Аттестация

Аттестация системы защиты информации (СЗИ ИС) — это процедура официального подтверждения того, что информационная система соответствует установленным требованиям и актуальному законодательству по обеспечению безопасности информации. Аттестация проводится в соответствии с государственными нормативными актами и регламентами, чаще всего в интересах организаций, работающих с персональными данными, коммерческой тайной и иной конфиденциальной информацией.

Суть аттестации

Процедура аттестации – это проверка, насколько корректно в информационной системе внедрены меры защиты, предусмотренные законодательством. Итогом является документ — аттестат соответствия, подтверждающий, что система может использоваться для обработки информации определённого уровня конфиденциальности (класса).

Основные задачи

Аттестация решает несколько ключевых вопросов:

• определяет соответствие системы нормативным требованиям по безопасности;
• подтверждает правильность проектирования и внедрения средств защиты;
• фиксирует уровень защищённости данных;
• снижает риски несанкционированного доступа, утечек и сбоев.

Этапы проведения

Обычно процесс аттестации включает несколько шагов:

1. Обследование информационной системы — проведение аудита и сбора данных о её составе, архитектуре, процессах обработки информации.
2. Разработка организационно-распорядительных документов — положения, инструкции, регламенты по обеспечению защиты.
3. Проектирование системы защиты информации – разработка комплексной модели и архитектуры защиты с учётом требований и актуальных угроз.
4. Внедрение средств защиты — установка и настройка технических и программных решений.
5. Проверка эффективности — тестирование, моделирование угроз.
6. Оформление аттестата — выдача официального документа о соответствии.

Нормативная база

Аттестация проводится на основании:

• законов Республики Беларусь (например, «Об информации, информатизации и защите информации», «О защите персональных данных»);
• указов Президента, постановлений Совета Министров, документов ОАЦ при Президенте РБ;
• национальных стандартов и технических нормативных актов в области информационной безопасности (СТБ, ТКП и др.).

Вопрос-ответ

Кому нужна аттестация?

Всем организациям, чьи информационные системы обрабатывают персональные данные, коммерческую тайну или иную охраняемую информацию.

Чем аттестация отличается от аудита безопасности?

Аудит — это внутренняя проверка, которая выявляет уязвимости. Аттестация же является официальной процедурой с документальным подтверждением соответствия системы защиты информации информационной системы актуальным законодательным требованиям.

Как часто нужно проводить аттестацию?

В РБ аттестация обязательна при вводе системы в эксплуатацию и после любых изменений, влияющих на безопасность. Это закреплено в законе «Об информации, информатизации и защите информации» и нормативных актах ОАЦ: владелец обязан подтвердить соответствие системы требованиям защиты информации.