Гостайна. Добавление программ на аттестованную АС - Форум по вопросам информационной безопасности

Шурику:
Администратор должен не "фигнёй заниматься", а делом.
Указанное Вами ограничение в аттестате говорит о некотором "превышении" полномочий органа по аттестации. Под понятием "изменять системное ПО и СЗИ" можно понимать всё, что угодно. Например, для операционной системы Окна если не каждый день, то через день выходят изменения - Definition Update for Windows Defender и различные обновления для системы безопасности ОС. Согласно "ограничительной" части аттестата Вы обязаны уведомлять их. Забавно...
На все остальные вопросы: за действия администратора орган по аттестации ответственности не несёт.

> Хотят они ОС поменять, уведомили вас. Вы им разрешаете или что?

Я не работаю в органе по аттестации, поэтому ответить за возможные их действия не могу.
У нас несколько АС. На одной требовалась переустановка Windows XP, в органе по аттестация я поинтересовался по данному вопросу, т.к. в аттестате написано «нельзя изменять системное ПО без уведомления органа по аттестации», получил ответ, что под изменением подразумевается, например, если б я вместо Windows XP поставил Windows 7. А так как я само по себе ПО не меняют, то есть версия остается точно такая же, то я могу это делать без уведомления.

Что касается СЗИ НСД, например SecretNet, там есть полезная функция экспорта настроек и моделей защиты, во вторых тот же РД АС требует наличие средств восстановления СЗИ НСД, что собственно и реализуется.


>Сделать он это может, но кто оценит изменилась ли защищенность АС от >НСД после его >изменений? Я тогда вообще смысла не вижу в Протоколах >НСД, выданных органом по аттестации.

А не было изменений. СЗИ не изменилось. Просто переустановили и импортировали ранее сделанные настройки (или сделали точно такие, же если администратор компетентен в этой области), разве есть требования в повторной оценке в таком случае?

>Я тогда вообще смысла не вижу в Протоколах НСД, выданных органом по >аттестации.
>Выдают они протокол НСД, а после администратор безопасности меняет >настройки всей защиты, >переставляет СЗИ, так получается?

Вся нынешняя система безнадежно устарела и сильно тормозит развитие систем защиты информации в стране. Очень много сил и средств тратится на формальную защиту от проверяющих, чем на реальные действия.
Система защиты она живая и опираться на только трехлетние протоколы (даже ежегодные, если делаете контроль) совершенно нельзя, получается абсолютный формализм.
В любом случае, добрая доля защиты строится на доверии. Как я уже писал, СЗИ могут просто не включать и протоколы исследований ПЭМИН превратятся тут же в филькину грамоту. Если нету доверия к администратору, а какой защите может идти речь.

>Планируем переставить ОС, добавить программу обработки изображений. >После переустановки ОС >нужно будет ставить заново СЗИ.

Переставить ОС на точно такую же, или другой версии?
Если хотите перестраховаться, напишите письмо в орган по аттестации.

А может подождать СТР-2010?

Бесполезные споры!
В вашем случае все решает орган по аттестации выдавщий аттестат и только он. Ну и иногда на его решение может повлиять регулятор в случае спорных вопросов как третейский судья.

> А может подождать СТР-2010?
Можно и подождать, вот только на дворе уже 2012 год...

Чего мудрить-то , я не понимаю...
Пишется письмо в орган по аттестации, от них приходит ответ с разрешением на переустановку и внесение изменений в аттестат, только и всего

"и внесение изменений в аттестат"

Заказчик сам себе аттестат переписывет?
Аттестаты неподлежат изменениям, это не техпаспорт! Только после новой аттестации. Сведения по аттестатам постоянно отправляются во ФСТЭК.

"только и всего"
За такое "только и всего" аттестат органа по аттестации можно потерять - только и всего!

Иногда безнадёжному Секире:
В аттестате соответствия нет сведений о поимённом составе ПО в АС и во ФСТЭК Вы не подаёте такие сведения.

"В аттестате соответствия нет сведений о поимённом составе ПО в АС"
У нас есть - требование нашего окружного. У кого нет и аттестат переписывать не надо.

"во ФСТЭК Вы не подаёте такие сведения"
Нет не подаем, речь шла о том что просто так налево и на право менять аттестаты не получится.

Ну, допустим не "налево и направо".
А вот по всякой ерунде переаттестацию проводить - это норма, так?
Если с органом по аттестации заключен нормальный контракт на выполнение работ, то он приедет и все изменит без дополнительных капиталовложений, да и ФСТЭК ничего не возразит по этому поводу.