Межсетевой экран Ideco NGFW

Государственные информационные системы (ГИС) – это федеральные и региональные системы, созданные на основании и в соответствии с требованиями постановления Правительства РФ №676. ГИС обеспечивают реализацию полномочий государственных органов и организуют обмен информацией между ними, что делает их критически важными для работы государственных структур.

Аттестация государственной информационной системы

Аттестация государственной информационной системы – это комплекс организационно-технических мероприятий, направленных на проверку соблюдения требований по информационной безопасности. Цель аттестации – убедиться, что применяемые технические меры и процессы по защите информации соответствуют установленным требованиям. Стоимость аттестации может варьироваться в зависимости от типа системы и количества рабочих станций, которые включены в сеть.

Процесс обеспечения информационной безопасности

Процесс обеспечения информационной безопасности для ГИС включает два ключевых этапа:

1. Техническое оснащение включает установку и настройку средств защиты информации, чтобы соответствовать требованиям безопасности.
2. Документальное сопровождение подразумевает подготовку и ведение документов, подтверждающих соответствие системы требованиям стандартов информационной безопасности.

Зачем нужна аттестация государственных информационных систем (ГИС)?

Проверка защищенности ГИС – важный этап, позволяющий убедиться, что система действительно справляется с потенциальными угрозами. Без профессиональной оценки сложно выявить уязвимости, которые могут поставить под угрозу безопасность данных.

Государство само делает акцент на важности аттестации. В частности, Приказ ФСТЭК №17 определяет, что системы, обрабатывающие конфиденциальные данные, должны быть защищены от утечек, несанкционированного доступа и специальных воздействий.

Аттестация включает:

• Формирование требований к защите информации в системе, чтобы понять, что именно нужно охранять и от чего.
• Разработка системы защиты – создание комплекса мер и инструментов, которые защитят информацию.
• Внедрение защиты – настройка и реализация защитных механизмов на практике.
• Аттестация системы – подтверждение соответствия требованиям безопасности, а также разрешение на ее работу.
• Поддержка безопасности во время эксплуатации – регулярная проверка и обновление мер защиты.
• Обеспечение безопасности при завершении работы системы – действия по сохранению и защите данных при выводе системы из эксплуатации.

Такой подход обеспечивает высокую надежность и предотвращает любые инциденты, связанные с безопасностью информации.

Что требует закон?

Согласно законодательству РФ, для государственных информационных систем требуется соблюдать нормативы, изложенные в ряде законов и стандартов в области защиты данных. Основные из них включают:

• 152-ФЗ «О персональных данных».
• Приказы ФСТЭК России №21 и №17.
• Приказ ФСТЭК №77, который регламентирует требования по аттестации.

Эти документы устанавливают подробные требования по защите персональных данных, применимые к ГИС. Проверку выполнения законодательства осуществляют ФСТЭК и Роскомнадзор, что гарантирует надежную защиту информации в государственных системах.

Как проходит процесс аттестации

1. Обследование и определение требований для аттестации государственных информационных систем. Проводится всесторонний анализ системы, на основе которого формулируются требования к защите и безопасности, а также проводится классификация системы по уровню защищенности и критичности информации.
2. Поставка средств защиты. На основании результатов обследования подбираются и поставляются средства защиты информации (СЗИ), которые обеспечат необходимый уровень безопасности для системы.
3. Разработка программы и методик испытаний. Разрабатывается программа и методики, по которым будут проводиться испытания. Эти документы согласуются с контролирующими органами, чтобы процесс испытаний соответствовал установленным стандартам и требованиям.
4. Аттестационные испытания. На данном этапе проводится всесторонняя проверка соответствия информационной системы утвержденным требованиям безопасности.

   Это включает:

   • оценку полноты и качества документации;
   • повторное обследование системы для выявления возможных недочетов;
   • проверку работы установленных СЗИ;
   • проверку наличия ответственных лиц (назначенных работников), отвечающих за безопасность;
   • оценку информированности и уровня знаний сотрудников, работающих с системой;
   • проверку соблюдения организационных мер по защите информации;
   • оценку мер по защите от несанкционированного доступа (НСД).
5. Оформление заключения и протоколов. По результатам испытаний оформляются официальные протоколы и заключение. В случае необходимости, все документы и результаты испытаний передаются в ФСТЭК для дальнейшего рассмотрения и утверждения.
6. Выдача аттестата соответствия. В завершение процедуры, при успешном прохождении всех проверок и подтверждении соответствия требованиям, подготавливается и выдается аттестат соответствия, который подтверждает соответствие государственной информационной системы установленным стандартам безопасности.

• ГЭНДАЛЬФ имеет лицензии ФСТЭК России и ФСБ России, что подтверждает ее высокий уровень компетентности в области защиты информации.
• 9 лет опыта в сфере информационной безопасности позволяют компании гарантировать надежную защиту данных.
• Аттестовано более 300 объектов с полным соблюдением требований 152-ФЗ.
• Быстрая подготовка индивидуальных коммерческих предложений – в течение одного дня.
• Персональный подход и выполнение заказа «под ключ» для каждого клиента.
• Более 40 клиентов успешно прошли проверки контролирующих органов благодаря качественной работе ГЭНДАЛЬФ.
• Оперативное реагирование на запросы клиентов и быстрый выезд специалистов в любой регион России.
• Обеспечение защиты сетевой инфраструктуры более чем 20 организаций.

Кому и зачем нужна аттестация?

Аттестация рабочих мест ГИС – это важная мера для обеспечения безопасности и соблюдения прав сотрудников, которая требуется большинству компаний. Она необходима независимо от того, сколько у вас сотрудников, в какой области вы работаете или какая у вас форма собственности.

Основная цель аттестации – убедиться, что условия работы соответствуют требованиям безопасности и не представляют угрозу здоровью персонала. Исключения составляют только надомные или удаленные сотрудники, а также те, кто работает на работодателей, не являющихся индивидуальными предпринимателями. Это значит, что компании, заботящиеся о соблюдении законодательства и благополучии своих сотрудников, должны проводить аттестацию регулярно и своевременно.

Когда стоит задуматься о проведении аттестации?

Если ваша компания только зарегистрировалась, у вас есть год на то, чтобы провести первую аттестацию рабочих мест. Это время необходимо, чтобы оценить рабочие условия и привести их в соответствие с нормативами.

Если у вас появляются новые рабочие места, аттестацию для них также нужно провести в течение первого года. Затем, чтобы поддерживать безопасность на должном уровне, аттестацию требуется повторять каждые пять лет. Это позволяет не только избежать штрафов и санкций, но и повысить эффективность и благоприятные условия труда в компании.

Можно ли аттестовать только часть рабочих мест?

Да, аттестация не обязательно должна проводиться для всех рабочих мест сразу. В случае, если у вас большое количество рабочих мест или специфические условия труда, процесс аттестации можно разделить на этапы и проводить проверку поэтапно.

Например, вы можете начать с рабочих мест, где потенциально больше рисков, и по мере необходимости добавлять остальные. Такой подход позволяет распределить нагрузку и сэкономить время, а также избежать серьезного вмешательства в рабочий процесс.

Как быть, если нет времени разбираться с требованиями законодательства?

Если вопросы аттестации кажутся слишком сложными или у вас нет времени на их детальную проработку, мы готовы взять на себя весь процесс. Мы предлагаем комплексные услуги, чтобы обеспечить вашу полную правовую защищенность.

Команда ГЭНДАЛЬФ разбирается в нюансах законодательства в области информационной безопасности и знает, как выполнить все требования, чтобы соответствовать стандартам и избежать нарушений. Мы займемся сбором, оформлением и проверкой всей документации, чтобы вы могли сосредоточиться на развитии своего бизнеса, не отвлекаясь на соблюдение формальных требований.

Когда и зачем проводят повторную аттестацию ГИС?

Повторная аттестация ГИС проводится, когда вносятся изменения в систему защиты, чтобы подтвердить, что она по-прежнему соответствует требованиям безопасности.

Если вы модернизируете ГИС – меняете настройки, добавляете новое ПО или оборудование, устанавливаете или заменяете средства защиты – потребуется провести дополнительные проверки. Эти изменения фиксируются в техническом паспорте, при этом действующий аттестат остается в силе.

Но если доработки серьезные, например, архитектура системы защиты существенно изменилась, добавлены новые типы ПО или структура системы перестроена, потребуется полная повторная аттестация.

Для повторной аттестации по закону нужно обращаться к компании с лицензией ФСТЭК. Оставьте заявку, и мы организуем аттестацию вашей системы!