Класс 3А "Секретно", как не использовать комплексы защиты от НСД? - Форум по вопросам информационной безопасности

Уважаемые господа Вы спорите друг с другом и иными участниками дискуссии.
В данном случае это носит характер неформального общения.
При проведении проверки Вашего ОИ (органами ФСТЭК или ФСБ причем штатными сотрудниками, а не аттестационным центром) будет указано на нарушение требований РД. Следом - Представление или административный протокол.
Наивно думать, что обрабока "С" или "СС" повлияет на решение. В настоящее время все стремяться занизить гриф. А при разборе конфликта гриф могут и поменять.
Ваша позиция понятна - удачи с проверяющими.

Страннику
Неформальное общение - это за кружкой пива. Ваше мнение Вы высказали давно. Затыкать рот остальным - мягко говоря не вежливо. Категоричность Ваша ни к чему, так как Вы, я так понимаю, официально ФСТЭК не представляете и разъяснения даете ровно на тех же основаниях, что и остальные участники.
Необходимость глубже исследовать данный вопрос с моей стороны исходит из того, что проходя обучение по направлению аттестационные испытыния от НСД в одном из уважаемых мною центров в 2004 году, от официального представителя Гостехкомиссии узнал о такой возможности. На мои недоуменные вопросы: как такое может быть и как при этом, скажем, выполнять требования идентификации и аутентификации, получил ответ, который мне не очень понравился, но это был ответ ОФИЦИАЛЬНОГО представителя. На основании этого хотелось бы узнать и другие мнения, а не только Ваше одно категоричное, что кругом враги!

Mike, доброго дня.

Я не понимаю как можно присвоить АС о которой вы говорили класс 3А. В случае если помещение режимное могут открывать два разных лица, а такое, думаю, везде возможно.
В этом случае класс АС без СЗИ автоматически изменится.

Приветствую, diver.

Почему изменится? Носителя информации нет, порты опечатаны. В помещение он войти может, но он не является пользователем АС. Если это обслуживающий персонал (а именно это подразумевалось мною ранее), то свои действия он должен осуществлять под контролем ответственного за объект (в данном случае того самого единственного пользователя).

Если тот самый единственный пользователь и только он имеет право открывать данное режимное помещение, то может быть.

Но на практике такое бывает?

На сколько мне известно всегда есть второй человек, который заменяет первого на время отпуска, на время экстренных ситуаций и т.д. разве не так?

Ответ Mike:
1. В форуме не может быть представлено официальное мнение государственного органа, т.к. он (форум) не может являться источником сведений, имеющих юридическую силу.
2. В отличие от неформального формальное общение - это в служебном помещении соответствующих органов.
3.Категоричность высказываний должна предостеречь начинающих или ограниченных в знаниях участников форума в такой ответственной области как защита ГТ.
4. Вы ссылаетесь на информацию 2004 года. Во-первых она в настоящее время не актуальна. Второе - это частное мнение сотрудника ФСТЭК, а не позиция службы. Там тоже работают не гении. Причем именно в этот период (2001-2003) пришло много офицеров с войск, компетентность которых вызывала много вопросов.
5. Рот никому не затыкаю, а разъясняю, что некоторые высказывания могут ввести в заблуждение. Какие цели преследуют авторы остается на совести авторов.

1. Абсолютно согласен.
2. Вижу противоречие с Вашим предыдущим высказыванием:
"Уважаемые господа Вы спорите друг с другом и иными участниками дискуссии.
В данном случае это носит характер неформального общения."
3. Ограниченность знаний нужно устранять изучением НМД и обучением на специализированных курсах.
4. Почему меня должны интересовать проблемы кадрового состава ФСТЭК (думаю, они всегда существуют) и я должен ставить под сомнения слова зам. нач. ее подразделения, который выступает с лекцией на курсах повышения квалификации? По поводу актуальности: разве с 2004 года введены новые НМД, разъясняющие обсуждаемый вопрос?

Касательно проверок:
мне известны только 3 категории нарушений. При проверках любителями безоговорочно "брать под козырек" выполнение любых требований (несмотря на обоснованность их выполнения), отсутствие программной СЗИ НСД в рассматриваемых условиях (то есть при создании условий не создающих предпосылок утечке) может являться нарушением 3 категории. Объектов, не имеющих нарушений данной категории, думаю, вообще найдется немного. По ДЕЙСТВУЮЩИМ НМД в данной области упоминаемые меры (Представление или административный протокол) обнаружить не удалось.

Коллеги, я немножко запуталась в том, какой вопрос в этом обсуждении центральный, поэтому извините, если вытуплю не туда. Но. Если нет СЗИ, которое проводило бы контроль целостности аппаратуры, то как добиться того, что не добавят какое-то активное устройство, которое начнет что-нибудь плохое делать, когда съемный диск вставят на место?
Прошу прощения, если это тоже из разряда "кругом враги", но, с другой стороны, если кругом друзья, то зачем аттестоваться?

Ответ Mike:
4. На лекции преподователь высказывает мнение. Оно может быть подтверждено ссылкой на НРД или неподтверждено (тогда это его личное мнение).
Официальная точка зрения - это документ, подписанный руководством ФСТЭК. Подобный документ я получил в свое время на запрос как раз по системам гарантированного уничтожения.
Проверки органов ФСТЭК, ФСБ и Прокуратуры предусматривают выдачу Представления или составления административного протокола в соответствии с Кодексом об административных правонарушениях (нарушения 1 категории). В случае нарушений 2 и 3 категории возможна уголовная ответственность.
Хотите подробностей - пишите на e-mail.
Ответ Светлане:
Центральный вопрос - методы и средства защиты ГТ и их соответствие требованиям НРД.

"В случае нарушений 2 и 3 категории возможна уголовная ответственность."
Видимо, мы говорим о разных категориях...
За 3 категорию уголовная ответственность? Приведите, пожалуйста, конкретную ссылку на НМД.