Аттестация АРМ (автоматизированных рабочих мест)

Полное соответствие требованиям ФСТЭК и ФСБ: от обследования до выдачи аттестата.

Что такое аттестация АРМ

Автоматизированное рабочее место — это персональный компьютер или рабочая станция (включая периферийные устройства и необходимое программное обеспечение), которая может функционировать автономно либо в составе локальной вычислительной сети. Фактически любое рабочее место сотрудника, оснащённое вычислительной техникой, является АРМ.

Аттестация автоматизированного рабочего места — это экспертная процедура оценки соответствия системы защиты информации, реализованной на конкретном АРМ, нормативным требованиям по информационной безопасности. По результатам формируется официальный вывод: способно ли АРМ безопасно обрабатывать защищаемую информацию без рисков несанкционированного доступа (далее — НСД), утечки или вредоносного воздействия. При положительном исходе выдаётся аттестат соответствия.

Важно: процедуры аттестации АРМ для работы с государственной тайной и для работы с конфиденциальной информацией, не составляющей гостайну, принципиально отличаются — по нормативной базе, регулирующим органам, требованиям к исполнителю, сложности и стоимости.

Аттестация АРМ по гостайне

Кому и когда нужна

Аттестация АРМ, предназначенных для обработки сведений, составляющих государственную тайну, является строго обязательной. Процедура требуется, если на рабочем месте создаются, хранятся, передаются или обсуждаются данные под грифами «особой важности», «совершенно секретно» и «секретно». К организациям и подразделениям, обязанным аттестовать такие АРМ, в частности, относятся:

• государственные органы, предприятия и учреждения, наделённые полномочиями по работе с секретными сведениями;
• режимно-секретные подразделения (далее — РСП) и первые отделы организаций, обеспечивающие обработку и хранение секретных документов;
• организации – исполнители государственного оборонного заказа (далее — ГОЗ) в части доступа к закрытым конкурсным площадкам;
• военные кафедры вузов, выполняющие закрытые научно-исследовательские и опытно-конструкторские работы;
• любые иные подразделения и организации, ведущие закрытую переписку с государственными корпорациями, научными центрами и другими институтами в рамках мероприятий, связанных с государственной тайной.

Нормативная база

Аттестация по гостайне регулируется Законом РФ «О государственной тайне» и ведомственными нормативными актами ФСТЭК и ФСБ России. В отличие от аттестации конфиденциальной информации, здесь применяются закрытые (секретные) методики и требования.

Контроль осуществляют ФСБ России и ФСТЭК России совместно.

Требования к исполнителю

По гостайне аттестацию АРМ вправе проводить только организации, имеющие лицензию ФСБ России на работу со сведениями, составляющими государственную тайну, а также лицензию ФСТЭК России на техническую защиту конфиденциальной информации (с правом проведения аттестационных испытаний).

Особенности процедуры

Процедура максимально строгая и регламентированная. Помимо стандартных этапов, таких как обследование, настройка средств защиты информации (далее — СЗИ), разработка программы и проведение испытаний, оформление результатов, аттестация по гостайне включает:

• специальные проверки технических каналов утечки информации (побочные электромагнитные излучения и наводки);
• допуск сотрудников к государственной тайне;
• режимно-секретные мероприятия (организация защищённых помещений, особый порядок допуска и документооборота);
• согласование программы и методик испытаний с регулятором.

Что вы получите

• Аттестат соответствия строгой формы с грифом секретности;
• полный комплект протоколов и заключений;
• эксплуатационную документацию на внедрённые СЗИ.

Аттестация АРМ по требованиям безопасности информации (без гостайны)

Кому и когда нужна

Аттестация АРМ для обработки информации ограниченного доступа, не составляющей государственную тайну, проводится в следующих случаях:

• обязательно для государственных и муниципальных информационных систем (далее — ГИС);
• обязательно для значимых объектов критической информационной инфраструктуры (КИИ);
• обязательно для информационных систем персональных данных (далее — ИСПДн);
• для работы со служебной тайной с грифом «Для служебного пользования» (далее — ДСП), в том числе, когда это необходимо для получения доступа к закрытой площадке АСТ ГОЗ либо для организации защищённой переписки с госкорпорациями, научными центрами и другими институтами;
• добровольно — для защиты коммерческой тайны, банковской тайны, а также для участия в тендерах, предъявляющих повышенные требования к информационной безопасности участников.

Нормативная база

Основной документ — Приказ ФСТЭК России от 29.04.2021 № 77 «Об утверждении Порядка организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну».

Основной контролирующий орган — ФСТЭК России (для ИСПДн — также Роскомнадзор).

Требования к исполнителю

Проводить аттестацию вправе организации с лицензией ФСТЭК на техническую защиту конфиденциальной информации (с правом проведения аттестационных испытаний и аттестации на соответствие требованиям по защите информации). Лицензия ФСБ не требуется.

Особенности процедуры

Процедура регламентирована Приказом №77 и включает пять этапов:

1. Сбор данных и обследование. Анализ документации, состава обрабатываемой информации, модели угроз, определение класса защищённости.

2. Поставка и настройка СЗИ. Оснащение АРМ сертифицированными средствами защиты (СЗИ от НСД, антивирус, межсетевой экран и др.).

3. Разработка программы и методик испытаний. Согласование с заказчиком.

4. Проведение аттестационных испытаний. Проверка документации, настроек СЗИ, тестирование на устойчивость к НСД, контроль организационных мер.

5. Анализ и оформление результатов. Формирование протоколов, заключения и выдача аттестата.

Что вы получите

• Аттестат соответствия (формы по Приказу №77);
• программу и методики испытаний;
• протоколы всех проверок;
• заключение с рекомендациями;
• акт обследования;
• эксплуатационную документацию на внедрённые СЗИ.

Аттестат соответствия действует бессрочно при неизменных условиях функционирования, однако необходимо регулярно подтверждать эффективность защиты контрольными проверками.

Почему стоит заказать аттестацию у нас

Лицензии и опыт. ООО «Азон» - действующий лицензиат ФСТЭК и ФСБ с большим портфелем реализованных проектов, что позволяет компании проводить аттестацию АРМ любого уровня сложности.

Сертифицированные эксперты. Все работы выполняют штатные специалисты с подтверждённой квалификацией и регулярным повышением уровня подготовки.

Комплексный подход «под ключ» от первичного аудита до передачи готового пакета документов. При необходимости поставляем и настраиваем сертифицированные СЗИ.

Соблюдение сроков и гибкость. Сроки фиксируются в договоре. Для типовых решений — прозрачные тарифы, для сложных — индивидуальный расчёт.

Пост-аттестационная поддержка. Помогаем с подготовкой к проверкам, консультируем по эксплуатации и своевременно проводим переаттестацию.

Свяжитесь с нами для получения консультации и предварительного расчёта стоимости.