ФСТЭК, лицензирования ТЗКИ, средства разработки ПО - Форум по вопросам информационной безопасности

"другой перечень документов для КТ-АС, никем не отмененный"
А напомните какой утвержденный ФСТЭК? И где и какой пункт.

"А до тех пор поступаем по-старинке и будем правы."
А по какой старинке? Где эта "старинка" зафиксирована в документах ФСТЭК , где требования к АС соискателя лицензии кроме пункта в ППр 79?

"только аттестатом руководствовался, не вникая в техпроцесс"
Описание техпроцесса было отправлено как и требуется.

"Или связаться с конечным исполнителем напрямую, чтобы все точки над i расставить"
Не получается. Говорят эксперт решил - исправляйте. Какой эксперт почему решил... Вообщем политика.
"
"положения СТР-К и РД АС применяются по решению обладателя информации"
собственно говоря та же фраза что и в 17 касательно нашего случая.

Вообщем под итожу
- ФСТЭК не прав надо уточнить и доводить больше информации... или согласится и забить (но осадочек остался).
- Для АС соискателя и СТР-К и 17 возможны в качестве требований, потому что в ППр 79 общая фраза а НМД по этому поводу, разъяснений и указаний в НМД ФСТЭК даже косвенных не было.

Поправьте если что...

Уважаемый malotavr!
Инф. сообщение от 15.07.2013 № 240/22/2637:
6. По вопросу применения понятий «информационная система» и «автоматизированная система».
...
Исходя из родственных определений понятия «информационная система», установленного Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации», и понятия «автоматизированная система», установленного национальным стандартом ГОСТ 34.003-90, а также из содержания Требований, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17, и Состава и содержания мер, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. N 21, использование в нормативных правовых актах ФСТЭК России понятия «информационная система» не влияет на конечную цель защиты информации.

Я не юрист, может, просвятите как трактовать последний оборот "...не влияет на конечную цель защиты информации." ?

to 12
Означает "Сила ночи, сила дня - одинакова фигня"...
Это для госов есть обязаловка в виде 17 Приказа. Для коммерсов никакой обязаловки никто никогда не будет делать. За исключением случая, когда ИОД ценна не только коммерсу, но и гос.структурам...

to sekira
Вы прикалываетесь или серьезно? "ФСТЭК вынес такое решение не имея на руках аттестационных материалов - ушел по их правилам только аттестат" и "Описание техпроцесса было отправлено как и требуется". Либо я чего-то не понимаю, либо вы недостаточно четко объясняете ситуацию... В сущности, да, Описание - это внутренняя ОРД, но его "кусок" всегда есть в Протоколах НСД (ага?). Так что без разницы, аттестационку или внутрянку отправлять. Вопрос в другом: какой в итоге перечень документов направили и что в них было явно сказано про эту злосчастную АС? :)
Применительно к правилам лицензирования - "старинки" нет, согласен. Хотя СТР-К и РД АС были введены в действие до 17 Приказа. И в приведенном выше инф.сообщении ясно сказано, что они взаимозаменяемы в случае КТ. Так что пользоваться можно чем угодно.
И да, еще раз, ответ не в том, что ФСТЭК не прав, а в том, что, скорее всего, имела место ошибка конечного эксперта. А другим товарищам (у которых спрашивали контакты эксперта) попросту не хочется возиться. Ну гос.структура, ну что поделать?

"ФСТЭК вынес такое решение не имея на руках аттестационных материалов - ушел по их правилам только аттестат"
"но его "кусок" всегда есть в Протоколах НСД (ага?)"

Админ регламент ФСТЭК по ТЗКИ
2.12. Для получения лицензии соискатель лицензии направляет или представляет в ФСТЭК России
следующие документы:


ж) копии технических паспортов автоматизированных систем, предназначенных для хранения и обработки конфиденциальной информации (с приложениями), актов классификации
автоматизированных систем по требованиям безопасности информации, планов размещения
основных и вспомогательных технических средств и систем, аттестатов соответствия
автоматизированных систем требованиям безопасности информации или сертификатов соответствия
автоматизированных систем требованиям безопасности информации, а также перечень защищаемых
в автоматизированных системах ресурсов, описание технологического процесса обработки
информации в автоматизированных системах.

Не отправляются по их правилам ни Заключения ни Протоколы НСД !? Хотя в свете последнего надо будет.

oko | 65298

Имея поверхностные знания о теме Вы занимаетесь словоблудием! Зачем???

> как трактовать последний оборот "...не влияет на конечную цель защиты информации."

Как "информационная система в приказе 17 и автоматизированная система в старых методичках - это одно и то же".

Если точнее: "Информационные системы являются одной из разновидностей автоматизированных систем, результатом функционирования которых является представление выходной информации для последующего использования" (примечание к определению термина "информационная система" в последней редакции ГОСТ 50922 "Защита информации. Основные термины и определения").

> Не получается. Говорят эксперт решил - исправляйте. Какой эксперт почему решил... Вообщем политика.

Sekira, это именно то, о чем я вам писал. Эксперт - это тот, кто приезжал на объект смотреть документы. Он накосячил, выдав ошибочное заключение.

Такие косяки обычно отруливаются до принятия ФСТЭКом решения об отказе. Т.е. вы или на месте с экспертом спорите (обычно результаты проверки обсуждаются с заявителем перед тем, как эксперт оформит заключение) или сразу обращаетесь в отдел лицензирования и сертификации ("у нас тут недоразумение с экспертом, он невнимательно РД читает"). Но после того, как заключение ушло во ФСТЭК и служба официально приняла решение, переигрывать его не будут.


Самый оптимальный вариант - "устранить замечание", выделив для ТЗКИ отдельный аттестованный АРМ.

"Эксперт - это тот, кто приезжал на объект смотреть документы"
Объект в регионе никто не приезжал и не приедет. Бумажная экспертиза. Вообщем понял будем устранять. Просто на подходе такая же задача такой же заказчик как ему сейчас объяснять что нельзя средства разработки ... чешу репу.

Возрадуемся! Истина сейчас будет открыта, товарищи! Тов. Работник холдинга, магистр, сенсей, мастер, уверен, прольет свет на всю проблему означенного топика и доходчиво объяснит, что делать тов. sekira в сложившейся ситуации. А я умываю руки, ибо, вестимо, не достоин...

> Объект в регионе никто не приезжал и не приедет.

Тогда понятно, мы, москвичи, зажрались :)