Состав и содержание документов, разрабатываемых для проведения аттестации и по результатам аттестации автоматизированной системы

Состав и содержание документов, разрабатываемых для проведения аттестации и по результатам аттестации защищаемого помещения

Краткая аннотация: структура и содержание документов, оформляемых на этапе подготовки к аттестации, проведения аттестации и по результатам проведения аттестации объекта информатизации – защищаемого помещения.

Цель: получить навыки разработки документов на аттестуемый объект информатизации – защищаемое помещение.

На аттестуемый объект информатизации на базе защищаемого помещения, разрабатываются следующие документы:

1. Приказ "Об организации защиты информации на объекте информатизации", определяет:
• должностное лицо, ответственное за объект информатизации;
• функциональные обязанности ответственного лица по поддержанию заданного уровня безопасности информации на объекте информатизации;
• перечень документов, которыми ответственное лицо обязано руководствоваться по вопросам защиты информации.
2. Положение о защите конфиденциальной информации или Руководство по защите конфиденциальной информации (раздел 3.1).
3. Перечень сведений конфиденциального характера (раздел 3.1).
4. Приказ об определении границ контролируемой зоны (раздел 3.1).
5. Справка об уровне подготовки кадров, обеспечивающих защиту информации в организации и на объекте информатизации. Указывается образование и данные о повышении квалификации специалистов, ответственных за защиту и эксплуатацию объекта информатизации. При необходимости, может быть проведен опрос с целью выяснения уровня подготовки кадров, а также проведено обучение работе со средствами защиты информации, установленными в защищаемом помещении.
6. Документация разрешительной системы доступа в защищаемое помещение и к обсуждаемым в нем вопросам, включающая в себя:
• перечень должностных лиц, имеющих право доступа в защищаемое помещение с указанием должности и ФИО;
• круг вопросов, к которым допущено каждое должностное лицо.
7. Акт обследования защищаемого помещения (раздел 3.1).
8. Программа-методика аттестационных испытаний защищаемого помещения (раздел 3.3.2).
9. Протокол инструментально-расчетной оценки защищенности помещения от утечки речевой информации(раздел 3.5).
10. Протокол инструментального контроля величины акустоэлектрических преобразований(раздел 3.5).
11. Протокол оценки защищенности защищаемого помещения от утечки информации по каналам акустоэлектрических преобразований(раздел 3.5).
12. Предписание на эксплуатацию основных технических средств и систем объекта информатизации (раздел 3.1).
13. Инструкция по обеспечению защиты информации, обсуждаемой в защищаемом помещении. Содержит требования по обеспечению защиты информации на аттестованном объекте информатизации, перечень организационных мероприятий, которые необходимо выполнять при проведении работ на объекте информатизации, список действий, которые необходимо осуществлять до и после проведения переговоров, перечень действий ответственного лица, в случае нарушения работоспособности системы активной защиты, ответственность за нарушение требований по защите информации на объекте информатизации.
14. Инструкция по эксплуатации средств защиты информации на объекте информатизации. Определяет перечень систем активной защиты информации, установленных на объекте информатизации, порядок работы с ними, лиц, ответственных за эксплуатацию средств защиты информации, а также перечень действий, запрещенных пользователю при работе на объекте информатизации с установленными средствами защиты информации.
15. Акт технической приемки системы активной защиты информации, установленной в защищаемом помещении. Акт содержит данные о составе система активной защиты информации, установленной в защищаемом помещении (с указанием всех установленных датчиков), данные о проверке работоспособности, произведенных настройках системы защиты, а также подписи должностных лиц со стороны органа по аттестации и заявителя, заверяющие работоспособность системы активной защиты.
16. Технический паспорт на защищаемое помещение. Технический паспорт на защищаемое помещение имеет следующую структуру:

17. Протокол аттестационных испытаний объекта защищаемого помещения (раздел 3.7).
18. Заключение по результатам аттестационных испытаний защищаемого помещения (раздел 3.7). Содержит оценку соответствия объекта информатизации – защищаемого помещения требованиям по безопасности информации, а также вывод о соответствии или несоответствии объекта информатизации установленным требованиям и возможность выдачи "Аттестата соответствия". При отрицательных выводах заключения органом по аттестации принимается решение о проведении дополнительных мероприятий по защите информации и назначаются повторные аттестационные испытания защищаемого помещения.
19. Аттестат соответствия требованиям безопасности информации защищаемого помещения (раздел 3.8). Выдается при положительных выводах о соответствии объекта информатизации установленным требованиям по безопасности информации и дает право обсуждения информации заявленной степени конфиденциальности в защищаемом помещении. Наличие на объекте информатизации действующего "Аттестата соответствия" дает право обработки информации с уровнем конфиденциальности и на период времени, установленными в "Аттестате соответствия".

29. Приказ о вводе в эксплуатацию объекта информатизации – защищаемого помещения. Разрабатывается после получения Аттестата соответствия и определяет сроки начала обработки информации на объекте информатизации. В приказе указываются:
• наименование объекта информатизации и место его расположения;
• дата ввода объекта информатизации в эксплуатацию;
• решение о возможности обсуждения информации ограниченного доступа с указанием максимальной степени ее конфиденциальности;
• документы, которые устанавливают требования при обработке информации на объекте информатизации (Аттестат соответствия, Инструкции и т.д.);
• перечень должностных лиц, ответственных за защиту информации на объекте информатизации, а также за его эксплуатацию;
• периодичность проведения контроля защищенности объекта информатизации.

Итоги: Аттестация объекта информатизации проводится в тесной взаимосвязи заявителя и органа по аттестации. До начала проведения работ по аттестации заявитель разрабатывает требуемый пакет документов и предоставляет его органу по аттестации. Орган по аттестации проводит работы по аттестации объекта информатизации и выдает пакет документов, подтверждающих выполнение требований по защите информации на объекте информатизации и дающий право обработки информации на аттестованном объекте информатизации.

Ключевые слова: автоматизированная система, аттестат соответствия, аттестация, заявитель, защищаемое помещение, объект информатизации, орган по аттестации