Глупые вопросы - Форум по вопросам информационной безопасности

Всем доброго времени суток! Задам вопросы, которые не дают мне спокойно спать. Задавал тов. из ФСТЭКа, но был послан в нормативно-методические документы(.
1. У заказчика 3 объекта информатизации – автоматизированные системы на базе автономного ПЭВМ (АРМ 1, АРМ 2, АРМ 3), аттестованные, с полным комплектом документов. В каждом что-то сломалось или вышло из строя. Из трёх комплектов собираем один рабочий комплект для аттестации. На каждый компонент (системник, монитор, принтер и т.д.) есть протокол и предписание по результатам лабораторных СИ, но в составе старых комплектов (АРМ 1, АРМ 2, АРМ 3). Корректно ли нагибать заказчика на проведение новых лабораторных СИ? Или достаточно старых СИ + проведения объектовых в новом составе? Если надо новые лабораторные СИ то как быть с НЖМД, ведь его не отдадут в лабораторию т.к. он засекречен и имеет уч.№? Или пусть покупают новый НЖМД и проводят СИ?
2. При проведении периодического КЗ (некоторые его называют ежегодным) объекта информатизации, аттестованного другим органом по аттестации, нужно составлять программу и методику проведении периодического КЗ? Ведь проверять нужно не только САЗ, а все возможные каналы как при аттестации. У заказчика могут быть изменения на объекте, о которых он сам и не подозревает. Или я не прав и всё нужно ограничивать проверкой САЗ и переписыванием чужого заключения?
3. Всем известные временные методики, в которых допускается применение сертифицированных средств при не выполнении норм. Как оценивать эффективность установленных САЗ? Краем уха слышал, что есть решение ФСТЭК об оценке по методикам для 3 кат. Это частное решение для какого-то одного лицензиата или применительно для всех? Если для всех, то почему не рассылают всем? Как его получить? Или я опять не прав и всё нужно ограничивать лишь установкой САЗ на объекте?!
4. Встретился с недобросовестным или некомпетентным заказчиком, который в процессе проведения аттестации изменил начальные сведения. Как с этим бороться? Предполагаю, что надо составлять «Акт информационного обследования» в 2-х экз., вешать серьгу и пусть подписывают вместе с ПиМом. Или я опять не прав и перегибаю палку?
5. У заказчика возникло желание в процессе периодического КЗ добавить периферию и отчуждаемые носители информации. Нужно ли заставлять его делать полностью лабораторные СИ нового комплекта или достаточно СИ на новые компоненты в составе тестовой машины со стенда? Надо ли проводить новую аттестацию АС или ограничиться периодическим контролем? Или я опять не прав и так делать нельзя?
6. Обязан ли я, как представитель органа по аттестации, следить за аттестованными мной объектами заказчика? В положении написано ДА. Но некоторые заказчики отказываются проводить периодический КЗ. Могу ли я требовать проведения или выслать мне для ознакомления результаты проведения периодического КЗ другим органом по аттестации? Могу ли я на основе непроведённого в срок КЗ преостановить или прекратить действие Аттестата соответствия? Надо ли уведомлять ФСТЭК о данной ситуации?
7. Некоторые организации при аттестации ГТ и КИ составляют модель нарушителя. Это обязательный документ? Где на него идёт ссылка?

Заранее спасибо за умные ответы на глупые вопросы.

По первому вопросу:
1. При подключении к другому системному блоку условия будут немного другие. Теоретически можно спросить у организации проводившей СИ.
2. А практически какой смысл? Сколько стоят железки с СИ и сколько стоит аттестация?

(1)
Если АРМы 1, 2 и 3 были аттестованы с полным комплектом документов, то может для начала обратиться в орган по аттестации? Они вообще в курсе Ваших действий с АРМами?
Судя по всему речь идёт об АС, обрабатывающих гостайну. После того, как вы разобрали 3 «старых» АРМа и собрали 1 «новый», надо понимать в любом случае прежде чем начать обработку гостайны на «новом» АРМе Вам надо его аттестовать в аккредитованном ФСТЭКом органе по аттестации и получить Аттестат соответствия по общей процедуре СТР-1997. Для «нового» АРМа будут действительны заключения на СП. А вот СИ «новому» комплекту АРМа придётся делать заново, т.к. электромагнитная «картина» излучений собранного Вами комплекта, как и в лабораторных условиях, так и объектовых будет принципиально иной. Поэтому на счёт «корректности нагибания заказчика на проведение новых лабораторных СИ»: да.
На счёт НЖМД: он стоит на учёте в РСП, поэтому обращения подобных носителей регулируется Инструкцией № 3-1. Обратитесь в РСП и месте с ними проговорите варианты, т.к. здесь вариантов, как поступить, много. Вот только если решите покупать новый НЖМД, то он кроме СИ должен пройти и СП.

(2)
Не встречал у периодического (ежегодного) контроля сокращение «КЗ» Что есть КЗ при периодическом …? Если это контрольные замеры, то это замеры технических параметров работоспособности систем защиты (генераторы шума, фильтры сетевые помехоподавляющие), которые проверяют эти средства на соответствие эксплуатационным документам, паспортам. В них, как правило, указаны сроки регламентных проверок и технические параметры, которые должны обеспечиваться средство. защиты
Если речь идёт о ежегодном контроле аттестованного объекта информатизации, то тут проверяется все параметры этого объекта в объёме утверждённой Методики аттестационных испытаний – это и техпроцесс, и орг.-тех. Документы, и НСД, и утечка по каналам ПЭМИН (ТКУИ), и СП. В рамках всех этих работ, как правило, орган по аттестации проводит оценку работоспособности САЗ, результаты которой отражают в разделе оценки утечки по каналам ПЭМИН (ТКУИ) с отельными протоколами, заключениями.

(3)
Да, в первой Временной методике «для конфы» есть указание на возможность применения САЗ, но вот как их оценивать, указаний там нет. Поэтому каждый делает так, как позволяют инженерное воображение и финансы.
На счёт частного решения – не слышал. Если хотите его получить, то у ФСТЭКа все документы ограниченного доступа получают через письменный запрос. Обратитесь с этим вопросом в региональное Управление ФСТЭКа, они помогут и разъяснят.

(4)
А Вы не пробовали с заказчиком договариваться или хотя бы выяснить причины такого поведения? Наверняка не просто ему «подурить» перед Вами захотелось (хотя и такое нельзя исключать). Кроме того, многое определяет договор, который Вы заключили с заказчиком. На мой взгляд, «закидывать» заказчика Актами, обвешивать серьгами, бусами и т.п., брать расписки за каждый «чих» не самый лучший вариант. Если конечно это не является целью…

(5)
«Периферия» разная бывает, равно как и носители (ЖМД, флэшки, CD, диски 3,5” и т.д.). Если АС аттестована, то добавление периферии должно согласовать с ними. Иначе аннулирование выданного Аттестата на эту АС с сообщение сего факта в органы контроля (особенно при аттестации под гостайну). На счёт повторных СИ я написал выше в п. (1). На счёт новой аттестации – решение принимает орган по аттестации с учётом условий и фактов в каждой конкретной ситуации.

(6)
>> Обязан ли я, как представитель органа по аттестации, следить за аттестованными мной объектами заказчика?
И этот вопрос задаёт человек, являясь представителем органа по аттестации?!
Попробую выразиться так, как выразился юрист. Если Вас уполномочил орган по аттестации в подобных функциях, то обязанность должна определяться договором или должностной инструкцией. А если в Ваши представительские функции не входят полномочия по отслеживанию аттестованных объектов, то оснований для обязанности таких действий нет.
При обязанности проведения ежегодного контроля надо руководствоваться аттестационными документами, выданными на объект. Заявленные Вами возможности имеют место быть.

(7)
Нет, для ГТ и КИ этот документ не обязательный.

Весьма полный и грамотный ответ. Под КЗ "НачЛаб" имел ввиду периодический контроль защищенности ОИ.
В случае отказа заказчика от проведения ежегодного контроля, мы берем с него официальную бумагу, ну а в дальнейшем ответственность за выполнение требований аттестата соответствия несет Заказчик.

Доброго времени суток!
msergey Спасибо за квалифицированные ответы! Всегда приятно иметь дело с профессионалом.
User - спасибо за уточнение. Подскажите, а что в отказе от ежегодного КЗ должен написать заказчик?

Заказчики очень редко отказываются от проведения ежегодного контроля. А если отказываются, то в письменном виде указывают, в связи с чем, обычно это проведение работ другой организацией. В любом случае у нас есть бумага подтверждающая отказ Заказчика. Если причина не указана, и контроль вообще не проводился, то, в принципе, можно и аттестат отозвать. Но тут мы каждую ситуацию рассматриваем персонально.

для msergey
"Да, в первой Временной методике «для конфы» есть указание на возможность применения САЗ, но вот как их оценивать, указаний там нет. Поэтому каждый делает так, как позволяют инженерное воображение и финансы.
На счёт частного решения – не слышал. Если хотите его получить, то у ФСТЭКа все документы ограниченного доступа получают через письменный запрос. Обратитесь с этим вопросом в региональное Управление ФСТЭКа, они помогут и разъяснят"


Указаний на возможность использовать САЗ по ПЭМИН для КИ НЕТ ни в одном из документов!!!
ФСТЭК не поможет поэтому и бардак! Остается доработка и увеличение КЗ. А еще правильные! измерения и расчеты.

"КИ этот документ не обязательный"
Для служебной информации ограниченного распространения и ПДн еще как обязательный - читаем СТР-К .

Для НачЛаба.
"Могу ли я требовать проведения или выслать мне для ознакомления результаты проведения периодического КЗ другим органом по аттестации? Могу ли я на основе непроведённого в срок КЗ преостановить или прекратить действие Аттестата соответствия? Надо ли уведомлять ФСТЭК о данной ситуации?"
Прийти посмотреть множите в рамках надзора.
Прекратить можете если...
Положение по ат .ОИ...

3.10.5. При выявлении нарушения правил эксплуатации аттестованных объектов информатизации, технологии обработки защищаемой информации и требований по безопасности информации органом, проводящим контроль и надзор, может быть приостановлено или аннулировано действие "Аттестата соответствия", с оформлением этого решения в "Аттестате соответствия" и информированием органа, ведущего сводную информационную базу аттестованных объектов информатики, и Гостехкомиссии России.
Решение об аннулиpовании действия "Аттестата соответствия" принимается в случае, когда в результате оперативного принятия организационно-технических мер защиты не может быть восстановлен требуемый уровень безопасности информации.

Где тут не проведение контрольной проверки? Остается только АйЙАЙАЙ.

Для User..
"Если причина не указана, и контроль вообще не проводился, то, в принципе, можно и аттестат отозвать"
А можно узнать где такое написано что можете забрать? И если будите забирать что округу будите в докладной писать?

Для sekira:
Мы обычно в аттестате прописываем, что контроль защищенности информации на объекте информатизации осуществляется ежегодно (в строгом соответствии с требованиями СТР 97). Если контроля не было, значит нарушены требования аттестата соответствия, т.е. нарушены "правил эксплуатации аттестованных объектов информатизации" и "требований по безопасности информации". Ну а с технической точки зрения, при отсутствии контроля мы как орган по аттестации не можем гарантировать, что на объекте соблюдается неизменность функционирования и технология обработки, соответственно имеем право (даже чисто логически, т.к. несем ответственность за аттестованный ОИ) как минимум приостановить действие Аттестата до проведения контроля и подтверждения неизменности, технологии и т.д.
Другой вопрос заключается в том, что не всегда Заказчик готов платить за проведение контроля, и тут уже все будет зависеть от Вашего с ним договора.

Для User.
"как минимум приостановить действие Аттестата до проведения контроля и подтверждения неизменности"

Приостанавливаете? Во ФСТЭК сообщаете? Аттестаты за не проведение контроля забираете? Попробуйте забрать и ФСТЭК уведомить веселье вам обеспечено будет и со стороны ФСТЭК (хотя сами написали вроде) и со стороны заказчика. 80-60 % ни проводят никакого контроля!
Формально вы правы что, что то может изменится. Но отбирать Аттестат за "неизвестность" (вы ведь не знаете не проведя контроль соответствуют объект требованиям по безопасности (объективным) или нет) кажется дико. А самое интересное что все что вы написали в посте про право отбора аттестата не написано четко ни в одном из НМД ФСТЭК (так сказать на откуп органов - белое пятно НМД).

Для sekira:
> Указаний на возможность использовать САЗ по ПЭМИН для КИ НЕТ ни в одном из документов!!!
Пардон за грубость, но я специально для тех кто "на бронепоезде" написал: "Да, в первой Временной методике «для конфы» есть указание на возможность применения САЗ, но вот как их оценивать, указаний там нет".
Первая методика посвящена акустике, причём тут ПЭМИНу?! Про ПЭМИН вообще речи не было!

> "КИ этот документ не обязательный"
> Для служебной информации ограниченного распространения и ПДн еще как обязательный - читаем СТР-К .
Ну, вот что это за удивительный человек sekira?! Вопрос звучал об обязательности МОДЕЛИ НАРУШИТЕЛЯ для ГТ и КИ. Ну, нет обязательства к наличию такого документа ни в ГТ (ПДИТР не трогаем), ни в КИ. Для ГТ и КИ такая Модель определена в п. 4 РД "Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации" (Гостехкомиссия РФ, 1992 г.).
Что касается ПДн, то там обязательна Модель угроз, а Модель нарушителя делается, если свои документы Вы формируете по Типовым требованиям по организации и обеспечению функционирования шифровальных
(криптографических) средств, предназначенных для защиты информации,
не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных
при их обработке в информационных системах персональных данных, утв. руководством 8 Центра ФСБ России от 21.02.2008 № 149/6/6-622.
Про отсутствие регистрации в Минюсте СТР-К на этом форуме говорилось уже сто раз, поэтому искать обязанность в СТР-К бессмысленно.