Аттестация автоматизированного рабочего места — оценка защищенности объекта, на котором обрабатываются сведения, доступ к которым ограничен законодательством или владельцем информации. Проверке подлежат программные, аппаратные средства, настройки доступа, каналы связи, средства защиты. Цель процедуры — установить соответствие фактического состояния АРМ нормативным требованиям в области охраны информации от неправомерного доступа, изменения и утраты.
СПРАВКА: важно отличать такую процедуру от специальной оценки условий труда. Аттестация АРМ относится к технической защите информации, а не к оценке факторов производственной среды.
Когда необходима аттестация АРМ
Не каждое оборудованное компьютерной техникой место сотрудника требует отдельного аттестата. Необходимость процедуры зависит от категории информации, типа информационной системы, модели угроз, требований к конкретному объекту информатизации.
Обязательная аттестация предусмотрена прежде всего для государственных информационных систем в случаях, установленных нормативными актами. Такие рабочие места используют государственные структуры федерального и регионального уровня, муниципальные структуры.
Коммерческой компании процедура может потребоваться при подключении к защищенным государственным структурам, выполнении государственного контракта, обработке сведений, для которых нормативными актами предусмотрена проверка.
В остальных случаях оценка может проводиться добровольно. Такое мероприятие помогает проверить фактический уровень защищенности, обнаружить недостатки конфигурации, оценить эффективность применяемых мер.
СПРАВКА: обработка персональных данных сама по себе не означает необходимость аттестовывать каждое рабочее место. Федеральный закон № 152-ФЗ устанавливает обязанности оператора по обеспечению безопасности персональных данных. Конкретные меры определяют с учетом типа системы, уровня защищенности, актуальных угроз.
Нормы для компьютеризированного рабочего места
Нормативная база зависит от вида системы, характера обрабатываемых сведений. Единого набора требований для каждого АРМ не предусмотрено.
К основным нормативным актам относятся следующие приказы ФСТЭК:
-
№ 117 от 11.04.2025 — устанавливает требования к охране данных в информационных системах госорганов;
-
№ 21 от 18.02.2013 — определяет организационные, технические способы обеспечения безопасности личных данных в информационных системах;
-
№ 31 от 14.03.2014 — регулирует охрану информации в автоматизированных системах управления производственными, технологическими процессами на критически важных объектах;
-
№ 239 от 25.12.2017 — содержит правила охраны важных объектов критической информационной инфраструктуры;
-
№ 77 от 29.04.2021 — устанавливает порядок организации, проведения аттестационных работ для объектов информатизации.
Другие ведомственные акты применяют с учетом сферы деятельности, категории объекта, вида защищаемых сведений. Сначала устанавливается статус системы. После этого определяется применимая нормативная база.
При проверке оценивают настройку операционной системы, установленного ПО, учетных записей. Контролируется разграничение прав доступа, состояние сетевых соединений, антивирусная защита, резервное копирование, восстановление данных. Отдельное внимание уделяется выполнению внутренних правил информационной безопасности.
Изменение конфигурации после аттестации требует анализа последствий. Установка другой ОС, замена оборудования, средств охраны, изменение схемы подключения могут стать основанием для дополнительных испытаний либо повторной оценки.
СПРАВКА: для отдельных сфер установлены специальные нормы. ПП РФ № 969 регулирует обязательную сертификацию технических средств обеспечения транспортной безопасности. Федеральный закон № 126-ФЗ содержит нормы о подтверждении соответствия средств связи. При работе со сведениями, которые составляют государственную тайну, учитываются специальные требования ФСБ, ФСТЭК России.
Что нужно для аттестации АРМ
До начала работ формируется комплект исходных материалов. Его состав зависит от категории системы, модели угроз, установленного ПО, применяемых средств защиты.
Для процедуры могут потребоваться:
-
сведения об организации;
-
техпаспорт объекта;
-
перечень оборудования, ПО;
-
схема размещения технических средств;
-
схема сетевых соединений;
-
перечень инструментов охраны информации;
-
модель угроз, модель нарушителя при необходимости;
-
организационно-распорядительные документы;
-
матрица прав доступа;
-
инструкции администраторов, пользователей;
-
документация на средства охраны;
-
сведения о контролируемой зоне;
-
ранее оформленные протоколы, заключения.
Полный комплект устанавливается с учетом особенностей объекта. При отсутствии необходимых материалов проводится их разработка или актуализация.
Этапы аттестации автоматизированного рабочего места
Процедура включает обследование помещений/сооружений/конструкций, анализ документации, подготовку программы испытаний, инструментальную проверку, оценку реализованных мер защиты, оформление результатов.
Для мест, где законодательство требует проведения таких работ лицензиатом, привлекается организация с соответствующей лицензией ФСТЭК России.
Предварительное обследование и подготовка
Специалисты изучают назначение рабочего места, оборудование, ПО, информационные потоки, методы защиты. Проверяется нормативная документация. Обнаруженные недостатки устраняются до основного этапа.
Проведение аттестационных тестирований
Оцениваются организационные, программные, аппаратные меры. Проверяется управление доступом, конфигурация инструментов защиты, сетевые соединения, выполнение требований к конкретной системе.
Испытания должны подтвердить, что фактическая работа механизмов обороны соответствует установленным нормам.
Оформление результатов и выдача аттестата
Для регулируемых объектов оценку выполняет организация, которая имеет лицензию ФСТЭК России на деятельность по технической охране конфиденциальной информации с необходимым составом разрешенных работ.
По результатам процедуры оформляются:
-
программа, методики испытаний;
-
протоколы проведенных проверок;
-
заключение по результатам оценки;
-
аттестат соответствия при положительном результате.
В зависимости от категории объекта подтверждается защищенность от несанкционированного доступа, вредоносного ПО, утечки по техническим каналам, иных актуальных угроз.
При необходимости проверяется защита от утечек за счет побочных электромагнитных излучений, наводок, специальных воздействий. Состав таких испытаний определяется особенностями здания/сооружения/помещения, категорией обрабатываемых сведений.
Срок действия аттестата и контроль защищенности АРМ
Аттестат действует при соблюдении условий, на которых проводилась оценка. Конкретный срок устанавливают с учетом применимых нормативных документов, особенностей места, порядка контроля защищенности.
После оформления аттестата проводится контроль состояния защиты информации. Проверяется исправность защитных средств, соблюдение организационных мер, сохранность установленной конфигурации.
Замена компьютера, операционной структуры, сетевого оборудования, ПО или средств охраны требует оценки внесенных изменений. По результатам определяют дальнейшие мероприятия. Может потребоваться актуализация документации, дополнительная проверка либо повторная аттестация.
Контроль позволяет подтвердить, что условия эксплуатации АРМ соответствуют параметрам, которые были установлены при первоначальных испытаниях.
Как заказать аттестацию АРМ
Эксперты центра MOSEAC помогут определить необходимость аттестации АРМ, установить применимые требования, проверить исходную документацию. При необходимости организуется обследование помещения, подготовка недостающих материалов, проведение испытаний, оформление результатов. Для работ, которые требуют специального разрешения, привлекаются специалисты с необходимой лицензией ФСТЭК России.
Дополнительно в центре можно заказать:
-
подготовку технических и эксплуатационных документов;
-
подготовку технических паспортов;
-
разработку, регистрацию ТУ, СТО;
-
подготовку макетов маркировки;
-
регистрацию товарного знака;
-
внедрение, сертификацию модели менеджмента по стандартам ИСО;
-
оформление сертификатов происхождения для экспортных поставок;
-
сопровождение при внесении продукции в реестр Минпромторга;
-
штрихкодирование.
Для начала работы достаточно предоставить сведения об объекте информатизации, назначении АРМ, составе оборудования, программном обеспечении, характере обрабатываемой информации, применяемых средствах защиты. Эксперты определят полный перечень необходимых работ, документов, проверок. Обращайтесь за экспертной поддержкой специалистов MOSEAC.
