Аттестация ИСПДн - Форум по вопросам информационной безопасности

Насолько я понимаю, ситуация следующая. При условии, если мы присвоили ИСПДн 1 и 2, то необходимо провести сертификацию ОТСС или аттестацию по треб защиты информации, т.е. провести СИ от утеч. за счет ПЭМИН руководствуясь врем. методиками оценки защищенности КИ.
Причем для 2-го класса ИСПДн, рекомендуется использовать СВТ соответствующие нормам по ЭМ совместимости, санитарным и т.д.
1. Подскажите, существуют ли в продаже такого рода СВТ и что значит рекомендуется, т.е. аттестация не обязательна если не соответствуют гостам?
2. Если ИСПДн распределенная система с наличием серверов и активного оборудования, как проводятся испытания коммутатора, роутера (т.к. они являются ОТСС)? Какие тесты запускать? по отдельности каждую железку?
3. Какие средства от НСД необходимо использовать на серверах unix систем?

В дополнение к п.3 воопрос по opensource в целом. Как вообще аттестовывать системы с nix
Например: Linux, СУБД, httpd, самописные скрипты perl, java.

Вобщем уже ставшие настолько привычными системы на Linux/FreeBSD.

по п.3 для защиты от НСД к ОС Unix можно использовать Аккорд АМДЗ, по поводу аттестации nix - сертифицированными д.б. только средства защиты. Кроме того, есть сертифицированные СУБД (см. реестр ФСТЭК)
ЗЫ Советую скачать с сайта ФСТЭК последний перечень - под таблицей Вас ожидает приятный сюрприз

dijkstra, 24-03-2009 12:36
Как вообще аттестовывать системы с nix

Использовать сертифицированные решения (сертифицированные ОС).

Василь, уточню
Если частично система написана сторонними разработчиками. обработка БД перловыми скриптами.
Я так понимаю, в любом случае надо эту самописную часть тоже сертифицировать?

Скажите пожалуйста, кто знает
Имеется сервер приложений в которых хранятся ПДн, необходимо использовать сертифицированную ОС или можно использовать средство от НСД к этой ОС-е? (ИСПДн К2)

Если подходить с точки зрения РД, то ОС тоже должна иметь сертификат, однако, за частую на это регуляторы не смотрят и достаточно иметь сертифицированные СЗИ. В РД по ПД так же нет ни слова про сертификацию ОС. Эти требования предъявляются в ГОСТах и иных нормативных актах по созданию информационных систем.

Сертифицируется не ОС вцелом, а встроенные ср. защиты ОС. Если встроенные ср. защиты ОС перекрывают требования к подсистемам конкретного класса ИСПДн, то целесообразно пользоваться сертифицированной ОС + эл.замок, без применения дополнительных СрЗИ. Если не перекрывают, то сертифицированная ОС не имеет смысла. Требования будут выполняться применением сертифицированных СрЗИ.

sc63, Сергей, спасибо большое!

+эл.замок - какая функция у этого устройства, если можно - по перечню 1Г - это более знакомо и понятно.