Периодический контроль состояния ЗИ аттестованного ОИ - Форум по вопросам информационной безопасности

Доброго времени суток, коллеги.
По СТР-К, периодический контроль состояния защиты информации аттестованного ОИ может проводиться службой безопасности предприятия. Может кто-либо, у кого был подобный опыт, рассказать, какие именно процедуры проводятся и какие документы формируются на выходе? Следует ли проводить контроль по модели лицензиатов на ТЗКИ (проверка организационно-распорядительной документации, проведение специсследований ПЭМИН, проверка работы СЗИ от НСД)?

Есть проблема: по ПП79 (положение о лицензировании ТЗКИ), контроль защищенности, а именно:

а) контроль защищенности конфиденциальной информации от утечки по техническим каналам в:
средствах и системах информатизации;
технических средствах (системах), не обрабатывающих конфиденциальную информацию, но размещенных в помещениях, где она обрабатывается;
помещениях со средствами (системами), подлежащими защите;
помещениях, предназначенных для ведения конфиденциальных переговоров (далее - защищаемые помещения);
б) контроль защищенности конфиденциальной информации от несанкционированного доступа и ее модификации в средствах и системах информатизации;

являются лицензируемыми видами деятельности, и никаких исключений типа "в собственных интересах юрлица" ни в одном документе ФСТЭК я не нашел.
Поэтому, если у Вас есть лицензия на ТЗКИ - то и правда, СБ предприятия без проблем может провести, если нет - могут быть потом проблемы.

Максим | 59590

Да Вы можете провести периодический контроль, НО
Во-первых, Вы не знаете как проводить периодический контроль, судя по Вашему посту.
Во-вторых Вы не можете сделать протоколы и заключение на соответствия ОИ требованиям безопасности, потому что у Вас нет лицензии с соответствующими видами работ.
Ну и в-третьих, у Вас скорее всего нет оборудования, программных средств контроля для проведения периодического контроля, а также соответствующих НМД.