Установка СЗИ - Форум по вопросам информационной безопасности

Товарищи, проконсультируйте пожалуйста.

Установка и настройка СЗИ Dallas Lock 7.5

Я сам вполне могу сделать все настройки этой программы. Делал уже т.с. на тестовых машинах.

Но вопрос, а имею ли право это делать самостоятельно для собственных нужд (т.е. нужд ЮЛ, где работаю) или все эти мероприятия имеет право проводить только лицензиат?

Я это к тому, что лицензиат на считал нам весьма кругленькую сумму за аттестацию ОИ.
Но там и разработка доков и т.п. Как бы то, что я сам могу - исключаю.
Вопрос только по СЗИ.

Можете сами. На самом деле даже должны сами в соответствии с НМД!

sekira
Просто до сих пор этот вопрос остается для меня в подвешеном состоянии. Одни говорят - только лицензиат, другие - можно и сам.
Где-то есть норма которая скажем так если не прямо, то косвенно подтверждает сей факт?

Буду очень Вам признателен если Вы поможете найти эту норму.

С уважением!

Какие интересные разночтения....
Для начала разделим 2 понятия - заказчик (ВЫ) и лицензиат (атт. орган)

Затем укажем 2 основные лицензии:
лиц. 1 - на осуществление мероприятий и(или) оказания услуг... по ГТ
лиц. 2 - на проведение работ связанных с созданием СЗИ

И документ, позволяющий выдавать аттестаты соответствия - аттестат аккредитации аттестационного органа (АААО).

Первоначальный пакет документов готовит заказчик (или может ПО ЖЕЛАНИЮ заказать изготовление тому, у кого есть лиц. 1.)
В этот пакет входят: Тех. паспорт, акты ввода, категор. и классиф. и тд.
И в том числе (и это ответ на ваш вопрос) распоряжене о назначении администратора безопасности, акт установки СЗИ НСД, акт настройки СЗИ НСД, разрешительная сиситема доступа. И много другого.

То есть вы предоставляете для атт. испытаний ПОЛНОСТЬЮ готовую АС, то есть ПЭВМ+пользователи+админ+пакет док.

Когда первоначальный пакет готов, вы как заказчик обращаетесь в организацию, имеющую лиц. 1 и лиц. 2 для проведения аттестационных испытаний. После их работы имеете протоколы контроля защищенноси и(или) оценки эффективности по ПЭМИН и протокол защищенности по НСД.


Затем обращаетесь в аттестационный орган, имеющий АААО и от них получаете заключение по атт. испытаниям и аттестат соответствия.

Порядок именно такой, все остальное - навязывание услуг.

Все написано в СТР.
Прочтите и обрящите))))

Антон
Спасибо большое!

"Когда первоначальный пакет готов, вы как заказчик обращаетесь в организацию, имеющую лиц. 1 и лиц. 2 для проведения аттестационных испытаний. После их работы имеете протоколы контроля защищенноси и(или) оценки эффективности по ПЭМИН и протокол защищенности по НСД"

В СТР такого нет.
Аттестационные испытания может делать только орган по аттестации!
Заключение без протоколов орган по аттестации выдать не может.

См. положение по аттестации ОИ.

Ну не совсем. В СТР этого точно нет,
но по собственному опыту. Я работаю в гос. организации, и у нас была такая история. Время действия аттестата аккредитации не совпадало с временем действия лицензий. То есть аттестат закончился, а лицензии действовали - так и выкручивались, измерения и протоколы наши, а заключения и аттестаты соответствия другого атт. центра. Бюджетненько получалось. )))
И кстати, прекращение действия лицензий вызывает прекращение аттестата, но не наоборот.

Я не говорил о том, что атт. исп проводит не аттестационный орган, я скорее раснес этот процесс во времени, возможно не очень удачно.

"Заключение без протоколов орган по аттестации выдать не может."

Уточните, без протоколов или без СВОИХ протоколов?
И пункт.

Понял свою ошибку

""Когда первоначальный пакет готов, вы как заказчик обращаетесь в организацию, имеющую лиц. 1 и лиц. 2 для проведения ОБЪЕКТОВЫХ испытаний. После их работы имеете протоколы контроля защищенноси и(или) оценки эффективности по ПЭМИН и протокол защищенности по НСД"
Затем обращаетесь в аттестационный орган, имеющий АААО ДЛЯ ПРОВЕДЕНИЯ АТТ. ИСПЫТАНИЙ и от них получаете заключение по атт. испытаниям и аттестат соответствия.""

Просто обычно это всегда одно предприятие