Подготовка ОИ к аттестации - Форум по вопросам информационной безопасности

Здравствуйте. Я еще студент и плохо ориентируюсь в сфере ЗИ. Недавно получил задание по курсовой работе (Рекоммендации по подготовке ОИ к аттестации по требованию БИ) и почти сразу столкнулся с некоторыми проблемами.

Из документов, в которых можно найти процесс подготовки, я нашел только «Порядок работ по подготовке и проведению аттестации объектов информатизации (АС)». Требования и рекомендации к оформлению документов», в нем указаны следующие пункты:
3. Определяется категория объекта с оформлением акта категорирования ОТСС.
4. Определяется класс защищенности АС с оформлением акта классификации АС по требованиям защиты от НСД к информации.


И уже тут у меня возникли несколько вопросов:
- в 3 пункте нужно указать категорию используемых ОТСС? Я нашел только определение 1 из 7 категорий ВТ, это то же самое?
- Если я неправильно понял и нужно определить категорию не/не только ОТСС/ВТ, но и самого помещения, то тут категорирование будет происходить как в документе "ОРГАНИЗАЦИЯ ЗАЩИТЫ ИНФОРМАЦИИ ОТ УТЕЧКИ ПО ТЕХНИЧЕСКИМ КАНАЛАМ" в зависимости от задачи (закрытие наиболее опасных каналов, всех каналов и скрытие факта обработки информации в системе вообще)?
- Определение класса АС проводится согласно документу " Защита от несанкционированного доступа к информации. Классификация автоматизированных систем. "?
- Всего в документе 19 пунктов по подготовке к аттестации. Их достаточно или есть еще что-то, что там не указано?

Возможно Вы мне сможете посоветовать дополнительную литературу на тему аттестации вообще или по моим вопросам в частности. Буду рад любой помощи.

Аттестацию чего (АС, ИСПДн, ВП, ЗП, СИРД, ЛВС др.) и по каким требованиям (ГТ, КИ (СТР-К), ПДн) в планируете освещать?

Я так понял, что по заданию объектом информатизации будет выступать помещение с некоторыми ОТСС и ВТСС, которые будут обрабатывать ПД и другую информацию. Все это в совокупности будет составлять АС. Я так понял официально СТР-К не опубликован и юр.силы иметь не должен, но ФСТЭК требует соответствие именно этому документу.

Вообще каждый объект (АС, ИСПДн, ВП, ЗП, СИРД, ЛВС) обычно аттестуется отдельно или, например, в состав ИСПДн или АС будет входить ЛВС, по которой будет передаваться информация?

Чтобы не давать ссылки на сторонние ресурсы я продублирую сюда пункты по подготовке к аттестации, по которым я готовил работу.

1. Определяется степень секретности обрабатываемой информации.
2. Определяется состав ОТСС, общесистемные программные средства, предполагаемые к использованию.
3. Определяется категория объекта с оформлением акта категорирования ОТСС.
4. Определяется класс защищенности АС с оформлением акта классификации АС по требованиям защиты от НСД к информации.
5. Определяется технологический процесс обработки информации с оформлением «Описания технологического процесса…»
6. Определяется необходимость использования имеющихся на рынке сертифицированных СЗИ.
7. Определяется контролируемая зона (КЗ) с оформлением соответствующего приказа и справки о том, что в пределах КЗ обеспечиваются требования:
• «Инструкции по обеспечению режима секретности……»;
• постановлений Правительства РФ….
Указывается наличие и местоположение сторонних организаций.
Определяется минимальное расстояние от ОТСС до границы КЗ.
8. Анализируются все линии и коммуникации, проходящие в помещении ОИ (электропитания, заземления, трубы системы отопления и водоснабжения, тлф линии, линии охранной и пожарной сигнализации, радиотрансляции и др.) с указанием оконечных устройств и мест их расположения (Напр.: Контур заземления ОТСС расположен у тыльной стороны здания _______ на удалении 11,0 метров от границы КЗ, пульт охранной сигнализации VISTA расположен в помещении охраны на 1-м этаже здания в комн. № 112).
Отдельно выделяются линии, имеющие выход за пределы КЗ.
Демонтируются незадействованные линии, имеющие выход за пределы КЗ.
9. Окна помещения необходимо оборудовать шторами, жалюзи.
10. Составляется монтажная схема системы электропитания и заземления в помещении ОИ, с указанием типа проводки (3-х жильная, 2-х жильная) каждого элемента электрооборудования (розеток компьютерной, бытовой сети, ламп освещения и т.д.) и размещения щитов электропитания.
11. Составляется монтажная схема системы охранной и пожарной сигнализации с указанием названия и типа используемых датчиков.
12. Производится замер заземляющего устройства ОТСС с оформлением протокола организацией, имеющей соответствующую лицензию (R заз. 4 Ом).
Оформляется справка о местоположении заземляющего устройства ОТСС относительно границ КЗ и подземных коммуникаций, имеющих выход за пределы КЗ.
13. Оценивается наличие у трансформаторной подстанции, питающей категорированный объект, посторонних потребителей по низкой стороне, расположенных за пределами КЗ.
Отсутствие таких потребителей должно быть подтверждено соответствующей справкой.
14. Оформляется технический паспорт объекта информатизации.
15. Отрабатываются документы регламентирующие организацию пропускного и внутриобъектового режима, нормативная документация по защите информации.
16. Отрабатываются:
 «Технологическая инструкция администратора безопасности информации автоматизированной системы объекта информатизации…»;
 «Технологическая инструкция по работе с секретной информацией для пользователей
объекта информатизации…»;
 «Перечень информационных ресурсов, подлежащих защите на объекте
информатизации…»;
 «Перечень программных средств, используемых в АС объекта информатизации…»;
 «Инструкция по эксплуатации средств защиты информации на объекте информатизации…»;
 «Справка об уровне подготовки кадров, обеспечивающих защиту информации на объекте информатизации…» (по ответственным лицам в соответствии с приказом по организации защиты информации);
 «Матрица доступа пользователей к информационным и программным ресурсам автоматизированной системы объекта информатизации…»;
 «Инструкция по организации антивирусной защиты в автоматизированной системе
 объекта информатизации…»;
 «Инструкция по организации парольной защиты автоматизированной системы объекта информатизации…»;
 Приказ «Об определении границ контролируемой зоны …»
 Приказ «По организации защиты информации на объекте информатизации…».
17. Накопители на жестких магнитных дисках, входящие в состав ОТСС, ставятся на учет в первом отделе.
18. Вводится процедура опечатывания входной двери и сдачи объекта под охрану в соответствии с требованиями документов, разработанных на предприятии и «Инструкции…. 3-1» .
1

Не знал про ограничение по кол-ву символов. Вот последний пункт подготовки.

19. Подготавливается комплект документации:
 «Заключение о проведении специальной проверки ОТСС»;
 «Протоколы специальных исследований ОТСС»;
 «Протоколы оценки эффективности системы активной защиты»;
 «Предписание на эксплуатацию ОТСС»;
 «Акт технической приемки системы защиты информации от НСД»;
 Сертификаты Гостехкомиссии России на используемые средства защиты информации.


Заранее извиняюсь, если пишу бред. Пока искал информацию своими силами нашел много лишнего и теперь сложно все в голове уместить.

Как оказалось, многие пункты в моей работе лишние. Я пока постараюсь своими силами продолжить, но думаю что вопросы еще возникнут. В любом случае спасибо за отклик.

Все вами описанное содержится в секретном документе "Специальные требования и рекомендации..."
И речь идет об АС на ГТ.

Я как раз переписал работу, в АС без сведений гос.тайны, и указал требования СТР-К 2001. Жаль 2002 не так просто получить.

СТР-К 2001 ? Что это?

Специальные требования и рекомендации, опубликованные в 2001 году. Старая версия. Мне преподаватель советовал готовиться по документу 2002 года, но у него статус ДСП и получить его проблемно.

Специальные требования и рекомендации, опубликованные в 2001 году. Старая версия. Мне преподаватель советовал готовиться по документу 2002 года, но у него статус ДСП и получить его проблемно.