Тарабан Аттестация обьектов информатизации ИБ (1)

1. Тема: Аттестация объектов информатизации по требованиям безопасности информации

Нормативное регулирование, этапы проведения и требования
ФСТЭК России
Тарабан
Матвей
36 группа

2. План презентации

1. Понятие объекта информатизации и аттестации
2. Нормативная база и случаи обязательной аттестации
3. Цели и объекты аттестационных испытаний
4. Участники системы аттестации и их роли
5. Этапы проведения аттестации
6. Требования к документации и исходным данным
7. Аттестат соответствия: содержание и срок действия

3. Базовые понятия

•Объект информатизации (ОИ) — совокупность ИТ-ресурсов, систем
обработки, помещений и технических средств, предназначенных для работы с
информацией по заданной технологии (в т.ч. для конфиденциальных
переговоров).
•Аттестация ОИ — комплекс организационно-технических мероприятий,
подтверждающих соответствие объекта требованиям безопасности
информации.
•Результат: Выдача «Аттестата соответствия».

4. Обязательная и добровольная аттестация

Аттестация является ОБЯЗАТЕЛЬНОЙ в случаях:
1.Обработка государственной тайны.
2.Защита государственного информационного ресурса.
3.Управление экологически опасными объектами.
4.Ведение секретных переговоров.
5.Управление объектами КИИ (Критической информационной
инфраструктуры).
6.Лицензирование деятельности по предоставлению лицензий.
• Во всех остальных случаях аттестация носит ДОБРОВОЛЬНЫЙ
характер.

5. Что и зачем проверяется?

Цель: Проверка соответствия мер защиты требуемому уровню
безопасности в реальных условиях.
Основные направления проверок:
• Защита от несанкционированного доступа (НСД) и вирусов.
Защита от утечки через ПЭМИН (побочные электромагнитные
излучения).
Защита от внедрения специальных устройств («закладок»).
Что аттестуется: Автоматизированные системы (АС), системы
связи, помещения для конфиденциальных переговоров.

6. Структура системы аттестации

•ФСТЭК России: Регулятор, аккредитация, госконтроль, разработка
нормативной базы.
•Органы по аттестации: Проводят испытания, выдают Аттестаты, ведут
реестры (должны иметь аккредитацию ФСТЭК).
•Испытательные лаборатории (Центры): Тестируют несертифицированные
средства защиты.
•Заявители: Заказчики/владельцы ОИ (готовят объект, предоставляют
документы, оплачивают работы).

7. Этапы аттестации (Подготовительные)

1. Заявка: Подача и рассмотрение (до 1 месяца), выбор схемы.
2. Ознакомление: Предварительный осмотр объекта (при нехватке
данных).
3. Лабораторные испытания: Тестирование несертифицированных
средств защиты.
4. Программа и методика: Разработка и согласование плана
испытаний.
5. Договор: Заключение контракта, оформление допуска комиссии.

8. Этапы аттестации (Основные и завершающие)

6. Аттестационные испытания: Комплексная проверка в
реальных условиях (анализ структуры, проверка кадров,
замеры, протоколирование).
7. Выдача Аттестата: Оформление и регистрация документа.
8. Госконтроль: Инспекционный надзор за эксплуатацией.
9. Апелляции: Разбор споров (срок рассмотрения — до 1
месяца).

9. Документационное обеспечение (Что нужно предоставить)

Заявитель предоставляет:
• Организационные документы: Приемо-сдаточная
документация, акты категорирования помещений, паспорта
объекта.
• Сертификаты: На ТСОИ, ВТСС и технические средства защиты.
• Протоколы и акты: Заземление, звукоизоляция, экранирование,
затухание сигналов, скрытые работы.
• Инженерные схемы: Планы здания, трассы коммуникаций,
системы заземления, электропитания, вентиляции, охраны.

10. Аттестат соответствия

Содержит:
• Реквизиты объекта, категорию и класс защищенности АС.
• Гриф секретности обрабатываемой информации.
• Перечень технических средств, ПО и схем их размещения.
• Организационные требования и список ответственных лиц.
• Перечень запрещенных действий при эксплуатации.
Срок действия: До 3 лет (при условии неизменности условий
функционирования и технологии обработки).

11. Сбор исходных данных

Для начала работ анализируется:
1.Суть объекта: Наименование, назначение, уровень секретности,
орг. структура.
2.Инфраструктура: Помещения, границы контролируемой зоны,
физическая защита, инженерные сети.
3.ИТ-ландшафт: Состав ТС, ПО, информационные потоки,
протоколы обмена.
4.Система защиты: Структура СЗиН, сертифицированные
средства, наличие службы безопасности и подготовленных
кадров.

12. Заключение

•Аттестация — гарантия законности и
безопасности работы с конфиденциальной
информацией.
•Регулятор: ФСТЭК России (Приказ № 77 от
29.04.2021).
•Успех аттестации зависит от качественной
подготовки исходных данных и грамотного
проектирования системы защиты.