Контроль защищенности - Форум по вопросам информационной безопасности

Уважаемые коллеги, у меня вопрос следующий. Для аттестованной АС необходим, в соответствии с СТР, ежегодный контроль защищенности. Может ли эту процедуру выполнить не тот орган по аттестации который проводил аттестацию, а любой другой аккредитованный орган по аттестации который выберет заказчик? Если да, то есть ли необходимость извещать о проведенном контроле защищенности орган аттестовавший АС?

Более того - контроль может выполнить любой другой лицензиат. И по минимуму будет достаточно отметки о проведенном контроле в документах на аттестованный объект.

А если в ходе контроля защищенности выяснилось, что есть серьезные недостатки в протоколах, неправильно составлен техпаспорт на объект, ну и т.п., тогда как?

Пусть тот, кто аттестовал сделает это еще раз, но уже на качественно ином уровне. Бесплатно. И пусть согласуют "материалы" (заключения, протоколы, паспорт) с управлением ФСТЭК по округу.
Если не захотят - обращайтесь в инспекцию ФСТЭК.

User | 27471
"А если в ходе контроля защищенности выяснилось, что есть серьезные недостатки в протоколах, неправильно составлен техпаспорт на объект, ну и т.п., тогда как?"
Речь идёт о периодическом контроле эффективности применяемых средств защиты информации (САЗ, фильтров и т.п.). Адекватность оформления или отработки документов по аттестации здесь не требуется, вы же не регулятор, контролирующий качество работы лицензиата. Ваша задача - провести инструментальный контроль по конкретному потенциальному каналу утечки (в основном имеем в виду ПЭМИН) и оформить протокол с выводами "эффективно". Если вывод "не эффективно", дело заказчика-собственника объекта довести этот результат до органа по аттестации для принятия решения, т.к. он осуществляет инспекционный надзор (сопровождение) за аттестованным им объектом. И там вы уже "трёте" с органом, почему такой вывод, толи он что-то намутил при аттестации, толи "дырка" образовалась в ходе эксплуатации объекта.
Решение о приостановки действия аттестата и т.д. принимает только орган по аттестации или органы государственного контроля - регулятор.

Дело в том, что такой канал утечки как НСД, при контроле защищенности подразумевает контроль исходного состояния, т.е. сверку контрольных сумм, проверка настроек установленного на АРМ средства защиты и т.п. А если протокол по НСД оформлен криво, и секрет нет не настроен, то как контроль проводить, выходит, что требования аттестата соответствия о неизменности условий эксплуатации не выполняются, хотя на самом деле никто ничего не менял, просто аттестовано было кое как.

1. "проверка настроек установленного на АРМ средства защиты и т.п. " Если вы читали "Типовую инструкцию по ОРС при...СВТ" (одобренную МВК), на основании которой на предприятии должна быть разработана своя "Инструкция...", то там на администратора безопасности возлагается задача не менее двух раз в год проводить подобную операцию (естественно с оформлением соответствующего протокола или акта). Если конечно собственнику объекта хочется, то он может дополнительно заказать подобный вид контроля у лицензиата, как дополнительный.
2. "просто аттестовано было кое как"
А вот в данном случае два варианта, или вы как Заказчик приниаете работу Органа как положено, возможно доводите до ума вместе с ним, либо "кое как" должен зафиксировать Государствернный орган контроля - т.е. регулятор в лице комиссии ФСТЭК (либо вы сами пригласите, либо они сами планово заедут).
Лицензиат лицензиата контролировать не уполномочен.

2ИДС
Вы писали в посте 27473: "И пусть согласуют "материалы" (заключения, протоколы, паспорт) с управлением ФСТЭК по округу.
Если не захотят - обращайтесь в инспекцию ФСТЭК."

Скажите, на какой документ нам сослаться, чтобы заставить их согласовывать "материалы" с региональным управлением ФСТЭК?

А лицензиата никто и не контролирует, но в организации не настроено средство защиты от НСД (т.е. непонятно как вообще работали), криво оформлены протоколы аттестационных испытаний (т.е. с исходным состоянием не все понятно), администратор безопасности понятия не имеет что такое секрет нет и что с ним делать (это к "своя "Инструкция...", то там на администратора безопасности возлагается задача не менее двух раз в год проводить подобную операцию"), ну и конечно после аттестации никто ничего не контролировал, хотя прошло почти 2 года.
Я думаю ситуация знакомая очень многим. Просто в данном случае заказчик решил привести все в порядок, так как возможна проверка его объекта регуляторами в следствии которой могут возникнуть проблему именно у него, а не только у органа аттестовавшего.

Для User2: согласовывать материалы никто не будет, т.к. данная процедура обязательна только в двух случаях:
1. аттестация своего собственного объекта;
2. аттестация объекта 1 категории.
В остальных случаях орган по аттестации ничего согласовывать не станет, нет оснований, да и ФСТЭК удивится , наверное, если ему на согласование пришлют материалы по обычной аттестации, возможно вопросы возникнут.