Аттестация объектов информатизации по Приказу ФСТЭК 

Аттестация подтверждает, что объект, оборудование, программное обеспечение, принятые меры отвечают нормам информационной безопасности. Проверка требуется в случаях, когда законодательство предусматривает официальную оценку защищенности сведений ограниченного доступа.

При поиске нормативных требований встречается запрос аттестация объектов информатизации приказ ФСТЭК. Основной порядок таких работ установлен приказом Федеральной службы по техническому и экспортному контролю России от 29 апреля 2021 года № 77. Не каждый информационный комплекс подлежит такой процедуре.

Что устанавливают во время проверки

Проведение аттестации объектов информатизации помогает оценить фактическое состояние системы, работу мер безопасности.

Эксперты изучают:

• серверы, рабочие станции;
• сетевое оборудование;
• программное обеспечение;
• средства защиты информации;
• помещения;
• каналы связи;
• учетные записи;
• права пользователей;
• эксплуатационные документы.

Настройки, принятые меры сопоставляют с обязательными нормами. Отдельное внимание уделяют предотвращению несанкционированного доступа, работе защитных средств, соблюдению внутренних правил.

При положительном результате выдается аттестат соответствия. Если обнаружены недостатки, их устраняют. Затем повторно оценивают затронутые параметры.

Какие нормативные акты учитывают

Организация аттестации объектов информатизации начинается с выбора требований, которые относятся к конкретной системе.

Общие правила работы с защищаемыми сведениями закреплены Федеральным законом № 149-ФЗ. Порядок подтверждения соответствия регулирует приказ ФСТЭК России № 77.

Для государственных информационных ресурсов с 1 марта 2026 года действуют положения Приказа этого ведомства № 117.

Справка. Ранее для государственных информационных систем применялся Приказ № 17 от 11 февраля 2013 года.

При анализе учитывают:

• назначение объекта;
• категорию сведений;
• архитектуру;
• условия эксплуатации;
• наличие удаленного доступа;
• оборудование;
• применяемые средства безопасности.

Такой подход помогает заранее определить нужный объем испытаний.

Для каких объектов нужна процедура

Работы по аттестации объектов информатизации могут потребоваться:

• государственным органам;
• органам местного самоуправления;
• владельцам государственных информационных ресурсов;
• организациям с информацией ограниченного доступа;
• предприятиям с защищенными автоматизированными комплексами;
• владельцам специально оборудованных помещений.

Сначала устанавливают назначение информационной среды, категорию данных, действующие нормы.

Предварительный анализ позволяет определить необходимость процедуры до подготовки большого комплекта документов.

Этапы работ

Оценка проходит последовательно. Это упрощает поиск несоответствий, подготовку доказательных материалов. Этапы процедуры:

1. Устанавливаются границы объекта.
2. Уточняются его функции.
3. Определяются категории обрабатываемых данных.
4. Изучаются архитектура, оборудование, программная среда.
5. Анализируется модель угроз.
6. Проверяются внутренние документы.
7. Изучаются настройки защитных средств.
8. Готовятся программа, методики испытаний.
9. Выполняются тесты, необходимые измерения.
10. Составляются протоколы.
11. Готовится итоговое заключение.
12. При успешном результате выдается аттестат.

Перечень действий зависит от особенностей объекта. Для автоматизированного комплекса важными могут быть права пользователей, сетевые настройки. Для защищаемого помещения — физический доступ, каналы утечки, применяемое оборудование.

Ненужные процедуры в программу не включают: объем определяется по применимым требованиям.

Что оценивают при испытаниях

Эксперты могут проверять:

• идентификацию пользователей;
• разграничение прав;
• сетевые настройки;
• регистрацию событий;
• антивирусную защиту;
• противодействие несанкционированному доступу;
• резервирование;
• физическую безопасность;
• выполнение внутренних инструкций;
• соответствие фактических настроек проектным решениям.

При необходимости используют инструментальные методы, измерительное оборудование.

Результаты заносят в протокол. На основании полученных данных делают вывод о выполнении установленных норм либо фиксируют замечания.

Документы для проведения работ

Перед испытаниями владельцу нужно предоставить материалы, которые описывают систему и применяемые меры безопасности.

В зависимости от типа системы могут понадобиться:

• паспорт с основными характеристиками;
• документ об установленном классе;
• материалы по категорированию;
• описание актуальных угроз;
• схема построения инфраструктуры;
• список установленного оборудования;
• данные о применяемых средствах информационной безопасности;
• комплект эксплуатационных материалов;
• программа будущих аттестационных проверок;
• методическая база для проведения испытаний;
• порядок распределения прав пользователей;
• распорядительные документы о назначении ответственных лиц.

Перечень зависит от назначения объекта. Универсального набора для всех случаев нет.

Документация должна соответствовать реальной конфигурации. После замены оборудования, изменения сетевой схемы или программной платформы сведения следует актуализировать.

Эксплуатация после получения аттестата

Выдача аттестата не завершает работу по обеспечению безопасности. Подтвержденные параметры необходимо сохранять при дальнейшей эксплуатации.

Особого внимания требуют изменения:

• оборудования;
• программной платформы;
• каналов связи;
• сетевой архитектуры;
• модели угроз;
• прав доступа;
• средств защиты;
• условий размещения техники.

Незначительная модернизация не всегда требует повторной процедуры. Сначала оценивают ее влияние на ранее подтвержденные параметры.

При существенных изменениях проводят дополнительные испытания в необходимом объеме.

Когда потребуется новая оценка

Основанием может стать модернизация, которая затрагивает важные характеристики защищенного комплекса.

К таким изменениям относятся:

• перенос оборудования;
• подключение новых сегментов;
• изменение каналов связи;
• замена ключевых защитных средств;
• корректировка модели угроз;
• расширение границ объекта;
• изменение порядка доступа;
• существенное обновление программной среды.

Объем последующих работ выбирают с учетом характера изменений. Проверять заново параметры, которых модернизация не коснулась, требуется не во всех случаях.

Кто выполняет работы

Оказание услуг по аттестации объектов информатизации требует профильных знаний, подготовленных специалистов, методик, необходимого оборудования.

Исполнитель изучает исходные сведения, составляет программу испытаний, выполняет проверки, готовит протоколы, заключение.

Для отдельных работ в сфере технической защиты информации необходима лицензия ФСТЭК России.

При выборе исполнителя учитывают:

• опыт с нужным типом объектов;
• разрешительные документы;
• квалификацию специалистов;
• наличие измерительного оборудования;
• практику подготовки аттестационных материалов.

До начала сотрудничества также стоит определить границы работ, перечень исходной документации.

Что можно подготовить в рамках одного проекта

Вместе с аттестацией можно разработать материалы, которые нужны для испытаний, эксплуатации, дальнейшего контроля.

В рамках одного проекта можно подготовить:

• паспорт с описанием параметров информационной системы;
• документ по результатам категорирования;
• материалы для установления класса защищенности;
• модель актуальных угроз;
• программу проверочных испытаний;
• методическую базу для оценки;
• список применяемых средств информационной безопасности;
• комплект эксплуатационных материалов;
• пакет для оформления лицензии Федеральной службы по техническому и экспортному контролю России;
• комплект сведений для прохождения лицензионной процедуры по линии Федеральной службы безопасности;
• материалы для подтверждения соответствия средств защиты информации;
• комплект для сертификации систем менеджмента по ИСО 9001, ИСО 14001, ИСО 45001.

Консультируем бесплатно. Направляйте заявки!