Годовой контроль - Форум по вопросам информационной безопасности

Подскажите пожалуйста!
Годовой контроль объектов информатизации должен осуществляться на договорной основе с органом, который проводил аттестацию ОИ, либо же орган по аттестации должен бесплатно провести годовой контроль ОИ?
Где это написано? Т.е. проще говоря организация, проводившая аттестацию ОИ, хочет по отделному договору провести годовой контроль ОИ. Но найти где бы это было написано не могу? Да в "Положении по атестации" сказано, что все расходы связанные с проведение всех видов работ и услуг по аттестации оплачиваются заявителями. А вот про годовой контроль не чего нет?

Вам был задан вопрос от valeracru.
Ответ на вопрос интересует многие предприятия, в том числе и нас.
Если в законодательстве и руководящих документах не указано, что обязано за годовой контроль платить предприятие аттестованного объекта информатизации - это значит незаконно и очередное взимание денег с предприятия любым путем. Мы заплатили за аттестацию, теперь нужно платить за год, а может завтра скажут платить за месяц? Убедительно просим ответить.

А за техосмотр автомобиля Вы платите?
ГИБДД решает раз в год или раз в два года или раз в три года.Вы же не спорите.
Провели работу по аттестации - заплати.
Провели работу по контролю - работа сделана - кто платить должен? Естественно заказчик работ.

Товарищи защитники информации, читайте:
1. «Букварь» - п.1.17.; п.3.23.; п.5.2.3.; Приложение 1 п.8; Приложение 6 п.1.4; п.3.9;
2. «РД. Концепция защиты СВТ и АС от НСД к информации» - п. 3.7.
3. «РД. Временное положение по организации разработки, изготовления и эксплуатации программных и технических СЗИ от НСД в АС и СВТ» - п. 7.10.; п. 10.1-10.3

"что обязано за годовой контроль платить предприятие аттестованного объекта информатизации - это значит незаконно и очередное взимание денег с предприятия любым путем"

Не путайте контроль с гос.надзором!

Вы можете выбрать любую организацию для проведения контроля. А как и любая работа она должна оплачиватся тем для кого она выполняется.

Ну или делайте контроль сами если есть оборудование и специалисты. Многие предприятия так и поступают при наличии большого количества объектов.

Аттестация - это процесс проверки и подтверждения заявленного уровня защищённости ОИ. Аттестация проводится организацией аккредитованной в качестве органа по аттестации. Периодический инструментальный контроль может проводится любой организацией, имеющей лицензию на ТЗИ по соответствующему направлению, в т.ч. может проводить и орган по аттестации, который проводил аттестацию, но не обязан (если он не включил в договор на проведение аттестации услуги по сопровождению в части периодического контроля). В Аттестате должны быть две фразы. Первая, что владелец объекта обязан не реже раза в год проводить периодический котроль эффективности применяемых СЗИ. А вторая фраза - Аттестат утрачивает своё действие в случае не выполнения требований пунктов таких-то, в т.ч. и в части периодического контроля.
Периодичность к тому же может быть разной, в основном 1 год, но например на объектах Центробанка - 1,5 года (согласовано со ФСТЭК). А если мы берёи СЗИ НСД, то не реже двух раз в год (требования Типовой инструкции по обеспечению РС при обработке на СВТ, одобрена решением МВК осенью прошлого года. НО эту проверку (тестирование) в принципе должен делать администратор безопасности.
Периодический контроль в принципе СТРом прописан только для автоматизированных систем в части применяемых СЗИ, а это в основном САЗы и фильтры. Что касается ВП, то я не помню, где прописаны требования по периодической проверке СЗСИ для ВП.
К моменту проведения периодического контроля орган по аттестации может вообще лишться лицензии и аккредитации или поменять профиль деятельности или вообще прекратить свою деятельность как юридическое лицо. Поэтому, как правило, в договор на оказание услуг по аттестации не включают услуги по периодическому контролю со стороны органа по аттестации. Но встречаются иногда и другие подходы. Всё зависит от отношений между заявителем и органом.

Как правило, орган по аттестации проводивший аттестацию, проводит инспекционный контроль раз в год в рамках требований "Положения по аттестации" - бесплатно; Контрольные испытания, по согласованию с заказчиком, в рамках инспекционного контроля раз в год по п.3.23 "библии" с применением оборудования за плату.

"орган по аттестации проводивший аттестацию, проводит инспекционный контроль раз в год в рамках требований "Положения по аттестации" - бесплатно".
Инспекционный контроль можно провести и без выезда на объект, зпросив данные о состоянии объекта. Нигде однозначно не определено, что орган по аттестации должен проводить инспекционный контроль с выездом на объект. Сейчас и у самих регуляторов есть вариант контроля лицензиатов путём сбора с них справок и информации, а есть вариант контроля (проверки) с выездом к лицензиату.
А вот периодический инструментальный контроль эффективности применяемых СЗИ без выезда никак не сделать, хотя бывают варианты "за счёт высокого уровня мастерства".

Платно или бесплатно проверки, это нужно прописать еще в договоре перед аттестацией.
Я хочу сказать про затронутую этическую сторону дела, если проверку проводит другая организация, имеющая лицензию: может быть заказчик не полностью доверяет (интересуют его не только бабло, но и собственная информация) и хочет, чтобы проверку сделало третье лицо. А для Вас, исполнителей аттестации - дело чести показать, как Вы круто защищаетесь. А если в деньгах дело, то значит объяснить сразу заказчику, что если проверку будет заказывать на стороне, то за переаттестацию Вы не возьметесь больше.

Сразу видно, кто отвечал на вопросы - аттестующие работники заинтересованные в платном годовом контроле и наверное "автомобилисты". Кстати, даже техосмотр проводится ГИБДД по утвержденному графику в зависимости от марки ТС и его возраста (3, 2, 1...). И не путайте жизнь и здоровье людей с формальностью аттестации ОИ. Ссылки на пункты "Букваря" и т.д. - не убедительно. Конкретно там не прописано, а разночтения - да, каждый в свою сторону. Понятия надзор, инспекционный контроль, годовой контроль-разберитесь сначала с этим сами, а потом требуйте.