Периодический контроль ВП - Форум по вопросам информационной безопасности

Что значит не отвечают ? Официального ответа нет? Можно прописать в договоре на выполнение работ, что заказчик обязуется проводить ежегодный КЭ за свой счет после аттестации ВП. Правда заказчику это не понравится =) .

Так в том то и дело, что и заказчик и исполнитель в одном лице. И нет необходимости впаривать кому-нибудь лишнюю работу. КП мы проводим. Ежегодно. Просто встал вопрос о документе, регламентирующем периодичность и объем.

И, если уж действительно мы сами должны выставлять эти нормы, то на что обращать внимание?

По новой серии ГОСТ, в которых представители центрального аппарата ФСТЭК обещали более расширенно отразить вопросы периодического контроля ОИ.
Серия "Защита Информации. Аттестация Объектов информатизации".
На текущий момент вышел (доступен к заказу) ГОСТ РО 0043-003-2012 Защита Информации. Аттестация Объектов информатизации. Общие положения".
На стадии обсуждения и редактирования"...Программа и методики аттестационных испытаний".
Какие ещё будут в серии, не владею. Может быть кто сможет раскрыть приблизительно весь список.
ГОСТы идут с пометкой "ДСП".

P.S. Что касается наложений ограничений в Аттестате при невыполнении требований по периодическому контролю (обоснованному естественно, не в части изменений условий, а эффективности применяемых СЗИ), то пишу (текс примерный):
"Требования:
-
- проведение периодического контроля эффективности СЗИ...
....
Периодический контроль эффективности применяемых на ОИ СЗИ проводят организации, имеющие лицензию на ...
....
Аттестат утрачивает своё действие в случае:
-
-
- не проведения необходимого периодического контроля эффективности применяемых средств защиты информации"

И не надо изначально нагибать заказчика на проведение периодического контроля или бегать потом его упрашивать, пусть следит сам. Не провёл во время контроль - аттестат считается недействительным. Т.к. не существует официально регламентированного (документа) порядка отзыва или приостановки действия аттестата соответствия, то подобный "ход" считаю вполне легитимным, замечаний регулятора пока не было.

"Не провёл во время контроль - аттестат считается недействительным"

Нет юридических оснований так писать в аттестате для ВП.

"замечаний регулятора пока не было"

И не будет. Регулятор был бы рад что бы так было везде. Но сам забыл (или не может по каким-то неведомым причинам) внести это в свои НМД!
Замечания будут у грамотного заказчика.
Замечания плана "Почему с меня дерут деньги за то чего нет в требованиях!".

А вообще обсуждение этого "белого пятна НМД" уже было на форуме много раз.
Обычно вывод такой ... кто как хочет тот так и делает!

Да нет уже "белого пятна", п.8.3 ГОСТ РО 0043-003-2012 прочитайте

А с каких пор этот ГОСТ стал обязательным??? На него есть прямое указание в нормативке ФСТЭКа или он имеет статус технического регламента???

"Да нет уже "белого пятна", п.8.3 ГОСТ РО 0043-003-2012 прочитайте"

Почитал! Где РД или НМД или еще что нибудь, обязывающее выполнять данный ГОСТ?!