Годовой контроль - Форум по вопросам информационной безопасности

Я не пытаюсь что-то доказать.
Мне не хотелось бы проводить контроль ежегодно и на всех объектах (потому как объектов очень много и контора наша на окладе, т.е. материальной заинтерисованности нет).
Хотелось бы, чтобы кто-нибудь доказал обратное.
Региональные регуляторы (ЮФО)сказали : "люминий" - ежегодный контроль. АС - 3 протокола и заключение, ВП - 2 протокола и заключение.
Кстати, еще есть СИРД - если без ПЭМИН, то протокол орг-тех и заключение, а с ПЭМИН - протоколы отрг-тех, ПЭМИН и заключение.
Те, кто имеет материальную заинтерисованность - просьба не беспокоить.

Для Mike.
По фразе "Контроль заключается в оценке выполнения требований нормативных документов организационно-технического характера, ...".
Давайте определимся, о каком виде контроля мы говорим (разовый, периодический, инструментальный, организационный, внутренний, с привлечением внешнего исполнителя и т.д. и т.п.). Если мы говорим о периодическом (полугодовой, годовой и т.д.) контроле эффективности принимаемых мер (средств) защиты, то сразу давайте определимся - каким пунктом какого документа предписывается проведение данного вида контроля и с какой периодичностью. Я хочу узнать, какой ещё пункт, кроме вышеупомянутого из 5 раздела СТР это предписывает? Что касается вопросов НСД, это определено в осенней инситрукции по РС, одобренной МВК по ЗГТ - раз в полгода, всё понятно основание есть, требование зафиксировано документом. Что касается периодического контроля ВП - нигде не нашёл. Конечно ответственный за ВП и начальник ОВТ могут и должны периодически делать оргпроверки состояния закреплённых за ними объектов с оформлением протоколов или актов о неизменности их состояния. Но это внутренние вопросы организации, не требующие привлечения сторонних ресурсов.
Что касается требований региональных регуляторов, если они доведены письменно - это одно, если устно - запросите письменно. На сайте ФСТЭК сейчас есть адрес электронной почты, по которому вы можете официально сделать запрос о правомерности такого толкования требований со стороны местного регулятора. Любое дополнительное требование - это деньги, поэтому оно должно быть законно. В центральном аппарате регулятора к этому относятся более трезво, а местных, не имеющих за своими плечами опыта в этом направлении хотя бы с десяток лет, зачастую несёт несколько не туда.