Протоколы измерений, испытаний, исследований и проверок - Форум по вопросам информационной безопасности

Господа, помогите разобраться в многообразии протоколов, выдаваемых по "конфиденциалке".

Открываем временные методики и видим 4 вида протоколов:
1 - протокол инструментально-расчетной оценки защищенности помещения от утечки речевой конфиденциальной информации;
2 - протокол оценки защищенности помещения от утечки речевой конфиденциальной информации по каналам электроакустических преобразований;
3 - протокол оценки защищенности ОТСС от утечки конфиденциальной информации по каналу ПЭМИ;
4 - протокол контроля защищенности информации, обрабатываемой ОТСС от ее утечки за счет наводок информативного сигнала.

Недавно наша организация получила комплекс контроля эффективности защиты речевой информации. В комплекте эксплуатационной документации, в качестве приложения приведены уже такие протоколы:
5 - протокол инструментального контроля выполнения норм противодействия акустической речевой разведки;
6 - протокол инструментального контроля выполнения норм противодействия виброакустической речевой разведки;
7 - протокол инструментального контроля норм эффективности защиты речевой информации от утечки за счет побочных электромагнитных излучений ТСПИ в речевом диапазоне;
8 - протокол инструментального контроля норм эффективности защиты речевой информации от утечки за счет НЧ наводок на токопроводящих элементах ограждающих конструкций.

В свою очередь, орган аттестации выдал нашей организации на АС и на ЗП такие протоколы:
9 - протокол аттестационных испытаний автоматизированной системы на выполнение требований по защите информации от несанкционированного доступа;
10 - протокол оценки защищенности основных технических средств и систем (ОТСС) автоматизированной системы от утечки конфиденциальной информации по каналу ПЭМИ;
11 - протокол инструментального контроля выполнения норм противодействия акустической речевой разведке;
12 - протокол проведения специальных исследований утечки речевой конфиденциальной информации по каналам электроакустических преобразований.

Теперь, что собственно меня интересует. Скоро наша организация своими силами, оборудованием и сотрудниками, будет проводит самостоятельно измерения. Хотелось бы разобраться в вопросах:

1) Почему, содержание некоторых из выше указанных 12-ти протоколов отличается, ведь форма для замеров должна быть единой? Например, протокол ПЭМИ во временных методиках имеет один образец, а выданный атт. органом - другой. Каким стандартом руководствоваться?

2) Сколько всего возможных, и главное, каких протоколов существует для "конфиденциалки"? Я знаю, что есть ещё протокол НДВ или нечто подобное. Что ещё может быть?

3) Где можно ознакомиться с правильным заполнением протокола? Быть может кто-нибудь может предоставить реальный "обезличенный" протокол? Например, атт. орган, в выданном протоколе ПЭМИ расписал только измерения и расчеты для обследованных мониторов. А как же системные блоки, жёсткие диски, мыши, клавиатуры, UPS и прочее?

4) Что такое "ТСПИ"? Технические Средства Передачи Информации или не так? Я честно не знаю...

5) Как выглядит правильно оформленный протокол НСД, если таковой, действительно, должен существовать?

Огромная просьба, помогите с ответами, не дайте мне, как начинающему специалисту и моим коллегам быть неучами в области защиты информации.

Руководствуйтесь теми, что преведены в Методиках, а не теми ,что выдал орг.по аттест. Они там много могут не верного понаписать. Ну и надо руководствоваться здравым смыслом и своими знаниями.

User спасибо за ответ! К сожалению, своих знаний, пока мало на что хватает, опыт только-только начинает приобретаться.

Во временных методиках про НСД и НДВ ни слова. Собственно откуда они "родились", если из РД ФСТЭК, то каких? И как можно узнать по какой форме оформлять протокол НСД, каково должно быть содержание документа?
Я понимаю, фантазия у многих бурно работает, но хотелось бы знать ограничительные рамки "писанины".

А у вас специалисты проходили обучение по аттестации объектов информатизации ?

Если да то на курсах все четко объясняют как аттестовывать и испытывать системы.

1.Руководствоватся нужно приложениями в методиках и др. нормативных документах и "здравым смыслом и своими знаниями". Но это не значит что нельзя создавать свои формы документов (поэтому содержание и отличается)! Это процесс сугубо творческий и технический все зависит от решаемых задач.
2. Сколько задач столько и протоколов .
3. Понятия правильный заполненый протокол нет. Протокол должен быть методически грамотным.
4.Да
5. см. ответ 3

Протокол НСД существует не сомневайтесь. Протоколы должны содержать все требования приведенными в методиками, но если вы как специалист решите их дополнить, то вполне можете. А вообще лучше Вам хотя бы одного из своих сотрудников отправить на курсы, там и типовой комплект документов дадут и покажут, что и как мерить, а так если у вас нет сотрудников которые имеют представление в этом вопросе будет тяжко. Честно говоря если с нуля просто взять РД по конфиденциалке, внимательно их прочитать и попробовать аттестовать ЗП или АС, скорее всего получится ерунда.

sekira +100

Sekira и Sir.

Я и мои коллеги обучились на соответствующих курсах (УЦ "Инфорзащита"). К сожалению, курсы эти лишь теория, и не побоюсь сказать обилие лишней "воды". Да, материалы давали и в печатном виде и в электронном на диске, но образцов протоколов среди точно нет.

Проконсультироваться со своим атт. центром я могу, но опять-таки это будет сугубо личное мнение двух-трёх специалистов.

Для Александр :
Коллега, руководствуйтесь простым правилом:
Если в соответствующей Методике есть пример - Протокол ДОЛЖЕН СОВПАДАТЬ с примером, вплоть до опечаток. На всё остальное - забейте и забудьте.
Если примера нет, но есть перечень параметров - форма произвольная, но параметры должны быть все, причём именно с ТЕМИ САМЫМИ НАЗВАНИЯМИ (даже если они ошибочные).

Включать в Протоколы дополнительную информацию можно, но... готовтесь, при случае, объяснятьс с инспектором ФСТЭК по федеральному округа, типа "а кто вот это разрешил?"

Коллеги выше, в общем-то, всё это уже изложили, я только акцентировал некоторые нюансы :-))) Что касается мнения аттестационного центра - хорошо, но бессмысленно. На самом деле "играет" только мнение инспекции ФСТЭК, а остальное - не более чем беллетристика...
Чак