Добавление в аттестованную АС тех.средств - Форум по вопросам информационной безопасности

Всем добрый день. Имеется необходимость добавит на аттестованный по ГТ АРМ внешний привод FDD (ранее не было необходимости). Подскажите, пожалуйста, как нам поступить и что сделать? Обратились в наш орган по аттестации - они сказали, что только переаттестовывать объект, сославшись на какой-то ГОСТ. Но сами понимаете, что данный путь нам экономически не целесообразен. Скажите какие работы надо провести с этим приводом? Может ли это провести другой орган по аттестации эти работ и добавить в наш АРМ этот привод?

"Обратились в наш орган по аттестации - они сказали, что только переаттестовывать объект"
Правильно сказали лищь только потому что они атестовывали ваш объект.
Решает по изменениям на объекте только орган по аттестации. Обжаловать его решение вы можете во ФСТЭК.

2 corsairzva
Нескрываемое желание органа по аттестации заработать денег (вполне естественно).
Но вы, как владелец аттестованного ОИ, на период действия аттестата должны обеспечить неизменность условий функционирования ОИ и технологии обработки защищаемой информации, могущих повлиять на характеристики, определяющие безопасность информации и т.д. и т.п.
Прочитайте ещё раз что написано в аттестате и описании технологического процесса, было ли у вас предусмотрено отчуждение информации на МНИ?
В случае изменений условий и технологии обработки защищаемой информации вы обязаны известить орган по аттестации, который принимает решение о НЕОБХОДИМОСТИ ДОПОЛНИТЕЛЬНОЙ ПРОВЕРКИ ЭФФЕКТИВНОСТИ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ ОИ.
"Скажите какие работы надо провести с этим приводом?"
Для начала вам необходимо получить заключение по СП и предписание на эксплуатацию на ваш USB FDD (это может сделать любой лицензиат ФСБ и ФСТЭК), но потом всё равно на поклон к нему, а на это ваш орган может обидеться.
Для этого у них есть джокер:При изменении условий ЭКСПЛУАТАЦИИ ОИ, а также ............., приводящих к нарушению его штатной работы, включая СЗИ, или к образованию угроз безопасности информации, проводят повторную аттестацию.
Не думаю, что от этого привода уровни ПЭМИ буду выше чем у самого АРМ, НСД придётся настроить.
Постарайтесь найти с ним консенсус, провести эти работы в рамках периодического контроля, правда придётся вносить кучу изменений в аттестационные документы, связанные с добавлением ОТСС.
На эту тему было пересказано масса мнений, главное соблюсти законность, в том числе и требований органа по аттестации?

"предписание на эксплуатацию на ваш USB FDD"
Это бред!!! Предписание согласно НМД делается на весь комплект ТС со всеми ОТСС!

Да щас сплошь и рядом продают все с предписание..:), типо проверялось с тестовой ПЭВМ и всё окай.

в посте 55092, не туда вставил обращение..:(..извиняюсь.

55092 писал не я! а про тестовую машину. это самодеятельность против физики и нмд!

Господин sekira, я зная что вы мастер русской словесности и белые пятна умело трактуете в свою пользу. Иногда я ваши мысли даже разделяю.
В своём посте я лишь привёл трактовку из № 912-51:
Соответствие технического средства и его программного обеспечения требованиям защищенности подтверждается сертификатом, выдаваемым предприятием, имеющим лицензию на этот вид деятельности, по результатам сертификационных испытаний, или предписанием на эксплуатацию, оформляемым по результатам специальных исследований и специальных проверок технических средств и программного обеспечения.
Что нашло отражение в п.5.1.2 трёхбуквенного издания.

Это не умоляет проведение СИ со штатной ПЭВМ ОИ со всей периферией, но Заказчик вправе запросить только исследование всех трактов на USB FDD.
Как заказчик доставит АРМ в лабораторию лицензиата с грифованным диском, вот ВОПРОС?
Поэтому и написал на вопрос "Скажите какие работы надо провести с этим приводом?" что это лишь первый шаг который надо сделать, а потом обратившись в орган по аттестации ждать, достаточно ли ДОПОЛНИТЕЛЬНОЙ ПРОВЕРКИ ЭФФЕКТИВНОСТИ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ ОИ, или копить деньги на повторную аттестацию.
На это же и направлен вопрос: насколько изменится технологический процесс с использованием USB FDD?, может у них было отчуждение инфы, но им вдруг понадобились дискеты.
Являясь органом по аттестации вы наверно за переаттестацию, но суть вопроса сводилась к тому, как избежать избыточных затрат выполнить необходимые требования по ЗИ на действующем аттестованном ОИ.
Мой ответ: возможность такая имеется и при этом не нарушив никаких требований НМД.

"я зная что вы мастер русской словесности и белые пятна умело трактуете в свою пользу".
Спасибо на добром слове правда никогда себя таким не считал.
Действительно белое пятно разрулить которое ФСТЭК так и не в состоянии. Я бы озаглавил его как добавление новых комплектующих ТС и накопителей в аттестованный объект.

Я начал негодовать потому что выдается предписание на ТС неработающие не в составе ПЭВМ и по физике кардинально зависящее от того в составе какой ПЭВМ оно работает (это про самодеятельность с тестовой машиной).

"Заказчик вправе запросить только исследование всех трактов на USB FDD"
Вправе но в полной комплектации на площадке. Будет протокол только на FDD. Но не Предписание на FDD как на ТС потому что оно несамостоятельное устройство и работает в составе другого ТС комплект ПЭВМ на которое вы и выдадите Предписание может быть с учетом нескольких лабораторных протоколов . Но это как одно из адекватных решений...Про это точно по полочкам нигде не написано и не разьяснено.

"Как заказчик доставит АРМ в лабораторию лицензиата с грифованным диском, вот ВОПРОС?"
USB FDD неможет быть грифован он не машинный носитель информации.

"Являясь органом по аттестации вы наверно за переаттестацию"
Как раз наоборот мы при контроле делаем дополнительные лабораторные и согласуем изменения, потверждая соответствие Заключением по результатам контроля. Но это мы.

А в данном случае нет правил!! Правило одно РЕШАТЬ ОРГАНУ ПО АТТЕСТАЦИИ! И разговоры без конкретики и привязки к объекту бесполезны. А конкретику знает орган он же несет ответственность за действующий аттестат.

"возможность такая имеется и при этом не нарушив никаких требований НМД"
Конечно имеется, но не делая Предписания на USB FDD!

Всем добрый день. Спасибо за обсуждения. Обратившись к другим лицензиатом ФСТЭКа они нам предложили следующий вариант:
1) проведение СП внешнего привод FDD (выдадут заключение по СП);
2) проведение лабораторных исследований. причем эти исследования будут проводится вместе с компьютером, который у нас уже аттестован. по этим работам будут выданы отчетные документы. я так понимаю какое-то предписание и протокол.
3) будут проведены работы на нашем объекте и проверят работу этого внешнего FDD не создает ли он опасных каналов, а если создает, то проверят эффективность нашей глушилки. и по результатам этого выдадут протокол оценки эффективности принятых мер защиты.
4. мы вносим все корректировки в организационно-распорядительную документацию на наш АРМ.

вот такой алгоритм правомерен или же нет?


и далее мы пишем в орган по аттестации, который нас аттестовал с просьбой согласовать изменения. и разве у него есть право не согласовать?