Различие в аттестации одной АС и двух АС в составе ЛВС - Форум по вопросам информационной безопасности

Для 7alex7:
По первому вопросу: всё зависит от лицензиата. Он может все измерения оформить одним "толстым" протоколом и запихать туда все результаты, а может и несколькими. Главное, чтобы Вам измерили все техканалы.
По второму вопросу: НСД не зависит сетевая АС или автономная - см. РД АС (он не разделяет АС-ки на сетевые и автономные). В НСД главное разграничение доступа есть/нет, если есть, то какое. От этого и будет зависеть применяемые инструментарий оценки требований.

Для :-)
Скажу честно, не доводилось мне еще разделять АС-ки межсетевыми экранами. Я близок к тому, что АС-ки скорее объединяют и тут же формулу вставлю:
АС+АС=АС
РД СВТ МЭ не позволяет делить, имхо.
МЭ это средство для построения АС, в которых объекты и субъекты доступа не могут одновременно усидеть на одном стуле или же не могут жить в рамках выделенной под их технологический процесс отдельной ЛВС.
В РД СВТ МЭ оперируют понятием АС сокращенно от "РАСПРЕДЕЛЕННАЯ автоматизированная система" (там так и написано, на стр.94 голубой книжки), на мой взгляд, подразумевается наличие территориально разнесенных автоматизированных рабочих мест или даже объектов и субъектов доступа, которые существуют в рамках системы разграничения доступа одной единственной (распределенной) АС. Объекты и субъекты доступа АС перечислены в пунктах СТР 7.2.2 и 7.2.3
Про разные «схемы аттестации» я не в курсе. Что за схемы?
Потребность в изменении состава объекта информатизации должна быть контролируемой. Нельзя тупо поменять монитор ОТСС, к примеру, да что тут говорить - пусть лучше молятся на этот объект, чем креативят. Есть предписание на эксплуатацию, если там написано – ЗАПРЕЩЕНО вносить изменения – значит не моги или согласуй. Все свои фантазии надо планировать заранее, а не на живую.

Согласен с формулой АС+АС=АС равно как с формулой АС+АС=2АС. Какую формулу применить в том или ином конкретном случае - зависит от выбранной схемы аттестации, т.е. аттестовать две АС-ки самостоятельно или объединить их в одну и аттестовать, как одну. Зависит от удобства реализации техпроцесса (оставить 2 самостоятельных или объединить в один) и финансовых возможностей собственника. Видимо проще мне объяснить не удастся.

Про изменение состава ОИ: речь идёт не о беспределе, безусловно замена должна быть контролируема! Неужели в процессе эксплуатации вы не сталкивались с тем, что техника и блоки "горят", ломаются и т.п. Без замены которых дальнейшая работа не возможна. Запланируйте всё это заранее, с большим любопытством поглядел бы на "такие планы".

Я все же убежден, что
АС+АС != 2АС
С двумя АС вы сделаете всю работу дважды. Что для одной надо разработать СРД, что для второй, хотя пляски будут вокруг одних и тех же объектов и субъектов доступа.

Вы на машине ездите без запаски? Так и тут - нормально иметь запасную аттестованную АС.

А если АС-ка 3 или 2 класса (3А, 3Б, 2А, 2Б), то какую СРД Вы будите разрабатывать? Тем более документы типовые, чего их там разрабатывать. Сам раз 100 разрабатывал документы - средняя трудоёмкость одинакова, так что прописывать СРД и схемы для одной "большой" АС-ки и для 2-х "маленьких" займёт примерно одинаковое время.
Думаю, что Америки не открою, если скажу, что кроме Вас (или того кто разрабатывает эти документы по СРД) эти самые документы никто не читает. Даже контролёры (хотя отдавая им должное - они хоть проверяют их наличие).

В общем, буду рад, если Вы останетесь при своём мнении и убеждениях. Однообразие порождает скуку. Пусть каждый пользуется своими формулами!

Обычную СРД, а в чем сложности с классами 3А и 2А?

Сложностей никаких. Просто её там нет и быть не может, т.к. в АС-ках 3 и 2 класса (3А, 3Б, 2А, 2Б) нет разграничения доступа.

Ну вы даете ))
http://youtu.be/gKpk4-tAzs4

Это не я, а "логика" РД АС так построена в отношении классов:
3-й класс - одни пользователь ко всей информации допущенный - какая тут СРД? Сам себя будет разграничивать?
2-й класс - несколько пользователей ко всей информации допущенные с РАВНЫМ доступом - тут чего писать хотите в СРД?

Может мы разное понимаем по аббревиатурой СРД? Я так понимаю, что речь шла о Системе Разграничения Доступа (СРД). А если нет этого самого разграничения, то и самой системы, которая должна регулировать это самое разграничение, быть не может.

Т.е. вы живете без перечня защищаемых ресурсов и матрицы доступа? Как же вы тогда классифицируете АС?
2 класс подразумевает различные уровни конфиденциальности информации. Как с этим быть? Или это не к СРД? Ведь это определяющий признак класса - наличие в АС информации различного уровня конфиденциальности.
СРД - Совокупность реализуемых правил разграничения доступа в средствах вычислительной техники или автоматизированных системах