Гостайна. Ежегодный контроль эффективности - какие документы оформляются? - Форум по вопросам информационной безопасности

"Раз форма отчётных документов по результатам контроля не определена в целом регуляторам - существует определённая свобода творчества (в меру конечно)"

Согласен.
Просто акт утверждается еще и Заказчиком (или тем кого проверяют), а Заключение только тем кто его пишет. Думаю в этом разница.

"Заключением по результатам периодического контроля с приложением необходимых протоколов по направлениям контроля"

Так же и делаем. "Барин" приказал :))

> Александр-топикстартер- вопросант замолк - пусть дяди подерутся и тут он весь в белом спустится с холма. (что же он имел в виду? неужели исо 9000?)
Какое отношение ISO9000 имеет к гостайне?

4 Александр 34442
...Какое отношение ISO9000 имеет к гостайне?...

- В этом мире все взаимосвязано.
Связанность Наверное не напрямую а через СМИБ.
СМИБ наверное имеет прямое отношение?
Или надо разьяснять - просто взгляните на перечни ИСО/МЭК 2700х - там есть как 9000 так и промежуточные нормы типа уровня зрелости
да и в тексте 9000
"...Кроме серии ISO 9000, которая является руководством по передовым методам менеджмента качества для всех предприятий, независимо от вида поставляемой продукции, существуют стандарты менеджмента, предназначенные для отдельных областей деятельности. Они интерпретируют требования ISO 9001 применительно к особенностям сферы деятельности предприятий...."

Да и ваш вопрос звучал так, что позволял трактовать его и в эту сторону
т.к. контроль эффективности напрямую относится к качеству менеджмента.

Но если догматически подходить - найти прямую цитату с отсылкой наверное затруднительно, но возможно (если заняться прямыми поисками).

Вы бы лучше свой вопрос конкретизировали - чего искали - то?

Добрый день всем! Подскажите пожалуйста о том, какие последствия ждут организацию если не был проведен ежегодный контроль защищенности аттестованной АС по ГТ? И что необходимо делать органу по аттестации если при ежегодном контрле обнаруживается, что на аттестованном ОИ не был проведен вовремя контроль? Нужно ли куда-нибудь сообщать, писать?

Меня тоже интересуют вопросы заданные выше: "какие последствия ждут организацию если не был проведен ежегодный контроль защищенности аттестованной АС по ГТ? И что необходимо делать органу по аттестации если при ежегодном контрле обнаруживается, что на аттестованном ОИ не был проведен вовремя контроль? Нужно ли куда-нибудь сообщать, писать? "
Ответьте знающие :)

В НМД в том числе по проверкам объектов и режима какие либо санкции в случае непроведения вообще или не проведения во время КП я не встречал. Кто встречал пусть поправит. По опыту работы и проверок кроме рекомендаций в акте или недостатков от регулятора не было. По результатам обычно дисциплинарная ответственность для ответственных за объекты лиц.

Обязаность докладывать регулятору на заказчиков у органа по аттестации тоже документально не закреплена как и применение каких либо санкций в отношении заказчика. Безнаказанность порождает беззаконие - ну почти все у нас в стране так.
По опыту органы не "стучат" на клиентов, а просто "пугают" строгим регулятором с целью выбить себе немного работы.
Конечно встречаются среди органов аттестации уникумы которые в аттестат пишут что отзывают его в случае не проведения проверок!

Регулятор на все это разводит руками и говорит (не пишет!!) органам закладывайте деньги на проверки на 3 года вперед при аттестации. А мы потом с вас спросим. За что и как спросим неуточняется.

Но проведение "переодических" не реже чем 1 раз в год это же не с потолка. Это и в СТР и ещё где-то, навскидку не вспомню прописано...

В части периодического контроля объектов информатизации должна появиться дополнительная регламентация в новом национальном стандарту РФ ограниченного распространения (ДСП) «Защита информации. Аттестация объектов информатизации. Общие положения» (утвержден приказом Федерального агентства по техническому регулированию и метрологии от 17.04.2012 № 2-СТ РО). Номер ГОСТа пока неизвестен, может быть кто подскажет.

ГОСТ вышел, а где (в каком НМД или законодательном акте) требования исполнять требования описаные в данном ГОСТе?

Так как выход данного ГОСТ анонсировали представители 2 управления ФСТЭК (курирует вопросы аккредитации органов по аттестации и аттестации объектов информатизации), то я думаю рекомендации по обязательному исполнению не заставят себя ждать.
Кстати, речь шла о целом семействе ГОС данного направления («Защита информации. Аттестация объектов информатизации..."), этот головной (... Общие положения»).

Кажется данный ГОСТ согласовывался и с ФСБ.