Аттестация ОИ - Форум по вопросам информационной безопасности

В соответствии с Положением по аттестации объектов информатизации по требованиям безопасности информации:

3.8.6. При несоответствии аттестуемого объекта требованиям по безопасности информации и невозможности оперативно устранить отмеченные аттестационной комиссией недостатки, орган по аттестации принимает решение об отказе в выдаче "Аттестата соответствия".
При этом может быть предложен срок повторной аттестации при условии устранения недостатков.
При наличии замечаний непринципиального характера "Аттестат соответствия" может быть выдан после проверки устранения этих замечаний.

Какие замечания можно считать непринципиальными, а какие повлекут за собой переаттестацию объекта информатизации?

А Вы господам из ФСТЭК задайте вопрос где разница между нарушениями первой второй и тертьей категорий.
четких критериев никто не даст!

Каким образм можно задать вопрос им лично?

Первая и 3 категория это только для действующих объектов а речь как я понял об аттестуемом еще не обрабатывающем информацию.!

Дак выше же написано было !!

3.8.4. "Аттестат соответствия" выдается владельцу аттестованного объекта информатизации органом по аттестации на период, в течение которого обеспечивается неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, определяющие безопасность информации (состав и структура технических средств, условия размещения, используемое программное обеспечение, режимы обработки информации, средства и меры защиты), но не более чем на 3 года.

Владелец аттестованного объекта информатизации несет ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки защищаемой информации и требований по безопасности информации.

3.8.5. В случае изменения условий и технологии обработки защищаемой информации владельцы аттестованных объектов обязаны известить об этом орган по аттестации, который принимает решение о необходимости проведения дополнительной проверки эффективности системы защиты объекта информатизации.

Главное условие -

"Условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, определяющие безопасность информации "

По опыту работы непринципиальный характер это то что может быть устранено быстро и без дополнительных аттестационных испытаний, без дополнительной работы органа по аттестации.

Например предоставить сертификат на СЗИ, или переставить ВТСС или убрать..

Обычно все такие недостатки пишутся в акте обследования перед началом аттестационных испытаний!

Если у вас разногласия с органом по поводу почему он вам не дает аттестат? То пишите письмо подавайте аппеляцию в окружной ФСТЭК, но при этом у вас на руках должно быть Заключение по результатам аттестационных испытаний.

Каждая спорный вопрос решается по своему, четких критериев нет! (слишком много дых в НМД)

Да, дыр в законодательстве полно, благодарю за развернутый ответ.