Комплект документов для аттестации ИСПДн - Форум по вопросам информационной безопасности

to Свояк:
Так, давайте разберемся что нужно аттестовывать: АС или ИСПДн.
Если АС - то обращайтесь к сторонней организации имеющей лицензию на ТЗКИ(можете самостоятельно разработать комплект документации, приобрести СЗИ от НСД, настроить), а специалисты лицензиата сделают все остальное: проведут испытания на ПЭМИН, НСД, выдадут предписание, заключение, аттестат.
Обязательная аттестация ИСПДн в связи с отменой двух документов ФСТЭК (Рекомендации и осн. мероприятия) пока нигде не регламентирована. Хотя вопрос спорный, если взять и почитать СТР-К. В общем дело мутное, но ребята аттестуют вам что угодно за Ваши деньги))

to Пацак.

Так в этом то и прикол, что в основных организационно-технических мероприятиях в пункте 3.11 указано что ИСПДн 1 и 2 классов подлежат обязательной аттестации. А эти товарищи предлагаю АС аттестовать, грубо говоря получается подмена понятий))) Ведь АС аттестовывать нет требования, а ИСПДн есть. Я не прав?

2 Свояк
Вы не правы, требования к аттестации АС - СТР-К (+ РД, который устанавливают требования к защищенности от НСД, + Сборник временных методик для оценки уровня ПЭМИ), к ИСПДн - приказ 58 "Положение о методах и способах ЗИ в ИСПДн".
К тому же "Основные организационно-технические мероприятия" отменены приказом ФСТЭК № 58, вступившим в силу с 15 марта, так что требования к обязательной аттестации не предъявляются. Однако если Ваша компания государственная, то необходимость аттестации ИСПДн обязательна как прописано в СТР-К, а если коммерсанты - то как хотите так и выкручивайтесь (если не боитесь проверок РОСКОМНАДЗОРА, то ничего не делайте, но аттестация "желательна")
Просто в регионах мало кто знает как аттестовывать ИСПДн, поэтому выкручиваются как могут, кто ИСПДн аттестует как АС по конфе, добавляя несколько документов («Модель угроз/нарушителя», Положение об обработке ПДн, ), в общем кто как может, лишь бы денег срубить))
Лучше обращайтесь к профессионалам))

Да, сторонний наблюдатель может заматериться, прочитав мой ответ, но поправлюсь: аттестация АС - это частный случай аттестации ИСПДн, при условии что ПДн обрабатываются на одной автономной ПЭВМ.
Просто ИСПДн аттестуют, исходя из "Модели угроз", которая в каждом конкретном случае разная (может не применяться средства анализа защищенности, защиты от ПЭМИ, межсетевого экранирования - но это если обоснуете в Модели угроз), а аттестация АС - дело накатанное - купили средсво, настроили под определенный класс, измерили ПЭМИ и "вуаля"))

2 Пацак

Спасибо за развёртнутый ответ. В связи с тем что мы коммерческая организация аттестовываться не будем. Оттедаемся внутриннеми приказами методиками и прочим

to Пацак
"дело накатанное - купили средсво, настроили под определенный класс, измерили ПЭМИ и "вуаля")) " - а как же исследования на защиту от НСД?

to Александр
Само собой разумеется))

А в обязательном порядке нужнытакие доки как:
- Положение о порядке уничтожения и хранения носителей информации ограниченного доступа
Журнал учета обращений субъектов персональных данных
Положение об обработке Пдн
Инструкция по организации доступа в сеть Интернет.....
Список сотрудников допущенных к проведению системно-технического обслуживания средств вычислетельной техники объекта информатизации ИСПДн
Инструкция по установке и техническому обслуживанию программного обеспечения и аппаратных средств АС ИСПДн
Описание технологического процесса
Заранее спасибо

Это был вопрос

Если не секрет, то откуда взялся такой список? Это список открытый или закрытый, т.е. Вы нам его написали весь или ещё есть документы? И последний вопрос: в обязательном порядке кому именно нужны эти доки?