Объекты информатизации - Форум по вопросам информационной безопасности

Коллеги, помогите пожалуйста.
Для меня тема защиты информации новая, что называется - я только учусь.
Пришел запрос из ФСТЭК, в котором нужно предоставить информацию по ЗИ. И я некоторых моментов не понимаю.

1) "Категория объекта защиты (при наличии)" Ч то это?
2) "Общее количество помещений, предназначенных для проведения совещаний конфиденциального характера (защищаемые помещения)". Только там где проводятся официальные (документируемые) обсуждения по вопросам КИ или любые помещения, где осуществляется обработка КИ?
3) Сначала идет вопрос о количестве ПЭВМ - я ответила, а следом вопрос о "количестве Объектов информатизации". Немного непонятно что именно нужно посчитать?


Буду очень очень благодарна!

Еще если можно:

4) Имеющиеся средства ТЗИ и средства контроля эффективности мероприятий ТЗИ на объекте
(в случае отсутствия средства контроля эффективности мероприятий ТЗИ – указать реквизиты договора и наименование организации, которая осуществляет периодический контроль эффективности )
Не понятно, что имеется ввиду?

>1) "Категория объекта защиты (при наличии)" Ч то это?

Категории присваиваются, если на объектах обрабатывается гостайна. На остальных - не надо.

>2) "Общее количество помещений, предназначенных для проведения совещаний конфиденциального характера (защищаемые помещения)". Только там где проводятся официальные (документируемые) обсуждения по вопросам КИ или любые помещения, где осуществляется обработка КИ?

Защищаемые помещения - в которых обсуждается в речевой форме информация, не подлежащая разглашению (коммерческая тайна, персональные данные), но не содержащая сведений, составляющих гостайну. Во ФСТЭК сообщайте только об аттестованных ЗП, или получите нарушение.

>3) Сначала идет вопрос о количестве ПЭВМ - я ответила, а следом вопрос о "количестве Объектов информатизации". Немного непонятно что именно нужно посчитать?

ОИ - это всё, где есть защищаемая информация, как ПЭВМ/АРМ, так и ЗП/ВП. Несколько ПЭВМ могут быть одним ОИ, если они аттестованы в составе одной автоматизированной/информационной системы.

>4) Имеющиеся средства ТЗИ и средства контроля эффективности мероприятий ТЗИ на объекте
(в случае отсутствия средства контроля эффективности мероприятий ТЗИ – указать реквизиты договора и наименование организации, которая осуществляет периодический контроль эффективности )

Сведения о наличии средств защиты, например СЗИ от НСД, генераторов шумов, комплексов виброакустики и что там ещё. Средства контроля эффективности - измерительные комплексы по ПЭМИН и ПО для контроля защищенности от НСД. Это если у вас есть подразделение ИБ/ЗИ, у которого есть соответствующие лицензии и аттестат аккредитации органа по аттестации. Если такового нет - должен быть заключен договор о проведении ежегодного контроля с организацией, которая аттестовывала ваши объекты, или другого лицензиата ФСТЭК.

Sitt
Огромное Вам спасибо, но еще если позволите уточняющие вопросы:

"Несколько ПЭВМ могут быть одним ОИ, если они аттестованы..."

Дело в том, что у нас, как бы когда-то в 2010 году было что-то вроде аттестации (тогда это еще была не моя тема). Потом я обнаружила, что те объекты которые подлежат аттестации со всем атрибутами этого - на половину не соответствую Тех паспорту ИСПДн (у нас их две, к слову). Другая часть техники бесповоротно устарела.
Документы не актуальны, либо просто топорные (даже мне - это понятно, хотя я, как говорила, только учусь).
Никаких договоров нет.

В общем бардак.
Я потихоньку разбираюсь в этом, но это процесс не быстрый (для меня, по крайней мере), и тут запрос ФСТЭК.
Чего делать не знаю.

Например если нет аттестации, то что считать ОИ?

Скажем, если я посчитаю каждую клавиатуру, мышь, каждый системник, каждый ИБП, монитор и т.д.- правильное направление движение будет или ложное?

Спасибо!

Алёнка, поисковики в помощь - определения и понятия даны в открытых документах!
"Совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, средств обеспечения объекта информатизации, помещений или объектов (зданий, сооружений, технических средств), в которых они установлены, или помещения и объекты, предназначенные для ведения конфиденциальных переговоров [из п. 2.1(4) ГОСТ Р 51275-99]"
В переводе на бытовой, один ОИ - это одна или группа ПЭВМ (комплектов), выполняющие одну задачу (включая ПО и места размещения); и одно ЗП или группа смежных помещений для переговоров, выполняющие общую задачу.
До аттестации нужно определиться, где и что из защищаемой информации будет обрабатываться (включая хранение, обсуждение и т.д.)
Аттестаты 2010 уже заведомо просрочены, так что аттестованных ОИ у вас нет.

Очень советую сейчас привлечь специалиста, и в ближайшее время пройти какие-нибудь профильные курсы. Разбираться самостоятельно прямо от ГОСТов, особенно не зная, какие нужны дсп первоисточники, очень трудно.

>Дело в том, что у нас, как бы когда-то в 2010 году было что-то вроде аттестации

Срок действия аттестата, если он был, всё равно кончился. Оформляйте заново тех. документацию на ИСПДн, образцов в интернете масса.
У Вас коммерческая организация или бюджетная? Коммерсантам необязательно наличие аттестата.
ОИ - это объект в целом, т.е. обрабатываете ПДн на отдельной ПЭВМ - это объект. Если несколько машин обрабатывают ПДн в одной локальной сети - это тоже объект. ЗП - объект. Копировальный аппарат, если применяется в процессе обработки ПДн - объект.

>Скажем, если я посчитаю каждую клавиатуру, мышь, каждый системник, каждый ИБП, монитор и т.д.- правильное направление движение будет или ложное?

Ложное. Считается объект. Допустим ПЭВМ для обработки ПДн. Даёте ей какое-то название, допустим "ПЭВМ №1" - это объект. В составе этого объекта в техпаспорте указывается: монитор "хххххх" №(_____), системный блок "хххххх" № (___________), клавиатура, мышь, ИБП, принтер.

Если совсем всё сложно - позвоните во ФСТЭК, попросите их пояснить. Я ж не знаю, что они от вас требуют, текста не видел.

Запрос от ФСТЭК пришел какого характера? Грубо говоря на каком основании они делали запрос в вашу организацию?