Комиссия по классификации АС - Форум по вопросам информационной безопасности

Здравствуйте, уважаемые специалисты.
Мы пригласили компанию - лицензиата ФСТЭК для проведения аттестации АС.
Так вот они разрабатывают нам документацию... Один документ очень понравился: приказ о создании комиссии и акт классификации: комиссию сделали из наших штатных сотрудников: будто мы сами собрались и классифицировали АС. В акте классификации тоже наши фамилии и подписи фигурируют... вопрос: не будем ли мы нести ответственность за результаты классификации, т.к. насколько я знаю классифицировать АС должны лицензиаты и в состав комиссии должен быть смешанный: представители лицензиата и компетентные сотрудники нашей организации... не дурит нас лицензиат случайно и не хочет ли переложить всю ответственность на нас? кто должен быть в комиссии на самом деле: штатные сотрудники, представители лицензиата, или и те и другие?

Здравствуй моя Мурка, здравствуй дорогая...
Классифицировать АС должен собственник этой самой АС, т.е. Вы. Но Вам никто не мешает пригласить для этого специалиста(-ов), включив его(их) в состав своей комиссии. На сколько "дурит" Вас лицензиат сказать сложно, надо смотреть условия заключённого Договора и те самые бумаги, которые готовит Вам лицензиат. кроме того, ничего незаконного в его действиях нет, поскольку готовит проекты (!) документов на АС, которые должны были оформить Вы сами. Кто кроме Вас может назначить администратором безопасности например, Иванова? Только Вы. А проект приказа по этому поводу может подготовить лицензиат в рамках договора. Кто кроме Вас может утвердить орг.-тех. мероприятия по ЗИ на объекте? Только Вы. А проекты этих документов может подготовить лицензиат в рамках договора. Акт классификации из этой самой области.

2 мурка: не надо отлынивать на ответственности, сколько раз сталкивался с ситуацией, когда заказчики подходят с позиции "сделоайте нам красиво" и лицензиату приходится разрабатывать первичные доки на объект (акты, приказы, техпаспорта и прочее), ну естественно за деньги, но не о них речь, дело в том, что подход должен измениться, заказчики должны быть компетентны и уметь отрабатывать документацию на свои объекты, только тогда будет общий язык между ними и лицензиатами... По началу конечно интересно кто на что изголяется, сертифицируйте нам помещение, чтобы на компьютере можно было работать, или лицензируйте нам компьютер чтобы совещания можо было проводить, но со временем уже думаешь иной раз а не написать ли в заключении: уровень подготовки кадров не соответствует со всеми вытекающими..)))

Для -/-:
После этого понимаешь, что они это могут опротестовать, вздыхаешь и пишете всё нормально... Успокаивая себя, что они хоть вменяемы психическом плане...

"уровень подготовки кадров не соответствует со всеми вытекающими..)))"

А на основании чего писать то? Требований то четких нет (пара фраз в СТР). Если только самим поиграть в аттестационный центр . Ну или там анкеты написать.

"Если только самим поиграть в аттестационный центр"))-а кто вам запрещает в него поиграть? у вас же наверняка в рамке лицензии и целый аттестат аккредитации имеется, поставлены так сказать на стражу гос интересов, отрывайтесь на неученых заказчиках-если не вы то кто еще заставит их учиться?

При оценке уровня подготовки кадров чётких критериев нет. Поэтому можете разрабатывать анкеты, проводить собеседования, опросы, устраивать экзамены, ролевые игры и соревнования среди специалистов на знания, уговаривать пройти обучение, курсы, провести самостоятельное изучение отдельных НМД, стандартов и технических документов по ЗИ и т.п. И будем Вам счастье.

...театрализованные представления и цирк с конями)))

Вот-вот... И это тоже сойдёт.

С согласия руководства заказчика можно еще розги практиковать (или шпицрутены, если руководство из военных)...