Аналитич. обоснование - Форум по вопросам информационной безопасности

Добрый день!
В СТР-К присутствует пункт для аналитического обоснования:
оценка материальных, трудовых и финансовых затрат на разработку и внедрение СЗИ;

Подскажите пож-ста, на основании чего или как провести данную оценку?

см. 56. Создание технических средств защиты информации, не требующее капитальных вложений, осуществляется в пределах средств, выделяемых заказчиком на научно-исследовательские и опытно-конструкторские работы, связанные с разработкой продукции.
Расходы по разработке технических средств защиты информации включаются в стоимость разработки образца продукции.
Создание технических средств защиты информации, требующее капитальных вложений осуществляется в пределах средств, выделяемых заказчиком на строительство (реконструкцию) сооружений или объектов.
Документ называется - ПОЛОЖЕНИЕ
«О ГОСУДАРСТВЕННОЙ СИСТЕМЕ ЗАЩИТЫ ИНФОРМАЦИИ
В РОССИЙСКОЙ ФЕДЕРАЦИИ ОТ ИНОСТРАННЫХ ТЕХНИЧЕСКИХ
РАЗВЕДОК И ОТ ЕЕ УТЕЧКИ ПО ТЕХНИЧЕСКИМ КАНАЛАМ»
(утв. Постановлением Совета Министров – Правительства РФ от 15 сентября 1993 г. № 912-51)
Следуя указаниям данного Положения несложно сделать вывод о том что работа по созданию СЗИ является научно исследовательской работой, которая требует соответствующего подхода. Подробнее можно посмотреть в ГОСТах на проведение работ по созданию информационных систем и в ГОСТах по управлению информационной безопасностью

mav | 48470
>Подскажите пож-ста, на основании чего или как провести данную оценку?

ГОСТ 24.702-85 "Единая система стандартов автоматизированных систем управления. Эффективность автоматизированных систем управления. Основные положения"

ГОСТ 24.202-80 "Система технической документации на АСУ. Требования к содержанию документа "Технико-экономическое обоснование создания АСУ"

Piligrim16, ООО СКБ "АНКЛАВ" - спрашивали по СТР-К, а ГСЗИ секретный документ

Выписка из Положения доступна в открытых источниках и несекретна за исключением ряда пунктов касающихся министерства обороны. Мною приведена как раз выписка из статьи несекретной части данного документа. Пользуйтесь во благо.

1. Можно написать "в соответствии с договором на выполнение работ № от такого-то числа".
2. Можно приложить предварительную смету расходов или коммерческое предложение от организации по выполнению предложенных в аналитическом обосновании мероприятий. Сметы считаются по установленным нормативам и это целая отдельная наука.

ИМХО смотреть ГОСТы - потратить время зря, никаких откровений вы там не увидите, а выполнить все что там написано обычной организации не по зубам.

mav, если не секрет, то чем именно продиктована необходимость проведения Вами подобной оценки? Просто выполнить требование СТР-К?

Автор: :-) ,
так точно один из клиентов настаивает чтобы все было выполнено в точности по СТР-К и как бы акцент был на данную оценку... При создании тех.проекта на систему ЗИ мы делаем оценку выбора СЗИ, т.е. именно почему данный продукт лучше или хуже аналога по технич. составляющей.

Если Вы пишете ТП (техпроект), значит ТЗ (техзадание) у Вас уже есть? Требования к СЗИ должны быть указаны именно в ТЗ. При написании требуемого Вами аналитического обоснования следует исходить из условий ТЗ и договора с тем Заказчиком, для которого Вы, собственно, и проводите данную работу. В данных двух документах находятся исходная информация для "оценки материальных, трудовых и финансовых затрат на разработку и внедрение". Выходить за пределы обозначенных там сроков и суммы Вы же не будите? Вот Ваша "творческая" задача и будет заключаться в оформлении/обосновании оценки указанных там затрат.
На практике Заказчик редко требует написание ему подобной оценки ПОСЛЕ подписания договора и наличия ТЗ (встречал такое только у бюджетников и то пару раз). По сути подобное оформление/обоснование оценки затрат нужно формально, поэтому каждый расписывает, как сочтёт удобным. Например, через трудоёмкость каждого вида работы (поговорите с экономистом, это его "хлеб"). Подобную оценку лучше оформлять отдельным документом или приложением к ТП, по возможности придерживаясь ГОСТов указанных выше. А сам ТП оформлять по РД 50-34.698-90.

> При создании тех.проекта на систему ЗИ мы делаем оценку выбора СЗИ, т.е. именно почему данный продукт лучше или хуже аналога по технич. составляющей

Опять же, если у Вас есть ТЗ, то здесь лучше исходить из его требований (продукт должен "перекрывать" требуемый Заказчику функционал). Ну, и конечно удобство в использовании, поддержка в сопровождении продукта играют не малую роль. Короче, чем лучше "обцелуете" перед Заказчиком выбранное и предлагаемое Вами СЗИ, тем лучше. При это всегда помните про финансовый показатель, имеющий особый статус. Иногда он определяющий не взирая на всё остальное. При сравнении аналогов с равными техническими составляющими больший вес имеет тот, в отношении которого у исполнителя опыт внедрения и сопровождения больше и у которого практика использования показала бОльшую надёжность. Чаще Заказчик до подписания договора говорит, что ему НАДО купить (например, в последнее время у госструктур: ViPNet и другого мне не надо). Писать обоснование выбора СЗИ на это после подписания договора как-то глуповато, согласитесь? Но если "партия сказала", значит... Нормативных документов по оценке выбора СЗИ, сравнение лучше/хуже среди аналогов - нет. Поэтому у Вашей фантазии есть большой шанс проявить себя полностью. Удачи.

Автор: :-)
Очень благодарен за исчерпывающий ответ.