Комментарии к требованиям на получении лицензии ФСТЭК по ТЗКИ - Форум по вопросам информационной безопасности

НуВован?

Proetorian - по поводу ВТСС - сами то поняли что сказали (ржунимагу с вашего определения)... для начала прочитайте определение в СТР-К (хотябы, я молчу уже про СТР-97).
По поводу разницы между АРМ и АС - считаю не столь критыичным замечанием, т.к. все понимают о чем идет речь.
Если вы такой крутой знаток терминологии, растусуйте разницу и расположите по порядку определения: АРМ, АС, ОИ, СВТ, ЛВС.
По поводу специалистов прошедших подготовку:
Постановление Правительства РФ от 15 августа 2006 г. N 504, п. 4:  Лицензионными требованиями и условиями при осуществлении деятельности по технической защите конфиденциальной информации являются:
а) наличие в штате соискателя лицензии (лицензиата) специалистов, имеющих высшее профессиональное образование в области технической защиты информации либо высшее или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации; ...
Что ВАС еще в моем ответе не устраивает? - готов на каждый вопрос ответить обасновонно (с точки зрения законодательства).

Да, еще, Proetorian, По понятию ВТСС:
Наверное технику, расположенную в ЗП (ВП) можно было-бы и не считать ВТСС (и соответственно не делать СИ в части АЭП), но тогда приведите мне примеры техники, которая на 100% не имеет канала АЭП?
Очень хотелось бы услышать ваш ответ как специалиста...

: Аттестованое АРМ, пока не слышал (АС эт да).

Аттестуется АС, которая м.б. представлена АРМ, ЛВС, МФУ, ксероксом и т.д.

Цитата СТР-К:
Автоматизированные системы могут быть выполнены в виде автоматизированных рабочих мест (АРМ) на базе автономных ПЭВМ с необходимым для решения конкретных задач периферийным оборудованием (принтер, сканер внешние накопители и т.п.)....

А если вы уж придираетесь к таким вещам, как (что может являться АС, и что подлежит аттестации) то по "положению по аттестации" система аттестации существует для объектов информатизации;
В СТР-К например, если вы внимательно посмотрите - есть понятие АП (абонентских пунктов), там тоже написано про их аттестацию (по идее авторы должы были употребить аттестация АС на базе АП, ан нет - написано: аттестация АП);
... и это если только смотреть КИ, а что касается ГТ - то по СТР-97 СИРСД (средства изготовления и размножения секретных документов, к которым относятся ТС в простонародии называемые копировальными аппаратами, печатными машинками, пр.) - вообще вынесены в отдельный тип (отличный от АС) объектов информатизации, и их защите там уделен целый раздел.

Дыр в РД хватает, а по поводу неточности (АРМ вместо АС) - я написал выше, а почему это неточность а не ошибка, думаю вышеизложенного будет достаточно.

"...ВТСС - вспомогательные технические средства и системы (которые не обрабатывают, но находятся в том же помещении) - т.е для ЗП ВТСС будет являтся ВСЯ техника расположенная в нем."
NoVan, это ваши слова, сами то почитайте сначала поясняете правильно, а затем все переворачиваете. Так , что я тож "ржунимагу" с ваших пояснений, жаль что до вас это не доходит. Какие бывают ОИ я в курсе. Всех благ удачи.

то NoVaN
Имхо: беседа с Proetorian не имеет смысла.

Я все чаще замечаю что практически каждая вторая тема сводится к спору про понятия и определения, а сам вопрос не решается или некоректно и не четко задается. Что приводит к грубостям и выяснению отношений а не к решению и к помощи. Поэтому кто знает ответы просто приводите ссылки на документы - пусть люди почитают, подумают.
Да и самому лишний раз заглянуть всегда новое открывается.

to sekira
Очень часто ответы на вопрос нельзя из определенных пунктов РД. Например как вы обоснуете, что ПЭМИН для АС можно не делать (возьмем к примеру АС со служебной информацией органа власти)? Все пытаются найти в СТР-К фразу типа: ПЭМИН на усмотрение заказчика, а там такого пункта нет; при чем все помнят что в соответствии с СТР-К от этого можно уйти, но когда дело даходит до указания конкретного пункта - все сразу теряются...
Да потому, что этого там в помине нет! А есть раздел, где приведены обязательные мероприятия по защите АС, так вот в этом разделе ничего не сказано про ПЭМИН, т.е. - раз его нед в обязательном перечне, значит этот канал можно и не защищать.
Вот вам и вопрос - на какие пункты РД ссылать в этом случае людей?
Это и к аренде Аттестованных объектов, и к аренде средств измерения, и пр. относится.
Остается: либо к лицензиату обращаться, либо по форумам искать.
Просто мое мнение, что необходимо сначала специализированные курсы какие-либо пройти, где расскажут как наше законодательство и РД на практике применяются, а потом на лицензии заявки подавать. А то потом и получается: ... в связи со значительным увеличением обращений о некачественно предоставленных услугах ФСТЭК решил ужесточить требования к лицензиатам... или: уменьшить число лицензиатов на 75%.

Про ПЭМИН ! Строим модель угроз и оцениваем. Принимаем решение мерять или нет. Или пишем письмо во ФСТЭК (информация то государственная) - и в случае чего ссылаемся на ответ- если он будет.

Не на все вопросы есть четкие ответы с этим согласен, но есть механизмы для обоснования того или иного решения! Про курсы согласен, но их не хватит - потому что люди ждут четкого одназначного юридически закрепленного ответа на не всегда коректные вопросы.