Сертификация АС - Форум по вопросам информационной безопасности

Возник вопрос по аттестации АС. Где можно увидеть нормы и требования по ПЭМИН для АС (1д) работающей с конфид информацией.
Какие требования по технической защите информации должны выполняться, для аттестации этого АС ?
В каком документе можно посмотреть методики аттестационных испытаний ?

Читать СТР-К и внимательно читать.
Требования по ПЭМИН обязательны для АС органов гос власти.

Диплом по защите АС Университета от несанкционированного доступа (разграничение прав пользователей)
На сервере АС хранятся персональные данные студентов: пасспортные данные, телефон, данные родителей и т.д. Необходимо рассчитать риск и цену ущерба от возможной потери информации
Дайте пожалуйста ссылки или информацию по данной теме.

Добрый день! Подскажите, пожалуйста, как можно использовать ГОСТ Р ИСО/МЭК 15408-2002 при аттестации объектов информатизации? существует ли определенны алгорит действий по использованию данного документа? и производится ли в настащее время в россии аттестация по ИСО/МЭК 15408-2002?

ГОСТ Р ИСО/МЭК 15408-2002 для аттестации ОИ не предназначен, нужны дополнительные методики (их разработка запланирована ФСТЭКом). При аттестации объектов, обрабатывающих конфиденциальную информацию, учитываются сертификаты, выданные на соответствие РД 15408. В сертификатах, помимо ОУД, указывают также в АС какого класса может использоваться продукт.

Как производится сертификация изделий ИТ на основе РД 15408? есть ли связь с РД "СВТ. Защита от НСД. Показатели защищенности"? Или проверка идет отдельно по РД 15408 и отдельно по РД "СВТ. Защита от НСД"?

Господа не путайте
ГОСТ 15408 применяется эксперементально при сертификации СЗИ от НСД по конфид. информации. При аттестации ОИ он не применялся и не будет применяться. СЛОЖНЫЙ БОЛЬНО При аттестации по любой (по гос.тайне и служебн. тайне) применяются РД "АС..." и РД "СВТ..."

Для начала приведу цитату из учебного пособия ЦБИ "Общие критерии оценки безопасности информационных технологий" под ред. М.Т. Кобзаря, А.А. Сидака: "Организации, проводящие аттестацию систем по требованиям безопасности, должны быть компетентны в вопросах использования оценочных уровней доверия к безопасности или пакетов требований доверия в качестве объективной меры снижения рисков при их применении к критичным, с точки зрения безопасности, функциям системы ИТ. В связи с этим, сотрудникам аттестующих организаций необходимо тщательно изучить часть 3 ОК."
Касательно развития применения ОК к АС: ФСТЭКом в 2004г. был разработан проект РД "БИТ. Концепция оценки соответствия АС требованиям безопасности информации" (документ доступен на сайте ФСТЭК), в котором отмечается, что оценка соответствия осуществляется в форме аттестации АС по требованиям безопасности и проводится на соответствие ЗБ. Отмечается также необходимость создания общей методологии оценки безопасности АС, руководства по оценке АС требованиям безопасности, модели угроз и др.
Что же это, как не свидетельство о попытках проводить аттестацию с использованием идеологии ОК?

"пособия ЦБИ" - это проект ЦБИ, разве неяно? Извините, утопия, очень скучная.
Аттестация объектов информатизации (читай, АС в защищенном исполнении) и сертификация СЗИ (СВТ-продуктов, а не АС) - р а з н ы е вещи.

Наталия,

сертификация по ГОСТ 15408 производится следующим образом.

1. Выбирается аккредитованная ФСТЭК испытательная лабораторрия.
2. Выбирается оценочный уровень доверия, на который вы хотите сертифицировать продукт (чаще всего это ОУД1, на более высокий уровень замахнуться сложно).
3. Вы (чаще - ваш подрядчик, напри мер -испытательная лаборатория по вашему поручению) пишете задание по безопасности для вашего продукта. Кроме того, вы или тот же продрядчик разрабатывает комплект документов, необходимых для сертификации вашего продукта (определяется уровнем доверия)
4. Задание по безопасности утверждается вашим руководителем и отправляется на согласование в ФСТЭК. Теоретически ФСТЭК отправляет задание по безопасности на экспертизу в одну из испытательных лабораторий, поэтому в п. 3 разработку ЗБ лучше сраз ей и поручить.
5. После того, как ЗБ согласовано, вы подаете заявку на сертификацию продукта на соответствие согласованному ЗБ с выбранной схемой сертификации (единичный образец, серия). К заявке прикладываете письмо с просьбой назначить в качестве испытательной лаборатории именно ту организацию, которую вы выбрали в п. 1
6. Испытательная лаборатория проводит сертификационные испытания и подготавливает заключение.
7. На основании заключения выдается сертификат.