Аттестация объекта информатизации по требованиям безопасности информации – комплекс мероприятий, в результате которых подтверждается, что информационная система соответствует требованиям по защите информации, и выдаётся аттестат соответствия. Для государственных информационных систем аттестация обязательна до ввода в эксплуатацию (приказ ФСТЭК России № 17).
Кто проводит
Аттестационные испытания проводят организации, имеющие лицензию ФСТЭК России на деятельность по технической защите конфиденциальной информации. Для объектов, обрабатывающих государственную тайну, действуют отдельные правила.
Этапы
- Анализ исходных данных, классификация системы, модель угроз.
- Проверка документации и реализованных мер защиты.
- Испытания: контроль настроек, применения сертифицированных средств, анализ уязвимостей.
- Оформление протоколов, заключения и аттестата.
После аттестации
Система эксплуатируется с контролем уровня защищённости; при существенных изменениях нужна повторная аттестация или дополнительные испытания.
Связь с ПО
Средства защиты, применяемые в аттестуемых системах, должны иметь сертификаты ФСТЭК (а СКЗИ – ФСБ). Для подготовки используют средства анализа защищённости и системы управления соответствием.
