Аттестация информационных систем

Аттестация информационных систем (ИС) – это процедура формальной оценки соответствия ИС установленным требованиям информационной безопасности (ИБ). Она проводится независимыми экспертами и направлена на подтверждение того, что ИС соответствует определенному уровню защищенности, установленному нормативными документами.

Зачем нужна аттестация:

• Обеспечение безопасности: Аттестация позволяет подтвердить, что ИС соответствует требованиям ИБ, минимизируя риски утечки информации, несанкционированного доступа и других угроз.

• Соблюдение законодательства: В ряде случаев аттестация ИС является обязательной. Например, для государственных информационных систем она входит в порядок ввода в эксплуатацию. Для информационных систем персональных данных нормативные требования предусматривают оценку эффективности принятых мер защиты, а для значимых объектов критической информационной инфраструктуры — приёмочные испытания и анализ уязвимостей; аттестация в этих случаях проводится по решению владельца или по требованию заказчика, если такая система одновременно не является государственной.

• Повышение доверия: Успешная аттестация повышает доверие к ИС со стороны пользователей, партнеров и регуляторов.

• Улучшение качества: Процесс аттестации стимулирует организации к совершенствованию своей ИБ, внедрению новых технологий и повышению квалификации сотрудников.

• Страхование рисков: Аттестация может служить доказательством того, что организация предпринимает все необходимые меры для обеспечения безопасности ИС, что может быть важно при возникновении инцидентов ИБ.

Процесс аттестации:

1. Подготовка: Определение целей аттестации, выбор объекта аттестации, разработка документации (заявка, техническое задание, описание ИС).

2. Проведение анализа: Проведение аудита ИС, оценка соответствия требованиям ИБ, выявление уязвимостей и рисков.

3. Разработка рекомендаций: Формирование рекомендаций по устранению выявленных недостатков и повышению уровня защищенности ИС.

4. Принятие решения: Определение соответствия ИС требованиям ИБ и вынесение решения об аттестации.

5. Выдача документа: Выдача аттестата соответствия, подтверждающего соответствие ИС установленным требованиям.

Типы аттестации:

• Обязательная: проводится в случаях, установленных нормативными правовыми актами, например при вводе в эксплуатацию государственной информационной системы.

• Добровольная: проводится по решению владельца объекта информатизации, в том числе по требованию заказчика; в обоих случаях аттестационные испытания выполняет орган по аттестации — организация с лицензией ФСТЭК России на техническую защиту конфиденциальной информации с правом проведения аттестационных испытаний.

Документы, используемые в процессе аттестации:

• Закон «О персональных данных» (152-ФЗ)

• Приказ ФСТЭК России от 29.04.2021 № 77 «Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну»

• ГОСТ Р ИСО/МЭК 27001-2021 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования»

• Другие нормативные документы, регламентирующие требования к ИБ.

Важно отметить:

• Аттестация ИС – это не разовое мероприятие, а непрерывный процесс, требующий постоянного мониторинга и обновления.

• Для успешной аттестации необходимо обеспечить участие всех заинтересованных сторон, включая руководство, ИТ-специалистов, сотрудников, работающих с информацией.

Аттестация ИС – это важный инструмент для обеспечения информационной безопасности, который позволяет повысить уровень защищенности ИС, снизить риски и обеспечить соответствие законодательству.