Какими документами регламентируется модификация прикладного ПО на компьютерах предназначенных для обработки гостайны? - Форум по вопросам информационной безопасности

Я долгое время считал что после аттестации вообще ничего менять нельзя. Как настроили несколько лет назад. так и работали. И необходимости менять не было. Ситуация изменилась. Прямого запрета я не вижу, но и указаний на то, что можно а что нет тоже.

Понимаете Александр - аттестация предполагает некую консервацию (в идеале) аттестованной процедуры и всей инфраструктуры - иначе даже апдейт винды или там...антивируса уже вашу аттестацию полностью дезавуирует.
Это секрет полишенеля и все об этом знают и смотрят сквозь пльцы до тех пор пока вы очень сильно из окопа вылезать не станете со своей ГТ.
Документы из серии ФСТЭК "92-95 это ответ на Ваш вопрос.
А использование Несертифицированного ПО прикладного уровня или сразу вас выведет из правового поля.
А запрет...тем более прямой и документальный - вопрос вполне филосовский для поднятия вашей исполнительской дисциплины.
Вы же на государство работаете - вот и думайте о тех кто выше вашего уровня в номенклатуре.
Они могут быть весьма нетолерантными к непонятливым исполнителям ...и будете вы стрелочником на полустанке и без ГТ и без гарантированного пособия по безработице а в стране безработица НЕ РАСТЕТ!
Растет по экспоненте только число незарегистрированных государством безработных

А что за документы из серии ФСТЭК "92-95? Закрытые?

Для Александра:
Аттестация – это не догма и не приговор Вашей АС! Аттестация – это всего лишь комплексные испытания Вашей АС, целью которых проверка выполнения предъявленных регулятором требований по безопасности. Основа и сущность защищённой АС – это технологический процесс обработки информации, который реализует защищённая АС. Прикладное ПО является «инструментом» реализованного на АС технологического процесса. Отсюда вывод: то что влияет на АС, изменяя её тех.процесс – существенно для аттестованной АС и потребует её переаттестации (и как минимум извещение организации, которая аттестовала АС). А то, что не влияет на АС, не изменяя её тех.процесс – является не существенным для аттестованной АС. Посмотрите внимательно на организацию защиты своего тех.процесса и вопросы отпадут сами собой.
Приведу ряд примеров. Выпуск обновлений антивирусных баз производители производят несколько раз в сутки, Вы или Ваш админ можете также несколько раз в сутки обновлять базы сигнатур антивируса – тех.процесс обработки информации от этого не изменится, поэтому извещать или спрашивать на каждое такое действие орган по аттестации глупо. Выпуск обновлений для операционной системы (не так часто, как в случае с антивирусом, но частота сейчас важна) – аналогично, правда для корректности работы ОС с установленной СЗИ может потребоваться приостановка работы СЗИ. Если, например, перестал «генерировать» генератор шума, его замена не потребует переаттестации всей АС – просто замена генератора и дополнительный протокол оценки эффективности (правда на это время потребуется приостановка работы на АС), тоже самое в случае нарушения работоспособности Touch Memory у СЗИ от НСД, сетевого помехоподавляющего фильтра, CD-привода и другим «элементам» АС. Назначение АС прежде всего – это обработка информации, а защита является «надстройкой» над этим процессом, позволяя контролировать работу с этой информацией в процессе обработки.
Если обновление, изменение и дополнение прикладного ПО не изменяет технологический процесс обработки информации и установленные настройки СЗИ, то прописывайте в тех.процессе и работайте. Например, если одному дизайнеру было удобно работать с Photoshop’ом, а через год принимают второго, которому удобнее работать в Corel’е, то неужели придётся переаттестовывать АС? Даже если дизайнеры имеют разную форму допуска и к разной информации – они могут работать в разное время и хранить свои труды на разных носителях.

...
А что за документы из серии ФСТЭК "92-95? Закрытые?...

Открытые и лежат на сайте фстэк - 92-95 годы принятия.
Есть там и норма по аттестации - смотрите разделы 7-8 если не вру.
Создается комиссия по приему и определяется допущенный к обслуж. персонал и т.д.
Рассуждать можно до луны, но без особой необходимости и лучше оформленной письменным приказом (указанием) уполномоченного на то лица лучше ничего не трогать.
Проявивший инициативу - несет всю полноту ответственности.
Думайте сами что важнее
Вести полемику с msergey считаю неконструктивным т.к. он в чем-то прав, но решать то не ему - вам