Глупые вопросы - Форум по вопросам информационной безопасности

Для sekira:
"веселье вам обеспечено будет и со стороны ФСТЭК"
Если документ составить грамотно, то никакого веселья не будет. Я ведь обратил внимание на то, что требование ежегодного контроля прописывается в Аттестате соответствия, следовательно не выполнены требования аттестата, а это само по себе уже серьезное нарушение.
"отбирать Аттестат за "неизвестность"
Никакой неизвестности, не выполняются требования аттестата соответствия и СТР-97, отсутствуют необходимые документы и соответствующие отметки в техническом паспорте, таким образом нарушены правила эксплуатации аттестованных объектов информатизации. В соответствии с п.3.10.5. "Положения..." можно смело приостанавливать Аттестат до устранения.

Я не в кем случае не агитирую отбирать или приостанавливать Аттестаты. Я хочу сказать, что ежегодный контроль действительно необходим (если Вы конечно не просто бабки рубите, но и о защите информации беспокоитесь), и при грамотном подходе Заказчик никогда не откажется от его проведения без веской причины (просто необходимо более гибко подходить и к стоимости работ в том числе).
И вообще, орган по аттестации может аттестат выдавать на год, ведь сказано не более чем на 3 года. Как вариант....

"Если документ составить грамотно, то никакого веселья не будет"
У вас хоть один заказчик не сделал контроль? Думаю есть такие. Почему не составляете "грамотный документ" и не отбираете аттестат? Думаю следует исполнять правила введенные вами же самими( ваша так сказать трактовка фразы -
"- осуществляют эксплуатацию объекта информатизации в соответствии с условиями и требованиями, установленными в "Аттестате соответствия".
Форма аттестата такая как в СТР. Вот и напишите "нет контроля потеря аттестата!"
Просто мы уже подобную практику проходили. Думаю и вам стоит попробовать поборотся с "белыми пятнами НМД".
После разборок со ФСТЭК было сказано закладывайте деньги при аттестации на 2 контроля или не выступайте, аттестат забирать без "существенных причин" предварительно уведомив округ не имеете право.

"Я хочу сказать, что ежегодный контроль действительно необходим"
Конечно необходим! Темболее что изменений и недочетов всегда куча.

Дак вот так у нас на бумаге как повернул так и вышло , хотя вроде все логично и прозрачно.

И вообще, орган по аттестации может аттестат выдавать на год, ведь сказано не более чем на 3 года. Как вариант....

Попробуйте выдать на 1 год "без видимых причин" опять таки веселье обеспечено.
Как говорится "опыт сын ошибок трудных.."

Для sekira:
"У вас хоть один заказчик не сделал контроль?"
Да был такой, аттестат был аннулирован без всяких проблем, достаточно было звонка в ФСТЭК, и небольшого коментария в сопроводительном письме к ежеквартальному отчету.
"закладывайте деньги при аттестации на 2 контроля или не выступайте"
Совсем не обязательно, в договоре с Заказчиком все прописывается, или, как мы иногда делаем, заключаются два договора, один на проведение аттестации, второй на проведение ежегодного контроля и обслуживания ОИ (имеются ввиду различные доработки и перенастройки в процессе эксплуатации).

"Да был такой, аттестат был аннулирован без всяких проблем"
У остальных кто не сделал анулировали?

"второй на проведение ежегодного контроля и обслуживания ОИ"
так обычно и мы поступаем.

НачЛабу.
А пропишите в аттестате, что он действиятелен при наличии положительных результатов ежегодного контроля. И тогда заказчик никуда не денется.

Это можно расценить как навязывание услуги

Для Странник:
"Это можно расценить как навязывание услуги"
Нет, нельзя. Заказчик может привлекать к проведению ежегодного контроля любого лицензиата. А проведение ежегодного контроля регламентировано СТР, поэтому фраза в аттестате "что он действиятелен при наличии положительных результатов ежегодного контроля" вполне обоснованна. Не хотите платить лицензиатам, получайте лицензию и проводите сами. Никто ни чего не навязывает.

Добрый день!
Подскажите, кто покупал сертифицированные ФСТЭК СЗИ - в комплекте поставляется копия сертификата? Печать синяя? Что ещё должно быть в комплекте (какие документы - по электро магнитной совместимости, что-то ещё?)? (покупаем железо: маршрутизатор+МЭ, скорее всего Циску).

Покупали. Копия сертификата с синей печатью (вроде даже печать целого заявителя сертификации).
Кроме того, обязательно должен быть формуляр и специальный номерной голографический знак ФСТЭК. По крайней мере на ПО СЗИ, т.е. когда брали Аккорд NT/2000 в комплекте с АМДЗ голограмма была только одна - на спец. ПО.

На каждом экземпляре изделия
, который у вас, должна быть голографическая наклейка. Иначе не докажете, что сертифированное изделие используете