Аттестация АС (НЕ ГТ) - Форум по вопросам информационной безопасности

"для УЦ есть свои требования".
А где эти требования изложены?

"для негосударственных организаций СТР-К является рекомендательным документом"
Я вам открою секрет для государственных тоже (хот и написано в СТР-К обратное!
Требования выдвигаются не СТР-К а документами обязывающими его выполнять. Тоже самое и требования к аттестации по КИ не всегда как вы писали она рекомендательная!

"Но других-то документов для них (кроме 21 приказа по ПДн) просто нет! "
Это не доказывает обязательность СТР-К!!

"По поводу проведения специсследований в том же СТР-К нет ни слова, и необходимость их проведения, неважно на каком этапе, определяется актуальностью канала ПЭМИН в МУ, т.е. на усмотрение заказчика "

Ваша фраза была не о том нужно желать или не нужно, а о том как проводятся специсследования. Фраза была неправильная, я и уточнил.

К УЦ
ПКЗ 2005
ФЗ 63 Статья 13. Удостоверяющий центр
Приказ ФСБ от 27 декабря 2011 г. N 796
ну и еще если покопать но неохота :))

Добрый день! А кто нибудь подскажет в каких случаях обязательно делать исследования на ПЭМИН? Или это можно определять самому исходя из модели угроз? Если подскажете какой нибудь РД или ФЗ, то тоже не плохо.
P.S. Если это важно то необходима аттестация ПК в медицинской организации (не государственной), вот только вопрос в необходимости делать ПЭМИН

Alexan,
про ПЭМИН всё уже было написано выше - исходя из модели угроз, даже для медицинской организации. Если у вас на ПК персональные данные, то см. ПП 1119 и приказ ФСТЭК № 21

"А кто нибудь подскажет в каких случаях обязательно делать исследования на ПЭМИН?"
Если есть требования в документах по защите информации на определенном ОИ. Для конкретной информации и конкретного ОИ. ГТ, ведомственные требования. Или ваши требования в ваших документах на ОИ.

"Или это можно определять самому исходя из модели угроз?"
Не можно а нужно.

В организации на ПК обрабатываются ПДн включая биометрику (гос.тайны нет). Требований в документах по защите информации на ОИ по исследованию на ПЭМИН нет. Модель угроз тоже не предполагает ПЭМИН. Как я понимаю если делать аттестацию по СТР-К то исследования ПЭМИН обязательны, а если по ГОСТ РО 0043-003-2012 и 0043-004-2013 то нет. Я прав?

по СТР-К то исследования ПЭМИН обязательны, а если по ГОСТ РО 0043-003-2012 и 0043-004-2013 /

Нет не правы там сказано как делать если вы в модели угроз признали эту угрозу актуальной!

Так вопрос в том, как проводя аттестацию не делать исследования на ПЭМИН. Из Ваших слов я понял что при аттестации ПЭМИН делать обязательно. Если возможно то по подробнее )

Alexan,
делать специсследования ПЭМИН или не делать при аттестации решаете вы сами исходя из вашей модели угроз. Если признаете канал неактуальным, то не нужно.
По поводу применения СТР-К в связи с выходом приказов ФСТЭК 17 и 21 (по ПДн) почитайте информационное сообщение ФСТЭК
http://fstec.ru/normotvorcheskaya/informatsionnye-i-analiticheskie-materialy/64-normotvorcheskaya/informatsionnye-i-analiticheskie-materialy/716-informatsionnoe-soobshchenie-fstek-rossii-1

Уже ответили.
Хотите будет не хотите не будет.
Правда есть лицензиаты которые говорят мол хотите аттестат делаем ПЭМИН.