Контроль защищенности - Форум по вопросам информационной безопасности

Уважаемые коллеги! Возник вопрос такого плана. При проведении ежегодного контроля защищенности аттестованного ОИ (в данном случае АС) нужно ли проводить измерения по ПЭМИН и, соответственно, готовить протокол, или достаточно проверки неизменности условий функционирования и протокола по НСД?

В объеме аттестационных испытаний проводят лицензиаты, хотя слышал байку что если докажете что неактуален пэмин на периодике, то на вашу совесть останеца нсд...

А разве кто то кроме лицензиатов может проводить контроль защищенности аттестованного ОИ?
Вопрос в другом, кто в каком объеме проводит данное мероприятие, Может я плохо изучал руководящие документы, но что то ничего конкретного на эту тему нигде не нашел. Может кто подскажет, желательно с ссылкой на Рук.док.

1) только лицензиаты, 2) а рд невнятно что то бормочет, письмо про то, что в объеме атт испытаний надо периодить от контролеров было

Для User'а:
Смотря под какие требования у Вас аттестована АС:
- если по гостайне, то ПЭМИН обязательно, т.к. СТР "инакомыслия" в этом не допускает и лицензиаты рисковать не будут;
- если по конфиденциальной и/или служебной информации, то тут могут быть варианты, если нет активных средств защиты (решающее слово за тем, кто выдал аттестат соответствия);
- если по персональным данным, то для ИСПДн класса К1 - ПЭМИН обязателен по 58 Приказу ФСТЭКа (объём измерений дело второе), для К2 и ниже - требования отсутствуют.

Как правило, объём аттестационных испытаний проводится в рамках Программы аттестации. Программа АИ содержит набор критериев оценки (испытаний) АС - одним из таких критериев является ПЭМИН. При этом все критерии (СП, НСД, орг-тех. меры и др.) для аттестации равнозначны, т.е. нельзя сказать, что НСД это важнее ПЭМИНа или орг.-тех. мер. А Вы во время периодической проверки "отбрасываете" один из критериев оценки объекта: почему при аттестации критерий ПЭМИНа был важным, а через год этот критерий утратил важность?
Подумайте сами: если у Вас на объекте стоит средство активной защиты (генератор), то он должен: 1) работать в принципе (т.е. технически исправен) и 2) вырабатывать шум определённого уровня. Бывают случаи в жизни, когда в течение короткого времени после аттестации генератор выходил из строя или переставал вырабатывать необходимый уровень шума. Без проведения измерений этого узнать нельзя (если, конечно, Ваши органы чувств не прошли метрологическую поверку).

"если по персональным данным, то для ИСПДн класса К1 - ПЭМИН обязателен по 58 Приказу ФСТЭКа"

Немножко хочется уточнить что под этим понималось.

Обязательно для К1:
1. Расмотрение угроз связанных с техническими каналами ПЭМИН в Модели.
(и невозможность сделать их неактуальными в этой Модели)
2. Измерения ТС и расчет R с оформлением протокола.
3. Разнос на R ТС от КЗ.
4. Установка САЗ от утечки по техническим каналам в ИСПДн в случае невыполнения условий расположения ОТСС.
3. Применение средств имеющих сертификаты по электромагнитной совместимости.

И желательно со ссылками на документы.
А то вопрос очень больной :((( думаю и не только для меня.

Если я правильно всех понял, то получается так:
По ГТ, проводятся и ПЭМИН и НСД, в соответствии с СТР (нашел-таки я там этот пунктик, хотя про периодичность там ничего нет);
По конфиденциальной и/или служебной информации, обязательно НСД (без него никак) и ПЭМИН в зависимости от наличия СЗИ (ведь если нет СЗИ, то измерять нечего, зона измениться не могла, при неизменности состава и условий функционирования АС;
По ИСПДН пока непонятно, хотелось бы уточнений

Испдн в части защиты та же конфа. Читаем СТР-к раздел 2,3 после этого раздел2,8 и напоследок 3,24 как правило СБ не обеспечена КИО для периодики вам и карты в руки.
По ГТ читаем раздел 5,2,3 где срок определён.

Для Секиры:
Так я и думал, что найдётся кто-то, кто обязательно попросит написать про ПЭМИН при оценке ИСПДн класса К1, да и ссылку на документ с придачу… Не знаю, с какой целью моё высказывание было обрезано: дабы разместить меня между «молотом и наковальней» и потом любое высказывание оборачивать против меня?
Судя по здешнему форуму и форуму Маскома Вы занимаетесь ПЭМИНом (правда на сколько долго по времени мне сказать сложно), и, следовательно, Вы отлично знаете сложившуюся проблематику по ПЭМИНу – я сейчас имею в виду «дыры», отсутствие требований и нормальных методик этой области. Не поэтому ли этот «вопрос больной»?
Моё высказывание «если по персональным данным, то для ИСПДн класса К1 – ПЭМИН обязателен по 58 Приказу ФСТЭКа (объём измерений дело второе), для К2 и ниже - требования отсутствуют» означает буквально следующее:
1) «ПЭМИН обязателен по 58 Приказу ФСТЭКа» имелся в виду п. 3.2 Приказа ФСТЭК № 58 от 05.02.2010, где требование по ПЭМИНу предъявлено только в отношении ИСПДн класса К1. Да – это требование написано некорректно для исполнителя и СЛИШКОМ обобщённо в виде лозунга, но оно есть (плохое оно или хорошее – вопрос другой).
2) далее я специально в скобках указал «объём измерений дело второе», т.к. в настоящее время ничего конкретного для исполнителя нет и все «выкручиваются» инженерным способом – что обоснуешь для контролёра с технической точки зрения, тем и живёшь.
3) «для К2 и ниже – требования отсутствуют» требований со стороны ФСТЭКа по ПЭМИНу нет. А требования по электромагнитной совместимости, по безопасности, по эргономике и СанПиНу лицензиат ФСТЭК не уполномочен проверять, лицензия ФСТЭКа этого не охватывает (рекомендовать да, но не проверять).

«ПЭМИН обязателен по 58 Приказу ФСТЭКа» имелся в виду п. 3.2 Приказа ФСТЭК № 58 от 05.02.2010, где требование по ПЭМИНу предъявлено только в отношении ИСПДн класса К1. Да – это требование написано некорректно для исполнителя и СЛИШКОМ обобщённо в виде лозунга, но оно есть.


Дак все же как вы видите поступать в этой ситуации.
Какие пункты из вопроса 24337 делать.
(понимаю что ссылок не будет , поэтому чисто ваше мнение).

Просто вся Россия одной фразой в НМД поставлена в неудобное положение.
Простая оценка объема работ. Измерение и оценка (я уж не говорю про выполнение требований) простенькой сети из3-5 компьютеров по ПЭМИН по самым скромным оценкам 40-50 тыс. А объектов таких по всей России десятки тысяч. И вот эти деньжища зависят всего от одной непонятной фразы в одном только документе. Понятно что любой заказчик тратить деньги не хочет, а любой добропорядочный исполнитель выжимать их силой и требовать не будет.

Кстати все выше сказанное напримую связано и с контролем защищенности .