привет от гкрч - Форум по вопросам информационной безопасности

Во-первых, я не барышня. Анна - не имя, а название организации. Во-вторых, я предлагаю только то, что реально E;T работает. Не имею привычки советовать то, в чем не уверен. В-третьих, "Не пущу", как Вы выражаетесь, любой владелец объекта, который по изв. причине необходимо располагать в пределах контролируемой зоны, не то чтобы может, но даже обязан сказать всем, кроме представителей соответствующих федеральных служб, имеющих право беспрепятственного доступа на объекты с оответствующим статусом и к информации соответствующей степени закрытости. Просто делать это надо умно, корректно и обоснованно. В сложившеся ситуации это вынужденный выбор, по крайней мере, до тех пор, пока 2 уважаемые Федеральные службы не договорятся.

> Во-первых, я не барышня. Анна - не имя, а название организации.

Простите, это мне в голову не пришло :)

> Не имею привычки советовать то, в чем не уверен.

Имеете :)

> любой владелец объекта, который по изв. причине необходимо располагать в пределах контролируемой зоны, не то чтобы может, но даже обязан сказать всем, кроме представителей соответствующих федеральных служб, имеющих право беспрепятственного доступа на объекты с оответствующим статусом

Государственные инспекторы по надзору за связью и информатизацией таким правом обладают - в части, необходимой для выполнения обязанностей, предусмотренных пунктами к) и л), xfcnb 4 постановления Правительства №110 от 2005 г. и соответствующим административным регламентом. Поэтому отказ в в допуске государственного инспектора для проведения исследований и является тем правонарушением, которое квалифицируется как "невыполнение законных требований представителя органа государственной власти" и "самоуправство" :) Вы можете не допустить их умно и корректно, но не сможете сделать это обоснованно.

Я понимаю, что вы привыкли лдействовать по понятиям. Но кроме понятий существуют и законы. Вы можете нарушать их сами - это вашил личные проблемы, но не стоит советовать делать это другим.

Мне кажется, чтобы попасть на такой объект нужно будет получить предписание у заказчика работы, в интересах которой проводится обработка. А это обычно соответствующее заказывающее управление МО. А если настаивать напролом на посещение, то это можно расценивать как "необоснованное стремление к ознакомлению с определёнными секретами". А вот здесь уже поле деятельности "Старшего брата", это его хлеб, галочки, ордена и т.п. К тому же, если даже инспектор прорвётся на объект имея вторую форму допуска и получив необходимое разрешение, ему можно будет в благодарность в справочку поставит отметочку о фактическом ознакомлении, и прощай отдых в манящей загранице.

"Мне кажется, чтобы попасть на такой объект нужно будет получить предписание у заказчика работы, в интересах которой проводится обработка."

Давайте на конкретном примере, хорошо?
Вот воображаемый объект:

http://maps.google.ru/maps?f=q&source=s_q&hl=ru&geocode=&q=%D0%BB%D0%B5%D0%BD%D0%B8%D0%BD%D1%81%D0%BA%D0%B8%D0%B9+%D0%BF%D1%80%D0%BE%D1%81%D0%BF%D0%B5%D0%BA%D1%82+51&sll=55.712788,37.590859&sspn=0.008873,0.027316&ie=UTF8&hq=&hnear=%D0%90%D0%9E+%D0%AE%D0%B3%D0%BE-%D0%97%D0%B0%D0%BF%D0%B0%D0%B4%D0%BD%D1%8B%D0%B9,+%D0%B3%D0%BE%D1%80%D0%BE%D0%B4+%D0%9C%D0%BE%D1%81%D0%BA%D0%B2%D0%B0,+%D0%9B%D0%B5%D0%BD%D0%B8%D0%BD%D1%81%D0%BA%D0%B8%D0%B9+%D0%BF%D1%80%D0%BE%D1%81%D0%BF.,+51&z=16 по адресу г. Москва, Ленинский проспект 51. Контролируемая зона ограничена прямоугольником, стороныкоторого которого образованы ул. Ляпунова, Ленинским проспектом, и забором между комплексами строений 51 и 53. Представили?

Как и в любом институте РАН, там наверняка есть первый отдел и несколько аттестованных помещений внутри одного из зданий, в которых работают с гостайной. Остальные помещения не категорированы, большая их часть сдается в аренду коммерческим компаниям. Единственная точка, в которой вы можете принять решение о пропуске или непропуске посетителя - проходная в строении 4.

Скажите пожалуйста:
а) Как и на каком основании вы собираетесь помешать государственному инспектору пройти через проходную на территорию, куда свободно допускаются арендаторы и их посетители?
б) Какое предписание и у кого должен получить государственный инспектор, прибывший к арендатору в некатегорированное помимещение?

Это - типичная ситуация, которая характерана для большинства бывших НИИ, и не нужно рассказывать про то, что все они - режимные территории с особыми правилами допуска посетителей.

На любом режимном объекте есть несколько уровней и точек доступа (принцип "зоны в зоне"). Имея доступ в один корпус, этаж или помещение вы не имеете анологичного в другой. Доступ на конкретный объект информатизации с обработкой секретной информации можно рассматривать как доступ к определённой информации (в т.ч. применяемые меры м и средства защиты конкретного объекта могут быыть онтесены к ГТ в соответствии с "Перечнями..."). Дальше читайте федеральный закон "О государственной тайне", там определено, кто даёт добро на доступ. А государственный инспектор должен появиться в бюро пропусков интересующего его предприятия, где находится защищаемый объект вычислительной техники со справкой о форме допуска к соответствующей степени секретности и предписанием на проверку созданной системы защиты секретной информации объекта информатизации в части применяемого САЗ.

Сторонний, я привел вам конкретный пример. Попробуйте ответить не менее конкретно без попыток развесить лапшу на ушах собеседника.

Доступ на территорию и в помещения арендаторов осуществляется БЕЗ ограничений по предварительной заявке арендатора, причем это соответствует утвержденным руководством организации и согласованными с ФСБ локальными нормативными актами. По поставленной в начале топика задаче "шумелка" забивает работу радиоэлектронных устройств в помещении арендатора.

Повторяю вопрос: как и на каком основании вы воспрепятствуете проходу государственного инспектора в помещения арендатора, если согласно договолру аренды и нормативным документам арендодателя арендатор имеет право принимать в этих помещениях любых посетителей?

Только, пожалуйста, без демагогии.

Если без демагогии, то ситуацию нельзя описать в сети, нужно смотреть на объекте, отдельные регламентирующие документы по которому должны иметь соответствующий гриф. Если объект информатизации связан с автоматизированной обработкой секретной информации, то он автоматом относится к режимным, порядок доступа на которые регламентирован Инструкцией 3-1. Если Вы работаете с гостайной, то должны знать. Проверка используемого САЗ относится к проверке состояния (применяемых средств) созданной системы защиты секретной информации.
Видимо данная ситуация на стыке законодательных актов, нельзя выполнить действие, предписанное одним актом, не нарушив положения другого. В принципе за каждым объектом (предприятием) закреплён куратор со своей "Лубянки", пусть он и трактует возможность доступа под свою ответственность, ему за это зарплата идёт и звёздочки падают.

Это называется "без демагогии"? :)

Я вам привел пример реального объекта. Доступ организован именно так, как я написал. Такой порядок доступа согласован с ФСБ. Законных оснований не пустить кого-бы то ни было на территорию у арендодателя нет. Да, он нвправе не пустить инспектора в режимные помещения. Но, поскольку замеряется шум в помещениях арендатора, в режимные помещения никто и не рвется.

Это я к чему. Когда кто-то пишет: "А я вот сейчас инспектора на порог не пущу, ибо пошел он на фиг", он должен четко осознавать моральную ответственность за свои слова. Форум читают и неспециалисты, кто-то ведь может и последовать дурацкому совету. И если уж вам указывают на возможные риски такого поступка, либо признайте их и дайте читателям самим подумать, стоит ли следовать совету, либо приводите железные аргументы, доказывающие, что это решение абсолютно безопасно.

Ув. malotavr, не стОит так нервничать. Совет м/б и "дурацкий". Но в дурацкой ситуации остается только и действовать по-дурацки. Скажу Вам честно, уж не раз инспектора эти уходили ни с чем, т.к. нормальный (подчеркиваю НОРМАЛЬНЫЙ) куратор никогда не предпримет действий, которые пойдут во вред защите информации или людям, которые занимаются ею. Для него Закон о защите ГТ всегда выше всяких там решений какого-то там ГКРЧ. Тем более, что скорее всего истинная цель ТАКИХ визитов ТАКИХ инспекторов состоит не обеспечении ЭМС, а в совершенно ином... А без куратора его никто не станет допускать не на территорию вообще, а в КЗ, внутри которой находится объект. Кроме того, на каком основании не допустят инспектора на аттестованный объект информатизации - на основании Закона о ГТ и др. подзаконных актов. Согласитесь, что в этом смысле решение ГКРЧ и даже постановление Правительства, на которое Вы ссылаетесь просто отдыхает. А инспектор нервно курит в стороне. ;-)))

Кстати, если Вы внимательно читали совместное решение ФСТЭК и ГКРЧ, то там прописаны ограничения на уровни ЭМПШ как раз на границе объекта, а не в месте установки генератора ЭМПШ. Вот пусть и занимается Ваш инспектор исследованиями вне границ КЗ. А эти исследования в большинстве случаев ничего практически не доказывают и не опровергают.
ЗЫ. Кстати, заметьте, я ведь не призываю нарушать законы. Просто в условиях, когда один нормативный акт прямо противоречит другому, инстинкт самосохранения подсказывает из 2-х зол выбирать меньшее. Все-таки проблемы с Законом о защите ГТ куда серьезнее, чем проблемы с нормативами служб надзора в сфере связи.