Аттестат соответствия ФСТЭК оформляется как подтверждающий документ, который фиксирует выполнение требований безопасности в информационной системе. Его наличие свидетельствует о том, что внедренные механизмы функционируют. Механизмы обеспечивают сохранность сведений, ограничивают несанкционированный доступ и отвечают действующим нормативным условиям Российской Федерации.
В условиях цифровой среды защита информации становится обязательной частью деятельности. Любая информационная среда, где происходит обработка персональных данных или иных категорий сведений, требует оценки уровня защищенности.
Аттестация позволяет:
-
определить фактическое состояние защитных механизмов;
-
выявить потенциальные уязвимости;
-
подтвердить выполнение установленных норм.
Федеральная служба по техническому и экспортному контролю России выполняет функции регулятора в данной области. Нормативная база включает Федеральный закон №152-ФЗ, а также иные документы, устанавливающие требования к защите данных.
Наличие аттестата подтверждает прохождение проверки. Система используется без риска нарушения безопасности сведений. Документация служит основанием для подтверждения правомерности обработки информации при взаимодействии с контролирующими органами.
Суть процесса аттестации
Аттестация включает совокупность действий, направленных на проверку программно-технического комплекса на соблюдение правил информационной безопасности. В рамках процедуры проводится оценка применяемых средств защиты, анализ архитектуры, проверка технических решений.
Цель — подтвердить соблюдение установленных норм, зафиксировать уровень защищенности. В процессе проверки анализируются:
-
состав обрабатываемых сведений;
-
используемые технические средства;
-
реализованные защитные механизмы;
-
устойчивость к потенциальным угрозам;
-
корректность настройки систем безопасности.
Аттестационные испытания проводятся с применением специализированного программного обеспечения. Проверка включает моделирование атак, анализ устойчивости к внешним воздействиям, выявление слабых мест.
Результат оценки оформляется в виде отчетной документации. При положительном результате выдается аттестат соответствия ФСТЭК. При выявлении несоответствий разрабатываются корректирующие мероприятия.
Процедура регламентируется приказом ФСТЭК №77. Документация устанавливает порядок проведения аттестации, требования к испытаниям, правила оформления результатов.
Когда требуется получение аттестата соответствия
Необходимость получения аттестата возникает при работе с информацией, для которой установлены повышенные требования к безопасности. Обязательное проведение проверки предусмотрено для отдельных типов систем.
К таким ситуациям относятся:
-
обработка данных в государственных информационных ресурсах;
-
работа со сведениями, относящимися к государственной тайне;
-
использование решений в муниципальных структурах;
-
обработка конфиденциальной информации, за исключением коммерческой тайны.
Дополнительные правила применяются при эксплуатации объектов критической информационной инфраструктуры. В подобных случаях документ подтверждает уровень защиты, установленный в рамках категорирования.
В остальных ситуациях решение о проведении проверки имеет добровольный характер. Решение принимается с учетом внутренних регламентов, договорных обязательств, необходимости подтверждения уровня защищенности.
Наличие аттестата упрощает взаимодействие с контролирующими органами, снижает риски штрафных санкций, повышает доверие со стороны партнеров.
Какие объекты подлежат аттестации
Проверка проводится в отношении объектов информатизации, где осуществляется обработка сведений. К таким решениям относятся:
-
корпоративные информационные среды;
-
серверные мощности;
-
локальные сети организаций;
-
облачные платформы;
-
автоматизированные комплексы управления.
Каждый элемент анализируется отдельно с учетом архитектуры, используемых средств защиты и характера обрабатываемых данных.
Повышенные нормы применяются к решениям, в которых осуществляется обработка персональных данных. Параметры защиты определяются исходя из установленного уровня защищенности.
Аттестация также применяется для объектов, используемых в рамках государственных проектов. Контроль безопасности выступает обязательным условием эксплуатации решений.
Требования ФСТЭК к получению аттестата соответствия
Для получения аттестата соответствия ФСТЭК необходимо обеспечить выполнение установленных правил в области информационной безопасности. Основное внимание уделяется выбору и внедрению сертифицированных средств защиты, а также корректной настройке технических решений.
Требования формируются на основании нормативных документов, включая приказ ФСТЭК №77. В рамках подготовки учитываются:
-
уровень защищенности данных;
-
категория обрабатываемой информации;
-
архитектура системы;
-
применяемые технические средства;
-
реализованные механизмы защиты.
Особое значение имеет использование сертифицированных средств защиты информации. Такие решения должны иметь действующий сертификат, подтверждающий соблюдение норм.
Дополнительно проводится разработка организационной документации. В нее входят регламенты обработки данных, инструкции для персонала, а также внутренние процедуры контроля.
Важным этапом является формирование модели угроз. Документация описывает возможные сценарии нарушения безопасности, помогает определить необходимые меры защиты.
Система должна обеспечивать:
-
разграничение доступа;
-
регистрацию действий пользователей;
-
защиту каналов передачи данных;
-
предотвращение утечек информации;
-
контроль состояния безопасности.
Только при соблюдении всех требований возможно успешное прохождение аттестации и получение аттестата соответствия.
Порядок оформления и выдачи аттестата соответствия ФСТЭК
Процедура аттестации включает несколько последовательных этапов.
На начальной стадии проводится подготовка:
-
анализ системы;
-
определение состава данных;
-
оценка рисков;
-
выбор средств защиты.
Далее выполняется проектирование системы защиты:
-
разрабатывается техническая документация;
-
определяется состав мероприятий;
-
формируется план работ.
После внедрения защитных решений проводится испытание. Проверка осуществляется с использованием специализированных средств. Выполняется моделирование атак, анализ устойчивости системы, оценка эффективности применяемых мер.
Результаты испытаний фиксируются в отчетной документации. При выявлении недостатков разрабатываются мероприятия по их устранению.
Заключительный этап — оформление результатов. При положительном результате выдается аттестат соответствия ФСТЭК. Документ подтверждает, что система прошла аттестацию и соответствует установленным требованиям безопасности.
Аттестацию имеют право проводить только организации, обладающие лицензией ФСТЭК на деятельность по технической защите информации. Самостоятельное проведение процедуры не допускается.
Документация при проведении аттестации
В процессе подготовки формируется комплект документации. Документы подтверждают выполнение требований и фиксируют результаты проверки.
К проверяемым сведениям относятся:
-
Проектные материалы:
-
модель угроз;
-
техническое задание;
-
проект системы защиты;
-
спецификация средств защиты;
-
план внедрения.
-
Организационные документы:
-
регламенты обработки данных;
-
инструкции для сотрудников;
-
журналы учета;
-
документы по обучению персонала;
-
сведения о присвоении уровня защищенности.
-
Документы по испытаниям:
-
программа аттестационных испытаний;
-
методики проверки;
-
протоколы испытаний;
-
заключения по результатам оценки.
Корректность сведений влияет на результат аттестации.
Срок действия аттестата и контроль
Аттестат соответствия ФСТЭК оформляется на период эксплуатации объекта информатизации. При этом наличие такого документа не отменяет обязанность контролировать уровень защищенности.
Проверка состояния защиты проводится регулярно. Минимальная периодичность составляет один раз в два года. Итоги фиксируются в отчетных материалах, после чего направляются в уполномоченный орган.
В рамках контроля выполняется:
-
анализ актуальности настроек безопасности;
-
проверка применяемых средств защиты;
-
выявление новых угроз;
-
оценка соблюдения установленных требований.
Отсутствие подтверждения проведенного контроля может привести к ограничению действия аттестационного документа.
Основания для повторной оценки
Повторная аттестация требуется при изменении параметров функционирования системы. К таким ситуациям относятся:
-
изменение структуры или архитектуры;
-
внедрение новых решений;
-
корректировка применяемых средств защиты;
-
изменение состава обрабатываемых сведений;
-
выявление нарушений в обеспечении безопасности.
Контролирующий орган вправе временно приостановить действие аттестата. Срок ограничения не превышает 90 календарных дней.
Причинами могут выступать:
-
отсутствие подтверждения устранения выявленных недостатков;
-
непредставление результатов контроля;
-
отсутствие сведений о повторной проверке после изменений;
-
инициатива владельца объекта.
Повторная процедура подтверждает актуальность уровня защищенности и соответствие действующим нормам. Остались вопросы? Направляйте заявки. Консультируем бесплатно.
