Порядок аттестации ИС: что обязан сделать руководитель

Что Указ №196 говорит об аттестации

Указ Президента РБ от 16 апреля 2013 г. № 196 «О некоторых мерах по совершенствованию защиты информации» действует в редакции Указа № 449 от 9 декабря 2019 года. Им утверждено Положение о технической и криптографической защите информации, главный документ, который описывает, как организации защищают обрабатываемые данные.

Для аттестации из этого Положения важны два пункта:

• Пункт 15персональную ответственность за организацию работ по технической и криптографической защите информации в организации несёт её руководитель.
• Пункт 7.2владельцы систем, подпадающие под обязательные требования, «организуют и проводят комплекс организационно-технических мероприятий по аттестации систем защиты информации».

Сама аттестация представляет собой комплекс организационно-технических мероприятий, подтверждающих, что система защиты информации соответствует требованиям законодательства (п. 2 Положения о порядке аттестации, утверждённого Приказом ОАЦ № 66 от 20 февраля 2020 года). Итогом процедуры становится аттестат соответствия системы защиты информации.

Если ещё не определяли, попадает ли ваша система под эти требования, начните со статьи «Нужна ли аттестация ИС»: там разбор п. 3 Положения по Указу № 196.

Когда аттестация обязательна

Главное правило сформулировано прямо: аттестация создаваемой системы защиты выполняется до ввода информационной системы в эксплуатацию (п. 6 Положения о порядке аттестации, Приказ ОАЦ № 66).

Пункт 5 того же Положения перечисляет три основания, когда аттестация проводится:

1. 1при создании системы защиты информации
2. 2при истечении срока действия аттестата соответствия
3. 3при изменении технологии обработки защищаемой информации и (или) технических мер, реализованных при создании системы защиты

Три основания составляют базовый минимум. Дополнительные основания владелец системы вправе предусмотреть и сам (п. 5). Аттестация не разовое действие. Её проводят заново при замене защищаемых средств, переходе на новую технологию обработки и по истечении пятилетнего срока аттестата.

Кто именно обязан проходить аттестацию, определяет перечень п. 3 Положения о ТКЗИ по Указу № 196: критически важные объекты информатизации, системы со служебной информацией, персональными данными, электронными документами и другие указанные категории. Полный перечень смотрите в статье «Нужна ли аттестация ИС».

Кто проводит аттестацию и что выдаёт

Аттестацию проводят специализированные организации, имеющие лицензию Оперативно-аналитического центра при Президенте РБ на осуществление деятельности по технической и (или) криптографической защите информации (п. 3 Положения о порядке аттестации). Обычный путь: владелец заключает с такой организацией договор и предоставляет документацию на свою СЗИ.

Собственники и владельцы ИС вправе провести аттестацию и самостоятельно, без привлечения лицензиата. В этом случае работы по аттестации ведёт комиссия, назначенная приказом руководителя владельца (п. 4).

Результат в обоих случаях один: аттестат соответствия системы защиты информации. Подписывает его руководитель: специализированной организации, если аттестацию проводил лицензиат, или сам собственник при самостоятельной аттестации (п. 13). Наличие аттестата обязательно для обработки информации, распространение и (или) предоставление которой ограничено и не отнесено к государственным секретам (п. 7 Положения о порядке аттестации). Требование закреплено и на уровне закона: ст. 28 Закона РБ от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации» обязывает обрабатывать такую информацию в ИС с применением аттестованной системы защиты.

Работать без аттестата, если он обязателен, рискованно: по п. 6.7 Положения о ТКЗИ ОАЦ вправе выдать предписание устранить нарушения вплоть до приостановки обработки информации в системе.

Порядок действий: 4 шага

1. 1Определить класс ИС. Вид обрабатываемой информации задаёт класс системы, а подключение к открытым каналам — серию класса (Правила по Приказу ОАЦ № 66). Класс определяет объём требований к защите и программу аттестации.
2. 2Создать систему защиты информации. Проектирование СЗИ, политика информационной безопасности, общая схема защиты, локальные правовые акты.
3. 3Провести аттестацию. Специализированная организация с лицензией ОАЦ разрабатывает программу и методику аттестации, проводит испытания и оформляет технический отчёт.
4. 4Получить аттестат и ввести ИС в эксплуатацию. Аттестат соответствия подтверждает готовность системы к обработке ограниченной информации.

Шаг 1 можно сделать прямо сейчас: пройдите опросник калькулятора, получите класс ИС и вывод о необходимости аттестации с нормативными ссылками; на всё уходит около десяти минут.

Частые вопросы