Аттестация информационных систем

Аттестация информационных систем — процедура подтверждения соответствия системы защиты информации установленным требованиям безопасности. Аттестация информационных систем ФСТЭК является обязательной для государственных информационных систем, систем, обрабатывающих государственную тайну, и рекомендуется для информационных систем персональных данных (ИСПДн). Порядок аттестации информационных систем регламентируется приказом ФСТЭК России № 77.

Аттестация информационной системы по требованиям безопасности необходима в следующих случаях: ввод в эксплуатацию государственной информационной системы (приказ ФСТЭК 17/117), обработка персональных данных в ИСПДн (аттестация информационных систем персональных данных по приказу ФСТЭК 21), защита значимых объектов критической информационной инфраструктуры (приказ ФСТЭК 239), обработка информации ограниченного доступа. Аттестация государственных информационных систем является обязательным условием для их ввода в эксплуатацию.

Организации, проводящие аттестацию информационных систем, должны иметь аттестат аккредитации ФСТЭК России. КРЕДО-С имеет аттестат на право проведения аттестационных испытаний и лицензии ФСТЭК и ФСБ России.

Этапы аттестационных испытаний информационных систем:

Предаттестационное обследование — специалисты КРЕДО-С проводят предварительный анализ готовности информационной системы к аттестации. Проверяется наличие и полнота проектной и эксплуатационной документации: модель угроз, технический паспорт информационной системы, акт классификации (определение класса защищённости), техническое задание на систему защиты информации. При выявлении недостатков оказывается помощь в их устранении до начала аттестационных испытаний.

Формирование аттестационной комиссии — создаётся рабочая группа, включающая специалистов аттестационной организации (КРЕДО-С) и представителей заказчика. Разрабатывается программа и методики аттестационных испытаний, определяются объём и последовательность проверок.

Документарная проверка — анализируется полнота и корректность комплекта документов: модель угроз безопасности информации, акт классификации информационной системы, технический паспорт, описание системы защиты информации, должностные инструкции, регламенты безопасности. Проверяется соответствие документации требованиям приказов ФСТЭК 17/117, 21 или 239 (в зависимости от типа системы).

Технический аудит — проверяется фактическая конфигурация средств защиты информации и её соответствие проектным решениям. Проводится инвентаризация установленных СЗИ, проверяется наличие действующих сертификатов ФСТЭК, корректность настроек средств защиты. Анализируется сетевая архитектура, проверяется сегментация, настройки межсетевых экранов, политики контроля доступа.

Тестирование механизмов безопасности — проверяется эффективность реализованных мер защиты: корректность разграничения доступа, работоспособность средств идентификации и аутентификации, функционирование системы регистрации событий безопасности, работа антивирусной защиты, средств обнаружения вторжений. Проводится проверка реагирования на попытки несанкционированного доступа.

Оформление результатов — по результатам аттестационных испытаний составляется протокол с детальным описанием проведённых проверок и их результатов. Формируется заключение о возможности эксплуатации информационной системы. При положительных результатах выдаётся аттестат соответствия информационной системы требованиям безопасности информации.

Срок действия аттестата информационной системы составляет 5 лет, после чего требуется повторная аттестация.

Внесение в реестр ФСТЭК — данные об аттестованной информационной системе вносятся в реестр аттестованных объектов информатизации ФСТЭК России. Для систем, подпадающих под действие приказа ФСТЭК России № 117, дополнительно выполняется расчёт показателя защищённости КЗИ. Стоимость аттестации информационных систем зависит от класса защищённости (К1, К2, К3), количества и территориальной распределённости объектов, состава применяемых средств защиты информации.

Сопровождение после аттестации — КРЕДО-С осуществляет контроль соответствия аттестованной системы установленным требованиям в период действия аттестата. При изменениях в составе СЗИ или архитектуре системы проводятся дополнительные аттестационные испытания для подтверждения сохранения уровня защищённости. Для государственных информационных систем предусмотрено периодическое подтверждение соответствия с направлением протоколов во ФСТЭК.

КРЕДО-С — обладатель лицензии ФСТЭК России на техническую защиту конфиденциальной информации, аттестат аккредитации на проведение аттестационных испытаний. Компания проводит аттестацию информационных систем с 1993 года. За это время аттестовано более 500 информационных систем различных классов защищённости — от К3 до К1, включая системы, обрабатывающие государственную тайну.

Аттестационные испытания проводятся во всех регионах России.