Аттестационные испытания по ГТ не органом по аттестации - Форум по вопросам информационной безопасности

Соответствующая лицензия ФСТЭК России дает разрешение на проведение аттестационных испытаний и СИ объектов по ГТ, но если вы не орган по аттестации, то сам аттестат оформить вы не можете.
Есть ли практика, когда лицензиаты ФСТЭК России проводят весь комплекс работ, на которые у них есть разрешения, и передают документы по результатам аттестации в орган по аттестации для экспертизы (например) и утверждения?

Аттестат могут оформить только специальные органы, имеющие соответствующие лицензии и аттестат аккредитации!
В соответствии с новым законодательством РФ организации самостоятельно могут только проводить оценку соответствия ИСПДн и формировать Декларацию о соответствии ИСПДн требованиям по безопасности информации.
К сожалению механизм правильного осуществления этого процесса четко нерегламентирован.

"Аттестат могут оформить только специальные органы, имеющие соответствующие лицензии и аттестат аккредитации!"
так только по ГТ. Лицензиаты по ТЗКИ могут для объектов по КИ выбавать атестаты и проводить работы , хотя это ничем кроме последнего постановления по лицензированию ТКЗИ не регламентировано. Ждем выхода новых документов. А пока кто во что гаразд.

"В соответствии с новым законодательством РФ организации самостоятельно могут только проводить оценку соответствия ИСПДн и формировать Декларацию о соответствии ИСПДн требованиям по безопасности информации"

А можно поинтересоватся в каком пункте какого документа это сказано? И что это за новое законодательство?

"и передают документы по результатам аттестации в орган по аттестации для экспертизы (например) и утверждения"

Это противозаконно. Аттестация по ГТ только органом и всегда по полной. Иногда в качестве исключения органы признают чужие протоколы и делают все экспертно (хотя я считаю что это не правильно). С органа в любом случае программа и методики, заключения с протоколами и аттестат! (все расписано в положении по аттестации объектов...)

"Соответствующая лицензия ФСТЭК России дает разрешение на проведение аттестационных испытаний"

лицензия не дает атестат органа по аттестации дает

В лицензии ФСТЭК на ГТ в части технической защиты указывают область её действия, а именно - "Аттестация средств и систем .....", по моему, идет речь именно о выполнении работ по аттестации.
Про то, что противозаконно передавать документы по результатам аттестации в орган по аттестации, тоже не совсем уверен (не встречал такого запрета ни в одном нормативном документе, подскажите где это написано ... ).
Нормативные и разрешительные документы, в т.ч. лицензии, необходимо читать буквально, т.е. если написано проведение аттестационных испытаний, значит именно это и имеется ввиду.
Интересно то, имеется ли опыт подобного сотрудничества лицензиатов ФСТЭК с органами по аттестации.
То, что органу по аттестации, с финансовой точки зрения, выгоднее проводить весь комплекс работ самому, это понятно, но что запрещает им пользоваться, при выдаче аттестатов, результатами аттестационных испытаний разработанных другими лицензиатами ФСТЭК - не понятно.

Немножко не точно выразился..

"противозаконно передавать документы по результатам аттестации в орган по аттестации, тоже не совсем уверен"

Передавать не запрещенно.
Запрещенно вместо органа делать программу и методики, заключение, выдавать аттестат.
А так пожалуйста делайте протоколы передавайте органу, а он уже в праве ссылатся на них при аттестации или делать свои протоколы.
Ответственность все равно на органе:
"Положение .... 1.11. Органы по аттестации объектов информатизации несут ответственность за выполнение возложенных на них функций
2.4. Органы по аттестации:
- аттестуют объекты информатизации и выдают "Аттестаты соответствия";
- осуществляют контроль за безопасностью информации, циркулирующей на аттестованных объектах информатизации, и за их эксплуатацией"

Так что "проводят весь комплекс работ" не получится не имея аттестат аккредитации органа.

Станислав,
заключаете договор с органом по аттестации о сотрудничестве, и затем при аттестации объекта вы делаете все необходимые документы;
далее, передаете их (разработанные вами документы: протоколы, акты категорирования, классификации, техпаспорт и т.п.) на проверку органу по аттестации и уже они, исходя из ваших данных, будут делать Заключение и принимать решение о выдаче Аттестата соответствия.
Это реальная практика.

Спасибо...,
Владимир,
sekira,
лицензиат.