Автономные АРМ в составе одной АС - Форум по вопросам информационной безопасности

Доброго всем времени суток!

Поделитесь, пожалуйста, своим опытом ответив на вопрос: можно ли аттестовывать АС, состоящую из нескольких автономных АРМ'ов?

Уточняю вопрос. Есть несколько АРМ'ов, все они в разных помещениях. АРМ'ы относятся к постам охраны организации; на каждом АРМ'е хранится и обрабатывается база данных сотрудников организации (данные: ФИО, должность, отдел). Данные отнесены к конфиденциальной информации, и классифицированны по классу 1Д и классу К3 (ИСПДн). АРМы (клавиатура, мышь, монитор, системный блок), каждый в отдельности, полностью автономные, т.е. нет никаких информативных внешних связей. Все эти АРМ'ы содержат идентичное ПО, выполняют по сути одну и ту же цель.

Вопрос заключается в том, можно ли получить аттестат на одну АС, состоящую из нескольких АРМ'ов или нужно аттестовывать каждый АРМ в отдельности?

Хотелось бы сэкономить на разных ОРД, не плодить кипу документов.

Почему бы и нет, Вы как заказчик можете это сделать.

Поможем решить Ваш вопрос . Контактный адрес 9009404@mail.ru

Лучше аттестовать как отдельные объекты. Если что-то сломается, кто-то уйдет на другую должность, понадобиться доставить новую программу и т.д. на одной машине придется переделывать документы касающиеся всей системы.

В чем проблема в кипе ОРД ? В преамбуле этих документов укажите что в области действия документа находятся все эти армы.

Я бы согласился с Комрад 34360
Жизнь - штука сложная, многовариантная
Требования к автономным АРМ легче воплотить даже в 3 экз.
К АС необходимо еще и резервирование (по правилам аттестованных АС) предусмотреть и получится 1+1+1(+1)=4 а не три как вам бы хотелось

Спасибо коллеги за ответы!

Проблем с кипой бумаг в принципе нет, но так уж получилось что аттестовать нужно один объект, а не несколько. Таково указание свыше. У меня были сомнения, что можно аттестовывать автономные АРМы в составе одной АС, но, как я понимаю, всё допустимо.

Выход аттестованной техники из строя не критичен. Данный момент легко решается через орган по аттестации.

С резервированием проблем также никаких, благо техника есть и есть возможность её заранее промерить на ПЭМИ и записать в техпаспорт на случай замены.

Добрый день!
Может быть я не совсем в теме, поэтому заранее прошу прощения. Но исходя из собственного опыта работы я знаю, что можно аттестовать объект информатизации. А на АРМ можно получить либо сертификат (ФСБ или ФСТЭК) или заключение о корректности функционирования ПО устанавливаемого на АРМ. Далее используя эти исходные данные как типовые можно масштабировать систему хоть до бесконечности (благо АРМ автономны и единого адресного поля не требуют).

Надеюсь что я правильно понял вопрос

(34332) из Ваших пояснений Ув. Александр следует:

*Данные отнесены к конфиденциальной информации, и классифицированны по классу 1Д и классу К3 (ИСПДн).*

Я не совсем понимаю зачем Вам нужна аттестация?
Класс К3 ИСПДн - аттестация на усмотрение оператора.


От туда же (34332):
*Хотелось бы сэкономить на разных ОРД*

всю ОРД за исключением:


Подготовка заключения по результатам аттестации
Аттестат
и еще что то я забыл...


Остальное
Вы вправе разработать самостоятельно и не платить за это деньги
1. Предварительное обследование
2. Инженерный анализ
3. Проект технического паспорта
4. Разработка организационных мер
5. Разработка технических мер

Уважаемый "в тапках", если не секрет, а что такое инженерный анализ?

ответ на 35026 и не только..
Конечно секрет! :)
А если честно то (спасибо что поправили) это входит в обследование объекта – линии питания, заземления, коммуникации и пр. да и вообще вещь не обязательная..

Если уж совсем придираться…
В людом случае Александру (34332) не получится самостоятельно провести:
- Специальные исследования ПЭВМ (системный блок, монитор, источник бесперебойного питания, клавиатура, мышка , МФУ. (по необходимости))
- Установка средств защиты информации (криптозащита, ПЭМИН, НСД)
- Комплексные испытания (аттестация) объекта информатизации на соответствие требованиям по защите информации
- Подготовка отчетной документации: протоколов испытаний и заключений по результатам аттестационных испытаний с выводами о соответствии (или несоответствии) объекта информатизации требованиям по безопасности информации
- Оформление, регистрация и выдача «Аттестата соответствия» при выполнении на объекте требований по безопасности информации
Но от этого всего можно отказаться - т.к. у нас К3 ИСПДн (как следует из исходных данных).

А Самому можно сделать:
- Анализ и оценка необходимых данных и документации по защите информации на ПЭВМ
- Разработка и согласование Программы и Методики проведения аттестационных испытаний
- Разработка технического паспорта, акта классификации, инструкций на объект информатизации, приказов, распоряжений и др. необходимой ОРД

К3 ПДн – я бы не аттестовывал тем более что речь идет не об 1 рабочем месте, а о нескольких – что существенно сокращает срок сохранения этой ИС в неизменном состоянии на период действия аттестата.