Аттестат аккредитации - Форум по вопросам информационной безопасности

Граждан(ину/ке) Некто.

Хорошо. Ваше замечание по поводу "видел/имею" приму к сведению. Во множественном числе говорю потому, что представляю в данной ветке форума не себя лично, а организацию ИЦ ВЫБОР. В отличии от Вас, г. Некто, я свои данные не особо скрываю и если вы нашли на просторах Интернета сведения о компании, это значит что мы (организация) ведём честную и открытую игру, а не "шхеримся" за погонялами без адресной принадлежности.
Во ФСТЭК письмо уйдет в ближайшее время и ответ будет опубликован здесь, на форуме. В перечисленных Вами грехах я вас, г. Некто, не обвинял. Не надо зря нервничать. Да и какая Вам разница? Вы же Некто, почти "никто", ник без лица, тень ... чуть не сказал отца Гамлета.
Ладно. Шутки в сторону. Вопрос пока "завис" и как я понимаю, никто тут компетентно не ответит. Спрашивал я не из праздного любопытсва, получение лицензии ТЗКИ/СЗКИ не за горами. Вместе с нами в городе получают подобные лицензии ещё несколько юридических лиц и никто не знает как быть с аккредитацией по конфиденциалке. Вот и прошу поделиться РЕАЛЬНЫМ опытом.

P.S.: Если кто-то усмотрел в моём письме больше чем я хотел сказать, значет у этого кого-то слишком бурная фантазия.

"Для аттестации объектов информатизации на соответствие требованиям по защите конфиденциальной информации аттестат аккредитации не требуется"

Письмо ФСТЭК не панацея и не законный акт!!! По ведомству должен быть внятный документ дающий право лицензиату давать аттестаты соответствия на ОИ по КИ!! Такого документа нет!!! Есть только Положение по аттестации объектов информатизации и ничего другого! А там четко написано что аттестаты выдает орган по аттестации ! И ничего другого! Изменений в положение небыло! Так что если где то можно то это все противозаконно, если ФСТЭК поощряет то как говорят французы"сильву пле"
А ответа по поводу моего вопроса я так и не услышал :((

"никто не знает как быть с аккредитацией по конфиденциалке"

Почему не знаеют - знают становится органом атестации по всем имеющимся на данный момент правилам! Нет такого понятия как орган по аттестации по гостайне или конфиденциалке есть просто орган по аттестации и все тут (понятно что неувязочка что действует он только на основании лицензии ФСТЭК на гостайну) другого порядка узаконненого пока нет !

Ну ладно. "Положение ..." читано-перечитано во всех направлениях. Если опустить п.п. 1.2 и 1.5, то можно предположить, что и по "конфи" требования к преденденту на статус органа по аттестации будут аналогичными. Значит <п.1.9 ... Правила аккредитации определяются действующим в системе "Положением об аккредитации испытательных лабораторий и органов по сертификации средств защиты информации по требованиям безопасности информации">. В этом есть большое "НО": "Настоящее Положение устанавливает основные принципы аккредитации юридических лиц - предприятий, организаций и учреждений (далее предприятий) в качестве испытательных лабораторий и органов по сертификации средств защиты информации в системе сертификации средств защиты информации по требованиям безопасности информации.
". Таким образом, в "Положении об аккредитации ..." говорится только про органы сертификации СРЕДСТВ ЗАЩИТЫ и нигде не сказано про автоматизированные или информационные системы. Небольшую и весьма сомнительную лазейку даёт "Типовое положение об органе по сертификации ...", а именно: "1.1. Настоящее Типовое положение устанавливает общие требования к органу по сертификации средств обработки и передачи информации, средств защиты и контроля защищенности информации (далее продукции) по требованиям безопасности информации, его функции, права, обязанности и ответственность, правила оплаты работ, выполняемых органом по сертификации". Если под "средствами обработки" понимать АС/ИС.
Есть еще ПП от 24 февраля 2009 г. N 163 "Об аккредитации органов ..."(в ред. Постановления Правительства РФ от 17.06.2010 N 455). Мне кажется (может и креститься надо), что данное положение имеет более высокий статус, чем ведомственные инструкции. Ели это так, то вообще ... тапки ...
Пункт 5 вызывает состояние лёгкой задумчивости ...

Приношу извинения почтенной публике за допущенные опечатки и "кривой" стиль поста № 23820.

В чем заключаются тапки?

Сергей (aka Угрюмый), ИЦ ВЫБОР| 23785
Эко вас разобрало :)
Неужто обиделись?
На этом форуме достаточно очень компетентных специалистов не афиширующих ни свои имена ни места работы. Это не мешает им давать толковые и очень ценные рекомендации тем, кто здесь задает вопросы.

Для sekira
Ваш задор радует.
Для того, чтобы добавить жару в ваши зажигательные речи, предлагаю привести здесь ссылку на нормативно-правовой акт, которым введено понятие "орган по аттестации объектов информатизации"

Автору: Некто | 23829
По поводу "разобрало"... нет, не особенно. Обижаться я перестал больше 20 лет назад, будучи старлеем... на обиженных Вы знаете что делают. В компетентности участников форума я и не сомневался. Замечание было сделано по поводу ведения обсуждения, а именно указано на необходимость подтверждать слова аргументами.
Ну и по предыдущему посту: "в чём тапки".
<<
5. Заявитель должен соответствовать следующим критериям аккредитации:
а) наличие разработанной и внедренной системы качества в области деятельности, в отношении которой осуществляется аккредитация, включая наличие руководства по качеству, а также системы учета и документирования результатов выполнения работ по подтверждению соответствия, в том числе утвержденных руководителем органа по сертификации или испытательной лаборатории (центра) правил организации делопроизводства, ведения архива по сертификации, исследований (испытаний) (с указанием сроков хранения дел), которые должны содержать документы, касающиеся работ, выполненных при сертификации, испытаниях;
(в ред. Постановления Правительства РФ от 17.06.2010 N 455)

б) наличие необходимых для осуществления деятельности помещений, оборудования и иных материальных ресурсов;

в) наличие не менее 3 специалистов, имеющих высшее профессиональное образование, подтвержденное документом государственного образца, и не менее 3 лет стажа практической работы в области аккредитации, указанной заявителем в заявлении об аккредитации;

г) наличие официально изданных действующих нормативных правовых актов, документов в области стандартизации, принятых на основе международных норм, устанавливающих требования к объектам подтверждения соответствия;
(пп. "г" в ред. Постановления Правительства РФ от 17.06.2010 N 455)

д) наличие утвержденных в соответствии с законодательством Российской Федерации о техническом регулировании и обеспечении единства измерений методов и правил сертификации, исследований (испытаний) и измерений.

В требованиях по лицензированию числятся ДВА специалиста, а тут подавай уже ТРОИХ, да со стажем. Я что, их рисую ? Да и проблема это в Смоленске, все приличные молодые специалисты в Москву рвутся, а моё поколение разбежалось ещё раньше...

Всем доброго времени суток :)
Коллеги, я СИ-шник и им помру! Занимаюсь этим с 1973 года...
Но вот хоть убейте, ни разу лаборатории, в которых я работал и, порою - создавал, не оформляли никакого аттестата аккредитации!!! Зато нонешний мой отдел, исполняющий (в числе многого другого) функции ИСПЫТАТЕЛЬНОЙ ЛАБОРАТОРИИ "выполняющий работы по подтверждению соответствия..." такой аттестат оформлял, подтверждал и т.д.
Прочитав посты, не могу не согласится с теми, кто утверждает, что АТТЕСТАТ АККРЕДИТАЦИИ есть часть системы СЕРТИФИКАЦИИ, но никак не защиты или аттестации ОИ. Это просто непересекающиеся области.
Таким образом этот аттестат для АТТЕСТАЦИИ ОИ (хоть по ГТ, хоть по "конфе", хоть по ПД) - никому не нужен и требовать его наличия именно в таком контексте может только "ооооо-чень большой специалист" ;-)
Чак

Chechaco, тут ребята упорные и упертые сидят :) Не щадя себя и других катают камень в горку. Докатят ли?
Вы все ж немного не правы: "орган по аттестации объектов информатизации" был задуман и внедрен хорошо известными вам руководителями из системы Гостехкомиссии. Замысливалось, что будет это частью системы сертификации. И Положение соответствующее разработали и ввели (тут о нем уже не раз упоминалось). С соответствующей процедурой аккредитации. Только было это во времена, когда о конфиденциальной информации еще речи не было, а от утечки по ТКУИ защищалась только ГТ. Когда стали выстраивать систему защиты КИ, то поняли, что не стоит огород городить - себе дороже выйдет.
Если бы некоторые не ленились почитать, что на эту тему в других ветках не раз писалось на эту тему, может и не тратили бы время на изучение документов, не имеющих отношение к делу.
Ну правда есть еще sekira . Он похоже в органе по аттестации работает. И с энергией, достойной лучшего применения, отстаивает исключительное право ОА на аттестацию объектов информатизации, предназначенных для работы с КИ :)