Гостайна. Добавление программ на аттестованную АС - Форум по вопросам информационной безопасности

Добрый день коллеги! Прошу знающих людей подсказать по следующему вопросу:
Необходимо добавить программу на аттестованную АС, возможно придется трогать настройки СЗИ от НСД. Вопрос нужна ли переаттестация, либо контроль эффективности. Или же мы своими силами можем поменять программу и поковырять настройки СЗИ? Прошу не писать "обратитесь в орган по аттестации", потому что они могут настоять на переаттестации и я попаду на деньги (мой косяк).

Без органа по аттестации никуда. В запросе к органу обоснуйте, что ПО не повлияет ни на процесс обработки конфиденциальной информации, ни на защищенность. Пускай на основании этого они уже и принимают решение.

Читайте что написано в инструкции администратора безопасности АС и в "ограничительной" части Аттестата соответствия (когда Вы должны уведомить орган по аттестации). Вообще, Ваш администратор безопасности должен иметь право без органа по аттестации изменять состав ПО на АС, добавлять/изменять количество пользователей и права у них, изменять настройки СЗИ вплоть до её переустановки - лишь бы это не нарушало технологический процесс обработки защищаемой информации, установленный на момент аттестации! АС Ваша, а не органа по аттестации. С органом по аттестации Вы обязаны взаимодействовать только в случаях ограничений, указанных в Аттестате соответствия.

Здравствуйте господа! Если вы лезете в СЗИ, то это однозначно контроль эффективности или переаттестация. Посмотри что написано в типовой инструкции по обеспечению......, одобренной межведомственной комиссией: там написано, что СЗИ должна пройти контроль эффективности. Т.е. когда ваша АС проходит аттестацию, вам дают протокол контроля от НСД, в котором написано что все ОК. На основании каких полномочий администратор безопасности может менять настройки/переустанавливать СЗИ, делать оценку эффективности своих изменений? Ответ: таких полномочий у него нет. Поэтому после того как вы тронете СЗИ, необходимо вызывать специалистов центра аттестации/другого центра, у которых есть лицензии и они должны провести контроль эффективности СЗИ о НСД и выдать бумажку, что все ОК. Также согласно этой инструкции вы должны согласовать изменение программ.

У нас в аттестатах написано, что нельзя изменять системное ПО и СЗИ без уведомления органа по аттестации.
Что касается прикладных программ, то на них (согласно нашему аттестату) никаких ограничений нет.

>На основании каких полномочий администратор безопасности может менять >настройки/переустанавливать СЗИ, делать оценку эффективности своих >изменений? Ответ: таких полномочий у него нет. Поэтому после того как вы >тронете СЗИ, необходимо вызывать специалистов центра аттестации/другого >центра,"

Странно. А на основании каких требований администратор не может это делать? Я беседовал с органом по аттестации, и они подтвердили, что администратор ИБ имеет полное право лазить и настраивать СЗИ. Для этого он и существует и несет ответственность.
Или при добавлении нового пользователя, каждый раз в орган по аттестации звонить?

Smash, какого рода изменения Вы планируете произвести в настройках СЗИ от НСД.

Коллеги, всегда смотрите что написано в аттестате соответствия и предписании на эксплуатацию.
Многие вопросы сразу отпадут.

Аттестат соответствия выдаётся на 3 года. За это время на объекте происходит "куча всего": например, пользователи АС (в том числе админы) добавляются/убавляются (в связи с текучкой кадров в организациях), изменяются права у пользователей по отношению к тем или иным ресурсам (например, при возложении обязанности админа на одного из пользователей по причины увольнения админа - ситуация имеет место быть), сбои в программном обеспечении (например, "падает" операционная система Окна), износ или поломка аппаратного обеспечения (например, жёсткий диск). В каждом указанном случае изменяются настройки СЗИ!!! Прикажете каждый раз заключать договор с органом по аттестации?!
А для чего администратор безопасности АС? "Для мебели"? Читайте внимательно ВСЕ документы по аттестации. Если у Вашего администратора безопасности нет полномочий управлять это самой безопасностью, то это не администратор безопасности, а сторож ПЭВМ и установленных на ней СЗИ.
Если у него полномочий, так дайте же ему их! Основания: Приказ руководителя о возложении обязанностей, Инструкция администратора безопасности, которая должна быть в числе аттестационных документов на АС. В случае необходимости отправьте его на курсы повышения квалификации, оформление соответствующего допуска, проведите другие необходимые мероприятия, которые позволят ему поддерживать эксплуатационную работоспособность АС и установленных на ней СЗИ в РЕАЛЬНЫХ УСЛОВИЯХ ЭКСПЛУАТАЦИИ, когда происходят вышеуказанные события.

Вот, согласен полностью с :-).
За исключением:
>износ или поломка аппаратного обеспечения (например, жёсткий диск).

тут уже просто так не оделаться. Покупка нового жесткого диска, влечет его СП и по решению органа по аттестации, возможную переаттестацию.

А так все верно написано, особенно вот это понравилось:
"Если у Вашего администратора безопасности нет полномочий управлять это самой безопасностью, то это не администратор безопасности, а сторож ПЭВМ и установленных на ней СЗИ."

"У нас в аттестатах написано, что нельзя изменять системное ПО и СЗИ без уведомления органа по аттестации"

Хотят они ОС поменять, уведомили вас. Вы им разрешаете или что?

"Странно. А на основании каких требований администратор не может это делать?"

Сделать он это может, но кто оценит изменилась ли защищенность АС от НСД после его изменений? Я тогда вообще смысла не вижу в Протоколах НСД, выданных органом по аттестации. Выдают они протокол НСД, а после администратор безопасности меняет настройки всей защиты, переставляет СЗИ, так получается?

"сторож ПЭВМ и установленных на ней СЗИ"
Админ у нас смотрит журналы, и прочей фигней занимается.

ЧТо то я еще больше запутался...

"Smash, какого рода изменения Вы планируете произвести в настройках СЗИ от НСД."

Планируем переставить ОС, добавить программу обработки изображений. После переустановки ОС нужно будет ставить заново СЗИ.