Аттестация информационных систем

Аттестация информационных систем (ИС) – это процедура формальной оценки соответствия ИС установленным требованиям информационной безопасности (ИБ). Она проводится независимыми экспертами и направлена на подтверждение того, что ИС соответствует определенному уровню защищенности, установленному нормативными документами.

Зачем нужна аттестация:

• Обеспечение безопасности: Аттестация позволяет подтвердить, что ИС соответствует требованиям ИБ, минимизируя риски утечки информации, несанкционированного доступа и других угроз.

• Соблюдение законодательства: В ряде случаев аттестация ИС является обязательной по закону. Например, для систем обработки персональных данных, критически важных инфраструктур, государственных информационных систем.

• Повышение доверия: Успешная аттестация повышает доверие к ИС со стороны пользователей, партнеров и регуляторов.

• Улучшение качества: Процесс аттестации стимулирует организации к совершенствованию своей ИБ, внедрению новых технологий и повышению квалификации сотрудников.

• Страхование рисков: Аттестация может служить доказательством того, что организация предпринимает все необходимые меры для обеспечения безопасности ИС, что может быть важно при возникновении инцидентов ИБ.

Процесс аттестации:

1. Подготовка: Определение целей аттестации, выбор объекта аттестации, разработка документации (заявка, техническое задание, описание ИС).

2. Проведение анализа: Проведение аудита ИС, оценка соответствия требованиям ИБ, выявление уязвимостей и рисков.

3. Разработка рекомендаций: Формирование рекомендаций по устранению выявленных недостатков и повышению уровня защищенности ИС.

4. Принятие решения: Определение соответствия ИС требованиям ИБ и вынесение решения об аттестации.

5. Выдача документа: Выдача сертификата об аттестации, подтверждающего соответствие ИС установленным требованиям.

Типы аттестации:

• Внутренняя: проводится силами самой организации, без привлечения независимых экспертов.

• Внешняя: проводится независимыми экспертами, аккредитованными в соответствующих органах.

Документы, используемые в процессе аттестации:

• Закон "О защите информации" (ФЗ-152)

• Приказ ФСТЭК России от 27.12.2018 № 321 "Об утверждении методических указаний по аттестации информационных систем"

• ГОСТ Р ИСО/МЭК 27001–2015 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования"

• Другие нормативные документы, регламентирующие требования к ИБ.

Важно отметить:

• Аттестация ИС – это не разовое мероприятие, а непрерывный процесс, требующий постоянного мониторинга и обновления.

• Для успешной аттестации необходимо обеспечить участие всех заинтересованных сторон, включая руководство, ИТ-специалистов, сотрудников, работающих с информацией.