Аттестация объектов информатизации
Там, где аттестация обязательна (ГИС и МИС, ИС управления производством ОПК, защищаемые помещения, объекты с гостайной), обработку защищаемой информации начинают после получения аттестата. Работы выполняет Екатеринбургский НТЦ — орган по аттестации, включённый в перечни ФСТЭК России, с выездом по всему Уральскому округу
Когда аттестация обязательна
Аттестация проводится до начала обработки защищаемой информации. Основание зависит от того, какая информация обрабатывается на объекте.
Сведения, составляющие государственную тайну
Аттестация обязательна для каждого объекта информатизации до начала обработки. Проводится по требованиям ФСТЭК России (в части СКЗИ — ФСБ России) органом по аттестации, имеющим лицензию ФСТЭК России на мероприятия по защите гостайны и лицензию ФСБ России на работы со сведениями, составляющими гостайну
Государственные и муниципальные информационные системы — обязательно
Включая государственные и муниципальные информационные системы персональных данных. Аттестация — обязательная форма оценки соответствия перед вводом в эксплуатацию (пункт 3 Порядка, утверждённого приказом ФСТЭК России № 77; требования к защите — приказ ФСТЭК России № 117 для ГИС, а в части персональных данных — ПП РФ № 1119 и приказ ФСТЭК России № 21).
Системы управления производством ОПК — обязательно
Информационные системы управления производством организаций оборонно-промышленного комплекса аттестуются в обязательном порядке.
Защищаемые помещения — обязательно для гостайны; для конфиденциальных переговоров без ГТ — по требованию заказчика или внутренним документам
Помещения для конфиденциальных переговоров: кабинеты руководства, переговорные, залы совещаний.
Значимые объекты КИИ, АСУ ТП, прочие ИСПДн — по решению владельца
Для значимых объектов критической информационной инфраструктуры, автоматизированных систем управления на критически важных объектах и информационных систем персональных данных, не являющихся государственными или муниципальными, аттестация проводится по решению владельца; её результат — аттестат соответствия, который предъявляется регулятору и заказчикам при проверках.
Служебная информация ограниченного распространения и коммерческая тайна
Аттестация выполняется, когда это предусмотрено внутренними документами организации, требованиями заказчика или условиями контракта.
Что аттестуем
Порядок аттестации объектов информатизации, обрабатывающих информацию ограниченного доступа, не составляющую государственную тайну, установлен приказом ФСТЭК России от 29.04.2021 № 77
Автоматизированные системы
Системы обработки информации разных классов защищённости, включая системы для работ со сведениями, составляющими государственную тайну.
Государственные и муниципальные ИС
Государственные и муниципальные ИС федерального, регионального и муниципального уровня, в том числе медицинские информационные системы государственных и муниципальных учреждений
Значимые объекты КИИ
Объекты субъектов критической информационной инфраструктуры после категорирования и построения системы защиты.
АСУ ТП
Автоматизированные системы управления технологическими процессами на критически важных и потенциально опасных объектах.
Информационные системы персональных данных
ИСПДн операторов персональных данных — от органов власти до предприятий.
Защищаемые помещения
Кабинеты руководства, переговорные и залы совещаний, где обсуждается защищаемая информация.
Как проходит работа
Состав и продолжительность работ зависят от типа объекта, его технических характеристик и особенностей эксплуатации. Ниже — типовой порядок.
Обследование объекта
Определяем границы объекта информатизации, класс или уровень защищённости, состав технических средств и условия эксплуатации. Проверяем полноту организационно-распорядительных документов.
Программа и методики испытаний
Разрабатываем и согласовываем программу и методики аттестационных испытаний под конкретный объект.
Аттестационные испытания
Выезжаем на объект: проверяем реализацию мер защиты, проводим инструментальный контроль, при необходимости — специальные исследования на побочные электромагнитные излучения и наводки.
Устранение замечаний
Если испытания выявили несоответствия, передаём перечень замечаний и сопровождаем их устранение, затем проводим проверку повторно.
Аттестат соответствия
Оформляем протоколы и заключение, выдаём аттестат соответствия. С этого момента объект можно вводить в эксплуатацию.
Что получает заказчик
Комплект документов подтверждает законность обработки информации перед регуляторами, заказчиками и при проверках.
Аттестат соответствия
Основной документ. Даёт право начать обработку защищаемой информации на объекте и выдаётся на весь срок эксплуатации объекта.
Протоколы аттестационных испытаний
Результаты проверок и инструментального контроля по каждому проверяемому требованию.
Заключение по результатам испытаний
Описание объекта, применённых мер защиты и выводы аттестационной комиссии.
Программа и методики испытаний
Документ, по которому проводились работы, — потребуется при периодическом контроле и повторной аттестации.
Что происходит после аттестации
Аттестат выдаётся на весь срок эксплуатации объекта, но требует поддержания: изменения на объекте и отсутствие контроля могут лишить его силы.
Периодический контроль
Владелец объекта проводит контроль защиты информации и представляет протоколы в ФСТЭК России не реже одного раза в два года. Непредставление протоколов — основание для приостановления действия аттестата.
Повторная аттестация
Требуется при повышении класса или категории защищённости, изменении архитектуры системы защиты, замене видов и типов средств защиты, изменении состава компонентов объекта.
Дополнительные испытания
При менее существенных изменениях — например, замене средства защиты на аналогичное — достаточно дополнительных испытаний без полной переаттестации.
Сопровождение
Берём на себя периодический контроль, подготовку протоколов и поддержание документации в актуальном состоянии на всём жизненном цикле объекта.
Почему Екатеринбургский НТЦ
Орган по аттестации — в перечнях ФСТЭК России
Екатеринбургский НТЦ вправе аттестовывать объекты информатизации, в том числе с гостайной (лицензии № 82/4 и Л024-00107-00/00580425). Работы по объектам с гостайной выполняют штатные специалисты центра с допуском.
Право проводить аттестацию подтверждено документально
Лицензия ФСТЭК России на ТЗКИ с правом аттестационных испытаний — основание по п. 5 Порядка. Для объектов с гостайной — лицензия ФСТЭК России в области защиты гостайны (центр включён в перечень органов по аттестации) и лицензия ФСБ России на работы со сведениями, составляющими гостайну; для работ в интересах Минобороны — лицензия Минобороны России.
Собственные сертифицированные средства защиты
При необходимости объект оснащается средствами защиты предприятия: система обнаружения вторжений «Кречет» (сертификат ФСТЭК России № 4770, УД4, до 02.2029) и защищённое СВТ «Гамма СВТ 10» (сертификат ФСБ России СФ/СЗИ-0787 — для выделенных помещений и объектов с государственной тайной).
Инженеры в Екатеринбурге
Выезд на объект и реагирование по всему Уральскому федеральному округу без ожидания специалистов из Москвы.
Частые вопросы
Можно ли начать обработку информации до получения аттестата?
Для объектов, где аттестация обязательна (ГИС и МИС, ИС ОПК, защищаемые помещения, гостайна), — нет: обработка до получения аттестата — нарушение требований. Для ЗОКИИ, ИСПДн негосударственных операторов и АСУ ТП форму оценки соответствия выбирает владелец
Чем аттестат отличается от лицензии?
Лицензия выдаётся организации-исполнителю и даёт право проводить работы. Аттестат соответствия выдаётся на конкретный объект информатизации и подтверждает, что именно этот объект защищён по требованиям регуляторов.
Сколько действует аттестат соответствия?
Аттестат выдаётся на весь срок эксплуатации объекта информатизации. При этом владелец обязан проводить периодический контроль и представлять протоколы в ФСТЭК России не реже одного раза в два года.
Мы добавили в аттестованную систему новые рабочие места. Нужна переаттестация?
Зависит от характера изменений. Если изменились класс защищённости, архитектура системы защиты, виды и типы средств защиты или состав компонентов — нужна повторная аттестация. При менее существенных изменениях достаточно дополнительных испытаний.
Должны ли средства защиты быть сертифицированными?
Для ГИС, объектов с гостайной и криптографии — да, сертификация обязательна; в ИСПДн и на объектах КИИ допускаются средства, прошедшие оценку соответствия в иной форме. Средство с истёкшим сертификатом может применяться, пока изготовитель обеспечивает его техническую поддержку (п. 15 Положения о сертификации, приказ ФСТЭК России № 55)
Сколько времени занимает аттестация?
Срок зависит от типа объекта, его масштаба и готовности документации. Небольшой объект — от нескольких недель, распределённая система с несколькими площадками — дольше. Точный срок называем после обследования, когда понятны границы объекта и объём испытаний.
Вы аттестуете объекты, где обрабатывается государственная тайна?
Да. Екатеринбургский НТЦ включён в перечень ФСТЭК России организаций, имеющих право аттестации объектов информатизации (лицензия № 82/4), имеет лицензии ФСБ России на работы со сведениями, составляющими гостайну, и опыт работ на режимных объектах
Смежные услуги
Специальные обследования помещений
Выявление технических средств негласного получения информации.
Перейти →Проектирование систем защиты
Система защиты под ключ — от обследования до ввода в эксплуатацию.
Перейти →Обсудим вашу задачу и подготовим предложение
Опишите задачу — инженер Екатеринбургского НТЦ свяжется с вами в ближайший рабочий день, подберёт решение и подготовит расчёт. Здесь же можно записать сотрудников на курсы Учебного центра.
Телефон: +7 (343) 374-84-82
E-mail: info@gammaural.ru
Адрес: ул. Студенческая, д. 51, г. Екатеринбург, Свердловская обл., 620078