Периодический контроль ВП - Форум по вопросам информационной безопасности

Каким документом(ами) регламентируется обязательный ежегодный контроль ВП?

Разъясню. ВП. Окон нет. Мебели нет. Средств связи нет. Средств защиты нет. Аттестованно в связи с требованиями "мобилизационной готовности". Меняться нечему.
Нужно ли проводить ежегодный контроль, если оно неизменно нефункционирует?

Пункт 5.2.3 СТР не указывать, ибо он относится только к ПЭМИН.

Читайте, что написано в ограничительной части Аттестата соответствия на это ВП и в аттестационных документах (Программа-методика и Заключение АИ). Цель ежегодного контроля не в ПЭМИНе, а в подтверждении официальным документом неизменности существенных условий аттестованного объекта за истекший период. Такой документ (Протокол, Заключение, Акт) на Ваше ВП должен сделать орган по аттестации (или иной лицензиат ФСТЭКа) согласно аттестационным документам.

Для :-) | 40115
"...Такой документ (Протокол, Заключение, Акт) на Ваше ВП должен сделать орган по аттестации (или иной лицензиат ФСТЭКа)..."
Не морочите голову, подобный акт протокол "оргконтроля" может сделать и внутренняя комиссия. Орган по аттестации уведомляется в случае изменения условий. Если конечно "хитровые... орган, который проводил аттестацию" не написал такого требования в аттестате.
А вообще более подробный "регламент" периодического контроля в дополнение к СТР должен быть описан в новой серии ГОСТ пометкой дсп, про которые уже упоминалось на форуме. Пока вышел и доступен к заказу первый из серии ".....Общие положения".

Разъясню ситуацию. Я и есть представитель органа по аттестации. На КАКОМ ОСНОВАНИИ я должен вписывать в аттестат на ВП требования о периодичеком контроле?
Я как раз не хочу поступать как "хитроватые" (читай - коммерческие) органы по аттестации. И, действительно, ни в СТР, ни в "Положении по атт безопасности инф" я не нашёл прямого требования проведения !внимание! ежегодного инструментального контроля.

Мы аттестуем свои объекты. Проведение проверки в нашей организации утверждено внутренним документом. Ответственный берет тех. паспорт, берет тех, кто расписывался в акте категорирования, и раз в год проверяет соответствие и делает акт. Но чтоб сравнить серийники не нужен ни спектроанализатор, ни аккредитация атт органа, или я не прав?

При изменении условий эксплуатации и т.д. - согласен, но мне нужен документ прямо указывающий на необходимость проведения ИНСТРУМЕНТАЛЬНОЙ КП с четким укакзанием периода. И указывающий на необходимость проведения онной даже если ничего не менялось, и, как я писал в первом сообщении - когда нечему меняться.
Вот нужно как с ПЭМИН в СТР - .... согласно тому и тому ....но не реже раза в год.

Жду ответов.

"Читайте, что написано в ограничительной части Аттестата соответствия на это ВП и в аттестационных документах (Программа-методика и Заключение АИ)"

Для ВП в СТР нет прямых пунктов по периодическому контролю ежегодно.
Есть только 3.23.
Писать в аттестат конечно можно (мы например пишем), но тогда будьте готовы сводить Заказчика со ФСТЭК и ссылаться на "указания ФСТЭК лицензиатам".

"Цель ежегодного контроля не в ПЭМИНе, а в подтверждении официальным документом неизменности существенных условий аттестованного объекта за истекший период. Такой документ (Протокол, Заключение, Акт) на Ваше ВП должен сделать орган по аттестации (или иной лицензиат ФСТЭКа) согласно аттестационным документам"

Это не написано ни в одной официальном НМД. Это лишь красивая теория которую ФСТЭК пытается вменить (иногда получается иногда нет).

Для Гуля.

ЦИТ- А вообще более подробный "регламент" периодического контроля в дополнение к СТР должен быть описан в новой серии ГОСТ пометкой дсп, про которые уже упоминалось на форуме. Пока вышел и доступен к заказу первый из серии ".....Общие положения".

Можно поточнее? Я видимо упустил эти ГОСТы из внимания. Кто занимается распространением? ФСТЭК или Стандартинформ?

Для Гуля | 40129:
>> Не морочите голову, подобный акт протокол "оргконтроля" может сделать и внутренняя комиссия. Орган по аттестации уведомляется в случае изменения условий. Если конечно "хитровые... орган, который проводил аттестацию" не написал такого требования в аттестате.

Ваша внутренняя комиссия - это Ваше "внутреннее дело". Вы способны создавать эти комиссии и проводить сами себе проверки хоть каждый день в нужным Вам результатом. Но это внутренние проверки! А речь идёт о внешних проверках комиссией органа по аттестации (или иной лицензиат ФСТЭКа). Если выражаться чопорно и номативно, то здесь вопрос разницы между понятиями "способности" и "правомочия". Если у Вас есть лицензия ФСТЭК на данный вид деятельности, значит Вы не только способны физически собрать комиссию, а у неё относительно аттестованного объекта будут соответствующие правомочия БЕЗ ЗАМОРАЧИВАНИЯ ГОЛОВ. Поэтому я и рекомендовал читать аттестационные документы в первую очередь.

Для Антон | 40131:
Если у Вас в ВП изначально отсутствовали тех средства, то какие ТКУИ Вы собираетесь искать при ЕК? Они отсутствовали ещё при аттестации. Откуда им появиться через год, если объект не изменялся? Не ищите чёрную кошку в чёрной комнате, когда её там нет. По сути у Вас и при аттестации и при ЕК вся работа будет ограничена проверкой режимных требований...

Для sekira | 40133:
>> Писать в аттестат конечно можно (мы например пишем), но тогда будьте готовы сводить Заказчика со ФСТЭК и ссылаться на "указания ФСТЭК лицензиатам".
>> Это не написано ни в одной официальном НМД. Это лишь красивая теория которую ФСТЭК пытается вменить (иногда получается иногда нет).

В официальных документах много чего не написано. Вы, например, сами восполняете пробелы и недостатки нормативки с целью выстраивания логичной и понятной работы, восполняя пробелы и противоречия. И чем Вас не устраивает "красивая теория которую ФСТЭК пытается вменить" (хотя это я писал от своего понимания контроля исходя из сути аттестации и первый раз слышу про аналогичную позицию ФСТЭКа по этому поводу)? Объясните Вы суть проведения периодической проверки согласно Вашей точки зрения? Может она у Вас просто отсутствует без соответствующего указания "сверху" или нормативного документа?
Это не "красивая сказка", в этом и заключается суть работы с аттестованным объектом.

"Вы, например, сами восполняете пробелы и недостатки нормативки с целью выстраивания логичной и понятной работы, восполняя пробелы и противоречия"

Нет юридической силы подменять НМД своим видением проблемы у органа по аттестации. Только письма регулятору с официальным ответом, или договоренность с Заказчиком в Программе и методике.

"Это не "красивая сказка", в этом и заключается суть работы с аттестованным объектом"

Дак пусть ФСТЭК внесет эту "суть" в НМД, а не в "Временные указания..."!!

Не каждый заказчик готов раз в год выкладывать средства на выполнение требований не оформленных в НМД!!

Многие просто не уведомляют об изменениях, не проводят контроль и т.д. И доказать им, что это необходимо увы можно только отбиранием аттестата со всеми сопутствующими.

Для :-)
Вы забыли про дверь)))) Её то я должен промерить по нормам непреднамеренного прослушивания. И, согласно вашего понимания вопроса я должен делать это ежегодно. Ну да ладно, с точки зрения логики я понимаю, что дверь может рассохнутся, и т.д. В общем ее характеристики могут измениться. Но это логика. Документ с требованиями где?
Давайте дальше применять логику. Какие характеристики объекта могут измениться? Да любые! И, чтобы преребдеть, мы обязаны ежегодно проводить весь набор инструментальных объектовых исследований, да и спецпроверку - на всякий случай.)))

В общем. Суть нашей работы по защите закрытой информации в России на мой взгляд сводится к выполнению требований руководящих ДОКУМЕНТОВ. Суть работы ФСТЭК в определеенной части сводится к разработке адекватно воспринемаемых руководящих документов, соответствующих реалиям времени. Все. Есть требования - есть работа. Нет требований - нет работы.
Вы думаете что этот вопрос поднимаю только я? Нет, ему столько же лет, как СТРу. Как минимум. И я подозреваю, что если бы это был важный вопрос, то его бы включили хотя бы в последнюю поправку к СТР. Значит ответа может быть два: Либо это где то написано, но я не знаю где, либо этого не требуется.

Я не просил никого пространных рассуждений о "своем понимании" Мне нужен документ и пункт. И все.

П.С.
"В официальных документах много чего не написано." - Это вы хорошо сказали. Улыбнуло. И еще - "восполняя пробелы и противоречия." Ага))). Одно то, что представители ФСТЭК из разных федеральных округов дают диаметрально различные ответы на один и тот же вопрос - уже вызывает некий диссонанс в моей голове, а тут еще вы с "своим пониманием))))

В общем жду документ.

Для Антон | 40145:
Не успел сходить в магазин, как тут на моё высказывание целая "эпопея народилась"... Как раз по дороге вспомнил про непреднамеренное прослушивание к режимным мерам :-))) А Вы уже сами акцентировали своё внимание на нём. Абсолютно правильно: его надо проверять. Основание - аттестационные документы на ВП. Туда и смотрите. Куда уж конкретнее ;-)

Для sekira | 40143
>> Многие просто не уведомляют об изменениях, не проводят контроль и т.д. И доказать им, что это необходимо увы можно только отбиранием аттестата со всеми сопутствующими.
Это называется "кулачное" право. К сожалению у нас в стране оно единственное имеющее силу во всех областях (не только в ИБ). Радоваться этому или горевать каждый выбирает сам...