|
|
@@ -18,13 +18,10 @@
|
|
|
|
|
|
## 1. Введение
|
|
|
|
|
|
-В современном мире организации используют информационные системы для хранения, обработки и передачи различных сведений. При этом часть информации может иметь ограниченный доступ и нуждаться в специальной защите. Для обеспечения безопасности необходимо не только устанавливать средства защиты, но и проверять, насколько эффективно они работают.
|
|
|
-
|
|
|
+ В современном мире организации используют информационные системы для хранения, обработки и передачи различных сведений. При этом часть информации может иметь ограниченный доступ и нуждаться в специальной защите. Для обеспечения безопасности необходимо не только устанавливать средства защиты, но и проверять, насколько эффективно они работают.
|
|
|
Одним из способов такой проверки является аттестация объектов информатизации по требованиям безопасности информации.
|
|
|
-
|
|
|
-Аттестация позволяет установить, соответствует ли объект информатизации требованиям нормативных документов в области защиты информации. В ходе процедуры специалисты изучают документацию, проверяют организационные и технические меры защиты, проводят испытания и оценивают результаты.
|
|
|
-
|
|
|
-Актуальность данной темы связана с необходимостью предотвращения утечек информации, несанкционированного доступа, нарушения целостности данных и других инцидентов информационной безопасности.
|
|
|
+ Аттестация позволяет установить, соответствует ли объект информатизации требованиям нормативных документов в области защиты информации. В ходе процедуры специалисты изучают документацию, проверяют организационные и технические меры защиты, проводят испытания и оценивают результаты.
|
|
|
+ Актуальность данной темы связана с необходимостью предотвращения утечек информации, несанкционированного доступа, нарушения целостности данных и других инцидентов информационной безопасности.
|
|
|
|
|
|
**Цель доклада** — рассмотреть понятие аттестации объектов информатизации, её основные задачи, порядок проведения и требования к оформлению результатов.
|
|
|
|
|
|
@@ -58,9 +55,7 @@
|
|
|
### 2.2. Что такое аттестация
|
|
|
|
|
|
**Аттестация объекта информатизации** — это комплекс организационно-технических мероприятий, в ходе которых проверяется соответствие объекта требованиям безопасности информации.
|
|
|
-
|
|
|
-Результаты проверки оформляются документально. При положительном результате выдаётся **аттестат соответствия**, подтверждающий соответствие объекта установленным требованиям в пределах условий, указанных в документе.
|
|
|
-
|
|
|
+Результаты проверки оформляются документально. При положительном результате выдаётся *аттестат соответствия*, подтверждающий соответствие объекта установленным требованиям в пределах условий, указанных в документе.
|
|
|
Аттестация предусматривает проверку не только технических средств защиты, но и организации работы с информацией, эксплуатационной документации, подготовки персонала и соблюдения правил безопасности.
|
|
|
|
|
|
### 2.3. Основные цели аттестации
|
|
|
@@ -77,19 +72,13 @@
|
|
|
|
|
|
## 3. Нормативно-правовая основа аттестации
|
|
|
|
|
|
-Аттестация объектов информатизации проводится с учётом законодательства Российской Федерации и нормативных документов в области технической защиты информации.
|
|
|
-
|
|
|
-В предоставленном учебном материале рассматривается приказ ФСТЭК России от 29 апреля 2021 года № 77, утверждающий порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям защиты информации ограниченного доступа, не составляющей государственную тайну.
|
|
|
-
|
|
|
-При подготовке к реальной аттестации необходимо проверять актуальность нормативных документов и определять, какие именно требования применяются к конкретному объекту.
|
|
|
-
|
|
|
-Важную роль в этой области играет **Федеральная служба по техническому и экспортному контролю России (ФСТЭК России)**. Она выполняет функции в сфере технической защиты информации и участвует в организации системы аттестации в пределах установленных полномочий.
|
|
|
-
|
|
|
-Аттестация может быть обязательной или добровольной. Необходимость её проведения определяется назначением объекта, характером обрабатываемой информации и применимыми нормативными требованиями.
|
|
|
-
|
|
|
-В учебном материале среди случаев, для которых может требоваться аттестация, названы обработка сведений, составляющих государственную тайну, защита государственных информационных ресурсов и отдельные объекты критической информационной инфраструктуры.
|
|
|
-
|
|
|
-Для конкретной организации обязательность процедуры следует устанавливать на основании действующих нормативных правовых актов, а не только по общему перечню из учебного материала.
|
|
|
+ Аттестация объектов информатизации проводится с учётом законодательства Российской Федерации и нормативных документов в области технической защиты информации.
|
|
|
+ В предоставленном учебном материале рассматривается приказ ФСТЭК России от 29 апреля 2021 года № 77, утверждающий порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям защиты информации ограниченного доступа, не составляющей государственную тайну.
|
|
|
+ При подготовке к реальной аттестации необходимо проверять актуальность нормативных документов и определять, какие именно требования применяются к конкретному объекту.
|
|
|
+ Важную роль в этой области играет *Федеральная служба по техническому и экспортному контролю России (ФСТЭК России)*. Она выполняет функции в сфере технической защиты информации и участвует в организации системы аттестации в пределах установленных полномочий.
|
|
|
+ Аттестация может быть обязательной или добровольной. Необходимость её проведения определяется назначением объекта, характером обрабатываемой информации и применимыми нормативными требованиями.
|
|
|
+ В учебном материале среди случаев, для которых может требоваться аттестация, названы обработка сведений, составляющих государственную тайну, защита государственных информационных ресурсов и отдельные объекты критической информационной инфраструктуры.
|
|
|
+ Для конкретной организации обязательность процедуры следует устанавливать на основании действующих нормативных правовых актов, а не только по общему перечню из учебного материала.
|
|
|
|
|
|
## 4. Основные требования безопасности информации
|
|
|
|
|
|
@@ -113,9 +102,7 @@
|
|
|
### 4.2. Защита от утечки информации
|
|
|
|
|
|
Утечка информации может произойти вследствие неправильной организации работы, недостаточной защиты оборудования или использования незащищённых каналов передачи данных.
|
|
|
-
|
|
|
Поэтому при аттестации рассматриваются способы обработки информации, размещение оборудования, организация контролируемой зоны и применяемые средства защиты.
|
|
|
-
|
|
|
В учебном материале отдельно упоминается защита от утечки информации через побочные электромагнитные излучения и наводки (ПЭМИН). Необходимость конкретных мер определяется категорией объекта, характером защищаемой информации и действующими требованиями.
|
|
|
|
|
|
### 4.3. Защита от вредоносного программного обеспечения
|
|
|
@@ -134,7 +121,6 @@
|
|
|
### 4.4. Организационные меры защиты
|
|
|
|
|
|
Безопасность объекта зависит не только от оборудования и программ, но и от действий сотрудников.
|
|
|
-
|
|
|
Поэтому проверяются распределение обязанностей, наличие инструкций, порядок предоставления доступа, подготовка персонала и организация контроля за соблюдением требований безопасности.
|
|
|
|
|
|
## 5. Участники системы аттестации и их функции
|
|
|
@@ -171,7 +157,6 @@
|
|
|
### 5.3. Испытательные лаборатории
|
|
|
|
|
|
Испытательные лаборатории привлекаются в случаях, когда требуется проведение специальных исследований и испытаний средств защиты или технических средств.
|
|
|
-
|
|
|
Они выполняют испытания в пределах своей компетенции и оформляют соответствующие результаты.
|
|
|
|
|
|
### 5.4. Заявитель
|
|
|
@@ -204,44 +189,36 @@
|
|
|
### 6.1. Подготовка исходных данных
|
|
|
|
|
|
На начальном этапе собирают информацию об объекте, его назначении, структуре, составе оборудования, программном обеспечении и характере обрабатываемых сведений.
|
|
|
-
|
|
|
Также определяют особенности размещения объекта, наличие помещений с особыми требованиями и состав действующей системы защиты.
|
|
|
|
|
|
### 6.2. Предварительное ознакомление с объектом
|
|
|
|
|
|
Специалисты знакомятся с объектом, условиями его эксплуатации и организацией обработки информации.
|
|
|
-
|
|
|
Это позволяет определить особенности объекта и уточнить объём предстоящих проверок.
|
|
|
|
|
|
### 6.3. Экспертное обследование и анализ документации
|
|
|
На данном этапе изучаются документы, описывающие объект и применяемые меры защиты информации.
|
|
|
-
|
|
|
Проверяется соответствие документации установленным требованиям, а также согласованность фактической организации работы с представленными материалами.
|
|
|
|
|
|
### 6.4. Проведение испытаний
|
|
|
|
|
|
Испытания направлены на проверку эффективности средств и систем защиты информации.
|
|
|
-
|
|
|
В зависимости от объекта могут проводиться проверки технических средств, программных механизмов защиты, организации доступа и других предусмотренных требований.
|
|
|
-
|
|
|
Если для отдельных испытаний необходимы специальные приборы или лабораторные условия, привлекаются соответствующие специалисты и испытательные организации.
|
|
|
|
|
|
### 6.5. Комплексные испытания в условиях эксплуатации
|
|
|
|
|
|
Комплексные аттестационные испытания позволяют проверить работу объекта в реальных условиях эксплуатации.
|
|
|
-
|
|
|
При этом оценивается выполнение установленных требований на различных этапах обработки защищаемой информации, а также согласованность технических и организационных мер.
|
|
|
|
|
|
### 6.6. Анализ результатов
|
|
|
|
|
|
После проведения проверок специалисты анализируют полученные результаты, оформляют протоколы испытаний и готовят заключение.
|
|
|
-
|
|
|
Если обнаружены нарушения, в документах могут быть приведены рекомендации по их устранению и совершенствованию системы защиты.
|
|
|
|
|
|
### 6.7. Оформление результатов
|
|
|
|
|
|
При положительном заключении и соблюдении предусмотренного порядка оформляется аттестат соответствия.
|
|
|
-
|
|
|
Если требования не выполнены, необходимо устранить выявленные недостатки и действовать в соответствии с установленной процедурой.
|
|
|
|
|
|
### 6.8. Общая схема аттестации
|
|
|
@@ -287,7 +264,6 @@
|
|
|
### 7.1. Зачем нужна документация
|
|
|
|
|
|
Документы позволяют установить, как должен функционировать объект, какие меры защиты предусмотрены и кто отвечает за их реализацию.
|
|
|
-
|
|
|
Сопоставление документации с фактическим состоянием системы помогает выявить несоответствия и определить, какие изменения необходимо выполнить до завершения аттестации.
|
|
|
|
|
|
## 8. Аттестат соответствия и требования к эксплуатации объекта
|
|
|
@@ -295,9 +271,7 @@
|
|
|
### 8.1. Назначение аттестата соответствия
|
|
|
|
|
|
**Аттестат соответствия** — это документ, оформляемый по результатам аттестации и подтверждающий соответствие объекта установленным требованиям в пределах указанных условий.
|
|
|
-
|
|
|
Он фиксирует результаты проверки и определяет условия, при которых допускается эксплуатация объекта в соответствии с установленными требованиями.
|
|
|
-
|
|
|
Аттестат не означает, что объект больше не нуждается в защите. Безопасность необходимо поддерживать в течение всего периода эксплуатации.
|
|
|
|
|
|
### 8.2. Какие сведения указываются в аттестате
|
|
|
@@ -321,7 +295,6 @@
|
|
|
### 8.3. Поддержание безопасности после аттестации
|
|
|
|
|
|
После получения аттестата организация должна продолжать соблюдать установленные требования безопасности.
|
|
|
-
|
|
|
Особое внимание необходимо уделять изменениям, которые могут повлиять на защищённость объекта.
|
|
|
|
|
|
К таким изменениям могут относиться:
|
|
|
@@ -352,16 +325,12 @@
|
|
|
|
|
|
## 9. Заключение
|
|
|
|
|
|
-Аттестация объекта информатизации по требованиям безопасности информации представляет собой комплекс организационно-технических мероприятий, направленных на проверку соответствия объекта установленным требованиям защиты информации.
|
|
|
-
|
|
|
+ Аттестация объекта информатизации по требованиям безопасности информации представляет собой комплекс организационно-технических мероприятий, направленных на проверку соответствия объекта установленным требованиям защиты информации.
|
|
|
В ходе доклада были рассмотрены понятие объекта информатизации, цели аттестации, основные требования безопасности, функции участников процедуры, этапы проведения испытаний и назначение аттестата соответствия.
|
|
|
-
|
|
|
-Особое значение имеет комплексный подход к проверке. Для оценки защищённости недостаточно только установить программные или технические средства защиты. Необходимо также проверить документацию, организацию доступа, подготовку персонала и фактическое выполнение требований в условиях эксплуатации.
|
|
|
-Важную роль играет взаимодействие заявителя, органа по аттестации, испытательных лабораторий и уполномоченных государственных органов. Каждый участник выполняет собственные задачи, необходимые для объективной оценки объекта.
|
|
|
-
|
|
|
+ Особое значение имеет комплексный подход к проверке. Для оценки защищённости недостаточно только установить программные или технические средства защиты. Необходимо также проверить документацию, организацию доступа, подготовку персонала и фактическое выполнение требований в условиях эксплуатации.
|
|
|
+ Важную роль играет взаимодействие заявителя, органа по аттестации, испытательных лабораторий и уполномоченных государственных органов. Каждый участник выполняет собственные задачи, необходимые для объективной оценки объекта.
|
|
|
Получение аттестата соответствия подтверждает результаты проведённой проверки в пределах установленных условий, однако не отменяет необходимости дальнейшего контроля. Изменение оборудования, программного обеспечения или условий обработки информации может повлиять на уровень защищённости и потребовать дополнительных мероприятий.
|
|
|
-
|
|
|
-Таким образом, аттестация помогает организовать проверку эффективности системы защиты информации, выявить недостатки и подтвердить соответствие объекта применимым требованиям. Её результативность зависит от качества подготовки документации, полноты испытаний и соблюдения требований безопасности в течение всего периода эксплуатации объекта.
|
|
|
+ Таким образом, аттестация помогает организовать проверку эффективности системы защиты информации, выявить недостатки и подтвердить соответствие объекта применимым требованиям. Её результативность зависит от качества подготовки документации, полноты испытаний и соблюдения требований безопасности в течение всего периода эксплуатации объекта.
|
|
|
|
|
|
## 10. Список литературы и электронных ресурсов
|
|
|
|
