Проведение периодического контроля уровня защиты информации на аттестованном объекте информатизации, тестирование защищенного подключения к ресурсам ФИС ФРДО - Форум по вопросам информационной безопасности

*в сторону*
Если все так, то давайте все вместе дружно позовем дядю Прокурора!
Это так, в порядке предновогоднего настроения :)

Аналогичная ситуация, с этим же "голодным" поставщиком услуг "Спецоператор" и он же Аттестационный центр (atcenter.ru).
Если владелец объекте информатизации (ОИ) должен регулярно отчитываться перед ФСТЭК России о соответствии защиты объекта требованиям безопасности. Протоколы контроля защиты информации на аттестованном ОИ не реже одного раза в два года представляются владельцем ОИ в ФСТЭК России (территориальный орган ФСТЭК России).
Вопрос: Как и куда мы должны отправлять эти протоколы?

Мы год назад подключили АРМ к защищенной сети ФИС ФРДО, обратившись к "Спецоператору". Сейчас названивают и пытаются впарить свои услуги на сумму 40000 руб.
Услуги заключаются в продлении SeсretNet, т.к. лицензия на 1 год.
А так же услуги по проведению ежегодного контроля эффективности внедренных мер защиты информации на объектах информатизации по требованиям безопасности информации:

Проверка соответствия состава и программно-технических средств АС представленной документации;
Проверка выполнения требований Предписаний по эксплуатации;
Проверка работоспособности средств активной защиты информации и средств защиты информации от несанкционированного доступа и проведение корректировки настроек в соответствии с требованиями руководящих документов.
Проверка регистрации и учета различных событий средствами СЗИ от НСД, их соответствия требованиям РД к заявленному классу защищенности;
Проверка эффективности уничтожения информации на магнитных носителях средствами СЗИ от НСД;
Проверка обеспечения целостности программных средств СЗИ от НСД, а также неизменности программной среды;
Проверка отсутствия на объекте ВТ средств разработки и отладки программного обеспечения;
Проверка проведения периодического тестирования функций СЗИ от НСД;
Проверка используемых программных средств на наличие вирусов;
Проверка наличия средств восстановления как используемой программной среды и приложений, так и СЗИ НСД;
Проверка целостности СЗИ от НСД, в том числе проверка соответствия установленной версии ПО СЗИ;
Оценка эффективности утечки информации по каналам ПЭМИН;
Разработка отчетных документов по результатам контрольной проверки, внесение изменений в организационно-распорядительную и техническую документацию (подготовка и предоставление проектов документов), внесение изменения в технический паспорт объекта информатизации и предоставление отчетных документов.
По итогам проведенного контроля эффективности на каждый объект информатизации предоставляются заключения по результатам контрольной проверки и протоколы оценки эффективности. услуга периодического контроля эффективности реализованных мер защиты информации.

Можно ли это делать самим, если журналы исправно заполняются и в образовательной организации нет ни каких изменений (в отношении комиссий и ответственных)?

Добрый день, Похоже Вас разводят по стандартной схеме. Ежегодный контроль существовал до 2017 когда действовал СТР- 97 (СТР-К). Судя по остаточной информации Вас аттестовали по ублюдочной гибридной схеме а именно по СТР-К + № 21 раз имеется:
1. Проверка работоспособности средств активной защиты информации
2. Оценка эффективности утечки информации по каналам ПЭМИН
3. Предписание по эксплуатации
Если хотите отвязаться от таких "мошенников" необходима жалоба в ЦА, учтите только твердая Ваша позиция позволит им по шапке дать, а вам спокойно и дальше существовать.
Более подробно только через личную почту