Текст доклада

Лекции/2.6.50_Аттестация_объектов_информатизации/fhvb/readme.md

@@ -0,0 +1,157 @@
+# Аттестация объектов информатизации
+
+## Введение
+
+Современная организация практически любого масштаба и профиля немыслима без информационных систем: ведение бухгалтерского учёта, документооборот, управление производственными и технологическими процессами, хранение персональных данных. Значительная часть этой информации имеет ограниченный доступ — персональные данные, коммерческая тайна, сведения о критической инфраструктуре, а в отдельных случаях и государственная тайна. Утечка или искажение такой информации способна нанести владельцу прямой ущерб, а в ряде случаев — угрозу жизни людей и безопасности государства.
+
+Аттестация объектов информатизации — это установленная российским законодательством процедура оценки соответствия, в ходе которой официально подтверждается: объект информатизации (система, сеть, помещение) в реальных условиях эксплуатации реализует комплекс мер защиты информации на требуемом уровне. Аттестация является обязательным этапом перед началом обработки защищаемой информации и фактически служит «паспортом безопасности» объекта.
+
+Цель настоящего доклада — рассмотреть понятие, нормативную базу, порядок организации и проведения аттестации объектов информатизации, а также её роль в общей системе обеспечения информационной безопасности.
+
+## 1. Понятие и сущность аттестации
+
+**Объект информатизации (ОИ)** — совокупность содержащейся в нём информации со средствами её обработки (средствами вычислительной техники, связи), используемой в интересах пользователя. К объектам информатизации относятся:
+
+- информационные системы (государственные, муниципальные, коммерческие);
+- автоматизированные системы управления (АСУ) производственными и технологическими процессами;
+- защищаемые помещения, предназначенные для ведения конфиденциальных переговоров;
+- вычислительные сети, отдельные автоматизированные рабочие места;
+- технические средства обработки информации.
+
+**Аттестация объекта информатизации** — комплекс организационных и технических мероприятий и работ (аттестационных испытаний), в результате которых подтверждается соответствие объекта информатизации требованиям по защите информации в условиях его эксплуатации.
+
+Иными словами, аттестация отвечает на вопрос: *«Готов ли конкретный объект в его реальной конфигурации, на реальном месте размещения, с реальными персоналом и регламентами безопасно обрабатывать информацию заданного уровня конфиденциальности?»* Ответ фиксируется в официальном документе — **аттестате соответствия**.
+
+Принципиально важный момент: аттестация проводится **после** создания и отладки системы защиты, но **до** начала обработки защищаемой информации. Наличие аттестата даёт право обрабатывать информацию с тем уровнем конфиденциальности и на тот срок, которые указаны в документе.
+
+Аттестацию следует отличать от смежных процедур:
+
+- **категорирование** — предварительная классификация объекта (класс защищённости ИС, уровень защищённости персональных данных, категория значимого объекта КИИ), определяющая, каким требованиям должна соответствовать защита;
+- **сертификация средств защиты информации (СЗИ)** — оценка соответствия отдельных продуктов, а не объекта в целом;
+- **аудит / анализ защищённости** — консультативная или договорная процедура без юридической силы аттестата.
+
+## 2. Нормативная база
+
+Система аттестации в России опирается на следующие основные документы:
+
+| Документ | Назначение |
+|---|---|
+| Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» | Общие принципы защиты информации |
+| Федеральный закон № 152-ФЗ «О персональных данных» | Требования к обработке персональных данных |
+| Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» | Обязанности субъектов КИИ, включая аттестацию значимых объектов |
+| Закон РФ № 5485-1 «О государственной тайне» | Обязательность аттестации при обработке гостайны |
+| Постановление Правительства РФ № 17 (2012) | Требования к защите информации в государственных информационных системах |
+| Постановление Правительства РФ № 1119 (2012) | Требования к защите персональных данных при их обработке в ИСПДн |
+| Постановление Правительства РФ № 1236 (2015) | Уровни защищённости персональных данных |
+| Приказ ФСТЭК России от 29.04.2021 № 77 | Порядок организации и проведения работ по аттестации ОИ на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну |
+| Приказ ФСТЭК России от 02.09.2021 № 240/24/4303 | Методические рекомендации по проведению аттестации, форма и содержание документов |
+| Приказ ФСБ России от 12.08.2019 № 243 | Положение об аттестации объектов информатизации по требованиям безопасности информации при обработке сведений, составляющих государственную тайну |
+| Положение по аттестации объектов информатизации по требованиям безопасности информации (Гостехкомиссия России, 25.11.1994) | Исторически первый системообразующий документ аттестации, применяется в части, не противоречащей действующему законодательству |
+
+Ключевым действующим документом для аттестации объектов, обрабатывающих информацию ограниченного доступа без признаков гостайны, является **приказ ФСТЭК России № 77**. Он распространяется на:
+
+1. государственные и муниципальные информационные системы, в том числе ГИС и МИС персональных данных;
+2. информационные системы управления производством организаций оборонно-промышленного комплекса (включая автоматизированные системы станков с ЧПУ);
+3. защищаемые помещения для ведения конфиденциальных переговоров;
+4. значимые объекты КИИ, ИСПДН и АСУ технологическими процессами на критически важных и потенциально опасных объектах — в случае, если владелец сам установил требование аттестации.
+
+Аттестация является **обязательной** для объектов, обрабатывающих государственную тайну, и для объектов, перечень которых закреплён нормативными актами. В остальных случаях аттестация носит добровольный характер и проводится по инициативе владельца.
+
+## 3. Участники процесса аттестации
+
+**Владелец объекта информатизации** — федеральный орган власти, орган власти субъекта РФ, орган местного самоуправления, организация или лицо, которому объект принадлежит на праве собственности или ином законном основании; также это лицо, заключившее контракт на создание ОИ, или лицо, осуществляющее его эксплуатацию. Владелец организует аттестацию, оплачивает работы и отвечает за поддержание безопасности аттестованного объекта.
+
+**Орган по аттестации** — организация, имеющая лицензию ФСТЭК России на деятельность по технической защите конфиденциальной информации с правом проведения работ по аттестационным испытаниям и аттестации. Именно этот орган формирует аттестационную комиссию, проводит испытания и выносит заключение.
+
+**ФСТЭК России** — федеральный орган, осуществляющий методическое руководство аттестацией, лицензирование деятельности по ТЗКИ и ведение единого реестра аттестованных объектов информатизации. Территориальные управления ФСТЭК контролируют работы и вносят сведения об аттестованном объекте в реестр.
+
+**Аттестационная комиссия** — создаётся органом по аттестации; её состав формируется из специалистов органа по аттестации и (при необходимости) представителей владельца. В комиссию могут включаться эксперты, не задействованные непосредственно в разработке и внедрении системы защиты объекта, что обеспечивает независимость оценки.
+
+## 4. Этапы проведения аттестации
+
+Порядок проведения работ по аттестации включает следующие основные этапы.
+
+### 4.1. Организационный этап
+
+1. Владелец принимает решение об аттестации и выбирает орган по аттестации (лицензиата ФСТЭК).
+2. Владелец представляет органу по аттестации исходные данные: наименование и описание архитектуры объекта, класс защищённости информационной системы, категорию значимого объекта, документы по классификации (категорированию), технический паспорт объекта.
+3. Стороны заключают договор, определяют сроки. По приказу № 77 срок проведения работ не может превышать **четырёх месяцев**.
+
+### 4.2. Подготовительный этап
+
+На этом этапе разрабатываются:
+
+- **программа и методики аттестационных испытаний** — документ, определяющий перечень проверяемых требований, методов испытаний (тестирование, анализ документации, сканирование уязвимостей и др.) и критериев соответствия;
+- **план проведения аттестационных испытаний**, согласованный с владельцем.
+
+### 4.3. Аттестационные испытания
+
+Аттестационные испытания проводятся в реальных условиях эксплуатации объекта и включают:
+
+- **документальную проверку**: наличие и актуальность организационно-распорядительной документации по защите информации, модели угроз и модели нарушителя, акта классификации, регламентов;
+- **технический контроль**: проверку настройки и работоспособности сертифицированных средств защиты информации (проверка наличия сведений о них в реестре сертифицированных СЗИ ФСТЭК), контроль отсутствия несанкционированных подключений, проверку параметров защищённости каналов связи;
+- **сканирование уязвимостей и анализ защищённости**, включая тестирование на проникновение в соответствии с методическими документами ФСТЭК России — с целью оценки возможностей несанкционированного доступа к информации, воздействия на неё или повышения привилегий при реализованных мерах защиты;
+- **испытания защищаемых помещений**: контроль защищённости от утечки по акустическим, виброакустическим и техническим каналам, проверка эффективности экранирования и средств защиты информации от утечки за счёт побочных электромагнитных излучений;
+- проверку выполнения требования по ограничению доступа персонала, моделирование действий нарушителя.
+
+По результатам каждого вида испытаний оформляются протоколы.
+
+### 4.4. Оформление результатов
+
+1. По итогам испытаний составляется **заключение аттестационной проверки** с выводом о соответствии (несоответствии) объекта требованиям по защите информации.
+2. При положительном заключении орган по аттестации оформляет и выдаёт владельцу **аттестат соответствия**.
+3. Орган по аттестации направляет материалы (заключение, протоколы, аттестат) в территориальный орган ФСТЭК России в течение установленного срока; ФСТЭК в течение **трёх рабочих дней** вносит сведения об аттестованном объекте в единый реестр аттестованных объектов информатизации.
+4. Заключение и протоколы направляются владельцу объекта в течение пяти рабочих дней после утверждения.
+
+## 5. Аттестат соответствия и его поддержание
+
+**Аттестат соответствия** выдаётся на весь срок эксплуатации объекта информатизации. В нём указываются: наименование объекта, его владелец, класс защищённости (категория значимости, уровень защищённости персональных данных), перечень нормативных документов, в соответствии с которыми проводилась аттестация, и ограничения на обработку информации.
+
+После получения аттестата обязанности владельца не заканчиваются:
+
+- реализуются требования по защите информации в ходе эксплуатации в соответствии с аттестатом;
+- проводится **периодический контроль уровня защиты информации** в сроки, определённые владельцем, результаты которого оформляются протоколами и отражаются в техническом паспорте объекта;
+- при выявлении несоответствий ФСТЭК России вправе **приостановить действие аттестата** до устранения нарушений.
+
+### Дополнительные и повторные испытания
+
+При **развитии (модернизации)** объекта информатизации объём работ зависит от характера изменений:
+
+- при изменении конфигурации или параметров настройки программных и программно-технических средств, средств защиты информации, при добавлении или замене аналогичных средств проводятся **дополнительные аттестационные испытания** только изменённых компонентов;
+- при повышении класса защищённости (категории значимости), изменении архитектуры системы защиты, изменении видов и типов применяемых средств защиты, состава и мест расположения компонентов проводится **повторная аттестация** в полном объёме.
+
+## 6. Особенности аттестации при обработке государственной тайны
+
+Для объектов, обрабатывающих сведения, составляющие государственную тайну, действует отдельный порядок, утверждённый **приказом ФСБ России от 12.08.2019 № 243**. Аттестация таких объектов обязательна и проводятся она до начала обработки секретных сведений; аттестат соответствия выдаётся также на весь срок эксплуатации. При необходимости владелец может привлечь лицензированные организации ФСБ России для проведения специальных проверок помещений на наличие внедрённых электронных устройств перехвата информации («закладных устройств»).
+
+## 7. Значение аттестации для информационной безопасности
+
+Аттестация выполняет несколько взаимосвязанных функций:
+
+1. **Гарантия соответствия законодательству.** Без аттестата невозможна легальная обработка гостайны; для ряда систем аттестация прямо установлена нормативными актами как условие ввода в эксплуатацию.
+2. **Практическая проверка защиты.** В отличие от бумажного аудита, аттестация проверяет объект в реальных условиях эксплуатации, включая активное тестирование на проникновение, поэтому выявляет не только «документальные», но и фактические уязвимости.
+3. **Инструмент управления рисками.** Классификация и аттестация позволяют соизмерить затраты на защиту с ценностью защищаемой информации и масштабом угроз.
+4. **Контроль со стороны государства.** Ведение реестра аттестованных объектов и полномочия ФСТЭК по приостановлению действия аттестатов образуют действенный механизм государственного надзора в области технической защиты информации.
+
+Вместе с тем аттестация не является разовым «дипломом безопасности»: система защиты должна поддерживаться непрерывно, иначе аттестат отражает состояние объекта на момент испытаний, а не в текущий момент. Поэтому важен периодический контроль и регламентированное внесение изменений в систему защиты.
+
+## Заключение
+
+Аттестация объектов информатизации — ключевая процедура подтверждения соответствия защиты информации установленным требованиям, встроенная в российскую систему технической защиты информации. Она охватывает организационные и технические меры, проводится лицензированными органами по аттестации под методическим руководством ФСТЭК России и завершается выдачей аттестата соответствия, действующего на весь срок эксплуатации объекта.
+
+Аттестация обязательна при обработке государственной тайны и для закреплённых нормативными актами категорий объектов (государственные информационные системы, значимые объекты КИИ, системы управления производством в ОПК, защищаемые помещения), в остальных случаях выполняется добровольно как эффективный инструмент управления рисками. Поскольку безопасность аттестованного объекта должна поддерживаться на протяжении всего жизненного цикла, аттестацию правильнее рассматривать не как разовое испытание, а как элемент непрерывного процесса управления защитой информации.
+
+## Список использованных источников
+
+1. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
+2. Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».
+3. Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации».
+4. Закон РФ от 21.07.1993 № 5485-1 «О государственной тайне».
+5. Постановление Правительства РФ от 06.07.2015 № 17 «Об утверждении требований к порядку создания... государственных информационных систем».
+6. Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
+7. Постановление Правительства РФ от 01.11.2012 № 1119; Постановление Правительства РФ от 10.07.2019 № 1236.
+8. Приказ ФСТЭК России от 29.04.2021 № 77 «Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну».
+9. Приказ ФСТЭК России от 02.09.2021 № 240/24/4303 «Об утверждении методических рекомендаций...».
+10. Приказ ФСБ России от 12.08.2019 № 243 «Об утверждении Положения об аттестации объектов информатизации по требованиям безопасности информации при обработке сведений, составляющих государственную тайну».
+11. Положение по аттестации объектов информатизации по требованиям безопасности информации, утв. председателем Гостехкомиссии России 25.11.1994.
+12. Официальный сайт ФСТЭК России — www.fstec.ru.