Что нужно учитывать при проведении аттестации информационных систем

• Екатерина Сюртукова представляет вебинар по аттестации информационных систем.  

• Андрей Семенов, заместитель руководителя отдела аттестации, будет основным спикером.  

• Объект информатизации - совокупность систем, средств и помещения для обработки информации.  

• Аттестация объектов информатизации - комплекс организационных и технических мероприятий для подтверждения реализации требований по защите информации.  

• Обязательной аттестации подлежат государственные информационные системы и помещения для конфиденциальных переговоров.  

• Все прочие информационные системы проходят добровольную аттестацию.  

• Постановление правительства 676 о требованиях к жизненным циклам информационных систем.  

• Приказ 77 о порядке аттестации объектов информатизации.  

• Приказ 17 о реализации детальных мер государственных информационных систем.  

• ГОСТы 25 и 26 о общем положении и программе методики испытаний.  

• Определяются термины и понятия, связанные с аттестацией объектов информатизации.  

• Описывается порядок проведения аттестации и требования к независимым экспертам.  

• Определяются требования по защите информации, проверяется комплект документации и реальные условия эксплуатации.  

• Упоминается важность документарной проверки и проверки реальных условий эксплуатации.  

• Упоминаются требования к документам, которые должны соответствовать ГОСТам и модели угроз.  

• Обращается внимание на необходимость согласования технического задания и модели угроз на этапе создания информационной системы.  

• Проверка требований к сторонним компонентам, включая наличие вип-клиента, сертифицированного антивируса, лицензионности операционной системы и т.д.  

• Отсутствие явных требований в 77-м порядке, но проверка на основе документации на сторонние средства защиты информации.  

• Отсутствие сертифицированных средств защиты на рынке, необходимость проведения испытаний для закрытия угроз контейнерризации.  

• Рекомендация стека по закрытию угроз контейнерризации и обоснование их неактуальности.  

• Уязвимости могут присутствовать в системе, если они не влияют на функциональность и не могут быть устранены.  

• Уязвимости могут быть устранены с помощью компенсационных мер, таких как установка патчей и использование сертифицированных средств защиты.  

• Старые сертификаты могут быть использованы, если они установлены до 1 января 2021 года и не имеют уровня доверия.  

• Обновление безопасности может быть установлено на сертифицированные средства защиты, если это повышает функциональность и устраняет уязвимости.  

• В новом порядке аттестации объектов информатизации, утвержденном в 2021 году, есть ряд положительных моментов, таких как исключение необходимости указания элементовых номеров, серийных номеров и лицензионных номеров на технические программные средства.  

• Однако, есть и ряд нюансов, таких как невозможность заполнения некоторых полей на стадии аттестации, если соответствующие документы еще не получены.  

• После завершения аттестации, проводится проверка реальных условий эксплуатации на объекте, где используются технические программные средства.  

• В процессе проверки могут быть выявлены несоответствия между документацией и реальными условиями эксплуатации, которые должны быть устранены.  

• После завершения проверки, выдается аттестат соответствия требованиям защиты информации.  

• В новом порядке, аттестат соответствия является бессрочным для всех типов объектов информатизации, включая помещения.  

• После завершения аттестации, орган аттестации предоставляет владельцу объекта информатизации комплект документов, включая протокол заключения и технический паспорт.  

• Рекомендуется передавать документы третьей стороне, если это необходимо, с разрешения владельца объекта информатизации.  

• В видео обсуждаются нюансы аттестации и управления защитой информации, включая предоставление документов в центральный аппарат и территориальные органы, а также проведение периодического контроля и повторной аттестации.  

• Описываются различные процедуры и требования, связанные с аттестацией, включая проведение проверок и предоставление документов.  

• В чате задается множество вопросов, на которые отвечают эксперты.  

• Обсуждаются различные аспекты аттестации, включая легальный способ организации работы пользователей из дома, аттестацию типовых сегментов и аттестацию типовых сегментов.  

• Также обсуждаются вопросы, связанные с аттестацией объектов автоматизации, которые не являются государственными информационными системами, и возможностью проведения анализа уязвимости на этапе аттестации.  

• В конце видео эксперты отвечают на вопросы о возможности самостоятельной аттестации и о том, может ли орган государственной власти аттестовать подведомственные государственные казенные учреждения без лицензии на проведение аттестации.  

• Если меняются средства обработки или защиты, то аттестат соответствия подлежит пересмотру.  

• Если меняется адрес объекта, то аттестат также требует пересмотра.  

• Если изначально в аттестате был указан этаж, то при изменении адреса аттестат не требует пересмотра.  

• Если операционная система не сертифицирована, то можно использовать любые системы, но рекомендуется использовать сертифицированные.  

• Если операционная система сертифицирована, то можно использовать ее без дополнительных средств защиты.  

• При аттестации информационных систем, меры защиты информации могут быть вынесены в зону ответственности СОД.  

• При аттестации функциональных систем, меры защиты информации не проверяются, а только удостоверяется наличие СОД.  

• Аттестация объектов в Киеве идентична аттестации объектов в других регионах.  

• В случае использования веб-ресурсов, проверка мер идентификации и управления доступом может быть проведена на субд.  

• Изменения могут быть внесены в техпаспорт с новыми датами и номерами или с использованием листа регистрации изменений.  

• Если объект аттестован до 77-го положения, то в 2023 году необходимо переаттестовывать.  

• Обсуждаются вопросы о том, как соотносится разрешение на добровольную аттестацию с требованиями государственной системы защиты информации и федеральных законов.  

• Упоминается, что аттестация может проводиться в форме оценки эффективности, а не только сертификации.  

• Обсуждается возможность аттестации пользовательского сегмента раньше, чем центрального, если они входят в состав одного аттестата.  

• Упоминается, что если лицензиат не проводит аттестацию за год, то нужно отправить отчет о выдаче нулевых аттестатов.  

• Обсуждаются вопросы о том, нужно ли проводить дополнительные аттестационные испытания при обновлении системы и о том, является ли переезд ГИС на другую виртуальную машину основанием для повторной аттестации.  

• Обсуждается, что обязательная аттестация может быть проведена только для объектов, которые подлежат обязательной аттестации.  

• Упоминается, что для сертификации не требуется наличие отечественного сертификата, если мера защиты информации не реализует определенные функции.  

• В видео обсуждается вопрос о необходимости представления пометки ограничения доступа на аттестационных документах.  

• Если объект автоматизации содержит информацию, которая может быть чувствительной для автоматизации, то такая пометка может быть включена в состав средств защиты информации.  

• Если режим коммерческой тайны не введен, то можно обойтись грифом "для диагностики".  

• Переаттестация и дополнительные аттестационные испытания имеют незначительные различия.  

• При переаттестации в стек досылаются документы, затронутые аттестационными испытаниями, а при повторных испытаниях - полный комплект документов.  

• Организаторы благодарят участников за активное участие и большое количество вопросов.  

• Планируется провести еще одно мероприятие для обсуждения темы аттестации.  

• Все вопросы, на которые не успели ответить, будут разосланы в ближайшие дни.