Съемные носители - Форум по вопросам информационной безопасности

Коллеги подскажите, такую вещь, есть аттестованный АРМ измеренный с съемными носителями информации, включенными в состав, нужно добавить новый носитель (допустим флешку или ЖМД), он проходит СП и СИ в составе АРМ это понятно, вопрос: что нужно делать , только скорректировать тех паспорт или затевать переаттестацию?

Достаточно внести изменения в техпаспорт и в обязательном порядке уведомить об изменениях организацию выдавшей аттестат

1. Изменения не только в техпаспорт, а в весь пакет документов на атестованный АРМ (матрица доступа, описание техпроцесса, акт классификации в конце концов)...
2. Далее не просто извещаете орган по аттестации, но и предоставяете им все документы (вашы измененные + Заключения, протоколы, предписания).
3. После этого орган по аттестации должен выдать вам официальное письмо о подтверждении аттестата соответствия.

... внимательно почитайте заключение по аттестационным испытаниям и сам аттестат - там на часть ваших вопросов должен быть ответ...

Для NoVaN:
Мы сами орган по аттестации, просто меня интересует объем документов. По сути тех процесс и матрица доступа не меняются. И еще в связи с таким делом заключение надо переделывать и заново согласовывать с ФСТЭК?

:)
нет не надо...
вот если переаттестацию затеете - тогда надо будет.

Для NoVaN:
И тогда еще один вопросик:) Есть АРМ на котором прописано 80 пользователей, хранение данных разрешено только на съемных носителях, соответственно у каждого есть своя флешка у каждого пользователя полный доступ на свой носитель. В матрице доступа можно просто прописать, что пользователи имею права доступа на определенные съемные носители без указания конкретного носителя? Или это не корректно?

"По сути тех процесс и матрица доступа не меняются"

Как это не меняется разрешительная система вы вводите новое техсредство прописывать к нему доступ пользователей в СЗИ не надо что ли?

Указывать носитель нужно по заводскому номеру для каждого пользователя. Других средств опознавания для СЗИ кроме номера помоему нет.

to Sir:
Начните с описания технологического процесса - всю технологию необходимо прописать там...
1) Если сами носители хранятся в РСО и выдаются по журналу - то можно и не прописывать подробно (обойтись общей обтекаемой фразой)
2) Если носители хранятся у пользователей то необходимо а) регламентировать где и как они храняться б) настроить права доступа в АС в) расписать все подробно в матрице доступа.

to Sekira:
ну это вообще все на совести аттестационного центра... можно так документы сделать, что изменения в таких ситуациях не потребуются, к тому же требований и рекомендаций к таким документам почти нет (поправьте если не так)........

Для sekira: Не меняются конечно только в том случае если обойтись, как писал NoVaN обтекаемой фразой, кстати сами носители у нас хранятся в РСО и выдаются по журналу. Вот есть у меня два таких ОИ которые должны быть взаимнозаменяемыми, пользователей много носителей много, притом пользователи с завидным постоянством меняются и добавляют носители, начальство идет у них на поводу, документы уже опух корректировать. Сейчас пытаю придумать корректный вариант чтобы минимизировать бумажную работу:(

Из практики последних дней проверки регионалами (по поводу добавления новых флэш-накопителей).
1. Если в описании техпроцесса предусмотрена работа с флэш-накопителями, то там особо ничего менять не надо (если там не настолько подробно, что указаны заводские номера флэшек).
2. Учёт по форме 25 - обязательно.
3. Корректировка в техпаспорте - состав ОТСС(если флэш с собакой) и ВТСС (если флэш нс или дсп).
4. Корректировка в приложении к Аттестату, у нас требуют прописывать в Аттестате состав ОТСС, ВТСС и СЗИ.
5. СП +СИ обязательно, хотя бы лабораторные на стендовой машине того, кто проводил СИ.
6. Матрица доступа - бумажный вариант, корректируется в зависимости от уровня детализации, если прописаны конкретные флэш. Фактическая матрица в СЗИ НСД - без вопросов (опять же от уровня детализации до физических номеров).
7. Если класс АС допускает применение носителей с разной степеннью конфиденциальности (нс, дсп, с) и вы планируете использовать также флэш различной секретности, то все (нс, дсп) носители должны быть официально зарегистрированы, не только те - что по форме 25.
8. Теперь при проверках некоторые представители регуляторов выписывают данные из формы 25, затем просят пустить их на компьютер, запускают свою программу "выявления следов работы с отчуждаемыми USB-устройствами" и спрашивают - откуда это взялось - нарушение "режима". В ответ естьтакие варианты - либо не пущать, т.к. не прописаны контролёры в матрице, не давать запускать данную программу т.к. она не серифицирована как средство контроля, можно создать учётную запись "гость" под такой случай с минимумом полномочий, чтобы не запускал свои программы. Пусть моделирует режим несанкционированного получения полномочий и пробивает сертифицированную СЗИ. Есть ещё прграммка по затирке следов использования USB, пожно "почиститься" перед проверкой.
9. Насколько я понимаю, наши основные СЗИ НСД (SN-5.0 и т.д.) в отличаи от применяемых в МО не имеют возможности прописывания физически устройств USB с которыми разрешено работать. Сверху можно постаить программу Девайс Лок и прописывать. Как вариант - использование "тонкого клиента" - чтобы пользователь без разрешения не мог "пихать неизветно что куда не надо".
10. Также всплыло требование обязательного применения антивируса, имеющего сертификат ФСТЭК.

P.S. У регионалов появилась "Типовая инструкция по обеспечению РС при ...использовании СВТ", утверждённая МВК ЗГТ осенью 2009. Там появилась хоть какая то рекомендованная форма матрицы доступа и кое что другое. Документ закрытый - запрашивайте.