Контрольные суммы - Форум по вопросам информационной безопасности

Доброго времени суток.
Предистория:
В начальной документации на АРМ есть приложение с контрольными суммами на СЗИ НСД. Появилась необходимость установить небольшое обновление СЗИ НСД. Соответственной КС изменятся и при периодическом контроле биться не будут. Как правильно все оформить?
Прошу прощения, если этот вопрос уже обсуждался, не нашел.
С уважением, Snare.

Увы, никак. Если вам принципиально использование именно сертифицированного экземпляра СЗИ, вы не можете ставить на него несертифицированные обновления.

Процедура обновления сертиицированых СЗИ выглядит по-разному. Мы, например, при необходимости обновить сертифицированную версию нашего софта, проводим новую сертификацию и направляем заказчикам новый формуляр с новыми контрольными суммами.

в дополнение:
1. а если она (КС) биться не будет, то ЧТО?
2. Ну не бъёт контрольная сумма, что из этого; оператору - забить, интегратору - не его случай, регулятору - нет полномочий(непрописаны нигде, наклейка-то есть).
3. КС не бъет, но кто докажет что это средство не выполняет свои функции .... к п.2.

1. Если это выяснитя в ходе проверки со тороны ФСТЭК, получите замечание, и его придется устранить.

2. Внимательно читаем статью 13.12 КоАП (диспозиция правонарушения) и статью 23.45 КоАП (полномочия регулятора). Лицензиатам стоит также внимательно почитать п. г) статьи 4 "Положения о лицензировании..." и статью 18 того же положения (полномочия регулятора и последтвия их применения к лицензиату)

3. Не "КС не бьет", а "используется несертифицированный экземпляр СЗИ". Это является административным правонарушением в случае, если обязательно использование сертифицированных СЗИ, и грубым нарушением лицензионных требований, если для деятельности нужна лицензия.

Соглашусь с malotavr, если не бъется КС, то регулятор вероятнее всего сделает вывод, что установлена не сертифицированная версия СЗИ, со всемы вытекающими...

Задал вопрос компании-производителю СЗИ. Они направили к менеджеру через которого мы приобретали СЗИ. Сейчас ожидаю высылки новых КС. Производитель сказал, что обновленная версия тоже сертифицирована.

Возник новый вопрос :) В каком виде требовать КС? В виде формуляра нового на конкретный экземпляр СЗИ или какого-нибудь протокола на версию или достаточно письма по электронке с таблицей КС?

Достаточно письма, но лучше пусть оно будет на бумаге. И содержит пояснения - с какого дуба они упали и по какому поводу

Всем спасибо за ответы. В итоге получил по электронке КС на обновленную версию от продавца СЗИ.

Поделитесь опытом:
1. при аттестации по ГТ и КИ снимаете КС с СЗИ от НСД?
2. В каком документе определяется необходимость фиксации КС для объектов с ГТ и КС?
3. И как Вы поступаете если СЗИ имеет лишь аппаратное решение? в протоколе НСД указываете наличие таких средств и пишете, что снятие КС с них невозможно?

Доброго времени суток, коллеги!
И в дополнение:
4. Только ли с СЗИ нужно снимать КС или с ПО участвующее в обработки ЗИ?