Речь идёт об аттестации государственной информационной системы — объекта информатизации, в котором обрабатывается информация ограниченного доступа, не составляющая государственную тайну. Это процедура защиты информации по требованиям ФСТЭК России, а не аттестация работников и не оценка квалификации персонала.
Ввести государственную информационную систему в эксплуатацию без аттестата соответствия нельзя. На практике это выясняется в самый неудобный момент: система разработана, приёмка назначена, деньги по контракту освоены, а документов по защите информации нет, класс защищённости не определён, модель угроз не согласована. Аттестация превращается в аврал, а иногда — в срыв контракта.
Мы ведём юридический и документальный контур аттестации: от классификации системы и модели угроз до подготовки к аттестационным испытаниям и сопровождения после получения аттестата. Стоимость — по договорённости.
Что вы получаете:
- определение класса защищённости, который вы обязаны обеспечить, — без завышения и без опасного занижения;
- полный комплект организационно-распорядительных документов, который принимает аттестующая организация;
- модель угроз и техническое задание на систему защиты, согласованные с реальной архитектурой;
- сопровождение аттестационных испытаний и устранение замечаний;
- поддержку режима после аттестации, чтобы аттестат не «протух» при первом же обновлении.
Кого это касается
- государственных и муниципальных органов — владельцев информационных систем;
- подведомственных учреждений и ГУП/МУП, эксплуатирующих системы по поручению органа;
- разработчиков и интеграторов, у которых обязанность обеспечить аттестацию записана в государственном контракте;
- операторов систем, взаимодействующих с государственными, когда требование распространяется по цепочке подключения.
Отдельный случай — информационные системы персональных данных, которые не являются государственными. Для них аттестация по общему правилу не обязательна, но требуется оценка эффективности принятых мер защиты, и заказчики часто путают эти процедуры. Разбираемся с этим в услуге приведения в соответствие 152-ФЗ.
Нормативная рамка
Обязанность защищать информацию в информационных системах установлена статьёй 16 Федерального закона № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
Основной отраслевой акт — приказ ФСТЭК России № 17, утвердивший требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах. Он задаёт классы защищённости, состав мер защиты по каждому классу и прямо связывает ввод системы в эксплуатацию с аттестацией.
Порядок организации и проведения самих работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа установлен приказом ФСТЭК России № 77.
Если в системе обрабатываются персональные данные, параллельно применяются постановление Правительства РФ № 1119 об уровнях защищённости и приказ ФСТЭК России № 21 о составе мер: класс защищённости системы и уровень защищённости данных определяются независимо, и меры берутся по более строгому из двух.
Работы по аттестации вправе выполнять организация, имеющая лицензию ФСТЭК России на техническую защиту конфиденциальной информации с соответствующим видом работ. Получение такой лицензии — отдельная услуга: лицензия ФСТЭК под ключ.
Из чего складывается класс защищённости
Класс определяется двумя параметрами: уровнем значимости обрабатываемой информации и масштабом системы. Уровень значимости выводится из последствий нарушения конфиденциальности, целостности и доступности информации — от высокой степени ущерба до низкой. Масштаб зависит от того, федеральная система, региональная или объектовая. Комбинация даёт класс от первого, самого строгого, до третьего.
Ошибка на этом шаге стоит дороже всего. Занижение означает недостаточный набор мер и отказ в выдаче аттестата или предписание после проверки. Завышение — лишние средства защиты, лишние деньги в контракте и вопросы контрольного органа о расходовании бюджета. Поэтому классификацию мы оформляем актом с обоснованием, а не «по аналогии с соседним ведомством».
Что входит в работу
- Обследование системы. Границы объекта информатизации, состав технических средств, каналы связи, размещение, режим доступа.
- Классификация. Акт классификации с обоснованием уровня значимости и масштаба.
- Модель угроз. Составляется с опорой на методику ФСТЭК России, увязывается с реальной архитектурой и с перечнем актуальных угроз.
- Техническое задание на систему защиты информации и требования к применяемым средствам защиты, прошедшим оценку соответствия.
- Организационно-распорядительные документы. Приказы, положения, регламенты доступа, инструкции администратора безопасности и пользователя, журналы, порядок реагирования на инциденты. Отдельная услуга по этому блоку — разработка документации по информационной безопасности.
- Подготовка к аттестационным испытаниям. Программа и методики, предварительная проверка, устранение расхождений между документами и фактическим состоянием.
- Сопровождение испытаний и получения аттестата, отработка замечаний.
- Поддержание режима. Порядок действий при изменении состава системы, обновлении программного обеспечения и расширении контура, чтобы не пришлось аттестовываться заново.
Стоимость
| Услуга | Срок | Стоимость |
|---|---|---|
| Экспресс-оценка готовности системы к аттестации | 1–2 рабочих дня | бесплатно |
| Классификация системы и акт с обоснованием | по объёму | по договорённости |
| Модель угроз и техническое задание на защиту | по объёму | по договорённости |
| Комплект организационно-распорядительных документов | по объёму | по договорённости |
| Подготовка и сопровождение аттестационных испытаний | по объёму | по договорённости |
| Сопровождение после аттестации и при изменениях системы | месяц | по договорённости |
Стоимость по договорённости: она зависит от класса защищённости, масштаба системы, числа сегментов и площадок и от состояния имеющейся документации. Цены не являются публичной офертой, точная сумма фиксируется в договоре после бесплатной консультации.
Частые вопросы
Можно ли ввести систему в эксплуатацию до аттестации?
Для государственной информационной системы требования ФСТЭК России связывают ввод в эксплуатацию с наличием аттестата соответствия. Практика «запустим, аттестуемся потом» приводит к предписанию, а в контрактных отношениях — к спору о приёмке и оплате.
У нас поменялась архитектура. Аттестат ещё действует?
Зависит от характера изменений. Изменение состава технических средств, границ контролируемой зоны, каналов связи или набора средств защиты требует анализа и, как правило, дополнительных испытаний. Мы оцениваем изменение до его внедрения — это дешевле повторной аттестации.
Кто выдаёт аттестат?
Аттестат выдаёт аттестующая организация, имеющая лицензию ФСТЭК России. Мы не подменяем её, а готовим систему и документы так, чтобы испытания прошли с первого раза, и представляем ваши интересы в переписке.
Наша система не государственная, но заказчик требует аттестацию. Обязаны?
По закону — не всегда, по контракту — да, если такое условие в нём есть. Это вопрос переговоров и формулировок технического задания: иногда достаточно оценки эффективности мер, и мы помогаем скорректировать требования до подписания.
Мы попадаем ещё и под требования о критической инфраструктуре?
Возможно: сферы деятельности, при которых организация становится субъектом КИИ, определены законом отдельно. Как это проверить — разобрано в статье «Категорирование объектов КИИ».
Получить консультацию
Пришлите описание системы: назначение, состав, где размещена, какая информация обрабатывается и есть ли действующие документы по защите. За один-два рабочих дня бесплатно назовём предполагаемый класс защищённости и перечень того, что нужно подготовить.
Почта: contact@vfs.consulting. Телефон: +7 916 419-16-66.