Государственная информационная система - Форум по вопросам информационной безопасности

День добрый.

Есть ГИС. Аттестована согласно 17 приказу ФСТЭК в 2016.
Но каждый год систему развивают.

Подскажите, пожалуйста, требуется ли ежегодно разрабатывать ТЗ, модель угроз и остальные документы для ГИС которую ежегодно развивают, если на угрозы это развитие никак не влияет?

Логично, что если угроз новых нет, то и разрабатывать не надо, но развитие же системы, какое никакое есть..

Соотв. основное ТЗ на информационную систему разрабатывают ежегодно в связи с ежегодным развитием. А надо ли при этом ежегодно разрабатывать ТЗ на СЗИ, модель угроз и остальные документы, если изменений по угрозам нет.

Почитайте постановления Прав-ва 676 от 2015 г с недавними изменениями. Там подробнее написано.

2 WORM

Спасибо огромное!

Константин | 72449
А Вы что каждый раз делаете новое ТЗ, модель угроз на всю систему?

2 Евгений

Представьте, да, занимаюсь такой херней)

Я не сильно разбирался в тематике ГИС, когда пару лет назад пришёл в организацию. И многие вещи тут давали делать на уровне "так заведено". И да, ежегодно делается ТЗ на СЗИ, модель угроз и тд. Соответственно ежегодно информационная система создаётся и развивается.

2 WORM и Евгений

Может вы мне поможете разобраться.

Из ПП 676, что создание и развитие ГИС включает в себя разработку документации на систему, а соответственно и разработку ТЗ на СЗИ, модель угроз и остальную документацию.

Я правильно понимаю?

То есть это надо будет делать ежегодно пока в соотв. с гос. заданием наша система ежегодно развивается?

А в связи с изменениями данного ПП 676 ещё и согласовывать документы с ФСБ и ФСТЭК.

Ну просто красота)

* То есть это надо будет делать ежегодно пока в соотв. с гос. заданием наша система ежегодно развивается? *

" Мероприятия по развитию системы осуществляются в соответствии с требованиями, установленными для создания системы "
(ППр-676)

Таки да, надо будет. Другое дело, что писать ТЗ и прочее нужно только на вносимые в ГИС изменения.

Все, конечно, зависит от широты "развития ИС"... Но, позвольте, зачем ТЗ? Если развитие != радикальным изменениям, то только пересмотреть Модель. А ежели и новых угроз актуальных не появилось, то лишь удостовериться, что существующая СЗИ полностью покрывает функционал, привнесенный "развитием"...