Вопрос об аттестации ежегодной проверки - Форум по вопросам информационной безопасности

А как же требование трехбуквенного документа, что делаем только оценку эффективности СЗИ по ПЭМИН. Мои сишники мне этим и тыкают и говорят, что больше написанного делать они не будут :(

"А как же требование трехбуквенного документа, что делаем только оценку эффективности СЗИ по ПЭМИН"

А можно пункт? Где написано что "ТОЛЬКО" и ничего другого, ни в коем случае при КП!
И желательно ссылку вообще про обязательный порядок (объем работ) при проведения КП?
А еще не забудем про...
п. 47, 48, 50 ППр 912-51

Так что мне кажется ваши Сишники дурят вас.

ХХХ, раздел 5, второй пункт снизу. так как речь идет о средствах защиты, то и делают только оценку уровня САЗ на опасных частотах. на старом месте работы, мы еще и контролировали опасные частоты, фиксировали их уровень. А для того, чтобы отыскать что-нибудь новое, надо нести АРМ на измерительную площадку. А это уже переаттестацией пахнет.
По ППР: в п.47 абзац 2 написано что контроль заключается в проверке выполнения актов и эффективности принятых мер защиты - поставили тест, оценили опасные частоты, врубили гш, закрывает, все хорошо. вот и обоснование, вот и оценка эффективности. пункт 47 выполнен.
п. 48 и 50 ничего конкретного про ежегодный контроль

"эффективности принятых мер защиты" - меры защиты это не только ГШ (читаем п 1.11)

Пункт 5.2.3 не нашел слов ТОЛЬКО САЗ и ничто другое.
Читайте общий пункт 1.17 и делайте ВЫВОДЫ!
А прийти на объект и сказать СЗИ нет ну и контролировать нечего абсолютно неправильно.
Что то поменялось (ВТСС, линии, состав ОТСС, КЗ) оценивайте при контроле или забирайте аттестат (если объект ваш).

" А для того, чтобы отыскать что-нибудь новое, надо нести АРМ на измерительную площадку."

А можно пункт где такое сказано?

вопрос был задан в отношении моего случая, а у меня никаких изменений с момента аттестации не произошло, все как стояло и лежало на своих местах так там и находится.
при ежегодном контроле проверю организационно-режимные меры и потребую от сишников таблицы с вновь измеренными опасными сигналами и их уровнями во всех опасных режимах работы и уровни САЗ. и если нет критичных изменений, то и в сад всех :)
И еще: согласно Вашим убеждениям, я так понимаю, что мне в любом случае при ежегодном контроле надо просматривать протоколы с лабораторными СИ, ведь вдруг там есть режимы работы АС для которых выполнилось соотношение Rкз<0,7ххххх и их оценку на объекте не делали? Так?

от переполняющих меня нежных чувств к ПЭМИН не дописала фразу :)
и в этом случае необходимо будет проконтролировать неизменность ситуации и с этими, на первый взгляд, неопасными режимами. Ведь, вдруг и они "выстрелят".

с неравенством накосячила опять таки из-за переизбытка чувств :) : R2<0,7хххх

Для sekira | 43350
Не надо разводить заказчиков работ на кроликов. В обязательном порядке инструментальных контроль (т.е. орган по аттестации или просто лицензиат с этим пунктом работ) не реже раза в год только на объектах ЭВТ (эффективность САЗ, фильтров и других СЗИ). Организационно-режимный контроль (не ТКУИ) может (должен) делать сам хозяин объекта и информировать орган по аттестации в случаи каких то критичных изменений. Также контроль СЗИ НСД раз в полгода - администатором безопасности АС с оформлением соответствующего протокола (акта). Если собственнику объекта это "в лом" или много лишних денег он может заказать эти работы у лицензиата - нет вопросов.
Про обязательность периодического контроля эффективности СЗИ для ВП в СТР вообще ничего - нет требований, за исклбчением случая если в документации на сертифицированное СЗИ имеется требование по периодическому контролю, это в СТР есть.
Вот таки дела.
Что будет в новых требованиях по периодическому контролю - одном из ГОСТ новой серии, посвящённом аттестации объектам информатизации (пока только вышли общие положения) - посмотрим и будем исполнять, когда эти доки включат в обновлённый "Перечень доков, допускаемых к использованию в системе сертификации РОСС RU.0001.01БИОО", утверждаемом замом директора ФСТЭК (аттестация объектов информатизации по ГТ входит в систему сертификации РОСС RU.0001.01БИОО).
Пока так.

для Блин | 43356
Подскажите, пожалуйста, а где прописано, что контроль НСД раз в полгода? Я наивно полагала, что 1 в год

Для Лия, ООО | 43357
Это в "Типовой инструкции по....... с использованием СВТ", на основании которой Вы разрабатываете свою на предприятии. Раньше Ваша разработка согласовывалась "на земле старшего брата", а сейчас просто разрабатывается на основании "Типовой инструкции..." - см. Решение МВК ЗГТ, если не ошибаюсь от 09.10.2009 №172. Получаете по запросу через регионалов ФСТЭК (если Вам положено). Документ закрытый.