Аттестация АС (НЕ ГТ) - Форум по вопросам информационной безопасности

Здравствуйте!
Есть удостоверяющий центр: Аттестована одна АС, состоящая из сервера и АРМ, находящихся в одной ЛВС.
Открывается удаленный офис, где необходимо организовать выпуск ЭП (одно АРМ).
Будет переоформляться лицензия ФСБ, в которой будет добавлен адрес нового удаленного офиса.
Вопросы:
Как лучше поступить (правильнее, удобнее, дешевле, практичнее и т. д.):
1) аттестовать отдельно АС, состоящую из одного АРМ, в удаленном офисе ИЛИ добавить АРМ в уже существующую АС(сервер и АРМ в одной ЛВС) в центральном офисе чтобы получилась распределенная сеть?
2) Купить ПЭВМ в защищенном исполнении, предназначенное для обработки информации ограниченного доступа, не содержащей сведений, составляющих государственную тайну (нашел только ПЭВМ «Flagman-ZK», есть еще такие, чтоб не под ГТ?) ИЛИ купить обычный ПЭВМ навешать на него СЗИ с ГШ ?
Если купить ПЭВМ в защищенном исполнении, предназначенное для обработки информации ограниченного доступа, не содержащей сведений, составляющих государственную тайну, то чем будет отличаться процедура аттестации АС? Нужно ли будет проводить спец. исследования?
Благодарю за внимание!

Какая информация конфиденциальна? И откуда требования к аттестации АС?
В модели угроз ПЭМИН актуальная угроза?

для sekira:
Подскажите, пожалуйста, на каком основании (как обосновывается) делается вывод о неактуальности ПЭМИН?

"на каком основании (как обосновывается)"
В НМД написано специалистами с помощью "вербального" метода ! :)))

А так не вербальный нужно рассмотреть какие режимы какие СВТ какая информация в АС порядок обработки, расстояния до КЗ (По КИ в средем зона 2 2-10 м), ценность информации и возможные затраты супостата на снятие того или иного режима по тем или иным слабым местам.
Вообщем совсем не просто навести конкретику без анализа обстановки на объекте и технологического процесса.

Ну и ИМХО исходя из "вербального" метода никто не отменял, решите что неактуальна (если нет требования явных каких либо) так решите механизма наказать вас за обратное нет.

Что-то я уже совсем запутался!
Давайте по порядку.
Есть функционирующий УЦ (коммерческая организация), расположенный в центральном офисе (ЦО). Открывается удаленный офис (УО), где необходимо организовать выпуск ЭП. В лицензии ФСБ указан адрес осущ. деятельности - адрес ЦО. Я так понимаю туда нужно добавить адрес УО, верно?
Для переоформления лицензии необходимо воспользоваться ПП № 313. Там я не нашел указаний ни на какие аттестованные ЗП и АС, есть какое-то указание в иных НМД? Никакая аттестация не нужна?
А какое значение имеет какая инфа конфиденциальна? Только ПДн там я так полагаю.
Если МУ уберу ПЭМИН специсследования не нужно проводить при аттестации АС?

Там я не нашел указаний ни на какие аттестованные ЗП и АС, есть какое-то указание в иных НМД?

4. в) наличие у соискателя лицензии (лицензиата) условий для соблюдения конфиденциальности информации, необходимых для выполнения работ и оказания услуг, составляющих лицензируемую деятельность, в соответствии с требованиями о соблюдении конфиденциальности информации, установленными Федеральным законом "Об информации, информационных технологиях и о защите информации";
Ну это кто как трактует! Напрямую нет. Органы не заморачиваются и просто требуют аттестат (иногда даже на ЗП!).

Кроме того к УЦ есть специальные требования.

"А какое значение имеет какая инфа конфиденциальна?"
От этого зависят требования к защите!

"Если МУ уберу ПЭМИН специсследования не нужно проводить при аттестации АС?"
Если угроза ПЭМИН будет неактуальна - да.

А вообще тема старая заезженная. Очередное белое "пятно НМД"
Можно ее озаглавить" как лицензиат ФСБ КИ и аттестация ОИ как требования при получении лицензий".

Кстати смена ФСБ на ФСТЭК проблемы не снимает.

Для AES,
Если у вас организация не государственная, то проведение работ по ЗИ (не ПДн) регулируется СТР-К. А аттестовать или нет вашу АС - это только рекомендательная мера (повторяю, для негосударственных организаций).
Специсследования вообще-то проводятся до аттестации, но по конфиденциалке их проводить вообще не нужно.

"Если у вас организация не государственная, то проведение работ по ЗИ (не ПДн) регулируется СТР-К"
В СТР-К какраз написано обратное!! Я уж молчу об его юридическом статусе. Захотять регулироваться СТР-К напишут и будут не захотят не будут.

"А аттестовать или нет вашу АС - это только рекомендательная мера "
При лицензировании к сожалению нет! Требуют аттестаты-хотя и не всегда правомочно. Для КИ возможно даже если не государственная организация требования навязывается Заказчиком (в лице государства) требования по аттестации!

"Специсследования вообще-то проводятся до аттестации"
А где это написано? Хочу до (при обследовании) хочу во время (при аттестации) хочу после (при возможном контроле)!

"но по конфиденциалке их проводить вообще не нужно"
То же интересно откуда такое требование? В НМД хочу провожу хочу нет. По требованиям некоторых ведомств для определенной "конфиденциалки" провожу всегда! Да и ППр 912-51 пока никто не отменял!

Еще раз повторюсь для УЦ есть свои требования!

Sekire,
для негосударственных организаций СТР-К является рекомендательным документом, в т.ч. в части аттестации. Но других-то документов для них (кроме 21 приказа по ПДн) просто нет!
По поводу проведения специсследований в том же СТР-К нет ни слова, и необходимость их проведения, неважно на каком этапе, определяется актуальностью канала ПЭМИН в МУ, т.е. на усмотрение заказчика