аттестация - Форум по вопросам информационной безопасности

to Евгений
Беда!!!
А ни чего не делать, если у Вас 3Б или 3А (я вам сочувствую), то ждать выхода из отпуска человека

А если он болеть "надумает" месяцев 5, то как объяснить директору, заказчикам, контролёрам и п.т., что АС аттестована, но из-за болезни одного человека решение производственных вопросов остановлено? Ну, смешно же!

АС предназначена для решения производственных задач, а не личных. Производственные задачи решает должностное лицо, а не частное физическое. Поэтому, когда оно заболело, его должностные обязанности по решению производственных задач могут быть приказом возложены на другое должностное лицо (временно на какой-то период). Для выполнения возложенных функций ему понадобится АС. В целях обеспечения требований по защите: при допуске другого должностного лица к АС класса 3А или 3Б - оно должно быть допущено ко всей информации на носителе АС (если на ЖМД чего лишнее, то пусть сотрудник РСП скинет всё "ненужное" на болванку).

Т.о. АС класса 3А и 3Б под одним пользователем понимает ДОЛЖНОСТНОЕ ЛИЦО, а не физическое.

"А ни чего не делать, если у Вас 3Б или 3А (я вам сочувствую), то ждать выхода из отпуска человека"

Не надо никого ждать. Просто приказ о возложении ответственности на другое лицо на период отпуска.

Я вообще не понимаю наличия этого класса
Если есть лицо его замещающее, то уже это 2 пользователя, а это уже 2Б, 2А
(ИМХО)

Loki самое интересное что 3Б 3А получается админ, пользователь одно лицо...:(...что тоже не есть хорошо. При замещении, пользуются тем же идентификатором, и той же учётной записью....имхо 3Б 3А очень невыгодно...:)

Только, после приказа, не забудьте поменять разрешительную систему доступа, как документ и уведомить об этом орган по аттестации (т.к. номерочек матрицы забит в заключении), ну а далее как порекомендует ОА.

2hard:
Когда это при изменении разрешительной системы доступа извещался орган по аттестации, и более того ждали от них "благословения" чего делать? Может до фанатизма доводить не стоит: люди нанимаются и увольняются в процессе эксплуатации АС, тогда надо ещё и согласовывать с ними назначение сотрудника на должность!

ОА проводивший аттестацию, оценивал уровень подготовленности персонала, делал какие-то свои документы и представлял их во ФСТЭК, теперь эти документы утратили силу (номерок-то у матрицы другой) + оценивали правильность классификации, т.е. были задействованы в процессах проектирования СЗИ, а теперь значит их по боку .... не правильно это не по людски. Кстати благословение это по другой части. Любую благую идею можно довести до абсурда, но просто позвонить и ПОСОВЕТОВАТЬСЯ, ну точно не убудет, да и прикроете прежде всего себя.

М-м, да-а... Позвонить и посоветоваться - наша страна по-прежнему "Страна советов" (шутка). Телефонный звонок к делу не пришьёшь. А для чего на объекте вводятся администратор АС, ответственные пользователи за что-нибудь и т.п.? Не для того, чтобы обеспечивать установленные требования?

"Только, после приказа, не забудьте поменять разрешительную систему доступа, как документ и уведомить об этом орган по аттестации (т.к. номерочек матрицы забит в заключении), ну а далее как порекомендует ОА."

читаем внимательно положение по аттестации...

"3.8.4. "Аттестат соответствия" выдается владельцу аттестованного объекта информатизации органом по аттестации на период, в течение которого обеспечивается неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, определяющие безопасность информации (состав и структура технических средств, условия размещения, используемое программное обеспечение, режимы обработки информации, средства и меры защиты), но не более чем на 3 года."

Где написано что в случае передачи ответственности в системе 3А другому лицу на время отпуска я должен менять матрицу доступа и уведомлять орган по аттестации?

"Я вообще не понимаю наличия этого класса
Если есть лицо его замещающее, то уже это 2 пользователя, а это уже 2Б, 2А"

На момент отпуска 1 пользователь, после отпуска один пользователь! Где тут 2А?