аттестация АС на соответствие РД АС НСД - Форум по вопросам информационной безопасности

Добрый день, коллеги.
Помогите советом. Есть АС (конфиденциальная информация). Акт классификации на 1Г. Эту АС надо аттестовать. В Положении по аттестации не указан конкретный документ, на соответствие которому нужно аттестовывать. Рассматриваем два документа: РД АС НСД и СТР-К. В РД АС НСД не обязательно использование сертифицированных средств защиты, а в СТР-К сказано, что обязательно использование сертифицированных средств защиты. Может ли быть выдан аттестат соответствия требованиям по безопасности информации, если выполняются все требования к АС по классу 1Г (не все средства защиты сертифицированы)?

Руководствуйтесь СТР-К. При аттестации этот документ для вас первичен. В нем описываются основные требования и рекомендации. А что не описывается, на то есть ссылки (в частности на РД АС).

Наталья, Может ли быть выдан аттестат соответствия требованиям по безопасности информации, если выполняются все требования к АС по классу 1Г (не все средства защиты сертифицированы)?

Может.

В тех.процессе и в заключении необходимо совершенно чётко определить, какое требование каким функционалом какой системы перекрывается.

Наталья, читайте очень внимательно - СТР-К не противоречит РД. Ведь в СТР-К используется термин "Сертифицированные по т р е б о в а н и я м безопасности", а РД как раз эти т р е б о в а н и я устанавливают. В частности для класса 1Г РД АС НСД не предусматривает использование сертифицированных СЗИ. Это же касалось бы и аттестации АС, то есть "по требованиям безопасности ...",
(Положение по аттестации ОИ, Доктрина информационной безопасности РФ и ГОСТ 51583 гласят, что аттестация ОИ обязательна только для ОИ с Гостайной, ОИ экологических объектов, остальным - добровольная), но в СТР-К всего один раз сказано "...должна проводиться аттестация на с о о т в е т с т в и е требованиям ЗИ", а это вкорне меняет смысл.
По поводу отсутствия требований по сертифицированным СЗИ для класса 1Г в РД АС НСД (в соответствующем столбце стоит "-") спорили лично с представителем регионального ФСТЭК. Как резюме представитель сказал - считайте, что в таблице по этой позиции стоит "+" и все тут! У нас обрабатывались ПД, может по-этому сказал. Но в итоге мы поставили сертифицированные СЗИ и не стали дальше спорить (тут же вышли 4 методички по ИСПДн и требования к ЗИ возрасли).
То есть требования и дальше могут расти. Сертифицированные СЗИ для 1Г не требуются по РД, но кто его знает что будет дальше! Делайте защиту "с запасом" (совет).