Оформление, регистрация и выдача Аттестата соответствия

Разбить на страницы

Показывать лекцию целиком

Оформление, регистрация и выдача "Аттестата соответствия"

Цель: получение представления о структуре и содержании "Аттестата соответствия на объект информатизации", ознакомление с порядком подачи заявителем апелляции в случае несогласия с отказом в выдаче аттестата.

"Заключение по результатам аттестационных испытаний объекта информатизации" содержит вывод о соответствии или несоответствии объекта информатизации действующим требованиям по защите информации. При положительных выводах "Заключения по результатам аттестационных испытаний объекта информатизации" органом по аттестации выдается "Аттестат соответствия объекта информатизации требованиям по безопасности информации".

Орган по аттестации ведет учет выданных "Аттестатов соответствия…": самостоятельно присваивает номера "Аттестатам соответствия…" и ведет реестр (базу данных) выданных этим органом по аттестации "Аттестатов соответствия". Ведение реестра осуществляется, в том числе, для планирования работ по проведению периодического контроля состояния защищенности аттестованных объектов информатизации.

В соответствии с "Положением по аттестации объектов информатизации по требованиям безопасности информации",утвержденным председателем государственной технической комиссии при Президенте Российской Федерации 25 ноября 1994 г., аттестат соответствия выдается на срок не более чем три года. В этот период заявитель обязан обеспечить неизменность условий обработки информации, состава основных технических средств и систем и вспомогательных технических средств и систем, режимов обработки информации и расположения объекта информатизации относительно границ контролируемой зоны, т.е. тех характеристик объекта информатизации, которые могут повлиять на уровень безопасности обрабатываемой информации. При необходимости внесения изменений в состав объекта информатизации, заявитель согласовывает их с органом по аттестации, выдавшем "Аттестат соответствия" и принимается совместное решение о необходимости проведения дополнительных работ по приведению объекта информатизации в соответствие с установленными требованиями по защите информации. Незначительные изменения можно провести в рамках ежегодного периодического контроля состояния защищенности аттестованного объекта информатизации.

"Аттестат соответствия объекта информатизации – автоматизированной системы" содержит следующие данные:

Структура "Аттестата соответствия…"
№ раздела	Название раздела	Содержание раздела
1	Титульный лист	1. Данные об органе по аттестации, выдавшем "Аттестат соответствия" : наименование, реквизиты лицензии, дающей право на проведение работ по аттестации 2. Номер и дата выдачи "Аттестата соответствия" 3. Срок действия "Аттестата соответствия" 4. Наименование объекта информатизации, на который выдан "Аттестат соответствия"
2	Общие сведения	1. Наименование объекта информатизации, место расположения, класс защищенности и данные о соответствии объекта информатизации установленным требованиям по защите информации 2. Состав технических средств объекта информатизации, схема их размещения относительно границ контролируемой зоны, перечень установленного на объекте информатизации программного обеспечения, перечень используемых средств защиты информации (как правило, оформляется отдельными приложениями) 3. Ссылка на программу и методики аттестационных испытаний, в соответствии с которыми проводились работы по аттестации объекта информатизации 4. Перечень мероприятий, которые запрещается осуществлять в ходе эксплуатации аттестованного объекта информатизации 5. Указание лиц, ответственных за защиту информации и за эксплуатацию объекта информатизации и зона их ответственности 6. Ссылки на протоколы аттестационных испытаний и заключение по результатам аттестационных испытаний, на основании которых принято решение о выдаче "Аттестата соответствия". 7. Перечень изменений, о которых необходимо извещать (которые необходимо согласовывать) орган по аттестации
3	Приложения	Состав технических средств, входящих в состав объекта информатизации	Перечень программных средств, установленных на объекте информатизации	Перечень средств защиты информации, установленных на объекте информатизации с номерами сертификатов соответствия	Схема размещения объекта информатизации относительно границ контролируемой зоны
		4	Листы регистрации изменений	Пустые листы для записи изменений, производимых на объекте информатизации, а также отметки органов надзора (по результатам периодического контроля и т.д.)

Аттестат соответствия подписывается членами аттестационной комиссии и утверждается руководителем органа по аттестации.

"Аттестат соответствия объекта информатизации – защищаемого помещения" содержит следующие данные:

Структура "Аттестата соответствия…"
№ раздела	Название раздела	Содержание раздела
1	Титульный лист	1. Данные об органе по аттестации, выдавшем "Аттестат соответствия": наименование, реквизиты лицензии, дающей право на проведение работ по аттестации 2. Номер и дата выдачи "Аттестата соответствия" 3. Срок действия "Аттестата соответствия" 4. Наименование объекта информатизации, на который выдан "Аттестат соответствия"
2	Общие сведения	1. Наименование объекта информатизации, место расположения и данные о соответствии объекта информатизации установленным требованиям по защите информации 2. Состав основных и вспомогательных технических средств, установленных в защищаемом помещении, схема их размещения относительно границ контролируемой зоны, перечень используемых средств защиты информации (как правило, оформляется отдельными приложениями) 3. Ссылка на программу и методики аттестационных испытаний, в соответствии с которыми проводились работы по аттестации объекта информатизации 4. Перечень мероприятий, которые запрещается осуществлять в ходе эксплуатации аттестованного объекта информатизации 5. Указание лиц, ответственных за защиту информации и за эксплуатацию объекта информатизации и зона их ответственности 6. Ссылки на протоколы аттестационных испытаний и заключение по результатам аттестационных испытаний, на основании которых принято решение о выдаче "Аттестата соответствия". 7. Перечень изменений, о которых необходимо извещать (которые необходимо согласовывать) орган по аттестации
3	Приложения	Состав основных технических средств, размещенных в защищаемом помещении	Состав вспомогательных технических средств, размещенных в защищаемом помещении	Перечень средств защиты информации, установленных на объекте информатизации с номерами сертификатов соответствия	Схема размещения технических средств, установленных в защищаемом помещении, относительно границ контролируемой зоны
		4	Листы регистрации изменений	Пустые листы для записи изменений, производимых на объекте информатизации, а также отметки органов надзора (по результатам периодического контроля и т.д.)

Форма и содержание аттестатов соответствия приведены в "Положении по аттестации объектов информатизации по требованиям безопасности информации",утвержденном председателем государственной технической комиссии при Президенте Российской Федерации 25 ноября 1994 г., а также в "Специальных требованиях и рекомендациях по технической защите конфиденциальной информации" (имеют ограничительную пометку – "для служебного пользования"), утвержденных приказом Гостехкомиссии России от 30 августа 2002г. № 282

Органом по аттестации может быть принято решение об отказе в выдаче "Аттестата соответствия…" – на основании отрицательных выводов "Заключения по результатам аттестационных испытаний объекта информатизации". Отказ в выдаче "Аттестата соответствия…" обусловлен, как правило, несоответствием аттестуемого объекта информатизации установленным требованиям по защите информации, а также невозможностью устранения во время проведения аттестации выявленных органом по аттестации недостатков. В этом случае, орган по аттестации предъявляет заявителю перечень недостатков, определяет совместно с заявителем сроки их устранения и назначает дату проведения повторной аттестации. Если же замечания носят несущественный характер и могут быть устранены в ходе проведения аттестации, орган по аттестации вправе выдать "Аттестат соответствия…" после устранения выявленных недостатков.

В соответствии с "Положением по аттестации объектов информатизации по требованиям безопасности информации", утвержденным председателем государственной технической комиссии при Президенте Российской Федерации 25 ноября 1994 г., в случае несогласия заявителя с отказом в выдаче "Аттестата соответствия…" он имеет право обратиться в вышестоящий орган по аттестации или непосредственно во ФСТЭК России с апелляцией для дополнительного рассмотрения полученных при испытаниях результатов. ФСТЭК России в месячный срок рассматривается апелляцию с привлечением заинтересованных сторон и извещает заявителя (подателя апелляции) о принятом решении.

Итоги: "Аттестат соответствия объекта информатизации требованиям по безопасности информации" выдается органом по аттестации при положительных выводах "Заключения по результатам аттестационных испытаний объекта информатизации".

Аттестат соответствия выдается на срок не более чем три года. В этот период заявитель обязан обеспечить неизменность условий обработки информации, состава основных технических средств и систем и вспомогательных технических средств и систем, режимов обработки информации и расположения объекта информатизации относительно границ контролируемой зоны, т.е. тех характеристик объекта информатизации, которые могут повлиять на уровень безопасности обрабатываемой информации.

Отказ в выдаче "Аттестата соответствия…" обусловлен, как правило, несоответствием аттестуемого объекта информатизации установленным требованиям по защите информации, а также невозможностью устранения во время проведения аттестации выявленных органом по аттестации недостатков.

В случае несогласия заявителя с отказом в выдаче "Аттестата соответствия…" он имеет право обратиться в вышестоящий орган по аттестации или непосредственно во ФСТЭК России с апелляцией для дополнительного рассмотрения полученных при испытаниях результатов.

Ключевые слова:аттестация объекта информатизации, аттестационные испытания, объект информатизации

Страницы: