Годовой контроль - Форум по вопросам информационной безопасности

Вопрос к спецам.

Может ли организация имея лицензию ФСТЭК но не имея аттестата аккредитации проводить годовой контроль аттестованного ОИ другой организацией.

То есть. Есть ОИ аттестованный по ГТ одной организацией, а другая организация(которая не аттестовывала ОИ) хочет провести годовой контроль на основании договора.

Вопросы:

1) Может ли эта организация вообще проводить годовой контроль и законно ли это? Если не законно то покажите где написано, что "только организация аттесовавшая ОИ может проводить годовой контроль"
2) Если все таки можно проводить годовой контроль то кем может быть выдано заключение? Без аттестата аккредитации можно ли выдать заключение по годовому контролю или это может сделать только орган по аттестации(например на субподряде)?

Лицензия позволяет проводить такие работы!
Все законно, но не этично ! Вообще желательно обратится в окружной Фстэк , они очень нелюбят такие ситуации зачастую приводящим к конфликтам.
Заключения тоже имеете право выдавать!
Контроль , не надзор может проводить не только аттестующий орган.

Периодический контроль может проводть организация имеющая лицензию ФСТЭК на ТЗИ по ГТ (контроль защищенности)
Аттестат аккредитация позволяет выдавать именно аттестаты. Заключение может быть выдано просто лицензиатом ФСТЭК.

Смущает очень сильно фраза в одном документе. Во временных методических указаниях управлениям гостехкомиссии россии по федеральным округам о порядке аттестации объектов информатизации по требованиям безопасности информации от 21 июня 2002г написано:

п2.6 Государственный контроль и надзор, инспекционный контроль за проведением аттестации объектов информатизации проводится:

Управлением,...
Органом по аттестации объектов информатизации, проводившим аттестацию объекта информатизации, ежегодно, в соответствии с программой аттестационных испытаний.

Настораживает однако...

В выданном аттестате мы (примерно) сразу прописываем, годовой контроль проводим мы и только мы, в некоторых случаях по (обязательному) согласованию с нами допускается другой организацией.
Так ведь и годовой план под эти проверки составляется.

"Государственный контроль и надзор, инспекционный контроль"

Это не годовой переодический контроль защищенности и эффективности мер защиты!

Уважаемый Proetorian: а почему только вы можете проводить годовой контроль? Почему если клиент не хочет чтобы вы ему проводили годовой должен с вами согласовывать? Где это прописано?

Опять же добавлю настораживает фраза "п2.6 Государственный контроль и надзор, инспекционный контроль за проведением аттестации объектов информатизации проводится:

Управлением,...
Органом по аттестации объектов информатизации, проводившим аттестацию объекта информатизации, ЕЖЕГОДНО, в соответствии с программой аттестационных испытаний."

To sekira: Спс тебе =)

То есть ЕЖЕГОДНО по крайней мере я понимаю как годовые. Ну вобщем спецы растолкуйте

Объясняю популярно как я понимаю!
Ежегодный контроль это проверка соответствия требованиям по безопасности на вашем объекте, может проводится лицензиатом, вами самими (если есть возможность).

Государственный контроль и надзор - осуществляет окружной ФСТЭК , то есть проверяет ваш объект (как будет проходит проверка вам сообщается заранее).

Инспекционный контроль за проведением аттестации объектов информатизации обязан делать орган что бы проверять аттесттат, который он выдал не потерял силу, ничто непоменялось , требования то выполняются. В основном проверяется неизменность условий.

Ну а в чем же отличие тогда от инспекционного контроля и годового контроля?

Годовой контроль мы смотрим не закончилось ли действие аттестата, не менялось ли оборудование, все ли функционирует в штатном режиме итд итп

Или я чтото не так понимаю. Чтож тогда в годовой контроль делать если все делается в так называемый инспекционный?