Вопрос к лицензиатам ТЗКИ - нюансы повседневной деятельности... или подготовка к будущей проверке ФСТЭК - Форум по вопросам информационной безопасности

Приветствую коллеги.
Я есть новоиспеченный лицензиат (просьба не бить ногами и не плювать в мою сторону).
Подскажите, при разработке документации на аттестацию ОИ Заказчика - передаем ему первые экземпляры в электронном (все документы за исключением аттестата, заключений, протоколов) и печатном виде (все документы), НЕ ОСУЩЕСТВЛЯЯ ХРАНЕНИЕ ВЫДАННЫХ БУМАЖНЫХ КОПИЙ В АРХИВЕ, серьезное ли это нарушение? - у нас они хранятся только электронно. Будут ли у ФСТЭК претензии когда нагрянет проверка?
--
и еще момент: разработали мы орг-распорядительную документацию для ИСПДн Заказчика: ну там модель угроз, описание тех. процесса, приказы, инструкции, обязательно ли на таких документах должен стоять гриф конфиденциальности? Дело в том что у Заказчика в принципе нет конфиденциального делопроизводста, да и мы не хотим ставить эти грифы т.к. потом придется доки регистрировать в журнале учета конфиденциальных документов - лишний геморой. Как быть в этой ситуации: ну не моя задача поднимать им конфиденциальный документоооборот, учить кадровика что да как нужно делать, хочется чтобы все было "чинно-благородно", без всяких там нарушений.

Все документы (кроме аттестата, заключений и протоколов измерений и аттестации), которые Вы разрабатываете - это только ПРОЕКТЫ документов, т.е. возможные варианты. После того, как Вы передаёте их Заказчику не факт, что он их не переделает, как ему будет угодно. В принципе, он Вашт проекты документов может и в мусорку выбросить. Короче, окончательная судьба Ваших проектов не известна. Но это не означает, что эти проекты Вы можете "разбрасывать" где попало и не следить за ними (кто и как пользуется).

По второму Вашему "моменту": выглядит так, что получили лицензию и начали заниматься бардаком. Вы верно заметили, что не не Ваша задача "поднимать им конфиденциальный документооборот". Но Вам никто не мешает обратить их внимание на какие-то "вещи", порекомендовать, объяснить. В рамках проводимых Вами работ по договору это будет нормально. А свой конфиденциальный документооборот вести придётся и ставить метки конфиденциальности тоже. В итоге каждый отвечает за свои "грехи": ведите у себя всё как положено и передавайте документы как надо, а если Заказчик у себя ничего не делает - это его проблемы (там есть руководитель и соответствующие должностные лица, которые будут отвечать да это)

вы щедрый человек раз передаете в электронном виде свои документы заказчику, обычно достаточно бумажных носителей. Делаете два прошитых экземпляра в бумажном виде, один заказчику, другой себе, на вашем он расписывается что дескать 1-й экземпляр получил тогда то, фамилия дата роспись, тогда в будущем не возникнет вопросов о невыданных или подделанных документов

Я вижу выход в следующем: ПРОЕКТЫ документов передавать только на электронном носителе, следовательно и регистрировать их в журналах не нужно. Аттестаты, заключения и протоколы измерений - в печатном, в двух экземплярах, один для Заказчика, другой в архив, с регистрацией в журналах учета конфиденциальных документов.

Коллеги, а вообще, кто-нибудь передает заказчику проекты документов в электронном виде (только честно)? В принципе там ничего такого, с другой стороны возьмет он ваши доки и сам станет лицензиатом...
насчет печати в двух экземплярах - это сурово, через год в бумажках можно будет утонуть.

не передаем в электронном виде. честно, так срок аттестата пройдет уничтожите, какие проблемы? в электронном виде тогда останется

Боитесь конкурентов? Не бойтесь, в ЗИ работы хватит на всех (про деньги я молчу).
А к бумажкам привыкайте. Их будет много, очень много. В аттестации как нигде актуально правило: чем больше бумаги, тем чище...

2 :-) - эти горы документов, которые приходится писать - бюрократизм чистой воды(((

Это вы ещё сертификацией не занимаетесь! :)))