Использование САЗ при аттестации объектов по обработке конфид. информации (в том числе ПДн) - Форум по вопросам информационной безопасности

А для акустики, вообще бред получается если следовать букве закона, то для удовлетворения требований временных (пассивными методами) вообще бабок надо намеренно. Ни чего себе упростили :(

С акустикой хоть нормы дали на разборчивость, считайте ее :))

А еще можно взять нормы на "тихую речь" правда это как шепотом совещания :)))

Доброй ночи ;-)
Для Sir и sekira:
Я понял, да, "с разгону" влез с ГТ. Привычка :-)) Придётся освежить в памяти Приложения к СТРК. Но если там именно так, как я тут посмотрел, то это ещё больший бред, чем я думал. Пока от комментариев воздержусь, до выяснения вопроса. Жаль, что смогу сделать это только через неделю, поскольку всю последующую буду "натаскивать" народ из региональных контрольных управлений ФСТЭК. На свою и вашу голову ;-)))
Вот разъедутся по округам - начнут всех "курощать"... Теперь они "вооружены" кроме "Шёпот" ещё и "Сигурд" и "Вепрь".
Заодно посмотрю как подготовлены вообще, тоже вопрос неординарный, всяко бывает. Опять же, узнаю в каком окончательном виде к ним из Воронежа приехали методики применения наших систем именно для контроля уже аттестованых объектов, первоначальные варианты я правил на 60-85%. Но "финишных" так и не видел.
Кстати я просчитывал, давно, правда. "Нормы" по акустике для КИ оказались, в "приведённом" состоянии, более жёсткими, чем для самой верхней ГТ. Так что полностью согласен, "упростили" :-)))) О покойных плохо не принято, но Женьке Кученкову, будь он жив, я бы морду бы набил! Хороший мужик и грамотный инженер, но как он такое умудрился написать!!!???? Мямлил мне он на одной из последних встречь что-то такое, что, мол, заставили... Хрена, попробовал бы кто Сашку Стрелкова заставить, где бы его потом искали!!!! Думать надо, не о "моменте", а о последствиях!
А, ладно, проехали, уходят соратники.... Теперь уже вам драться, спорить, доказывать...
Чак

День добрый! Спустя 3 года, решил поднять тему.
Так полагаю вопрос касаемо оценки эффективности САЗ в ЗП, так и не был четко решен?
У нас же еще вопрос следующего характера. В нашей организации имеется аттестованное ЗП, со средствами защиты. Проводивший аттестацию орган, протокол оценки средств защиты, делал в соответствии с НМД АРР, как для 3 категории.
Так вот, прошел год, в СТР-К, в п.3.24, сказано, о необходимости проводить периодический контроль состояния защиты информации при этом контроль осуществляется службой безопасности организации. Также в этом пункте указано, что федеральные органы контроля состояние защиты информации проводят не реже 1 раза в 2 года и заключается в оценки... и перечислено три пункта.
В п.3.25 сказано, что при контроле могут применяться "Временные методики оценки защищенности...". Но нигде не написано, что включает в себя этот контроль? Достаточно ли будет обеспечить выполнение трех ппунктов из п.3.24 и внести запись в тех.паспорт? Или необходимо проводить замеры ЗП? Готовить протокол контроля?

ps. Наша организация имеет лицензию на ТЗКИ.

"Так вот, прошел год, в СТР-К, в п.3.24, сказано"

Если вы коммерческая организация СТР-К вам не указ! Хотите делайте контроль хотите не делайте. Можете и аттестовать через 3 года сами. Можете сейчас сами переаттестовать СРАЗУ! Еще на 3 года.
Бардак с аттестацие в КИ. Нет правил нет НМД. Положение по аттестации только для органов по аттестации!
Есть ли в аттестате слова про контроль? От этого танцуйте. Кто выдал аттестат тот за него и отвечает.

"Но нигде не написано, что включает в себя этот контроль? Достаточно ли будет обеспечить выполнение трех ппунктов из п.3.24 и внести запись в тех.паспорт? Или необходимо проводить замеры ЗП? Готовить протокол контроля?"

Все что вы спросили БЕЛОЕ ПЯТНО НМД!!!
По уму официальное письмо во ФСТЭк.
Не по уму следующие варианты на ваш выбор все неправильные или все правильные (так как белое пятно НМД).
- Не делать контроль вообще
- Делать контроль без измерений.
- Делать контроль с измерениями только звукоизоляции. Про САЗ писать стоит мол и ладно.
- Делать контроль с измерениями и оценкой САЗ ссылаясь в протоколе на открытые источники оценки разборчивости и нормы во временных методиках.

Я за последний вариант.

Ссылатся на НМД вообще не вариант! Я бы еще и спросил у ФСТЭК что это за лицензиат оценивал по методикам ГТ КИ ЗП!

"Если вы коммерческая организация СТР-К вам не указ"

Забыл уточнить, мы гос учреждение.
В аттестате, про контроль не единого слова. Есть памятка в тех.паспорте, в которой сказано, что периодический контроль эффективности мер защиты, осуществляется ответственными за защиту информации.

"Делать контроль с измерениями и оценкой САЗ ссылаясь в протоколе на открытые источники оценки разборчивости и нормы во временных методиках."

Не подскажите эти источники?

С ЗП более менее понятно, но у нас еще есть аттестованная АС, в которой установлен ГШ) Тут похоже точно контроль придется без замеров проводить?

Во ФСТЭК все же надо будет писать.

Не майтесь ерундой и не слушайте типа "экспертов с форума". Обратитесь в аттестовавшую организацию. Они все сделают как надо.

Покровский Н.Б. Расчет и измерение разборчивости речи 1962 г.

"но у нас еще есть аттестованная АС, в которой установлен ГШ) Тут похоже точно контроль придется без замеров проводить?"

Ну тут только если контроль по типу "стоит СЗИ шумит на полную катушку сертифицированное и все путем".

Напишите в центральный ФСТЭК. Очень интересно что они вам ответят. И еще не забудте указать организацию которая вам назащищала ваши объекты.

"Они все сделают как надо".

А можно узнать у профессионалов ТехЗИ. Что они сделают как надо!? Как проведут оценку защищенности объектов с учетом установленных средств активной защиты в ЗП и АС. И на основании каких документов ФСТЭК (пункты, названия).
А то ведь неграмотные мы, вот только на форумах и можем узнавать!!

"..Обратитесь в аттестовавшую организацию"

Зачем нам обращаться в организацию, лишние финансовые затраты, и мы имеем лицензию на ТЗКИ, значит может сделать контроль сами. Тем более, что в стр-к сказано что контроль осуществляется службой безопасности организации (т.е. лицензия вообще не нужна???). Даже, если обратимся, сделают они нам контроль, снова по ГТ - по-моему просто развод на деньги.