Аттестация объектов информатизации по требованиям безопасности информации

1. Аттестация объектов информатизации по требованиям безопасности информации

Выполнил студент 36
группы Суровый А.В

2. План презентации

1. Основные определения и нормативная база.
2. Обязательная и добровольная аттестация.
3. Что подлежит проверке (объекты и угрозы).
4. Структура системы аттестации и роли участников.
5. Этапы проведения аттестации.
6. Перечень исходных данных и документации.
7. Аттестат соответствия: статус, содержание, срок действия.
8. Контроль и ответственность.

3. Основные определения

Объект информатизации (ОИ) - совокупность:
-Информационных ресурсов, средств и систем обработки (АС, системы связи).
-Помещений или зданий, в которых они установлены.
-Помещений для ведения конфиденциальных переговоров.
Аттестация ОИ — комплекс организационно-технических мероприятий, подтверждающих
соответствие объекта требованиям ФСТЭК России. Результат: Выдача «Аттестата соответствия»,
дающего право обработки информации с определенным уровнем секретности (конфиденциальности).

4. Нормативная база

• Приказ ФСТЭК России от 29.04.2021 № 77 «Об утверждении Порядка
организации и проведения работ по аттестации объектов
информатизации...»
• Стандарт «Защита информации. ТРЕБОВАНИЯ К ОРГАНАМ ПО АТТЕСТАЦИИ
ОБЪЕКТОВ ИНФОРМАТИЗАЦИИ».
• Положения об аккредитации испытательных лабораторий и органов по
сертификации ФСТЭК.

5. Когда аттестация обязательна?

Аттестация является обязательной в случаях:
1. Обработки государственной тайны.
2. Защиты государственного информационного ресурса.
3. Управления экологически опасными объектами.
4. Ведения секретных переговоров.
5. Управления объектами КИИ (Критической информационной
инфраструктуры).
6. Лицензирования деятельности по предоставлению лицензий.

6. Что проверяется в ходе аттестации?

Объекты проверки: Автоматизированные системы, системы связи,
отображения, размножения и помещения. Условия: Комплексная проверка
в реальных условиях эксплуатации.
Основные направления защиты:
Защита от НСД (неправомерного доступа), в т.ч. от компьютерных вирусов.
• Защита от утечки через ПЭМИН (побочные электромагнитные излучения и
наводки).
Защита от утечки/воздействия via специальные устройства («закладки»),
встроенные в ОИ.

7. Участники системы аттестации

ФСТЭК России: Регулятор. Аккредитует органы, утверждает нормативку,
осуществляет госконтроль и надзор, рассматривает апелляции.
Органы по аттестации: Проводят испытания, выдают Аттестаты,
осуществляют контроль за эксплуатацией (требуют аккредитации ФСТЭК).
• Испытательные центры (лаборатории): Проводят тестирование
несертифицированных СЗИ.
Заявители: Заказчики, владельцы или разработчики ОИ. Несут все расходы
по аттестации.

8. Порядок проведения аттестации (Этапы 1-5)

1. Заявка: Подача и рассмотрение (до 1 месяца), выбор схемы аттестации.
2. Ознакомление: Предварительный осмотр объекта (при нехватке данных).
3. Лабораторные испытания: Тестирование несертифицированных СЗИ.
4. Разработка ПМ: Создание программы и методики аттестационных
испытаний (согласуется с заявителем).
5. Договоры: Заключение договоров, оформление предписания о допуске
комиссии.

9. Порядок проведения аттестации (Этапы 6-9)

6. Аттестационные испытания:
-Анализ документации, категорирования и классификации АС.
-Проверка подготовки кадров.
-Комплексные испытания в реальных условиях.
-Оформление протоколов и Заключения.
7. Выдача документа: Оформление и регистрация «Аттестата соответствия».
8. Контроль: Инспекционный контроль за эксплуатацией.
9. Апелляции: Рассмотрение споров (при отказе) в срок до 1 месяца.

10. Документация для аттестации (Что готовит заявитель)

Базовые документы:
- Приемо-сдаточная документация, техпаспорт ОИ, акты категорирования помещений.
- Сертификаты на ТСОИ, ВТСС и СЗИ.
- Данные о кадрах и структуре службы безопасности.
Протоколы измерений:
- Звукоизоляция, экранирование, сопротивление заземления.
- Затухание информационных сигналов до мест возможного перехвата.
Схемы и планы (в масштабе):
- Планы здания, этажей, инженерных коммуникаций, вентиляции.
-Схемы заземления, электропитания, телефонии, ОПС.
- Границы контролируемой зоны (КЗ).

11. Аттестат соответствия

Статус: Документ, подтверждающий право на обработку ИИ определенного
грифа. Срок действия: До 3 лет (при условии неизменности условий
функционирования и технологии обработки).
Ключевое содержание Аттестата:
- Категория ОИ, класс защищенности АС, гриф секретности.
- Состав ТСОИ, ВТСС, СЗИ и схемы их размещения.
- Запреты и ограничения при эксплуатации.
- Перечень характеристик, об изменении которых нужно обязательно
уведомлять орган по аттестации.
- Ответственные лица за защиту информации.

12. Ответственность и гарантии

• Финансирование: Все расходы несет Заказчик (заявитель).
• Органы по аттестации: Несут ответственность за сохранение
конфиденциальности полученной информации и соблюдение авторских
прав заказчика.
• Заявитель: Обязан извещать орган об изменениях в ИТ, составе средств
и условиях эксплуатации, влияющих на безопасность.
• Контроль: ФСТЭК и органы по аттестации вправе проводить проверки
соблюдения условий Аттестата.

13. Заключение:

Аттестация объектов информатизации - это комплексный инструмент,
гарантирующий, что технические, организационные и программные меры
защиты информации соответствуют государственным требованиям и
реальным угрозам.