Требования к защищенному производству - Форум по вопросам информационной безопасности

Уважаемые знатоки!
Одно из лицензионных требований при получении лицензии на разработку и производство СЗКИ звучит так (АДМИНИСТРАТИВНЫЙ РЕГЛАМЕНТ
ФЕДЕРАЛЬНОЙ СЛУЖБЫ ПО ТЕХНИЧЕСКОМУ И ЭКСПОРТНОМУ КОНТРОЛЮ ПО ИСПОЛНЕНИЮ ГОСУДАРСТВЕННОЙ ФУНКЦИИ ПО ЛИЦЕНЗИРОВАНИЮ
ДЕЯТЕЛЬНОСТИ ПО РАЗРАБОТКЕ И (ИЛИ) ПРОИЗВОДСТВУ
СРЕДСТВ ЗАЩИТЫ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ):
соответствие помещений, производственного, испытательного и контрольно-измерительного оборудования, предназначенных для осуществления лицензируемой деятельности, техническим нормам и требованиям по технической защите информации, установленным нормативными правовыми актами Российской Федерации;
Сможете привести названия документов, где эти требования сформированы, или на основании которых эти требования можно сформировать?
Заранее спасибо!

Уважаемые знатоки :)
Прошу помощи!
Ситуация: Нам необходимо передать ПО на сертификацию НДВ (серия), как я понял для этого необходимо иметь лицензию СЗКИ.
Вопрос: опираясь на регламент описанный в предыдущем посте, необходимо ли для получения данной лицензии аттестовать ЗП или только АС?
И еще один вопрос. Аттестуемая АС должна включать все оборудование на с которым связано написание ПО или можно один АРМ аттестовать и все?
Спасибо за внимание!

vpoiskeraboti

Никаких лицензий для сертификации ПО Вам ненужно (если это не СКЗИ, если это ПО для организации а не на продажу и т.п.) просто запрос на ФСТЭК (далее как отпишут) обычно отсылаете им дистрибутив через месяца 2 если все хорошо получите сертификат.

>>> Аттестуемая АС должна включать все оборудование на с которым связано написание ПО или можно один АРМ аттестовать и все?
Вопрос не понятен. на НДВ проверяется программный код а не то где это ПО было написано.

Моя организация разрабатывает ПО для электровозов и РЖД (заказчик) выдвигает требования, что ПО должно быть сертифицировано по контролю отсутствия НДВ. Да действительно наше ПО не является СЗИ, но требования таковы :(
Второй вопрос не про НДВ, а про получение лицензии СЗКИ конкретно "соответствие помещений, производственного, испытательного и контрольно-измерительного оборудования"
Вот я и спрашиваю необходимо ли создавать и аттестовывать ЗП

Второй вопрос не про НДВ, а про получение лицензии СЗКИ конкретно "соответствие помещений, производственного, испытательного и контрольно-измерительного оборудования"
Не могу подсказать. В этом вопросе я не компетентен (

Правильно (по духу) будет аттестовать все оборудование на с которым связано написание ПО.
С точки зрения минимизации затрат и соблюдения требований лицензий можно попробовать обойтись одним АРМом.
Требование по ЗП ищите в административном регламенте.

2 Комрад
>Требование по ЗП ищите в административном регламенте.

Требования к ЗП нам известны. Я просто спросил можно ли обойтись без аттестации ЗП. А точнее если выразиться зачем нам оборудование (КИО) в помещении, если мы не проводим конфиденциальных мероприятий! Мое мнение достаточно аттестованной АС в пределах КЗ. Хочу услышать Ваше мнение и пример из практики!
Спасибо!

Не корректно выразился!
Зачем нам арендовать КИО и создавать ЗП, проводить его аттестацию, если мы не собираемся проводить конфиденциальные мероприятия, а только лишь хотим отдать свое ПО на сертификацию серии по НДВ.

Положено-ешь, не положено -не ешь.
Если написано в лицензионных требованиях ЗП, значит нужно ЗП.
Возможно, после ввода в действе нового законо о лицензируемых видах деятельности можно будет ограничиться только АРМом, с оговоркой в тексте лицензии. По таким тонким вопросам лучше в центр лицензирования ФСТЭКа или в контору которая у вас будет проводить сертификационные работы с вашим ПО.

> Зачем нам арендовать КИО и создавать ЗП, проводить его аттестацию, если мы не собираемся проводить конфиденциальные мероприятия, а только лишь хотим отдать свое ПО на сертификацию серии по НДВ

Не требуются вам КИО. Вам нужно в ходе экспертизы показать, что при производстве в софт не могут быть внесены несанкционированные изменения.

Мы сделали так:
1. Производством является тиражировние сертифицированного образца (запись на болванку плюс печать документации)
2. Болванка с образцом хранится в сейфе
3. Инструкция по производству предусматривает сверку контрольных сумм записанного экземрляра с формуляром, такая же процедура прописана в формуляре.
4. Рабочее место для записи болванок аттестовано как АС класса 3Б
5. Для п. 4 потребовалось защищенное помещение, причем требования к помещению фактически ограничились физической охраной и фильтрацией электричества.

В ходе экспертизы несколько раз звучали формаулировки: "... обычно требуется, но в вашем случае - не обязательно. Запишем в акте как рекомендацию."

> Положено-ешь, не положено -не ешь.

Чушь. Описанное выше прошло и ФСТЭКовскую сертификацию, и военную.