Аттестация объектов информатизации

Аттестация объекта информатизации — это процедура проверки соответствия информационной системы установленным требованиям по защите информации.

Объектом информатизации может быть:

• информационная система;
• автоматизированное рабочее место;
• информационно-телекоммуникационная сеть;
• защищаемое помещение;
• серверная инфраструктура;
• программно-аппаратный комплекс.

В ходе аттестации проводится комплекс мероприятий, направленных на проверку того, насколько корректно реализованы меры защиты информации.

Процедура аттестации объекта информатизации включает следующие этапы:

• Инициация работ по аттестации, получение заявки/ТЗ, сбор исходных данных по объекту информатизации.  
• Определение и согласование схемы аттестации, границ и состава объекта аттестации.  
• Обследование объекта информатизации, анализ архитектуры информационной системы, информационных потоков и зон безопасности.  
• Проверка корректности категорирования/классификации, актуализация исходных данных о режимах обработки информации.  
• Разработка или актуализация модели угроз и нарушителя, определение перечня нормативных требований и обязательных мер защиты.  
• Формирование и уточнение требований к системе защиты информации, проектирование (или корректировка) архитектуры системы защиты.  
• Разработка и актуализация организационно‑распорядительной и эксплуатационной документации по защите информации.  
• Анализ используемых средств защиты информации, проверка сертификатов, области применения и корректности конфигураций.  
• Проверка реализованных организационных и технических мер защиты, формирование и согласование перечня доработок.  
• Контроль выполнения доработок и устранения выявленных несоответствий.  
• Разработка и согласование программы и методик аттестационных испытаний.  
• Проведение аттестационных испытаний системы защиты информации согласно утверждённой программе и методикам.  
• Анализ результатов аттестационных испытаний, формирование заключения о соответствии (несоответствии) объекта требованиям.  
• При необходимости – повторные (выборочные) испытания после устранения критичных замечаний.  
• Оформление полного комплекта аттестационных документов (отчёты, протоколы, заключения, приложения).  
• Подготовка и выдача аттестата соответствия, регистрация результатов аттестации.  
• Определение порядка дальнейшего контроля за состоянием защиты информации и проведения внеочередных проверок.

По результатам работ выдается аттестат соответствия, подтверждающий, что объект информатизации соответствует установленным требованиям безопасности.

Главная задача аттестации — подтвердить, что информационная система защищает обрабатываемую информацию на уровне, соответствующем требованиям законодательства и нормативных документов.

Аттестация позволяет:

Подтвердить соответствие требованиям безопасности
Система проверяется на соответствие требованиям регуляторов и стандартов в области защиты информации.

Обеспечить защиту информации
Проверяется работоспособность внедренных средств защиты информации, включая технические и организационные меры, и их соответствие формулярам (требованиям производителей) и методикам безопасности.

Снизить риски информационных инцидентов
Аттестация помогает выявить уязвимости и устранить потенциальные проблемы безопасности. Может показаться, что аттестация - это пустая формальность, но на самом деле каждый нормативный документ разрабатывается “потом и кровью” на примере реальных инцидентов безопасности - и поэтому если правильно их читать (понимать сам “дух закона”), то там содержится много важной информации для реализации надежной системы безопасности.

Выполнить требования законодательства
Аттестация часто требуется для систем, в которых обрабатываются:

• персональные данные;
• информация государственной важности;
• критичная информация, от которой зависит либо отрасль промышленности, либо даже жизни людей.

Наличие аттестата подтверждает, что система может безопасно использоваться для обработки защищаемой информации.

Процедура аттестации включает несколько последовательных этапов.

1. Анализ объекта информатизации
На первом этапе проводится изучение информационной системы:

• определяются границы объекта информатизации;
• анализируется архитектура системы;
• оцениваются реализованные меры защиты информации.

2. Подготовка документации
Формируется комплект документов, включающий:

• модель угроз и нарушителя;
• техническое задание на создание системы защиты;
• организационно-распорядительную документацию;
• описание системы защиты информации.

3. Проведение испытаний
На этапе испытаний проводится проверка эффективности реализованных мер защиты информации. Проверяется:

• корректность настройки средств защиты;
• защищенность каналов связи;
• контроль доступа;
• журналирование и мониторинг событий безопасности.

4. Оформление результатов
По результатам испытаний формируются:

• программа и методика испытаний;
• протоколы испытаний;
• заключение по результатам проверки.

5. Получение аттестата соответствия
После успешного завершения всех этапов объект информатизации получает аттестат соответствия, подтверждающий выполнение требований безопасности.

Команда «Гладиаторов информационной безопасности» оказывает полный комплекс услуг по подготовке и проведению аттестации объектов информатизации.

Мы помогаем организациям пройти процедуру аттестации без лишних сложностей и рисков.

Аудит текущего состояния системы

• анализ существующей инфраструктуры;
• выявление несоответствий требованиям безопасности;
• рекомендации по доработке системы защиты.

Подготовка к аттестации

• разработка необходимой документации;
• подготовка модели угроз;
• разработка организационно-распорядительных документов;
• внедрение и настройка средств защиты информации.

Проведение испытаний

• подготовка программы и методики испытаний;
• проведение проверок защищенности системы;
• оформление протоколов испытаний.

Сопровождение аттестации

• подготовка аттестационных материалов;
• взаимодействие с аттестующей организацией;
• консультации по дальнейшей эксплуатации системы.

Мы работаем с объектами различного масштаба — от отдельных автоматизированных рабочих мест до распределенных информационных систем.

Если вашей компании необходимо провести аттестацию объекта информатизации или подготовиться к проверке требований безопасности — наши специалисты помогут выполнить все необходимые работы и обеспечить соответствие системы установленным требованиям.