФСТЭК, а они обязаны знать необходимое для принятия решения.