Разрешительная система.арм - Форум по вопросам информационной безопасности

Здравствуйте. Вопрос такой. Есть разрешительная система допуска к арм.в ракете документов к аттестату на арм. Но произошли изменения.сотрудники изменились, соответственно и учетные записи. Как грамотно внести изменения в документ минуя создание и утверждение нового? Разрешительная система, грифованая.

Увы практически переаттестация АС, ну если только орган по аттестации в ходе контроля изменения согласует.

А почему сращу переаттестация? Мы же не ищменили условия или технологию обработки информации, только в разрешительной системе изменились фамилии пользовптелей и названия учетных записей. И еще, как оформить изменения? Без утверждения нового измененного документа.т.е.внести корректировки.просто с внутренними документами этого не делал ниразу.

Необходимо внести изменения и уведомить лицензиата, это в общем случае, состав и ттх арма не изменились, переаттестация не нужна. К тому же у вас должна быть инструкция для АБ и СА по добавлению и удалению уч. записей пользователей. Так что на самом деле, считаю что и уведомлять никого не нужно, на тех. процесс не влияет! Составляете акт создания/изменения уч.записи, новый человек все равно допускается к АРМу приказом, на основании того же приказа вносите изменения в разрешительную систему, документ внутренний, так что утверждаете у руководителя. Вроде все)

А что такое мнструкция АБ и СА и где ее взять? И где взять образец акта добавления нового пользователя? Извините.просто опыта мало, а отдел защиты это я один.

"Необходимо внести изменения и уведомить лицензиата" ..
Какого лицензиата ? Где такое написано? Положение по аттестации только для органов по аттестации!


п.2.6 Положения.... "извещают оpган по аттестации, выдавший "Аттестат соответствия", о всех изменениях в инфоpмационных технологиях, составе и pазмещении сpедств и систем инфоpматики, условиях их эксплуатации, котоpые могут повлиять на эффективность меp и сpедств защиты инфоpмации (пеpечень хаpактеpистик, опpеделяющих безопасность инфоpмации, об изменениях котоpых тpебуется обязательно извещать оpган по аттестации, пpиводится в "Аттестате соответствия".

Решает орган по аттестации ! По результатам анализа ситуации.
Для КИ правил нет вообще! Как лицензиат напишет в аттестате так и будите делать. Ничего не напишет тогда и ничего не нужно!

"К тому же у вас должна быть инструкция для АБ и СА по добавлению и удалению уч. записей пользователей"

А в каком НМД такие требования к АС? Или ИМХО?

В принципе на правах ИМХО, но довелось видеть и поже ввести у себя целый комплект подобных инструкций, штук 6 или 7. Не обязаловка, но позволяет кое-где перед регулятором 5-ю точку прикрыть, так сказать, административными мерами)

2 sekira, "Лицензиат" (обладатель лицензии ФСТЭК) = "орган по аттестации"

2 sekira, "п.2.6 Положения...."
добавление пользователя не вносит изменения указанные в данном пункте, или у вас технологический процесс обработки информации на АРМ для каждого пофамильно расписан?