Получение сертификата на ТС, имеющие выход в Интернет и расположенные в ВП - Форум по вопросам информационной безопасности

Думаю у многих в ВП стоит компьютер, имеющий выход в Интернет. Так вот, в соответствии с подпунктом "г" пункта "1" Указа Президента от 17.03.2008 № 351, необходимо иметь соответствующий сертификат, разрешающий эксплуатацию такого компьютера в ВП. Что необходимо для получения данного сертификата и кто его выдает?

Необходимо - ТС, удовлетворяющее требованиям представить на сертификацию в систему сертификации ФСТЭК России.
Выдают - ФСТЭК России, по результатам сертификационных испытаний, проведенных испытательной лабораторией, аккредитованной в системе. Перечень лабораторий http://www.fstec.ru/_doc/labs/_labs.xls
Или, что проще, купить готовое сертифицированное. Смотреть здесь - http://www.fstec.ru/_doc/reestr_sszi/_reestr_sszi.xls
Но проще, дешевле, спокойнее и правильнее не ставить АРМ, подключенный в Интернет, в ВП.

А какой именно сертификат ФСТЭК? Как я понимаю, на отсутствие НДВ в программном и аппаратном обеспечении. Или какой-то особенный, так как в тексте Указа написано "соответствующий сертификат"?

Коллега, я так полагаю, что вам лениво посмотреть реестр сертифицированных средств на сайке ФСТЭК.

У ФСТЭКа кажется нет ТС с сертификатом, разрешающим размещение ТС в качестве абонентскоко пункта Интернет в ВП, поправьте если ошибаюсь, приведите номер сертификата и производителя.
В системе сертификации ФСБ по моему была пара сетификатов подобного типа для ВП органов государственной власти.
А вот насколько сертификаты ФСБ для размещения в органах государственной власти, признаются ФСТЭК для размещения в ВП предприятий и организаций не ведомо. Может быть кто в курсе.

Кажется?
Или все таки лениво в реестр заглянуть?
1620, 1906, 1970, 2120

Ну 1620,1906 и 2120 это сертификаты на терминальную станцию SanRay, которую можно размещать в ВП. Но к ней, я понял, ещё нужно прикупись и сертифицированную центральную систему, ведь терминал нужно куда то воткнуть. Нормального описания сути решения и его стоимости не нашёл.
А сертификат 1970 вообще не имеет никакого отношения к защите ГТ вообще, и к абонентским пунктам Интернет в ВП в частности.

По слухам есть такой документ, как "Временные сертификационные требования, предъявляемые к абонентским пунктам сети Интернет, размещаемым в ВП" или что-то подобное (как заявлял начальник отдела сертификации Шевцов), хотя их почему то очень трудно получить, может быть кто видел. Поэтому сертификация должна проводится на соответстаие этим требованиям. Вы в вышеупомянутых сертификатах видели по тексту подтверждение соответствия этим требованиям и есть ли там какие то категории. В соответствии с требованиями, по моему статьи 28, федерального закона "О государственной тайне", все применяемые средста защиты (в частности средства в защищённом исполнении) должны иметь соответствующий сертификат для определённойм степени секретности. А раз "Временные требования..." покрыты тайной, то и не понятно что должно быть прописано в сертификате.
Кто видел "Временные сертификационные требования...", со слов Шевцова они ещё и утверждены совместно (или согласованы) со Старшим братом, но с той стороны я подтверждения не нашёл.

во ФСТЭКе на такой вопрос все разводят руками. тайна покрытая мраком. кто-то пытался сертифицировать уже установленные ВТСС, но правды так и не добились. может есть у кого-то реальный опыт в получении такого сертификата? можете отписать в личку: jgr2@mail.ru

Коллеги, я бы хотел обратить ваше внимание вот на что:
1. Дешевых и простых решений по размещению АРМ, имеющих выход в Интернет, в ВП нет и не будет по определению. Любое ТС, которое будет удовлетворять требованиям, изложенным в СТР-97, должно быть серьезно доработано. Выбор "Свемелом" терминальных станций SanRay был обоснован конструктивными особенностями, которые обеспечили возможность такой доработки "малой кровью". Если бы все было просто, легко и дешево, решений для этой проблемы было бы понаделано и сертифицировано достаточно. Стратифицировать уже установленные ВТСС невозможно (вдумчиво и внимательно прочитайте соответствующие разделы СТР-97)! Есть одно исключение: ваше руководство готово вбухать безумные деньги на доработку этого АРМа и проведение всего комплекса сертификационных (не аттестационных!) испытаний.
2. Закрытость документов вполне объяснима - многие документы, задающие требования в области защиты ГТ, носят гриф (например НМД АРР). Поэтому питаться сплетнями и домыслами нет никакого смысла. Вам надо? Обратитесь в ФСТЭК ПИСЬМЕННО. Вам ответят и с соблюдением процедуры предоставят документ.
3. Повторюсь: проще, дешевле и правильнее не устанавливать АРМ, подключенный к интернету, в ВП. Если руководитель капризничает, то покажите ему требования законодательства на сей счет, в т.ч. ответственность за разглашение, и стоимость решений. Скажет - дорого, напомните, что в смету ОКРа заложены соответствующие коэффициенты на защиту ГТ. Пусть он выбирает между ХОЧУ и НАДО ПЛАТИТЬ.

Дяде.
С сертификатом 1970, каюсь, ударил в штангу. За те 3 минуты, которые я потратил на открытие по готовой ссылке с сайта ФСТЭК реестра сертифицированных средств и поиска в нем по запросу "интернет", детально вычитать не удалось. И не хотелось. Требовать, чтоб разжевали и положили в рот, а потом говорить, что не вкусно, как-то некошерно право слово.