Вывод из эксплуатации ОИ - Форум по вопросам информационной безопасности

Sekira,
Получается, что нет никаких нормативных документов, которые предписывают вывод из эксплуатации ВП, если аттестат еще действует, но не проводится ежегодный контроль эффективности?

Действующих пока нет. Лишь несколько косвенных фраз в Положении по аттестации ОИ.

sekira, спасибо за информацию! оперативно и по делу. Благодарю.

Антон | 70882
Только будьте готовы объясняться с контролирующими органами, когда они будут Вам выписывать нарушение 1 или 2 категории, если Вы проводили закрытые совещания в помещении, не прошедшем ежегодный контроль.

Евгений а где такое написано? ВП не прошедшем ежегодный контроль +совещания в нем = нарушение 1 или 2 категории.

Нарушены условия эксплуатации, в части периодического контроля. Отсутствие документального подтверждения эффективности системы защиты, а если система не эффективна и в этом помещении проводятся закрытые совещания, то создаются предпосылки к утечке, либо еще хуже, происходит утечка сведений. Без бумажки у нас никуда.

Отсутствие документального подтверждения эффективности системы защиты = нарушение 1 или 2 категории?

а если система не эффективна= 2 категория
происходит утечка сведений = 1 категория

Написано в ППр 912-51. Вот я и спросил где нет КП ВП = 1, 2? По ППр 912-51 - 3!

Хрен редьки не слаще. По совокупности 3 кат. могут и 2 впаять. А уж накопать пару-тройку нарушений 3 кат. - это регулятор любит и умеет. Какой смысл подставлять самих себя?
По теме. Ежели нет возможности периодический контроль заказывать, то можно и своими силами, опираясь на руководства по экслуатации САЗ и доп. инструкции, в которых прописан порядок работы и проверки смонтированной САЗ. Таким образом, раз в год, комиссионно фиксируется отсутствие изменений в структуре, составе и проч. по ВП + проверяется работоспособность (не эффективность!) САЗ и целостность ее настроек (желательно, по пломбам, которые, желательно, поставить сразу после монтажа, ага) + отсутствие новых явных каналов утечки (к примеру, дырок в стенах и окнах ВП, ага) и новых "ближних" нарушителей (к примеру, заселение товарищей из зарубежья в соседнее помещение)...
Конечно, это все кустарщина. И регулятора может не впечатлить. Но это много лучше, чем ничего. Потому как за "ничего" впаяют обязательно, а вот проделанную работу уже можно оценивать по определенной шкале...
*в сторону* и вообще, все вышеперечисленные мероприятия как бы положено всегда производить перед началом совещаний. Вот и вариант - ведение протокола по контролю ВП и САЗ, на совокупности которых можно потом строить акт ежегодной проверки...

"Ежели нет возможности периодический контроль заказывать, то можно и своими силами, опираясь на руководства по экслуатации САЗ и доп. инструкции, в которых прописан порядок работы и проверки смонтированной САЗ"
Без аппаратуры этого не сделать!!

"проверяется работоспособность (не эффективность!) "
Если СЗИ не эффективно то и нет толку от его работоспособности.

to sekira
При всем уважении, но вы вначале смысл сообщения уловите, а потом уже пишите про инструм.контроль и толк... Ежу понятно, что без инструменталки ничего не докажешь. Аналогично и с проверкой эффективности. Но для конечного эксплуатанта перед регулятором зачастую ситуация "Ничего не знаю, ничего не трогал, а на контроль денег нет" != ситуации "Проверяю каждый раз, все работает как было при аттестации - остальное проверить смогу, как деньги появятся"...