Нужна ли аттестация ИС — как понять за 10 минут

Что делает аттестацию обязательной

Аттестация системы защиты информации — комплекс организационно-технических мероприятий, в результате которых документально подтверждается соответствие системы защиты информации требованиям законодательства. Так аттестация определена в Положении о порядке аттестации систем защиты информации (утверждено Приказом ОАЦ №66 от 20.02.2020). Провести её обязаны владельцы, чья система попала в перечень п. 3 Положения о технической и криптографической защите информации (утверждено Указом Президента РБ №196 от 16.04.2013, в редакции Указа №449 от 09.12.2019): для них п. 7.2 звучит прямо — владельцы «организуют и проводят комплекс организационно-технических мероприятий по аттестации систем защиты информации».

Отсутствие действующего аттестата при обязательной аттестации — основание для предписаний Оперативно-аналитического центра. По п. 6.7 того же Положения ОАЦ вправе потребовать устранить нарушения, а также приостановить обработку информации в системе. Остановка обработки данных критичнее любого штрафа, поэтому проверить, нужна ли аттестация, стоит заранее.

Когда аттестация обязательна по закону

Пункт 3 Положения перечисляет владельцев, для которых требования обязательны:

• Критически важные объекты информатизацииих владельцы обязаны соблюдать требования Положения.
• Служебная информация ограниченного распространенияИС, в которых обрабатывается такая информация.
• Персональные данные и частная жизньИС с информацией о частной жизни физического лица и персональными данными; исключение — блокчейн-системы резидентов Парка высоких технологий.
• Электронные документыИС, в которых обрабатываются электронные документы.
• Госорганы и хозяйственные обществаесли ИС предназначена для обработки информации с ограниченным распространением; для хозяйственных обществ порог — 50 и более процентов акций (долей) в собственности Республики Беларусь и (или) её административно-территориальных единиц.
• Операторы открытых ключей ЭЦПорганизации по распространению открытых ключей проверки электронной цифровой подписи, аккредитованные в Государственной системе управления открытыми ключами ЭЦП Республики Беларусь.

Если вашей системы нет в этом перечне, Положение к ней не применяется: п. 3 даёт таким владельцам право руководствоваться им добровольно, если иное не предусмотрено законодательными актами. Отдельная категория — ИС, обрабатывающие государственные секреты: на них Положение не распространяется (п. 2), правила работы с такой информацией устанавливаются отдельно.

Как понять, нужна ли аттестация ИС

Признак для аттестации один — какая информация обрабатывается: именно вид информации перечислен в п. 3 Положения. Тот же вид информации задаёт класс системы по Приказу ОАЦ №66, а подключение к открытым каналам передачи данных — серию класса (3 или 4). Вместе с классом система получает и объём требований к защите. Определили класс — получили ответ про аттестацию; подробно о логике классификации рассказали в статье «Как определить класс ИС онлайн».

Проверить свою систему без чтения нормативных актов:

1. 1Ответьте на 21 вопрос анкеты — пять блоков про типы данных, подключение к сети и особенности системы.
2. 2Калькулятор сопоставит ответы с признаками п. 3 Положения и правилами Приказа ОАЦ №66.
3. 3Получите класс ИС, вывод о необходимости аттестации и нормативное обоснование каждого требования.

Вся процедура занимает около десяти минут. Пройти опросник и узнать, нужна ли аттестация вашей ИС.

Что показывает отчёт

Краткий отчёт отвечает на главный вопрос — обязана ли ваша ИС проходить аттестацию, — и называет требования к защите. Полный отчёт добавляет каталог требований с нормативными ссылками и готовит к работе с аттестующей организацией.

Частые вопросы