подключение к АИСТ ГБД - Форум по вопросам информационной безопасности

Необходимо провести работы по подключению к АИСТ ГБД (государственного банка данных о детях, оставшихся без попечения родителей). Заявки на подключение к ГИС, настройку оборудования и покупку СЗИ, также разработку необходимой документации по ПДн можем сделать своими силами. Лицензированные организации кричат, что нам необходимо провести работы по "аттестации объекта информатизации на соответствие требованиям безопасности информации"...т.е. мы должны аттестовать именно этот АРМ, выделенный для АИСТ (именно выделенное рабочее место) и срок аттеста 3 года.
Я не нашла обоснования, почему мы обязаны проводить аттестацию АРМ? (мы же подключаемся к аттестованной ГИС) Подскажите, плиз.

Приказ 17 ФСТЭК
13. Для обеспечения защиты информации, содержащейся в информационной системе, проводятся следующие мероприятия:
...аттестация информационной системы по требованиям защиты информации

17.6. Информационные системы, функционирующие на базе общей инфраструктуры (средств вычислительной техники, серверов телекоммуникационного оборудования) в качестве прикладных сервисов, подлежат аттестации в составе указанной инфраструктуры.
В случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы.

При аттестации информационной системы должны используются результаты аттестации общей инфраструктуры оператора информационной системы.

потому что вы не описали как система построена, а она трех звенная. федеральный уровень, региональный и муниципальный (к которому вы и относитесь) и они взаимосвязаны только одним передачей данных, причем вы ни как ни попадаете в базу данных федерации так и регионального уровня. Потому и аттестовываются каждый уровень отдельно.

Добрый день! Готовимся к аттестации регионального АИСТ ГБД, не можем обосновать сзи. АИСТ ГБД региональный уровень, это ГИС? На какой документ или письмо можно сослаться, проясните пожалуйста

Для Роман, мсц | 107343
Сразу оговорюсь направление органов опеки мне чуждо. Информацию искал на перекуре и читал документы кусками - могу ошибаться.

Нашел письмо Министерства образования и науки российской федерации от 13 октября 2014 года № вк-2139/07. Почитайте, там в приложении есть "Ориентировочная комплектность составных частей муниципального программно-технического комплекса", в котором перечислены СЗИ. http://docs.cntd.ru/document/420238196

Дополнительно попробуйте найти письмо от них же № ВК-251/07 от 12 февраля 2016 года.

imho, "автоматизированной информационной системы государственного банка данных о детях, оставшихся без попечения родителей" (из означенного письма Минобрнауки) = "государственная информационная система" (в концепции ФСТЭК России). Сиречь, если у вас региональный сегмент, то это "ГИС регионального масштаба" со всеми вытекающими по 17 Приказу ФСТЭК России (в части построения КСЗИ в том числе)...
С другой стороны, Минобрнауки уже не существует: есть Министерство науки и высшего образования + Министерство просвещения (ждем Министерство охраны короны, ага)...
Поэтому верным решением будет запросить материалы по классификации из федеральной системы и применить их к своему случаю...

Здравствуйте! Правильно ли я понимаю, что все данные (разных региональных операторов) хранятся не у них самих при внесении в базу, а в определенном ЦОД? Просто в организации (если быть точным, в Министерстве) используется всего лишь один персональный компьютер для работы с этой системой. А чтобы было меньше проблем с аттестацией ОИ будет правильным запросить требования к подключению?
Просто до сих пор имеются некоторые проблемы с точным понятием АРМ и ГИС/ИСПДн, в АРМ ведь тоже может храниться информация ограниченного доступа.

to Ground Zero.

Ну да, может.

Вы можете аттестовать свой АРМ под нужные Вам задачи + добавить подключение к ГИСам.
Даже не к одному, а к нужному Вам кол-ву.

Как ни крути, на АРМ будет храниться конфа. взять теже настройки СрЗИ, файлы логов и тд.
Если взять тот же АИСТ, то там данные до отправки в ЦОД хранятся на локальном АРМе.

Добрый день.

Денис, спасибо за ответ.

После консультации с поддержкой мне объяснили, что у регионального оператора субъекта РФ должен быть не только АРМ, но и отдельный сервер, чтобы уже муниципалитеты, имея АРМ для подключения к региональному сегменту, отправляли данные...

Проблема в том, что, как я выше написал, в Министерстве (доп. уточнение, в Министерстве образования) всего лишь один АРМ, в нем же находится БД, но так как именно Министерство образования является рег. оператором, то эти требования следует выполнить?

Очень бы хотелось получить ответ также от другого региональная оператора на этот счет, может, я что-то упустил.

Добрый день, уважаемые знающие!
Помогите, пожалуйста, не понимающим людям...
Есть аттестат АИСТ ГБД (муниципальная) от 17.12.2019.
Необходимо обновить версию VipNet client
В аттестате прописано:
...ЗАПРЕЩАЕТСЯ:
- вносить изменения в состав, конструкцию, конфигурацию, размещение СВТ.
В протоколе аттест.испытаний: - (АН3.2) в ОРД присутствуют положения, регламентирующие своевременную установку обновлений ПО, включая ПО СЗИ.

Должны ли мы проводить новую аттестацию (по 17 приказу) или аттестационные испытания (по п.33 приказа 77) при обновлении версии СЗИ? Является ли изменение версии ПО СЗИ - изменением конфигурации?