Подготовку к аттестации начинают с определения объекта и применимого основания, а не с закупки средств защиты. Нельзя переносить требования одного типа системы на любую инфраструктуру заказчика. Интегратор помогает собрать факты и реализовать согласованные меры; решение о применимости процедуры требует проверки нормативного контекста.
Проверьте основание и границы объекта
В тексте порядка аттестации, утверждённого приказом ФСТЭК России от 29 апреля 2021 года № 77, перечислены области его применения. Для ряда объектов, включая значимые объекты КИИ и негосударственные системы персональных данных, отдельно указано применение при установленном владельцем требовании оценки в форме аттестации. Это не основание утверждать, что любая система обязательно должна проходить такую процедуру.
Для конкретного проекта запишите тип системы, обрабатываемую информацию, владельца, оператора и источник требования. Проверьте действующую редакцию актов и дополнительные основания с ответственным специалистом. Не используйте сохранённую копию старого порядка как доказательство актуальности всех его положений.
Сверьте описание с фактической архитектурой
Рассмотрим информационную систему заказчика с удалёнными площадками. Обследуйте серверы, рабочие места, каналы связи, внешние обмены и административный доступ. Установите, какие компоненты входят в оцениваемый объект и какие являются внешними зависимостями. Сопоставьте сведения с техническим паспортом, схемами и принятой классификацией либо категорированием, если они применимы.
Не определяйте класс только по наличию персональных данных или названию отрасли. Основания и расчёты должны быть отдельными проверяемыми материалами. Все спорные границы перечислите до разработки программы: позднее исключение узла из объекта может изменить содержание испытаний.
Подготовьте документы с учётом условий
Пункт 11 прочитанного порядка описывает документы подготовки: паспорт, материалы классификации или категорирования, эксплуатационные и организационные документы, а также другие материалы с оговорками о случаях их разработки. Поэтому комплект формируют по применимости, а не бездумным копированием универсального списка. Для каждого пункта укажите документ либо обоснование отсутствия.
Проверьте актуальность модели угроз, проектных решений, инструкций и результатов предварительных проверок, если они входят в комплект. В регламенте доступа должна быть описана работающая процедура, а в схеме именно установленное оборудование. Документ без связи с реализованной мерой не подтверждает защиту.
Организуйте проверку работающих мер
Согласуйте с органом по аттестации состав работ, необходимые доступы, окна и порядок предоставления материалов. Отдельно проверьте полномочия и компетенции привлечённых участников по действующим требованиям. Не обещайте положительное заключение заранее: результат зависит от фактического состояния объекта и проведённых испытаний.
Проведите внутреннюю репетицию на примере удалённого администратора: основание доступа, ограничение прав, регистрация действий и прекращение сессии. Сохраните свидетельства каждой проверки. Репетиция помогает найти несоответствия, но не подменяет официальную процедуру или независимость её участников.
Закройте замечания и сохраните управляемость
Замечание оформляйте как связь требования, наблюдаемого несоответствия и корректирующего действия. Назначьте владельца, затем повторите затронутую проверку. Если исправление изменило конфигурацию, обновите паспорт и инструкции. Не ограничивайтесь правкой текста, когда реальная настройка осталась прежней.
Основные ошибки: универсальное объявление обязательности, устаревшая редакция источника, документы от другого объекта и изменение среды без учёта. После процедуры закрепите порядок оценки будущих изменений и поддержки актуальности комплекта. Полученный документ относится к установленным условиям и не освобождает команду от контроля реального состояния защиты в дальнейшей эксплуатации.
Проверьте комплект глазами исполнителя работ
До передачи попросите специалиста найти границы удалённой площадки, действующую схему доступа и подтверждение одной выбранной меры. Он должен понять, относится ли материал к текущему объекту и где находятся закрытые приложения. Если разные документы называют разные границы, сначала устраните противоречие, а не добавляйте новое общее пояснение.
Для каждого неподтверждённого положения запишите источник вопроса и ответственного за проверку. Особенно внимательно относитесь к редакциям нормативных актов: прочитанный исходный текст помогает понять методику, но не подтверждает отсутствие последующих изменений. Сохраните запись проведённой актуализации в проекте. Подготовка должна облегчать объективную оценку, а не создавать видимость заранее известного положительного результата.
Проверка перед завершением
- ✓Установите применимое основание процедуры.
- ✓Сверьте паспорт с фактическими границами.
- ✓Подтверждайте меры настройками и проверками.
Частые вопросы
Обязательна ли аттестация любой системы?+
Можно ли подготовиться только документами?+
Продукт · Цены · Все материалы