Добавление оборудования в аттестованную АС - Форум по вопросам информационной безопасности

Подсобите, пожалуйста, в разрешении правового вопроса.

Ситуация следующая. Есть АС, аттестованная по РД АС и РД ФСТЭК для ИСПДН. Для использования в АС, постепенно, на протяжении года, докупается различное оборудование (АРМ, сервера, коммутационное оборудование и пр.).

Вопросы:

1) Можно ли начать работы по переаттестации АС в новом, дополненном, составе по окончании докупки и установки всего состава планируемого оборудования? Т.е. на протяжении года, покупали, устанавливали в разное время купленное оборудование и в конце года, когда сформировался полный состав АС, издали Приказ "О подготовке к аттестации".

2) Или, следует начать работы по переаттестации АС сразу после того, как по Акту установки было установлен первый состав оборудования? Т.е., пришёл в начале года сервер - ОТСС, его установили, оформили Акт установки, уведомили атт.орган и сразу приступили к переаттестации, при этом зная, что до конца года будет постепенно приходить ещё ОТСС и ВТСС для АС.

Дополнительный вопрос:

3) Можно ли, на протяжении года докупать оборудование для аттестованной АС, устанавливать его, настраивать, но не "связывать" с аттестованной АС. А потом, в конце года, весь новый состав "связать" с аттестованной АС, собрать внутреннюю комиссию, принять решение о вводе нового оборудования в состав аттестованной АС и провести работы по переаттестации?

Все эти вопросы к органу по аттестации!!
Так как обязательных требований к аттестации ИСПДн нет. Соответственно орган по аттестации с вами согласует в программе и методике испытаний и в выданном аттестате все ньюансы ваших дальнейших взаимоотношений!
С учетом...
Положение
по аттестации объектов информатизации..

2.6. Заявители:

- осуществляют эксплуатацию объекта информатизации в соответствии с условиями и требованиями, установленными в "Аттестате соответствия";
- извещают орган по аттестации, выдавший "Аттестат соответствия", о всех изменениях в информационных технологиях, составе и размещении средств и систем информатики, условиях их эксплуатации, которые могут повлиять на эффективность мер и средств защиты информации (перечень характеристик, определяющих безопасность информации, об изменениях которых требуется обязательно извещать орган по аттестации, приводится в "Аттестате соответствия");
- предоставляют необходимые документы и условия для осуществления контроля и надзора за эксплуатацией объекта информатизации, прошедшего обязательную аттестацию.

3.8.4. "Аттестат соответствия" выдается владельцу аттестованного объекта информатизации органом по аттестации на период, в течение которого обеспечивается неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, определяющие безопасность информации (состав и структура технических средств, условия размещения, используемое программное обеспечение, режимы обработки информации, средства и меры защиты), но не более чем на 3 года.
Владелец аттестованного объекта информатизации несет ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки защищаемой информации и требований по безопасности информации.
3.8.5. В случае изменения условий и технологии обработки защищаемой информации владельцы аттестованных объектов обязаны известить об этом орган по аттестации, который принимает решение о необходимости проведения дополнительной проверки эффективности системы защиты объекта информатизации.