Аттестация Государственных Информационных Систем

Даже самая совершенная система не может гарантировать абсолютную защиту без профессиональной экспертной оценки. Только после проведения проверки можно реально оценить уровень безопасности и выявить потенциальные уязвимости.

Государство уделяет приоритетное внимание процессу аттестации, что вполне оправдано. Приказ ФСТЭК №17 устанавливает требования по защите информации ограниченного доступа, которая не содержит сведений, составляющих государственную тайну. Эти требования направлены на предотвращение утечки данных через технические каналы, несанкционированного доступа, а также на защиту информации от намеренного искажения, уничтожения или блокировки при обработке в государственных информационных системах (ГИС).

Основные этапы процесса включают:

• определение требований к защите информации в рамках ГИС;
• проектирование системы защиты данных;
• реализация и внедрение системы защиты;
• проведение аттестации на соответствие требованиям информационной безопасности;
• обеспечение защиты информации на всех этапах эксплуатации аттестованной системы;
• выполнение мер защиты при выводе системы из эксплуатации или после завершения обработки данных.

Аттестация государственных информационных систем — это многоуровневый процесс, требующий не только понимания нормативных требований и методов защиты, но и их грамотного применения на практике.

Приказ ФСТЭК №77 регламентирует порядок аттестации объектов информатизации, устанавливает требования к документации и методам проведения работ по подтверждению соответствия системы требованиям информационной безопасности.

Процедура аттестации включает организационные и технические мероприятия, результатом которых становится получение аттестата, подтверждающего соответствие системы установленным нормам.

Ключевые этапы процесса:

• Классификация информационной системы и проведение оценки рисков.
• Разработка модели угроз безопасности информации.
• Формирование технического задания на разработку системы защиты данных.
• Создание технического проекта и подготовка распорядительной документации.
• Закупка и внедрение средств защиты информации, формирование системы безопасности.
• Проведение испытаний системы и выдача аттестата на основании их результатов.

Аттестация подтверждает, что информационная система соответствует установленным требованиям и обеспечивает необходимый уровень защиты данных на всех этапах ее функционирования.

Последние новости