контроль защищенности - Форум по вопросам информационной безопасности

Уважаемые коллеги, поделитесь пожалуйста опытом, кто как вносит изменения в техпаспорт на ОИ, если в ходе КЗ добавляются ВТСС, меняется схема размещения ВТСС? Конкретно интересует графа в ТП "Наименование документа, фиксирующего изменения", в каком документе все это фиксировать?

2 User 29155
Знаете - на Ваш вопрос я не стал бы отвечать - уж больно много вариантов.
Для начала надо выяснить какие формы учета у вас есть на ОИ.
Но если наобум то в каком-то формуляре-паспорте-спецификации-схеме-плане из ваших
Так вот неконкретно по вашему выбору из вашего набора а в паспорте ОИ обычно есть последняя страничка - изменения конфигурации-дата-роспись

Не забедте уведомить орган по аттестации, при изменениях может потребоваться контроль защищенности, он же поможет Вам с внесением изменений в документацию

User, а ОИ по ГТ?

Все привет! коллеги, подскажите пожалуйста, где прописана необходимость ежегодного контроля защищенности (например контроль защищенности информации, обрабатываемой в АС от утечки по каналу ПЭМИН) в период действия аттестата соответствия. Нигде не нашел, ни в СТР-К, ни а аттестате соответствия ничего не прописано, может его вообще можно не проводить? Ну понятно, что в процессе аттестации первичный контроль защищенности нужен чтобы оценить есть ли утечка информации, либо ее нет, но если на ОИ ничего не меняется (АС находится на прежнем месте, не было добавлено новых ОТСС и ВТСС, в общем картинка за 2 года не поменялась со времен аттестационных испытаний), может можно и не проводить этот ежегодный контроль защищенности. в общем прошу ткнуть носом где прописано что обязателен ежегодный контроль защищенности по каналу ПЭМИН?

В данном случае речь идет об АС, обрабатывающей конфиденциальную информацию

СТР-К п.3.24 и п. 3.25

Спасибо, вижу, вот пункт 3.24 гласит что периодический контроль должен проводиться службой безопасности организации (т.е. по сути Заказчиком) не реже 1 раза в год. Но далее сказано, что отраслевыми и федеральными органами контроля состояние защиты информации проводится не реже одного раза в 2 года.
В пункте 3.25 идет приписочка что "при проведении ежегодного контроля МОГУТ ПРИ НЕОБХОДИМОСТИ использоваться временные методики оценки защищенности".
--
Теперь реальная ситуация, у меня есть атестованная в прошлом году АС класса 3Б по конфи (коммерческая компания). На АС имеется аттестат выданный лицензиатом ФСТЭК, протоколы измерения ПЭМИН (но протоколам уже больше года). Я как собственник информации читаю СТР-К, вижу что моя служба безопасности должна провести ежегодный контроль защищенности, что я в принципе и делаю в полном объеме за исключением оценки защищенности по каналу ПЭМИН т.к. п. 3.25 гласит что "при проведении ежегодного контроля МОГУТ ПРИ НЕОБХОДИМОСТИ использоваться временные методики оценки защищенности", а у меня такой необходимости нетути.
И еще, что значит в пункте 3.24 "отраслевые и федеральные органы", которые должны проводить контроль защищенности не реже одного раза в 2 года (как я понимаю это ФСТЭК и его лицензиаты, или все-таки я ошибаюсь, или это только ФСТЭК?).

А по результатам контроля защищенности достаточно протоколов или нужны еще предписания на эксплуатацию, Если предписания уже есть, но они были сделаны еще во время аттестации в прошлом году.

"А по результатам контроля защищенности достаточно протоколов или нужны еще предписания на эксплуатацию, Если предписания уже есть, но они были сделаны еще во время аттестации в прошлом году"

На конфиденциалку предписания на эксплуатацию СВТ (на ОИ) не требуются!!! А коли сами (или вам кто то) написал, то сами и решайте (или спросите у тех кто вам их выдал).