периодическая проверка - Форум по вопросам информационной безопасности

Приветы всем! Возник такой вопрос: при проведении периодической ас, проверяем все по полной программе (так сложилось исторически), т.е. измерения и остальное. В тоже время коллеги из соседнего аттестационного центра при периодической измерения не проводят, аргументируя тем, что мол пэмин менее опасен чем нсд и прочее. На этот счет долго они бодались с местным фстэком, в итоге те, вроде как уступили. Но здесь палка о двух концах-один уступил, а другой потом на его место придет и начнет нарушениями угрожать. Конечно я принимаю во внимание то что объем проверки можно прописать в программе заранее как то и потом пытаться прикрыться этим, но терзают смутные сомнения. Прошу поделиться опытом:)

Вы же пишете и согласуете программу и методики! Инициатива по проверке должна исходить от заказчика!
А вообще в гостайне ранжировать опасность это как ? На основании чего?
А так ну вы же понимаете что мы отчасти слуги фстэка, барин сказал не надо ну значит ненадо. А делать проверку по полной думаю нет смысла (речь идет о режимах ПЭМИН), и НСД тоже можно подсакратить! А так пишите письма во ФСТЭК.

открываем букварь раздел 5.2.3,заказчику на горло и впёрёд.И с РД по АС от НСД также.Если влом делать самим согласовывайте и работайте по выборочным точкам.всё зависит какое кол-во музыки оплатил клиент.

программа только при аттестации. при проверке на нее и ссылаемся. получается такая ситуация что одни проверку делают без измерений за одну цену, другие с измерениями за другую потом, заказчик видит разницу в объемах и цене и начинает задавать вопросы. Смысла согласовывать в частном порядке особого нет, т.к. заказчик в момент проверки фстеком может сказать: "а я мол вообще не в курсе что они там мол проверяли, сказали так надо и все." Это понятно если мы в полном объеме провели-к нам вопросов никаких, а если нет-по какой то программе там хитровыдуманной -то мы и крайние можем оказаться-нельзя мол так в программе писать:)

никто не спорит,как говорится лучше сожалеть о содеянном чем о несделанном.
если объект твой то и свои косяки прикроешь грамотно.возможен вариант когда тебя позовут, тогда без вариантов от А до Я.вот пример ОИ с 2008 имеет А-Т, а на деле заключений по СП на одну машину нет,лгш 220 неработает,dallas стоит но ненастроен,как вам перпективка?Азаказчик говорит на х.. я вас позвал уменя всё в шоколаде.

решение участи такого заказчика лежит на поверхности: вариант 1-мгновенная отмена ат-та и уведомление местного фсб и фстэк)), вариант 2 - через неделю приезжаю и передо мной образцово-показательный ОИ (и даже весь софт лицензионный) иначе вариант 1:)

archibald: как я тебя понимаю. У нас таже ситуация вообще один в один. Были на годовой не объекте. Там задница полная. Аттестовывала другая организация. Попросили их прикрыть косяки(SecretNet просто стоит и не настроен, ГШ тупо втюхан, и доков по СП нету). Они пожаловались во фстэк на нас типа мы имея лицензию не можем проводить готовые проверки, а заказчик орет что все в шоколаде. Ждем встека с улыбкой =)

У нас сейчас тоже интересно, аттестуем объект, до нас делала другая фирма, в программу прописали периодические проверки, а заказчик говорит нафига мне это нужно типа та контора не требовала и за 3 года ни разу не объявилась : ) плюс там пожарка на радиодатчиках мы просим убрать, а нам говорят, что прошлую контору и так все устраивало: )

И ведь самое плохое то что если будешь клиентам потакать то будешь некомпетентым в вопросах ИБ в сфере аттестации ОИ, а если не будешь потакать а сделашь заключение и остановишь действие аттестата с аргументами почему и как и направишь во фстек почему то к тебе ниодин клиент не обратится больше =) Особенное если энергетики.

"Дозвольте пару строк без протоколу?
Чему нас учит семья и школа?
Что жизнь сама таких накажет строго!
Тут мы согласны, скажи, Серёга?"

1. Конкретный объём СИ при инструментальной проверке не задан ни одним НМД! Неписаное правило: "Смотрим выборочно. Если нечто не лезет в бывшие аттестационные рамки (включая и результаты некой иной конторы, которая делала объект "до того" - останавливаем работы, составляем доп. соглашение и, тогда уж "по полной". Соответственно, в основном договоре прописываем сразу право Исполнителя, в случае обнаружения объёмов работ, превышающих изначально определённые, прекратить работы. А дальше альтернатива: либо доп. соглашение, либо оплата по выполненому объёму и "гуляй, Вася". Пусть заказчик ищет себе того, кому терять нечего. А то ведь за такие недоработки и лицензию отозвать могут, это чем окупишь?
Вот если все будут играть именно по таким правилам, то и ФСТЭК ни к чему не придерётся (кстати - и к Заказчику!) и оплачивать наши работы будут так, как они реально стоят.
А пока - всех с наступающим Новым Годом!
Чак