КСЗИ

Помазан Богдан

Administrator
Команда форуму
Вынесу комментарий експерта:

Запитання: 1. Чи обробляється в продукті конфіденційна інформація? Я маю на увазі не ДСК документи, а персональні данні громадян або посадовців, медична таємниця, комерційна таємниця (яку органи місцевого самоврядування пообіцяли захистити в юридичному значенні - підпис ними якихось зобов’язань)? 2. Чи використовуються в продукті якісь засоби безпеки (авторизація, ведення логів, резервне збереження будь-яких данних, шифрування при передачі, тощо)? 3. Чи є вже факти варовадження продукту?


В будь-яркому випадку, вбачається , що продукт має бути випробуваний ДССЗЗІ: - якщо є засоби криптографії (ЕЦП, шифрування при збереженні, і/або передачи) - державну експертизу з криптографічного захисту інформації. Або мати документи ДССЗЗІ, які підтверджують їхню надійність (Експертні висновки). - якщо криптографії немає (або вона не є тим засобом, який декларується) державну експертизу з технічного захисту інформації). Порядок є загальним, в наказах ДССЗЗІ на сайті - можна ознайомитись або запитати будь якого фахівця.


Яким чином можна «обійти» перевірку. Очевидно, Ви не хочете впровадити продукт, при чому він має засоби безпеки)). Інакше краще не впроваджувати). Я рекомендував би: 1 етап - зняти запитання від посадовці, які всього бояться - Вибрати будь-яку експертну організацію (на сайті ДССЗЗІ є перелік) і разом з ними провести процедури початку проведення державної експертизи. Це займе приблизно - 2-3 людино-дні протягом 2 місяців. Ви отримаєте: - договір з експертною організацією на проведення державної експертизи. - лист - гарантію від експертної організації про те, що експертиза розпочата і йде перевірка відповідно до нормативних документів. Що вона очікувано завершиться протягом 3-4 місяців. Як правило, цього достатньо для лояльних і нейтральних посадовців, щоб почати тестувати і впроваджувати продукт. 2 етап - задокументувати відповідно до міжнародних правил реалізовані в продукті засоби безпеки. Це - як чистити зуби. Я чомусь вірю, що документація на ваг продукт якісна, а не халтурна)). І окремим розділом в ній ваш техрайтер описав як впроваджені в продукті засоби безпеки і яким чином вони пеїревірені. Розробники продуктів завжди ведуть технічну документацію і ви також. Я вірю в це. Тому це не займе у вас будь-якого часу і не потребуватиме витрат.))))) 3 етап - якщо виконання 1 і 2 етапу позитивне - то у вас з`явиться реальний запит на якість безпеки продукту. Коли ви виконаєте доробку його відповідно до вимог замовника і оформите для нього якісну документацію (хоча я вірю, що вона у вас якісна), процедура державної експертизи у вас займе до 3 місяців. Затрати складуть - до 30 людино-днів залученого вами експерта. І до 60 людино-днів експертної організації (додатково - накладні видатки, прибуток і податки) - колькуляцію вони за запитом вам дадуть для перевірки.



Хоча можна зупинитися на першому етапі і їди вити я як піде впровадження. А там - за результатами.
Богдане, я дав відповідь на Ваш запит?
 
Зверху