Порядок проведения аттестации объектов информатизации.

Порядок проведения аттестации объектов информатизации на соответствие требованиям безопасности информации включает следующие действия:

·         подачу заявки на рассмотрение и проведение аттестации;

·         анализ исходных данных по аттестуемому объекту информатизации;

·         проведение предварительного специального обследования аттестуемого объекта информатизации;

·         разработку программы и методики аттестационных испытаний;

·         заключение договоров на аттестацию;

·         испытание несертифицированных средств и систем защиты информации, используемых на аттестуемом объекте (при необходимости);

·         проведение специальных проверок на наличие возможно внедренных электронных устройств перехвата информации;

·         проведение аттестационных испытаний объекта информатизации;

·         оформление, регистрацию и выдачу «Аттестата соответствия»;

·         осуществление государственного контроля и надзора, инспекционного контроля за проведением аттестации и эксплуатацией аттестованных объектов информатизации;

·         рассмотрение апелляций.

Рассмотрим порядок проведения аттестации объектов информатизации на соответствие требованиям безопасности информации от утечки по техническим каналам.

Заявитель для получения «Аттестата соответствия» заблаговременно направляет в орган по аттестации заявку на проведение аттестации с исходными данными по аттестуемому объекту информатизации, которые включают:

·         перечень подлежащих аттестации объектов информатизации и выделенных помещений с указанием для каждого объекта назначения, категории и местоположения;

·         перечень установленных технических средств обработки информации ограниченного доступа (ТСОИ) с указанием наличия сертификата соответствия (предписания на эксплуатацию), заключением по результатам специальной проверки на наличие возможно внедренных электронных устройств перехвата информации, категорий и мест (помещений) их установки;

·         перечень установленных вспомогательных технических средств и систем (ВТСС) с указанием наличия сертификата соответствия, заключения по результатам специальной проверки на наличие возможно внедренных электронных устройств перехвата информации и мест их установки;

·         перечень установленных технических средств защиты информации с указанием наличия сертификата соответствия и мест их установки.

Орган по аттестации в месячный срок рассматривает заявку и на основании исходных данных выбирает схему аттестации, согласовывает ее с заявителем и принимает решение о проведении аттестации объекта информатизации.

При недостаточности исходных данных по аттестуемому объекту информатизации в схему аттестации включаются работы по предварительному специальному обследованию аттестуемого объекта, проводимые до этапа аттестационных испытаний.

При использовании на аттестуемом объекте информатизации несертифицированных средств и систем защиты информации в схему аттестации могут быть включены работы по их испытаниям в испытательных центрах по сертификации средств защиты информации по требованиям безопасности информации или непосредственно на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств.

По результатам рассмотрения заявки и анализа исходных данных, а также предварительного специального обследования аттестуемого объекта органом по аттестации разрабатываются программа аттестационных испытаний, предусматривающая перечень работ и их продолжительность, методики испытаний (если не используются типовые методики), определяется состав (количественный и профессиональный) аттестационной комиссии, назначаемой органом по аттестации объектов информатизации, необходимость использования контрольной аппаратуры и тестовых средств на аттестуемом объекте информатизации или привлечения испытательных центров по сертификации средств защиты информации по требованиям безопасности информации.

Программа испытаний разрабатывается на основе анализа исходных данных об объекте информатизации и должна включать необходимые виды испытаний, определенные методические рекомендации для соответствующих видов объектов информатизации (выделенные помещения, автоматизированные системы, системы связи и т.д.), а также определять сроки, условия и методики проведения испытаний.

Программа аттестационных испытаний согласовывается с заявителем и может уточняться и корректироваться в процессе испытаний по согласованию с заявителем и руководителем аттестационной комиссии.

Порядок, содержание, условия и методы испытаний для оценки характеристик и показателей, проверяемых при аттестации, соответствия их установленным требованиям, а также применяемые в этих целях контрольная аппаратура и тестовые средства определяются в методиках испытаний различных объектов информатизации.

Состав нормативной и методической документации для аттестации конкретных объектов информатизации определяется органом по аттестации в зависимости от условий функционирования объектов информатизации на основании анализа исходных данных по аттестуемому объекту. В нормативную и методическую документацию включаются только те показатели, характеристики и требования, которые могут быть объективно проверены.

В нормативной и методической документации по методам испытаний должны быть ссылки на условия, содержание и порядок проведения испытаний, используемые при испытаниях контрольную аппаратуру и тестовые средства, сводящие к минимуму погрешности результатов испытаний и позволяющие воспроизвести эти результаты.

Тексты нормативных и методических документов, используемых при аттестации объектов информатизации, должны быть сформулированы ясно и четко, обеспечивая их точное и единообразное толкование, в них должно содержаться указание о возможности использования документа для аттестации определенных типов объектов информатизации по требованиям безопасности информации или направлениям защиты информации.

Этап подготовки завершается заключением договора между заявителем и органом по аттестации на проведение аттестации, заключением договоров (контрактов) органа по аттестации с привлекаемыми экспертами и оформлением предписания о допуске аттестационной комиссии к проведению аттестации.

Оплата работы членов аттестационной комиссии производится органом по аттестации в соответствии с заключенными трудовыми договорами за счет финансовых средств от заключаемых договоров на аттестацию объектов информатизации.

Аттестационные испытания предусматривают комплексную проверку защищаемого объекта в реальных условиях эксплуатации в целях оценки соответствия использованного комплекса мер и средств защиты требуемому уровню безопасности информации и проводятся в следующем порядке:

·         анализ и оценка исходных данных и документации по защите информации на объекте информатизации, оценка правильности категорирования выделенных помещений и объектов информатизации;

·         оценка уровня подготовки кадров и распределения ответственности за выполнение требований по защите информации;

·         специальное обследование объекта информатизации;

·         проведение испытаний отдельных средств и систем защиты информации в испытательных центрах по сертификации продукции по требованиям безопасности информации (при необходимости);

·         специальные проверки технических средств на наличие возможно внедренных специальных электронных устройств перехвата информации;

·         специальные проверки помещений на наличие возможно внедренных специальных электронных устройств перехвата информации;

·         проведение испытаний отдельных средств и систем защиты информации на аттестуемом объекте с помощью специальной контрольно-измерительной аппаратуры;

·         анализ результатов специального обследования и аттестационных испытаний, разработка рекомендаций по совершенствованию принятых мер по защите информации от утечки по техническим каналам, закрытию выявленных каналов утечки информации;

·         подготовка отчетной документации - протоколов испытаний и заключения по результатам аттестационных испытаний с выводами комиссии о соответствии (или несоответствии) объекта информатизации установленным требованиям, которая представляется в орган по аттестации для принятия решения о выдаче «Аттестата соответствия».

Для проведения испытаний заявитель представляет органу по аттестации следующие исходные данные и документацию:

·         приемо-сдаточную документацию на объект информатизации;

·         акты категорирования выделенных помещений и объектов информатизации;

·         инструкции по эксплуатации средств защиты информации;

·         технический паспорт на аттестуемый объект;

·         документы на эксплуатацию (сертификаты соответствия требованиям безопасности информации) ТСОИ;

·         сертификаты соответствия требованиям безопасности информации на ВТСС;

·         сертификаты соответствия требованиям безопасности информации на технические средства защиты информации;

·         акты на проведенные скрытые работы;

·         протоколы измерения звукоизоляции выделенных помещений и эффективности экранирования сооружений и кабин (если они проводились);

·         протоколы измерения величины сопротивления заземления;

·         протоколы измерения реального затухания информационных сигналов до мест возможного размещения средств разведки;

·         данные по уровню подготовки кадров, обеспечивающих защиту информации;

·         данные о техническом обеспечении средствами контроля эффективности защиты информации и их метрологической поверке;

·         нормативную и методическую документацию по защите информации и контролю эффективности защиты.

Приведенный общий объем исходных данных и документации может уточняться заявителем в зависимости от особенностей аттестуемого объекта информатизации по согласованию с аттестационной комиссией.

·         пояснительную записку, содержащую информационную характеристику и организационную структуру объекта защиты, сведения об организационных и технических мероприятиях по защите информации от утечки по техническим каналам;

·         перечень объектов информатизации, подлежащих защите, с указанием мест их расположения и установленной категории защиты;

·         перечень выделенных помещений, подлежащих защите, с указанием мест их расположения и установленной категории защиты;

·         перечень устанавливаемых ТСОИ с указанием наличия сертификата (предписания на эксплуатацию) и мест их установки;

·         перечень устанавливаемых ВТСС с указанием наличия сертификата и мест их установки;

·         перечень устанавливаемых технических средств защиты информации с указанием наличия сертификата и мест их установки;

·         схему (в масштабе) с указанием плана здания, в котором расположены защищаемые объекты, границы контролируемой зоны, трансформаторной подстанции, заземляющего устройства, трасс прокладки инженерных коммуникаций, линий электропитания, связи, пожарной и охранной сигнализации, мест установки разделительных устройств и т.п.;

·         технологические поэтажные планы здания с указанием мест расположения объектов информатизации и выделенных помещений и характеристиками их стен, перекрытий, материалов отделки, типов дверей и окон;

·         планы объектов информатизации с указанием мест установки ТСОИ, ВТСС и прокладки их соединительных линий, а также трасс прокладки инженерных коммуникаций и посторонних проводников;

·         план-схему инженерных коммуникаций всего здания, включая систему вентиляции;

·         план-схему системы заземления объекта с указанием места расположения заземлителя;

·         план-схему системы электропитания здания с указанием места расположения разделительного трансформатора (подстанции), всех щитов и разводных коробок;

·         план-схему прокладки телефонных линий связи с указанием мест расположения распределительных коробок и установки телефонных аппаратов;

·         план-схему систем охранной и пожарной сигнализации с указанием мест установки и типов датчиков, а также распределительных коробок;

·         схемы систем активной защиты (если они предусмотрены).

Проводится анализ разработанной документации по защите информации с точки зрения полноты и достаточности представленных документов и соответствия их требованиям организационно-распорядительной и нормативно-методической документации.

Проверяется состояние организации работ и выполнения организационно-технических требований по защите информации, оценка правильности категорирования выделенных помещений и объектов информатизации и выбора средств и систем защиты информации.

Проводится оценка уровня подготовки кадров и распределения ответственности за выполнение требований по защите информации.

При проведении специального обследования аттестуемого объекта:

·         определяется состав технических средств, используемых для обработки, передачи и хранения защищаемой информации;

·         изучается технологический процесс обработки, передачи и хранения защищаемой информации, анализ информационных потоков;

·         проверяется соответствие реального состава ТСОИ, ВТСС и средств защиты указанному в техническом паспорте на аттестуемый объект, сертификатах соответствия (предписаниях на эксплуатацию) и представленных исходных данных;

·         проверяется соответствие представленных заявителем исходных данных реальным условиям размещения, монтажа ТСОИ, ВТСС и средств защиты;

·         проверяется состояние и сохранность печатей на технических средствах, выявляются ТСОИ, ВТСС и средства защиты информации, подвергшиеся несанкционированному вскрытию;

·         изучаются условия расположения аттестуемого объекта и определяется граница контролируемой зоны;

·         устанавливаются места расположения трансформаторной подстанции, электрощитовой, распределительных щитов. Измеряется длина линий электропитания от защищаемых объектов до возможных мест подключения средств перехвата информации (распределительных щитов, помещений и т.п.), находящихся за пределами контролируемой зоны;

·         определяются помещения, смежные с защищаемыми и находящиеся за пределами контролируемой зоны;

·         определяются соединительные линии вспомогательных технических средств и систем (линии телефонной связи, оповещения, систем охранной и пожарной сигнализации, часофикации и т.п.), выходящие за пределы контролируемой зоны, места расположения их распределительных коробок. Измеряется длина линий от защищаемых объектов до мест возможного подключения средств перехвата информации за пределами контролируемой зоны;

·         определяются инженерные коммуникации и посторонние проводники, выходящие за пределы контролируемой зоны, измеряется их длина от защищаемых объектов до мест возможного подключения средств перехвата информации;

·         устанавливается местоположение заземлителя, к которому подключен контур заземления защищаемого объекта.

Все выявленные нарушения и недостатки, отступления от проектных решений включаются в заключение по результатам аттестационных испытаний.

При проведении испытаний отдельных несертифицированных средств и систем защиты информации в испытательных центрах по сертификации эти испытания проводятся до аттестационных испытаний объектов информатизации. В этом случае заявителем к началу аттестационных испытаний должны быть представлены заключения и сертификаты органов по сертификации средств защиты информации по требованиям безопасности информации.

Наиболее часто в испытательных центрах проводятся сертификационные испытания помехоподавляющих фильтров, систем активной защиты (генераторов шума) и средств защиты ВТСС.

Измерение и оценка уровней защищенности проводятся в соответствии с действующими нормативными и методическими документами по защите информации от ее утечки по техническим каналам с использованием проверенной контрольно-измерительной аппаратуры.

При аттестации объектов информатизации для каждого ТСОИ:

·         измеряются напряженности электромагнитного поля по магнитной Нi (в диапазоне частот 9 кГц – 30 МГц) и электрической Еi (в диапазоне частот 9 кГц – 1800 МГц) составляющим, создаваемые информативным сигналом ТСОИ;

·         измеряются уровни информативных сигналов ТСОИ в диапазоне частот 9 кГц - 300 МГц в соединительных линиях вспомогательных технических средств и систем, инженерных коммуникациях, посторонних проводниках, имеющих выход за границу контролируемой зоны;

·         определяются коэффициенты удельного затухания информативного сигнала в линиях электропитания, в соединительных линиях вспомогательных технических средств и систем, инженерных коммуникациях, посторонних проводниках, имеющих выход за границу контролируемой зоны, и рассчитывается затухание в них информационного сигнала;

·         рассчитывается величина максимально возможной зоны разведки (перехвата) побочных электромагнитных излучений ТСОИ (зоны R2);

·         рассчитываются предельные расстояния от ТСОИ до вспомогательных технических средств и систем и их кабельных коммуникаций, посторонних проводников и инженерных коммуникаций, имеющих выход за границу контролируемой зоны (зоны r1, r1’);

·         измеряется сопротивление заземления каждого ТСОИ;

·         измеряется минимальное расстояние от каждого ТСОИ до границы контролируемой зоны .

При использовании на объекте информатизации систем активной защиты (САЗ) дополнительно проводятся:

·         измерения напряженности электромагнитного поля по магнитной Нi (в диапазоне частот 9 кГц – 30 МГц) и электрической Еi (в диапазоне частот 9 кГц – 1800 МГц) составляющим, создаваемой помеховыми сигналами САЗ;

·         измерения уровней помеховых сигналов в диапазоне частот 9 кГц - 300 МГц, создаваемых САЗ в соединительных линиях вспомогательных технических средств и систем, инженерных коммуникациях, посторонних проводниках, имеющих выход за границу контролируемой зоны.

При аттестации выделенного помещения:

·         измеряются уровни акустического сигнала и шумов в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц в местах возможной установки микрофонных датчиков средств речевой разведки;

·         измеряются уровни вибрационного сигнала и шумов в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц в местах возможной установки датчиков контактного типа средств речевой разведки;

·         определяются коэффициенты звукоизоляции ограждающих конструкций (окон, дверей, стен, пола, потолка) выделенного помещения в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц;

·         определяются коэффициенты виброизоляции ограждающих конструкций выделенного помещения, а также различных элементов инженерно-технических систем, включая их коммуникации, в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц;

·         при использовании в выделенном помещении систем виброакустической маскировки дополнительно проводятся измерения уровней акустический и вибрационных шумов в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц в местах возможной установки датчиков средств акустической разведки;

·         измеряются уровни информационных сигналов на выходе ВТСС, возникающих вследствие акустоэлектрического преобразования акустических сигналов элементами ВТСС, в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц;

·         измеряются уровни шумов на выходе в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц;

·         рассчитывается словесная разборчивость речи W для каждого типа аппаратуры речевой разведки.

Специальные проверки на наличие возможно внедренных специальных электронных устройств перехвата информации проводятся по решению руководителя предприятия (учреждения, фирмы).

Проверке подлежат:

·         выделенные помещения, предназначенные для проведения закрытых мероприятий;

·         технические средства, предназначенные для обработки информации ограниченного доступа;

·         вспомогательные технические средства, устанавливаемые в выделенных помещениях и на объектах информатизации.

·         По результатам специальной проверки технических средств по выявлению специальных электронных устройств перехвата информации составляется акт, на основании которого потребителю выдается заключение.

По результатам специальной проверки выделенного помещения оформляется акт с указанием итогов проверки и рекомендаций по защите помещения, который утверждается начальником, организующим проведение специальных проверок. Акт исполняется в двух экземплярах, один из которых отправляется в адрес владельца проверяемого помещения, другой остается в организации, проводившей специальную проверку.

По результатам аттестации оформляются протоколы испытаний и заключение с конкретными рекомендациями по устранению допущенных нарушений, приведению системы защиты объекта информатизации в соответствие с установленными требованиями и совершенствованию этой системы, а также рекомендациями по контролю за функционированием объекта информатизации.

Заключение аттестационной проверки выделенного помещения должно включать:

·         состав аттестационной комиссии (группы); дату проведения аттестации;

·         перечень руководящих документов, в соответствии с которыми проводилась аттестация;

·         перечень документов по защите информации в выделенном помещении, представленных аттестационной комиссии;

·         характеристику выделенного помещения (назначение, местоположение, условия размещения и т.д.);

·         перечень вспомогательных технических средств и систем (ВТСС), установленных на объекте информатизации;

·         перечень технических средств защиты информации, установленных в выделенном помещении;

·         характеристику организационных мероприятий по защите информации;

·         виды работ, проводимых в ходе аттестации;

·         перечень использованной в ходе инструментальной проверки (аттестационных испытаний) аппаратуры (перечисляется вся используемая аппаратура контроля по оцениваемым каналам и ее заводские номера);

·         результаты анализа документации по защите информации в выделенном помещении. Вывод о соответствии (несоответствии) разработанной документации по защите информации требованиям нормативно-методических документов ФСТЭК РФ;

·         оценку правильности категорирования выделенного помещения;

·         оценку уровня подготовки кадров и распределения ответственности за выполнение требований по защите информации;

·         результаты специального обследования выделенного помещения;

·         условия расположения выделенного помещения относительно границы контролируемой зоны, характеристику смежных с ним помещений, минимальное расстояние до границы контролируемой зоны;

·         характеристику вспомогательных технических средств и систем, соединительные линии которых выходят за пределы контролируемой зоны (наименование, тип, назначение и т.п.). Указывается длина соединительных линий от ВТСС до возможных мест подключения к ним средств перехвата информации, находящихся за пределами контролируемой зоны. Перечисляются технические средства защиты ВТСС с указанием их мест установки. При наличии сертификатов соответствия на средства защиты ВТСС указывается срок их действия. Вывод о соответствии (несоответствии) реального состава ВТСС, средств их защиты указанному в техническом паспорте на выделенное помещение и представленных исходных данных. Вывод о состоянии и сохранности печатей и пломб на ВТСС (в случае выявления перечисляются технические средства, подвергавшиеся несанкционированному вскрытию);

·         характеристику системы электропитания выделенного помещения (описывается схема электропитания выделенного помещения, указываются номера и места расположения трансформаторной подстанции, электрощитовой, распределительных щитов, от которых осуществляется розеточной и осветительной сетей электропитания выделенного помещения и их расположение относительно границы контролируемой зоны);

·         перечень инженерных коммуникаций, выходящих за пределы контролируемой зоны. Указывается их длина от выделенного помещения до мест возможного подключения средств перехвата информации, расположенных за пределами контролируемой зоны. Указывается наличие (отсутствие) специальных вставок в инженерных коммуникациях;

·         результаты виброакустических измерений:

o    коэффициенты звукоизоляции ограждающих конструкций (окон, дверей, стен, пола, потолка) выделенного помещения в октавных полосах частот и словесная разборчивость речи W в местах возможного подключения средств перехвата информации с датчиками микрофонного типа;

o    коэффициенты виброизоляции ограждающих конструкций выделенного помещения, а также различных элементов инженерно-технических систем, включая их коммуникации, в октавных полосах частот и словесная разборчивость речи W в местах в местах возможного подключения средств перехвата информации с датчиками контактного типа;

o    вывод о соответствии (несоответствии) эффективности защиты выделенного помещения от утечки информации по прямым акустическим, акустовибрационным и акустооптическим каналам требованиям нормативно-методических документов ФСТЭК РФ;

·         результаты проведения испытаний системы виброакустической маскировки (СВАМ) выделенного помещения (при ее использовании):

o    словесная разборчивость речи W в местах возможного подключения средств перехвата информации с датчиками микрофонного типа;

o    словесная разборчивость речи W в местах в местах возможного подключения средств перехвата информации с датчиками контактного типа;

o    вывод о соответствии (несоответствии) эффективности защиты выделенного помещения от утечки информации по прямым акустическим, акустовибрационным и акустооптическим каналам при использовании СВАМ требованиям нормативно-методических документов ФСТЭК РФ;

o    измеряются уровни информационных сигналов на выходе ВТСС, возникающих вследствие акустоэлектрического преобразования акустических сигналов элементами ВТСС, в октавных полосах частот со среднегеометрическими частотами 250, 500, 1000, 2000, 4000 Гц;

·         результаты акустоэлектрических измерений:

o    словесная разборчивость речи W в соединительных линиях ВТСС, имеющих в своем составе элементы, обладающие микрофонным эффектом;

o    проведения испытаний средств защиты ВТСС;

o    вывод о соответствии (несоответствии) эффективности защиты ВТСС от утечки информации по акустоэлектрическим каналам требованиям нормативно-методических документов ФСТЭК РФ;

o    недостатки, выявленные в ходе аттестации;

·         общий вывод о соответствии (несоответствии) эффективности защиты выделенного помещения требованиям нормативно-методических документов ФСТЭК РФ, о возможности (невозможности) выдачи «Аттеста­та соответствия» и разрешения ведения переговоров соответствующего уровня конфиденциальности (секретности).

В случае если эффективность защиты объекта информатизации или выделенного помещения не соответствует требованиям нормативно-методических документов ФСТЭК РФ, то формулируются предложения по устранению выявленных в ходе аттестации нарушений, сроки и условия представления для повторной аттестации объекта информатизации или выделенного помещения.

Заключение по результатам аттестации подписывается членами аттестационной комиссии, утверждается руководителем органа аттестации и представляется заявителю.

К заключению прилагаются протоколы испытаний, подтверждающие полученные при испытаниях результаты и обосновывающие приведенный в заключении вывод.

Протокол аттестационных испытаний должен включать:

·         вид испытаний;

·         объект испытаний;

·         дату и время проведения испытаний;

·         место проведения испытаний;

·         перечень использованной в ходе испытаний аппаратуры (наименование, тип, заводской номер, номер свидетельства о поверке и срок его действия);

·         перечень нормативно-методических документов, в соответствии с которыми проводились испытания;

·         методику проведения испытания (краткое описание);

·         результаты измерений;

·         результаты расчетов;

·         выводы по результатам испытаний.

Протоколы испытаний подписываются экспертами – членами аттестационной комиссии, проводившими испытания, с указанием должности, фамилии и инициалов.

Заключение и протоколы испытаний подлежат утверждению органом по аттестации.

«Аттестат соответствия» на объект информатизации, отвечающий требованиям по безопасности информации, оформляется и выдается органом по аттестации по установленной форме заявителю после утверждения заключения по результатам аттестации.

«Аттестат соответствия» объекта информатизации (выделенного помещения) требованиям по безопасности информации должен содержать:

·         регистрационный номер;

·         дату выдачи;

·         срок действия;

·         наименование, адрес и местоположение объекта информатизации (выделенного помещения);

·         категорию объекта информатизации (выделенного помещения);

·         класс защищенности автоматизированной системы;

·         разрешенный гриф конфиденциальности (секретности) информации, обрабатываемой на объекте информатизации (обсуждаемой в выделенном помещении);

·         организационную структуру объекта информатизации и вывод об уровне подготовки специалистов по защите информации;

·         номера и даты утверждения программы и методики, в соответствии с которыми  проводились аттестационные испытания;

·         перечень руководящих документов, в соответствии с которыми проводилась аттестация;

·         номер и дата утверждения заключения по результатам аттестационных испытаний;

·         состав комплекса технических средств обработки информации ограниченного доступа (с указанием категории, заводских номеров, модели, изготовителя, номеров сертификатов соответствия и мест установки), перечень вспомогательных технических средств и систем (с указанием заводских номеров, модели, изготовителя, номеров сертификатов соответствия и мест установки), перечень технических средств защиты информации (с указанием заводских номеров, модели, изготовителя, номеров сертификатов соответствия и мест установки), а также схемы их размещения в помещениях и относительно границ контролируемой зоны, перечень используемых программных средств;

·         организационные мероприятия, при проведении  которых разрешается обработка информации ограниченного доступа;

·         перечень действий, которые запрещаются при эксплуатации объекта информатизации (выделенного помещения);

·         список лиц, на которых возлагается обеспечение требований по защите информации и контроль за эффективностью реализованных мер и средств защиты информации.

«Аттестат соответствия» подписывается руководителем аттестационной комиссии и утверждается руководителем органа по аттестации.

Регистрация «Аттестатов соответствия» осуществляется по отраслевому или территориальному признакам органами по аттестации в целях ведения информационной базы аттестованных объектов информатизации и планирования мероприятий по контролю и надзору.

Ведение сводных информационных баз аттестованных объектов информатизации осуществляется федеральным органом по сертификации и аттестации или по его поручению одним из органов надзора за аттестацией и эксплуатацией аттестованных объектов.

«Аттестат соответствия» выдается владельцу аттестованного объекта информатизации органом по аттестации на период, в течение которого обеспечивается неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, определяющие безопасность информации (состав и структура технических средств, условия размещения, используемое программное обеспечение, режимы обработки информации, средства и меры защиты), но не более, чем на 3 г.

На основании «Аттестата соответствия» на предприятии оформляется приказ (указание, распоряжение) о разрешении обработки (обсуждении) информации ограниченного доступа и назначении лиц, ответственных за эксплуатацию объекта информатизации (выделенного помещения).

Владелец аттестованного объекта информатизации несет ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки информации и требований по безопасности информации.

С целью своевременного выявления и предотвращения утечки информации по техническим каналам на предприятии проводится периодический (не реже одного раза в год) контроль состояния защиты информации. Контроль осуществляется службой безопасности предприятия и заключается в оценке:

·         соблюдения требований нормативно-методических документов по защите информации;

·         работоспособности применяемых средств защиты информации в соответствии с их эксплуатационной документацией;

·         знаний и выполнения персоналом своих функциональных обязанностей в части защиты информации.

В случае изменения условий и технологии обработки защищаемой информации владельцы аттестованных объектов обязаны известить об этом орган по аттестации, который принимает решение о необходимости проведения дополнительной проверки эффективности системы защиты объекта информатизации.

При несоответствии аттестуемого объекта требованиям по безопасности информации и невозможности оперативно устранить отмеченные аттестационной комиссией недостатки орган по аттестации принимает решение об отказе в выдаче «Аттестата соответствия». При этом может быть предложен срок повторной аттестации при условии устранения недостатков.

При наличии замечаний непринципиального характера «Аттестат соответствия» может быть выдан после проверки устранения этих замечаний.

В случае несогласия заявителя с отказом в выдаче «Аттестата соответствия» он имеет право обратиться в вышестоящий орган по аттестации или непосредственно в государственный орган по аттестации с апелляцией для дополнительного рассмотрения полученных при испытаниях результатов, где она в месячный срок рассматривается с привлечением заинтересованных сторон. Податель апелляции извещается о принятом решении.

Государственный контроль и надзор, инспекционный контроль за проведением аттестации объектов информатизации проводятся федеральным органом по сертификации и аттестации как в процессе, так и по завершении аттестации, а за эксплуатацией аттестованных объектов информатизации - периодически в соответствии с планом работы по контролю и надзору.

Федеральный орган по сертификации и аттестации может передавать некоторые из своих функций государственного контроля и надзора аккредитованным органам по аттестации.

Объем, содержание и порядок государственного контроля и надзора устанавливаются в нормативной и методической документации по аттестации объектов информатизации. Государственный контроль и надзор за соблюдением правил аттестации включает проверку правильности и полноты проводимых мероприятий по аттестации объектов информатизации, оформления и рассмотрения органами по аттестации отчетных документов и протоколов испытаний, своевременное внесение изменений в нормативную и методическую документацию по безопасности информации, инспекционный контроль за эксплуатацией аттестованных объектов информатизации.

В случае грубых нарушений органом по аттестации требований стандартов или иных нормативных и методических документов по безопасности информации, выявленных при контроле и надзоре, орган по аттестации может быть лишен лицензии на право проведения аттестации объектов информатизации по ходатайству вышестоящего органа, проводящего контроль и надзор, перед федеральным органом по сертификации и аттестации.

По результатам контроля и надзора за эксплуатацией аттестованных объектов в случае нарушения их владельцами условий функционирования объектов информатизации, технологии обработки защищаемой информации и требований по безопасности информации орган, проводивший контроль и надзор, может приостановить или аннулировать действие «Аттестата соответствия», оформив это решение в «Аттестате соответствия» и проинформировав орган, ведущий сводную информационную базу аттестованных объектов информатизации, и федеральный орган по сертификации и аттестации.

Решение о приостановлении или аннулировании действия «Аттестата соответствия» принимается в случае, когда в результате оперативного принятия организационно-технических мер не может быть восстановлен требуемый уровень безопасности информации.

В случае грубых нарушений органом по аттестации требований стандартов или нормативных документов по безопасности информации, утвержденных федеральным органом по сертификации и аттестации в пределах его компетенции, выявленных при контроле и надзоре и приведших к повторной аттестации, расходы по осуществлению контроля и надзора могут быть по решению Госарбитража взысканы с органа по аттестации. Кроме того, и повторная аттестация может быть осуществлена за счет этого органа по аттестации.

Расходы по осуществлению надзора за обязательной аттестацией и эксплуатацией объектов, прошедших обязательную аттестацию, оплачиваются органом надзора из средств госбюджета, выделенных ему в этих целях.