Организационная структура системы аттестации

Организационная структура системы аттестации

Цель: ознакомиться со структурой системы аттестации, функциями и задачами федеральных органов и организаций, образующих систему аттестации.

В соответствии с "Положением по аттестации объектов информатизации по требованиям безопасности информации", утвержденным председателем Гостехкомиссии России 25 ноября 1994 г., организационную структуру системы аттестации объектов информатизации образуют:

• федеральный орган по сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации – это ФСТЭК России (правопреемник Гостехкомиссии России);
• органы по аттестации объектов информатизации по требованиям безопасности информации;
• испытательные центры (лаборатории) по сертификации продукции по требованиям безопасности информации;
• заявители (заказчики, владельцы, разработчики аттестуемых объектов информатизации).

Указом Президента Российской Федерации "Вопросы Федеральной службы по техническому и экспортному контролю" от 16.08.2004 № 1085 на Федеральную службу по техническому и экспортному контролю Российской Федерации возложено руководство государственной системой противодействия техническим разведкам и технической защиты информации. Федеральный орган по сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации (ФСТЭК России) в пределах своих полномочий осуществляет следующие функции:

1. Разрабатывает и утверждает нормативные правовые акты и методические документы по вопросам технической защиты информации.
2. Устанавливает правила и порядок проведения лицензирования и аккредитации в области защиты информации, а также определяет требования к соискателям лицензии.
3. Проводит оценку готовности заявителя к выполнению работ по заявленным видам деятельности и выдает лицензии на проведение определенных видов работ и аттестат аккредитации.
4. Организует деятельность по проведению обязательной аттестации объектов информатизации, а также устанавливает требования по проведению аттестации.
5. Осуществляет в пределах своей компетенции контроль за состоянием работ по технической защите информации и эксплуатацией аттестованных объектов информатизации.
6. В случае выявления в ходе контроля нарушений в области технической защиты информации, выдает предписания на приостановление работ на объектах информатизации.
7. Рассматривает апелляции по вопросам аттестации объектов информатизации по требованиям безопасности информации.

Таким образом, ФСТЭК России в соответствии с возложенными на нее обязанностями устанавливает единые требования по вопросам аттестации объектов информатизации по требованиям безопасности информации.

Органы по аттестации объектов информатизации это специальные центры ФСТЭК России, а также предприятия и организации, аккредитованные ФСТЭК России и имеющие лицензию на право проведения работ по технической защите информации.

Следует отметить, что наличие у органа по аттестации аттестата аккредитации требуется только при проведении работ по защите государственной тайны. Для проведения работ по аттестации объектов информатизации, обрабатывающих информацию ограниченного доступа, не содержащую сведений, составляющих государственную тайну, достаточно иметь лицензию на деятельность по технической защите конфиденциальной информации.

Исходя из Постановления Правительства РФ от 03.02.2012 N 79 "О лицензировании деятельности по технической защите конфиденциальной информации", лицензирование деятельности по технической защите конфиденциальной информации осуществляет ФСТЭК России. При осуществлении лицензируемого вида деятельности лицензированию подлежат:

1. Услуги по контролю защищенности конфиденциальной информации от утечки по техническим каналам:
• в средствах и системах информатизации;
• в технических средствах (системах), не обрабатывающих конфиденциальную информацию, но размещенных в помещениях, где она обрабатывается;
• в помещениях со средствами (системами), подлежащими защите;
• в помещениях, предназначенных для ведения конфиденциальных переговоров (защищаемые помещения).
2. Услуги по контролю защищенности конфиденциальной информации от несанкционированного доступа и ее модификации в средствах и системах информатизации.
3. Услуги по мониторингу информационной безопасности средств и систем информатизации.
4. Работы и услуги по аттестационным испытаниям и аттестации на соответствие требованиям по защите информации:
• средств и систем информатизации;
• помещений со средствами (системами) информатизации, подлежащими защите;
• защищаемых помещений.
5. Работы и услуги по проектированию в защищенном исполнении:
• средств и систем информатизации;
• помещений со средствами (системами) информатизации, подлежащими защите;
• защищаемых помещений.
6. Услуги по установке, монтажу, наладке, испытаниям, ремонту:
• средств защиты информации (технических средств защиты информации, защищенных технических средств обработки информации, технических средств контроля эффективности мер защиты информации, программных (программно-технических) средств защиты информации;
• защищенных программных (программно-технических) средств обработки информации;
• программных (программно-технических) средств контроля эффективности защиты информации.