Оценка эффеквтиности средств защиты информации в ЗП и АС (конфиденциальная информация) - Форум по вопросам информационной безопасности

Доброго времени суток, коллеги!
Может у кого-нибудь уже есть подобный опыт, поделитесь, пожалуйста.
При аттестации Защищаемого Помещения и Автоматизированной Системы по СТР-К столкнулись с тем, что во Временных Методиках нет метода оценки эффективности средств активной защиты информации.
Как вы выходили из этой ситуации?
Заранее спасибо за ответы!

Для staradm | 51169:
Добрый вечер.
Увы, не Вы первые :)
И, к сожалению, корректного выхода из этой ситуации нет. Нет в принципе.
Был период, когда был достаточно распространён вариант с оценкой ОИ минимальной категории по критериям и нормам для ГТ. Но регулятор последние пару лет считает это недопустимым и квалифицирует как нарушение.
Высказывались и другие подходы, но все они так или иначе в действующие временные методики не укладываются. Посему единственным вариантом является, на сегодняшний день, обеспечение защищённости ЗП и АС без применения активных средств защиты.
Чак

Тема заезжена.
Посмотрите по форуму очень часто и много обсуждалась.

По высказыванию Chechaco, MASCOM | 51172 - "Посему единственным вариантом является, на сегодняшний день, обеспечение защищённости ЗП и АС без применения активных средств защиты."
В СТР-К "черным по белому" сказано (4.2.13) Если при проведении технического контроля обнаружено, что меры защиты... недостаточны..., торекомендуется применять метод активного маскирующего зашумления. Для этой цели должны применяться сертифицированные средства активной защиты.

Т.е. если требования не выполняются, то ставите сертифицированные СЗИ без оценки эффективности, т.к. методик оценки под конфу нет, а методиками под ГТ пользоваться запрещают. Формально вы выполните требование СТР-К по применению САЗ.

Опять за рыбу деньги и снова здорова (уже по-моему раз десятый одно и то же!)
Белое пятно НМД ФСТЭК !
Почитайте на что сертифицированы большинство САЗ АВАК!
И как выполните тогда п. 3.19, 3.20 СТР-К я уж про "необязательный " ГОСТ по аттестации КИ молчу.

И где хоть в одном документе написано что "Т.е. если требования не выполняются, то ставите сертифицированные СЗИ без оценки эффективности"!?
ППР 912-51 п. 47 ... "эффективности принятых мер защиты..."!

"Формально вы выполните требование СТР-К по применению САЗ"
Ничего не выполнили даже формально! Защищенность то может и не обеспечиваться и съем информации возможен. Просто налепить вибродатчики от балды как минимум не профессионально.

Это вы про ЗП попытались... а про САЗ ПЭМИН ?

Для sekira | 51197
А в чём противоречие п. 3.19, 3.20 СТР-К? Опытная эксплуатация и ввод в действие. Делаете акт установки, проверяете работоспособность в соответствии с инструкцией на СЗИ. Если регулятор не определил порядок (необходимость) инструментальной оценки эффективности, то ему видней. Возможно он исходил из государственных интересов экономии средств, кто знает. Не может же государственный регулятор быть "балваном", не определил - значит не требуется.
Кстати, оценка эфективности не обязательна должна быть количественная - соотношение сигнал/шум и т.п., она может быть и качественная - "слышу-не слышу тест-сигнал" (иногда разборчивость речи определяют эксперты-слухачи), "вижу - не вижу тест-сигнал" и т.п. Если не определено как, то и ...

"Не может же государственный регулятор быть "балваном", не определил - значит не требуется.
оценка эфективности не обязательна должна быть количественная - соотношение сигнал/шум и т.п., она может быть и качественная - "слышу-не слышу тест-сигнал"

Я думаю на этом тему можно закончить :)) Обсуждения все равно безсмысленное.

Добрый день коллеги! Задам вопрос в эту тему. Какими документами руководствуетесь при аттестации АС по конфи? Есть методики? Или СТР-К и в творческий путь?

Конфи понятие растяжимое! Какое конфи? А так не в тему вопрос вообще. Есть же темы аттестация объектов и подобные пишите там!