ФСТЭК России предлагает изменения в порядок аттестации объектов информатизации

На Федеральном портале проектов нормативных правовых актов опубликован проект приказа ФСТЭК России «О внесении изменений в Порядок организации и проведения работ по аттестации объектов информатизации на соответствие требованиям о защите информации ограниченного доступа, не составляющей государственную тайну, утверждённый приказом ФСТЭК России от 29 апреля 2021 г. № 77».

Ключевые изменения:

1. Ссылки на 17 Приказ ФСТЭК обновлены, введены ссылки на 117 Приказ ФСТЭК
2. Перечень объектов информатизации, на который распространяется Порядок аттестации приводится в соответствие с требованиями Приказа 117
3. Уточняется перечень должностных лиц, которые могут принимать решение о проведение аттестации на принадлежащих этому органу объектов информатизации силами собственных структурных подразделений (работников)
4. В явном виде указывается, что и периодический контроль уровня защиты информации может быть проведен силами собственных структурных подразделений (работников)
5. Вводится обязательное требования использовать методические документы, ФСТЭК России, при проведении оценки соответствия принятых технических мер по защите информации от НСД (воздействия на информацию)
6. Уточняются требования к проведению тестирования на проникновение
7. Устанавливается требование к обязательной аттестации ЦОД, в случае если объект информатизации создается на его базе
8. Уточняется порядок аттестации на основе результатов аттестационных испытаний выделенного набора сегментов объекта информатизации
9. Уточняется порядок обеспечения поддержки безопасности объекта информатизации в соответствии с аттестатом соответствия
10. Измене6на периодичность предоставления Протокола контроля защиты информации — теперь Протокол контроля защиты информации проводится не реже одного раза в 3, а не 2 года
11. Уточнен перечень оснований для проведения дополнительных и повторных аттестационных испытаний
12. Скорректирован перечень случаев, при которых ФСТЭК России может приостановить и возобновить действие Аттестата
13. Скорректирован перечень случаем, при которых ФСТЭК России прекращает действие Аттестата

Изменения в «Порядок организации и проведения работ по аттестации объектов информатизации» направлены на актуализацию документа в связи с обновлением Требований о защите информации (Приказ № 117) и появлением новых методических материалов ФСТЭК России в области технической защиты конфиденциальной информации.

Новая редакция уточняет порядок проверки соответствия аттестуемых объектов этим требованиям, что позволит избежать формального выполнения норм и повысить реальную защищённость объектов.