Использование САЗ при аттестации объектов по обработке конфид. информации (в том числе ПДн) - Форум по вопросам информационной безопасности

Мне сложно говорить о разработке НМД в области КИ и ПДн. Просто потому, что не участвую сам в этой работе. В области ГТ - кое что знаю ;)
К сожалению, со сторонними разработками в этой области не знаком, что, впрочем, естественно. Невозможно "объять" всё...
Конечно, один НИИ, даже довольно большой, не может сделать всё. К разработкам привлекаются и многие ведущие лицензиаты. С этим механизмом знаком, и не понаслышке. Как именно результаты таких разработок "пробивают" себе дорогу уже в ранг НМД - в чём-то представляю. В чём-то могу только догадываться.
Наверное, именно как конкретный специалист, мог бы и высказать ряд претензий. Но имея немалый опыт с ещё советских времён - воздержусь. Не всё в этих вопросах решается просто. Тем не менее, лично у меня есть надежда, что новое поколение документов будет более логически увязанным, более выверенным. Кстати, возможно что именно такие соображения несколько сдерживают слишком быстрое "нормотворчество". Хотя мне, как и многим из нас, очень хочется всё это ускорить :)))
Не всегда торопливость оправдана...
Кстати, когда ещё в советское время один документ с номером 077 (кто-то ещё помнит, что это было?) менялся на номер 0126 заняло это года три. И работала над ним вся оборонная "восьмёрка". Я до сих пор горжусь, что в этом документе практически дословно в разделе 16 было воспроизведено эдак около 80% тогдашнего нашего, МРП-шного документа. А в нём страницы три были написаны мною :)
Но это так, к слову.
Тем не менее силы для разработок нужного уровня есть. Да и разработки есть, надеюсь не только в той области, которую я знаю лучше. И НИР-ы выполняются. Другое дело, что работа эта начата поздновато, так хочется скорее всё "привести к виду, удобному для логарифмирования"!
Ну а что касается недостатков действующих НМД, то об этом писали многократно. И во ФСТЭК, и в ГНИИИИ ПТЗИ. Уж тут, поверьте, с информированием всё нормально :))) Побывали бы у нас на одном из "круглых столов" (с участием представителей центрального аппарата ФСТЭК) - не сомневались бы! Никто ничего не замалчивает и не только в центральный аппарат, но и в региональные управления пишут многие лицензиаты. Так что с этим всё в порядке :)
Чак

Добрый день!
Экспертный народ, просьба подсказать, при аттестации АС или ИС необходимо ли с каждого АРМ снимать контрольные суммы с папок установки СЗИ, папки Wind, и exe файлов хранящихся на диске "C". Речь идет об аттестации по КИ.

Не в той теме вопрос!

А так вопрос в том зачем вам это нужно? Зафиксировать состояние системы на момент аттестации?
Все ваши действия по аттестации вы расписываете в Программе и методиках. Обычно проводят сравнения контрольных сумм с контрольными суммами приведенными в паспортах на СЗИ, что бы лишний раз убедится в том что в АС установленно именно сертифицированное СЗИ. Но это просто одна из методик проверки, никоим образом не обязательная ни в одном НМД (даже на ГТ).

Поэтом у резюмируя. Хотите делайте хотите нет ваше право.

PS. выбирайте или создавайте темы адекватные вашему вопросу или проблеме.