ФСТЭК, лицензирования ТЗКИ, средства разработки ПО - Форум по вопросам информационной безопасности

Для конф.АС коммерческих структур - РД НСД и СТР-К. Никаких 17 и иных приказов. Не для тех контор он делался. Ждем новую версию СТР-К, которая разрабатывается с учетом практики 17 приказа, это да...
Пункт про запрет средств разработки ПО, если мне память не изменяет, идет из нового ГОСТ по аттестации.
По РД НСД требование "целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации" не применимо к ИОД=коду самой программы. Иными словами, назначение того же "отладчика" не в период вообще работы с любой ИОД в АС, а только в случае конкретного применения к конкретной задаче АС. Описать это надо было правильнее в аттестационке/распорядиловке - и никаких проблем бы не было...
Единственное... решать на одном АРМ задачи по программированию, набору/печати КТ-документов + переписке с удаленными товарищами через электронные мессенджеры - это моветон. Слишком много каналов утечки и противоречий базе, разработанной еще в прошлом веке. Вывод: отдельный АРМ для разработки + отдельный АРМ для КТ-делопроизводства; оба аттестованы под тот же 1Г. Лучше даже сеть с выделенным сервером-хранилищем (тех же исходников, разработанных на АРМ №1 и переданных на оформление в рабочую документацию на АРМ №2)...

*в сторону* что ж там за контора, желающая на одной тачке и ПО СЗИ варганить, и документы оформлять, и переписываться с другими структурами? И что ж они за ПО наваяют в итоге-то?

"Описать это надо было правильнее в аттестационке/распорядиловке - и никаких проблем бы не было..."
Все расписано. В описании техпроцесса. В техпаспорте не расписать форма не позволяет. В аттестате тем более.
Заключение не отсылают. Инструкции не отсылают.

"целостность программной среды обеспечивается отсутствием в АС средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации"
Нет такой фразы для 1Г!!! только для 2Б и 3Б.

"идет из нового ГОСТ по аттестации."
Только как пункт в рекомендуемой форме программы - но это же не требования к АС это просто форма (пример) к необязательному ГОСТу!

"с удаленными товарищами через электронные мессенджеры"
Этого нет просто распечатка переписка техзадания схемы и т.д.

Дак я не понял ФСТЭК ошибся или нет? Или мол сами виноваты что ФСТЭК ошибся?
И про 17 приказ и лицензирование я так конкретики и не услышал...мол регулятор хочет но не может.

Аттестация объекта под лицензию по 17 приказу? Нонсенс! А мужики-то в ЦФО не знали!
В ПП-79 черным по белому написано "АС", РД АС и СТР-К никто не отменял.
Касаемо сабжа - 1Г + в аттестате дополнительная фраза про порядок применения средств разработки.
"В техпаспорте не расписать форма не позволяет. В аттестате тем более."
Почему же? Если следовать открытому положению-1994 в форме аттестата в п.5 распишите "ограничения, которые могут повлиять на эффективность мер и средств защиты информации" (с)
p.s. Сдается мне, что при рассмотрении заявки решающую роль сыграл человеческий фактор...

to 12
+1 к "человеческому фактору"... который явно не понял, зачем тут "средства разработки и отладки ПО"... которые не надо, ибо сам "фактор" вышел из ЗГТ... а про конфу и ее лицензирование ни сном ни духом... но работа такая, перевели, вот и приходится... поэтому "хрен вам, а не разрешение" :)

to sekira
Пусть бы фразы про средства разработки/отладки для 1Г нет, но я немного о другом говорил.
Про лицензирование... 17 Приказ, собственно, "о защите информации ... в государственных информационных системах". Куда уж конкретнее? Попытки притянуть его к КТ, imho, от лукавого...
ГОСТ по аттестации необязательный, серьезно? Даже не так. ФСТЭК его считает необязательным, ага? Отсюда и весь геморрой.
*в сторону* недавно со ссылкой на этот ГОСТ указывали обязаловку использования механизмов ЗПС в ГТ. С учетом того, что в ГОСТ об этом крайне расплывчато написано. Вот и делаем выводы, ага...

ЗЫ А вообще, чувствую я, в сложившейся ситуации по теме топика никто явно не ошибся. Вестимо, организация-владелец АС недостаточно внятно указала задачи системы (и необходимость одновременной и разработки ПО, и делопроизводства на одном и том же АРМ), а во ФСТЭК недостаточно ясно это все увидели/прочли. Вот и получилось то, что получилось...

> Про 17 приказ не услышал почему коммерческая организация должна на АС выполнять требования для ГИС

Потому же, почему вы собирались выполнять СТР-К. Просто этот документ заменен другим.

> Аттестация объекта под лицензию по 17 приказу? Нонсенс! А мужики-то в ЦФО не знали!

Фамилии "мужиков из ЦФО" будьте любезны. Через три недели очередной "слет", первому управлению будет очень интересно, кто в управлении по ЦФО нормативку не читает.

> В ПП-79 черным по белому написано "АС", РД АС и СТР-К никто не отменял.

Понятно, информационное сообщение ФСТЭК об эквивалентности понятий "информационная система" и "автоматизированная система" не читали. Вопросов больше не имею.

> И про 17 приказ и лицензирование я так конкретики и не услышал...мол регулятор хочет но не может.

Конкретика была в информационном сообщении ФСТЭК. Там, где вы руководствовались СТР-К (не важно по каким причинам, даже если вам самим захотелось), в том, что не касается ПЭМИН, следует руководствоваться приказом 17. Сообщение здесь не раз обсуждалось, не найдете реквизиты - сам завтора поищу, сейчас лень.

"Конкретика была в информационном сообщении ФСТЭК."
Если можно ссылочку на конкретику.

" Попытки притянуть его к КТ"

Приказ № 17
I. Общие положения
6. По решению обладателя информации (заказчика) или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах.

Поэтому если хочется то можно. Но это не требуется потому что требований к АС соискателя ФСТЭК своими документами не предъявлял.

"ГОСТ по аттестации необязательный, серьезно? Даже не так. ФСТЭК его считает необязательным, ага? Отсюда и весь геморрой."
Про обязательность.
Где ФСТЭК документально для АС соискателя сделал его обязательным.
Где он его документально сделал обязательным для аттестации лицензиатом АС КТ соискателя.
И вообще почему лицензиат ОБЯЗАН исполнять при проведении работ по аттестации данные два ГОСТа?
И почему вдруг ГОСТы по порядку аттестации и по написанию Программы и методики стали требованием к системе защиты АС обрабатывающей КИ.
Хотение есть у ФСТЭК дак оформите свое хотение документально.
Про геморой...
Почему ошибка ФСТЭК должна прогнозироватся тем кто аттестует объект. Программа согласована требования 1Г+СТР-К. Аттестат выдан под требования требования выполняются для 1Г и СТР-К, а люди не получают лицензию потому что фактически объект якобы не соответствует каким то требованиям (каким не скажем в акте только ссылка на п79). Вот у меня и вопрос был ответа так и не дождался - система соответствует требованиям или нет и как ФСТЭК вынес такое решение не имея на руках аттестационных материалов - ушел по их правилам только аттестат. Вся исчерпывающая конкретика в описании техпроцесса.

to sekira
ГОСТы определяют многое. В частности, форму Аттестата соответствия, правила оформления Программы и методик и т.д. Вспомните "Типовую инструкцию", из которой выплывает форма матрицы доступа, которую зачастую регулятор считает единственной возможной. Хотя она типовая. Короче, ответ кроется не в документальном оформлении "обязательности", а в фактическом ее признании, ибо альтернатив документальных нет. С чем приходится мириться...
Про фразу в 17 Приказе - ага, возможно и для КТ-АС. Но в данном случае от лукавого, поскольку существует другой перечень документов для КТ-АС, никем не отмененный. Отменят - будем юзать 17 Приказ. А до тех пор поступаем по-старинке и будем правы.
Про соответствие системы требованиям... Уже написал, почему так могло произойти. А вы указали явно, что ФСТЭК только аттестатом руководствовался, не вникая в техпроцесс. Это траббла не столько экспертов, выносящих решение по лицензированию, сколько формы подачи. Стоит, пожалуй, письмо им направить с разъяснениями. Или связаться с конечным исполнителем напрямую, чтобы все точки над i расставить. Аналогичная же ситуация с теми же экспертизами в ФСБ, где подчас приходит ответ по любом вопросу в стиле "не правильно, переделайте, а как правильно - мы не укажем"...

to malotavr
Инф. сообщение от 15.07.2013 № 240/22/2637, оно? Тогда п. 5:
"Издание приказа ФСТЭК России от 11 февраля 2013 г. N 17 не отменяет действие методических документов "Специальные требования и рекомендации по технической защите конфиденциальной информации" (далее - СТР-К) и "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования о защите информации" (далее - РД АС)."
и
"Кроме того, положения СТР-К и РД АС применяются по решению обладателя информации (заказчиков, операторов информационных систем) для защиты информации, содержащей сведения конфиденциального характера (Указ Президента Российской Федерации от 6 марта 1997 г. N 188 "Об утверждении перечня сведений конфиденциального характера"), обрабатываемой в информационных системах, которые в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" не отнесены к государственным информационным системам."
"Наш" случай, не так ли? :)