Зачем нужна программа и методика аттестации
Программа и методика аттестации – рабочий план комплексной оценки системы защиты информации. Документ связывает объект проверки, применимые требования, мероприятия, методы, ответственных лиц, сроки и контрольные средства. Без этой связи испытания превращаются в набор несогласованных скриншотов и проверок, которые сложно оформить в протокол и технический отчёт.
Исходный черновик правильно выделял обязательный минимум, но оставался незавершённым. Ниже структура приведена в соответствие с пунктами 4, 8–11 действующего Положения о порядке аттестации.
Кто разрабатывает документ
При самостоятельной аттестации программу и методику разрабатывает комиссия, назначенная решением руководителя собственника или владельца ИС. Физическое лицо – собственник ИС с персональными данными – вправе разработать документ единолично.
Если аттестацию проводит специализированная организация, она разрабатывает программу и методику и согласовывает их с собственником или владельцем ИС. Шаблон подрядчика должен быть адаптирован к фактической архитектуре, классу и документам конкретной системы.
Исходные материалы
Пункт 9 отсылает к сведениям, указанным в части второй пункта 4 Положения.
- акт отнесения ИС к классу или классам;
- политика информационной безопасности;
- структурная и логическая схемы;
- техническое задание на создание ИС или СЗИ;
- ЛПА и ОРД по вопросам применения СЗИ;
- сертификаты соответствия или экспертные заключения на СЗИ.
Практически также потребуются перечни активов, версии ПО, сведения о сетевых потоках, учётных записях, настройках СЗИ и договорных мерах внешней площадки.
Обязательное содержание
- Перечень выполняемых работ. Он должен охватывать применимые мероприятия аттестации.
- Ответственные лица. Указываются исполнители конкретных работ.
- Сроки выполнения. Определяются по этапам и мероприятиям.
- Методы проверки. Для каждого требования описывается способ получения результата.
- Контрольные средства. Указываются реально используемые инструменты.
Дополнительные разделы допустимы, но не должны скрывать обязательный минимум пункта 9.
Какие мероприятия отразить
- проверка правильности отнесения ИС к классу;
- сверка фактического состава активов со схемами;
- оценка достаточности реализованных мер;
- анализ ЛПА и ОРД;
- испытания СЗИ;
- внешняя и внутренняя проверка опасных свойств активов и СЗИ;
- оценка эффективности защищённости для классов 3-бг и 3-дсп;
- оформление протокола, технического отчёта и аттестата.
Допускается работа на выделенном наборе сегментов, если он полностью воспроизводит технологию обработки защищаемой информации. Выбор сегментов должен быть обоснован.
Как строить таблицу проверок
- идентификатор требования или мероприятия;
- конкретные объекты проверки;
- проверочное действие;
- метод проверки;
- контрольное средство;
- ожидаемый результат и критерий соответствия;
- ответственный и срок;
- форма доказательства для протокола.
Фраза «проверить выполнение требования» недостаточна. Должно быть понятно, какой объект исследуется и по какому признаку формируется вывод.
Методы проверки
- анализ документов;
- осмотр оборудования, помещений и подключений;
- анализ конфигурации ОС, приложений, сетевого оборудования и СЗИ;
- контролируемое функциональное испытание;
- анализ журналов;
- инструментальная проверка средствами оценки эффективности защищённости.
Метод должен соответствовать предмету требования. Наличие утверждённого порядка проверяется документально, а фактическая блокировка сессии – анализом настройки и контролируемым испытанием.
Контрольные средства
В перечень включаются только реально используемые средства: административные консоли, средства выгрузки конфигураций, сетевые и web-сканеры, сканеры уязвимостей, тестовые учётные записи и средства анализа журналов.
Для классов 3-* предусмотренные Положением мероприятия проводятся с использованием средств оценки эффективности защищённости. Конкретный набор определяется архитектурой: web-сканер не нужен для ИС без web-компонентов, но это должно быть обосновано.
Связь с протоколом и техническим отчётом
Программа задаёт план, протокол фиксирует фактически выполненные мероприятия и графические доказательства, а технический отчёт формирует итоговые выводы. Идентификаторы мероприятий желательно сохранять во всех документах, чтобы каждая строка программы имела прямую ссылку на доказательство и результат.
Такой подход сокращает повторный текст и делает комплект проверяемым.
Что не следует включать формально
- общий перечень требований без объектов проверки;
- инструменты, которые фактически не использовались;
- ожидаемый результат «соответствует» без критерия;
- работы, не относящиеся к архитектуре ИС;
- ссылки на неготовые документы;
- опасные испытания продуктивной системы без согласованных условий.
Типичные ошибки
- копирование программы из другого проекта;
- несоответствие класса и применимых требований;
- расхождение схем с фактической инфраструктурой;
- одинаковый метод «анализ документов» для всех пунктов;
- назначение комиссии в целом без распределения работ;
- отсутствие сроков отдельных мероприятий;
- контрольные средства без связи с проверками;
- отсутствие формы доказательства;
- результаты сканирования не связаны с активами;
- изменения ИС не приводят к актуализации программы.
Вывод
Качественная программа и методика – это управляемая матрица испытаний. Она строится на документах конкретной ИС и для каждой проверки определяет объект, действие, метод, средство, ожидаемый результат, ответственного и срок.
Если документ подготовлен так, протокол и технический отчёт формируются из структурированных результатов. Если программа остаётся общей, основная переработка переносится на этап оформления итогов.
Нормативная основа
- Приказ ОАЦ № 66 от 20.02.2020 в редакции приказа ОАЦ № 259 от 10.12.2024 – Положение о порядке аттестации СЗИ, пункты 4, 8–11. Официальный источник.
- Пункт 9 Положения – обязательное содержание и порядок разработки программы и методики. Официальный источник.