Годовой контроль - Форум по вопросам информационной безопасности

для Чайник:
на счет "с выездом" и "за счет мастерства" это кто как относится к своему делу, но для приличия запись в аттестате должна остаться по любому, а инструментальный контроль - я лично убежденный сторонник того, что со временем китайские запчасти и отечественная сборка обязательно через время вылезут боком в плане ПЭМИН, но это другая тема.
p.s. Кстати применяемые средства защиты тоже имеют место ломаться "периодически".
для Защитник:
зря Вы так на "букварь" и на органы по аттестации, п.3.23 оного дает вам право самим проводить инструментальный контроль забесплатно - ПОЛЬЗУЙТЕСЬ

Давайте рассуждать логически.
Исходя из п.3.23. «Букваря», для проведения контроля состояния и эффективности… самостоятельно, предприятие должно иметь:
1. подразделение по защите информации;
2. нормы и методики контроля защищенности и прочие НМД;
3. поверенную КИА;
4. сертифицированные программные средства контроля.
Это все очень напоминает лицензионные требования и условия по ТЗИ.
А п.1.4. Приложения 6 говорит: «Установка и проверка эффективности САЗ должна производиться организацией, имеющей лицензию на проведение данного вида работ.
Насчет ВП - п.8 Приложения 1 «Периодический контроль эффективности мер защиты помещения осуществляется специалистами подразделения по защите информации».
Мое мнение, не на каждом предприятии подразделение по ТЗИ сможет провести контроль (и вообще контроль мало отличается от аттестации).

В продолжении рассуждения п.3.23. «Букваря», если "инструментальный контроль бесплатно", но речь идет о годовом контроле, я считаю это разные понятия и определения или я не прав?
Далее, предприятие имеет 1-2 аттестованных ОИ, даже если имеет подразделение по ЗИ, не сможет иметь поверенную КИА, сертификаты программных средств и т.д.,-дорого и не реально.Я понимаю, если ОИ было бы 20-30. Поэтому контроль сами мы провести не сможем. Значит плати. НО получается платить надо и кругленькую сумму каждый год. Значит введена система как больше снять денег с предприятия, однако ведь данная информация (ГТ) не нужна предприятию (ОАО, ООО) и выполняется в интересах государства.
Сами вводим требования, да еще и заставляем ежегодно платить? Получается, по правилу "делай как я сказал". А если нет, тогда забираем аттестат. Сумма платы годового контроля почти одинакова с аттестацией, ОАО или ООО живут за счет своих средств, где же выход. Поэтому и обращаемся к вам за разъяснениями и помощью.

для Защитник:
Ваши расуждения не безосновательны, НО:
1.Как правило лицензиат и аккредитант ФСТЭК это такое же ООО или ОАО и там тоже работают люди которым надо платить за ВЫПОЛНЕННУЮ РАБОТУ;
2. Суммы везде разные и подходы к определению суммы разные, насколько я знаю, да и со мной согласятся коллеги стоимость работ по ТЗИ не поднималась уже лет 5 наверное, в отличие от других видов бизнеса, (пишите в личку, уточним цены);
3. Мы живем в этой стране и должны выполнять её законы, даже если они не совершенны, думаю законодательство в области защиты ГТ не единственное слабое место в нашем законодательстве;
4."инструментальный контроль бесплатно" - не бывает, хотя бы за работу оператора, амортизацию оборудования, разработку доков надо платить.

hard, вот тут я полностью с Вами согласен!
Стоимость работ как было в 200волосатом году, так и осталась. Уже пора бы и цены разработать стандартные, хотя конечно, в разных регионах будет по-разному..

Да и по регионам цены не шибко-то отличаются. Основной заказчик, кто бы что ни говорил - гос органы. Следовательно, чтобы работать без котировок/конкурсов - договор до 100к.
А если на конкурс выставляться, то сразу появляется НПО "Эшелон" или Свердловский ИРС и демпингуют чуть ли не на 50-60 процентов)= как деньги зарабатывать нормальные - х"% его знает.

для: защитник | 19331

Вы пишете: "... данная информация (ГТ) не нужна предприятию (ОАО, ООО) и выполняется в интересах государства."

Оно конечно верно, но вы же работаете не за бесплатно. Соответствующие гос. органы Вам за Вашу работу платят, предполагается, в том числе, что в оплату заложены и все расходы на обеспечение выполнения этой работы. Ну а если Вы согласились работать за цену ниже реальных затрат ну или неправильно оценили затраты - это становится исключительно Вашей проблемой.

Дозвольте маленькую "алаверды"...
Стоимость и т.д., конечно важно.
На мой взгляд важнее иное - основополагающее.
На сегодняшний день ни одним документом не определено главное - установленная регулирующими органами периодичность контроля эффективности мер защиты.
Специалисту - практику прекрасно известно, что любая техника "плывёт", выходит из строя и т.д. Во время "оное" было чётко расписано, для каждой категории, через какой период перепроверять. Сейчас - нет. А надо, поскольку это было бы единственным основанием для финансистов закладывать деньги на эти работы. Как и требовать оные из бюджета при выполнении федерального заказа. А на "нет" и денег нет...
Кроме того надо чётко ранжировать "межповерочные" периоды по:
1. категориям ОИ;
2. группам ТКУИ (ПЭПИН, АВАК, АЭП, ВЧН/ВЧО);
3. применённым тех. средствам (вот когда появится заинтересованность в надёжных кстройствах защиты!);
4. отдельно по пассивным (они намного более "долгоживущие") и активным средствам;
5. по требования Заказчика

Вот тогда многое будет устойчиво стоять на ногах, пользователю позволит планировать затраты на эксплуатацию, а производителю - думать о надёжности изделий.
Чак

Мы не госорган, а коммерческая организация. ГТ в коммерции не используется. Работаем не за бесплатно, а за счет предприятия, для которой в убыток. Почему работаем, вынужденно, как указано в постановлениях... "независимо от форм собственности предприятия". Финансирование из госбюджета или госоргана, не смешно. Вы видели подобное где-то, чтобы ООО(ОАО) финансировали? К сожалению даже трудно указать для внесения в бюджет и план предприятия основание, цели и необходимость финансирования работ. А тем более проверки. Поэтому мы и стоим в разделе убыточное подразделение. А расценки вы считаете не менялись и малы, а мы считаем большие и неоправданные.Нам эти проверки, замеры, протоколы не нужны, нам работать после этого не легче. Но вынуждены смириться и платить, так устроено законодательство.

Интересный вопрос. Если мне внезапно присылают счет за проверку, что я должен делать? Выбивать деньги в бюджете на непредвиденные расходы или отказаться от нее и потерять аттестат? Хотелось бы узнать где законодательно прописано, что я должен оплачивать все эти проверки.