Аттестация фрагмента ГИС при прказу ФСТЭК №17 - Форум по вопросам информационной безопасности

Доброе утро, коллеги. Попытаюсь сформулировать мысль... Есть ГИС. Мы её сопровождаем по всей России. К ней подключается конечный пользователь. К этому фрагменту ИС конечного пользователя предъявляются определенные требования по ИБ. Наша задача проверить их выполнение. Тема для нас новая и потому вопросы, вероятно, будут глупые. Для выполнения этой задачи достаточно-ли наличия лицензии ТЗКИ с пунктами: контроль защищенности КИ от утечки по техническим каналам. контроль защищенности КИ от НСД, аттестационные испытания и аттестация на соответствие требованиям по защите информации, проектирование, установка. монтаж и т.д.? Где-то встречал что должна быть еще некая аккредитация нас как органа, имеющего право, выдавать аттестат соответствия. Что это такое и с чем его едят? Форма аттестата с 94-го года так и не поменялась? В каком виде мы должны отчитываться перед ФСТЭК о выданном аттестате. Написано что раз в квартал, а в каком виде не понятно. Какие документы должны предоставлять?

Аттестат аккредитации органа по аттестации нужно иметь только для проведения аттестаций объектов информатизации по гос. тайне. Для конфиденциальной информации, в т.ч. для аттестации ГИС, достаточно лицензии по ТЗКИ с теми пунктами, которые Вы перечислили

Добавка к 55990.

Форма аттестата соответствия (более свежая) есть в ГОСТ РО 0043-003-2012 (он дсп). По "конфиденциалке" никаких отчетов во ФСТЭК представлять не требуется, только по ГТ

Супер! Спасибо, Игорь, за хорошие новости. ГОСТ этот заказывать в Воронеже в НИИ ФСТЭКовском?

ГОСТы рассылать вообще-то не ФСТЭКовское дело, хотя этот разрабатывал именно ГНИИИ ПТЗИ ФСТЭК России в Воронеже. Можно у них конечно уточнить, но обычно ГОСТы приобретают через ФГУП "Стандартинформ".
Мы в свое время его заказывали в Питере в ОАО "РНИИ Электронстандарт". Варианты разные
Заказывайте тогда сразу и ГОСТ РО 0043-004-2013 (программа и методики аттестационных испытаний). Касаются, правда, эти ГОСТы аттестации АС, для ГИС ФСТЭК только собирается выпустить НМД по их аттестации. Ждем-с

Понял. Спасибо еще раз. Сейчас займусь этим вопросом.

Добрый день! Подскажите пожалуйста,в нашем государственном учреждении есть система электронного документооборота (федеральная), она является ГИС, в ней циркулирует общедоступная информация. Вопрос: нужно ли ее аттестовывать согласно 17 приказу ФСТЭК? или это на усмотрение начальника учреждения?

Если ваша система является ГИС, то независимо от содержащейся в ней информации для неё должны выполняться требования 17 приказа, а соответственно и обязательная аттестация

Вопрос в том , что в 17 приказе в пункте 2 написано следующее: "Настоящие требования МОГУТ применяться для защиты общедоступной информации, содержащихся в ГИС.." а отсюда следует что выполнение требований этого приказа для общедоступной информации не обязательно для выполнения??

Ну в контексте п.2 приказа 17, если в вашей ГИС не обрабатывается информация ограниченного доступа, то обеспечение её конфиденциальности не требуется. А если для вашей открытой информации требуется обеспечить целостность и доступность информации, тогда выполняйте для этих параметров безопасности требования 17 приказа, в т.ч. по проведению аттестации