Аттестация фрагмента ГИС при прказу ФСТЭК №17 - Форум по вопросам информационной безопасности

Спасибо!

С точки зрения русского языка "могут" и должны" - разные вещи.
Иначе бы в приказе не сделали бы этой оговорки.

В п. 2 ясно написано, что в документа устанавливаются требования по защите информации ограниченного доступа.
Аттестация ИС, обрабатывающих общедоступную информацию, обязательной не является: требования по ее защите не входят в компетенцию ФСТЭК.

Татьяна, ознакомьтесь с Приказом ФСБ РФ N 416, ФСТЭК РФ N 489 от 31.08.2010
"Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования"

WORM, MK | 63937
Если данная система ГИС, то не важно есть там конфи или нету, аттестация обязательна. Требования приказа направлены не только на сохранение конфиденциальности, но и целостность и доступность информации.

to Евгений
Ключевое слово "ограниченного доступа", что явно не равно "общего доступа". Так что тов. WORM полностью прав. Целостность и доступность информации в базах, к примеру, веб-сайта какой-либо гос.организации можно (и нужно, ага) обеспечивать. Только совсем не обязательно при этом руководствоваться требованиями 17 Приказа и, соответственно, проводить его (веб-сайта) аттестацию. Кроме случая, когда этот "общедоступный" веб-сайт не является частью ИС, в недрах которой также циркулирует ИОД. Впрочем, это отдельная песня...

Добрый день.

Для сегмента ГИС, подключаемого клиента, надо разрабатывать ОРД? Или они будут такими же как и для предварительно аттестованного сегмента?
К ГИС будут подключаться клиенты для передачи и использовании данных

Забыл добавить. Клиенты будут из других организаций, а не из ОГВ

Приветствую!
Тут все зависит от того, как реализована защита в части орг.мер. Сиречь, читать надо тех.проект и проч. документацию для центральной ГИС.
Как правило, минимальный комплект ОРД (тех.паспорт, инструкции, приказы, положения, возможно и матрица доступа) применяется и к клиентам некоей ГИС. Ибо в любом случае необходимо распределять ответственность Центра и ответственность Клиента. А вот Модель угроз, Тех.проект, Описание тех.процесса и системы защиты - это обычно только для Центра и "типовых сегментов". Т.е. у каждого клиента не присутствует.

Toe
А как вы собрались контролировать соответствие арм другой компании вашим требованиям?

На мой взгляд тут больше юридическая плоскость.

Может быть лучше сделать так.
В документации ГИС прописать, что могут подключаться клиенты имеющие аттестат соответствия тому-то и тому то. В договоре с компаниями также это все прописать. А дальше это головная боль компании, как аттестовать свои армы. Вы же не разрешаете доступ пока вам не покажут бумажку.

to Dfg
Дык, зачем именно аттестат? Центр устанавливает набор требований к клиентам для подключения к его (Центра) ресурсам. Требования выполняются - подключение разрешается. А выставлены они в форме обязательной аттестации или в форме приложения к договору - это другой вопрос. Согласен, чисто юридический. Но обязательную аттестацию возможно требовать только с гос.ИС. Ежели Клиент - не гос.учреждение - на тот же 17 Приказ сослаться не выйдет. И тут опять-таки чисто юридическая проблема, которую возможно обойти за счет грамотно составленного договорного соглашения...