Создание системы защиты информации (СЗИ) — это лишь половина пути. Чтобы система считалась легитимной, она должна пройти процедуру проверки эффективности. Оценка соответствия требованиям по защите информации — это обязательный этап жизненного цикла любой защищенной системы, будь то Государственная информационная система (ГИС), Информационная система персональных данных (ИСПДн) или Значимый объект КИИ. Без положительного заключения по результатам оценки эксплуатация системы является нарушением закона.
Оценка соответствия может проводиться в разных формах: обязательная аттестация, испытания (приемка) или декларирование. Выбор формы зависит от класса системы и нормативных требований (Приказ ФСТЭК № 17, № 21 или № 239). Главная цель процедуры — подтвердить, что внедренные меры защиты реально работают, перекрывают актуальные угрозы и соответствуют техническому заданию. Для госорганов аттестация обязательна, для коммерческих компаний — зависит от статуса системы.
Формы оценки соответствия
В зависимости от типа объекта выбирается правильная процедура.
1. Аттестация (Аттестат соответствия)
Самая строгая форма. Обязательна для ГИС и систем, обрабатывающих гостайну. Для ИСПДн и КИИ — добровольная (но рекомендуемая).
Проводится только организацией-лицензиатом ФСТЭК (органом по аттестации).
Включает:
- Анализ технической документации.
- Инструментальное обследование (поиск уязвимостей, попытки взлома).
- Выдачу Аттестата соответствия на срок 3-5 лет (или на срок службы системы).
2. Приемка (Испытания)
Основная форма для Значимых объектов КИИ (согласно Приказу № 239).
Может проводиться субъектом самостоятельно или с привлечением подрядчика.
Этапы:
- Разработка Программы и методик испытаний (ПМИ).
- Проверка настроек СЗИ и организационных мер.
- Оформление Акта приемки системы защиты в эксплуатацию.
- Юридическая помощь в решении проблемных ситуаций
- Консультации юриста онлайн проводятся Пн-Пт, с 10:00 до 18:00 часов
3. Декларирование
Редкая форма, применяется для некоторых типов продукции и систем, где ответственность берет на себя производитель/владелец.
Этапы работ по оценке соответствия
Независимо от формы, процесс включает:
- Аудит документов. Проверка наличия Модели угроз, Технического паспорта, Инструкций и Регламентов.
- Проверка средств защиты. Установлены ли сертифицированные СЗИ? Правильно ли они настроены? Обновлены ли базы сигнатур?
- Поиск уязвимостей. Сканирование портов, анализ веб-приложений, тестирование на проникновение (PenTest).
- Заключение. Выдача итогового документа (Аттестата или Акта), разрешающего обработку информации.
Зачем это бизнесу?
Оценка соответствия требованиям по защите информации решает несколько задач:
- Легализация. Без оценки систему нельзя вводить в эксплуатацию. Использование неаттестованной ГИС — прямое нарушение закона.
- Снятие ответственности. Наличие действующего Аттестата является доказательством того, что оператор принял все необходимые меры защиты. В случае утечки данных это ключевой аргумент для снижения или отмены штрафа.
- Требование партнеров. Банки, госкомпании и крупные заказчики требуют от подрядчиков подтверждения защищенности их систем.
Мы выступаем в роли консультантов и организаторов процесса, привлекая проверенных лицензиатов ФСТЭК для проведения аттестации и обеспечивая успешное прохождение испытаний с первого раза.