Аттестация информационной системы — регламентированная процедура подтверждения соответствия установленным требованиям по защите информации. Она включает проверку документации, технических средств защиты и фактического состояния информационной системы.
Подготовку важно начинать заранее. Устаревшие документы, неправильные настройки или недостатки в защите могут привести к отрицательным результатам аттестационных испытаний и необходимости повторных проверок.
Какие требования регулируют аттестацию
Основной порядок аттестации объектов информатизации, обрабатывающих информацию ограниченного доступа, не составляющую государственную тайну, установлен приказом ФСТЭК России от 29.04.2021 № 77.
Требования к защите информации определяются назначением и категорией системы. Например, для государственных информационных систем и ряда других систем государственного сектора применяется приказ ФСТЭК России от 11.04.2025 № 117. Для значимых объектов критической информационной инфраструктуры учитываются требования приказа ФСТЭК России № 239.
При обработке персональных данных дополнительно учитываются требования 152-ФЗ, постановления Правительства РФ № 1119 и применимых нормативных актов. При этом обязательность аттестации определяется требованиями к конкретному виду системы.
Чек-лист предварительного аудита (Gap-анализ)
Gap-анализ помогает выявить разрыв между фактическим состоянием информационной системы и обязательными требованиями защиты. Проверку удобно организовать в несколько последовательных этапов.
1. Проверить архитектуру и документацию
Сверьте фактический состав оборудования, программного обеспечения и сетевых соединений с технической документацией. Убедитесь, что модель угроз, описание системы и эксплуатационные регламенты соответствуют её текущему состоянию.
2. Проверить средства защиты информации
Убедитесь, что применяемые средства защиты информации (СЗИ) имеют необходимые сертификаты ФСТЭК России или ФСБ России либо прошли иную предусмотренную требованиями процедуру оценки соответствия.
Проверьте настройки, состояние технической поддержки, доступность обновлений, актуальность баз сигнатур антивирусных средств и систем обнаружения атак. Для СЗИ, использующих такие базы, проверьте регулярность их обновления.
3. Проверить учётные записи и права доступа
Сопоставьте действующие права с должностными обязанностями. Проверьте привилегированные учётные записи, блокировку неиспользуемых пользователей и выполнение правил разграничения доступа.
4. Проверить журналирование и выполнение процедур
Убедитесь, что необходимые события безопасности фиксируются, журналы сохраняются и доступны для анализа. Проверьте выполнение регламентов реагирования на инциденты, резервного копирования и управления изменениями.
5. Зафиксировать несоответствия и устранить их
Составьте перечень выявленных недостатков с указанием обязательных требований, необходимых корректирующих действий и ответственных. После устранения проблем проведите повторную проверку готовности системы к аттестации.
Как проходят аттестационные испытания
После предварительной подготовки организация привлекает орган по аттестации с необходимой лицензией ФСТЭК России. Специалисты определяют программу и методики испытаний, анализируют документацию, проверяют организационные и технические меры защиты, проводят предусмотренные испытания.
Результаты оформляются установленными документами. При подтверждении соответствия орган по аттестации выдаёт аттестат соответствия. При выявлении недостатков, препятствующих положительному заключению, потребуется их устранение.
На какой срок выдаётся аттестат соответствия
Согласно действующей редакции приказа ФСТЭК России № 77, аттестат соответствия выдаётся на весь срок эксплуатации объекта информатизации.
Однако его действие связано с поддержанием установленного уровня защищённости и проведением периодического контроля. При существенной модернизации системы могут потребоваться дополнительные аттестационные испытания.
Вывод
Подготовка к аттестации начинается с предварительного аудита, который позволяет выявить несоответствия документации, конфигурации и действующих мер защиты.
Своевременный Gap-анализ сокращает риск отрицательных результатов официальных испытаний, помогает устранить недостатки до проверки и подготовить информационную систему к подтверждению соответствия.
Если необходимо оценить готовность информационной системы к аттестации, специалисты X-Com помогут провести предварительный анализ, проверить документацию и средства защиты, выявить несоответствия и подготовить рекомендации по их устранению. Подробнее — обеспечение информационной безопасности автоматизированных систем .
