Аттестация ГИС

В Российской Федерации на данный момент создано и функционируют несколько сотен государственных информационных систем. Все они делятся на федеральные и региональные. Данное разделение вызвано сегментом использования информационной инфраструктуры. К этим системам подключается множество государственных и коммерческих организаций и весь объем пользователей обязаны выполнять требования к защите данных, которые в ней обрабатываются.

Классификация, в отличии информационных систем персональных данных имеет не последнюю роль, потому что в зависимости от результатов классификации к государственной информационной системе предъявляется базовый набор требований.

Таким образом базовый набор мер по обеспечению безопасности информации определяется на основании требований к классу защищенности.

Адаптация базового набора мер по обеспечению безопасности информации осуществляется исходя из особенностей построения инфраструктуры и особенностей реализации технологий обработки информации, структурно-функциональных характеристик, а также с учетом результатов моделирования совокупности предположений о возможностях потенциальных нарушителей, угроз безопасности информации и последствий их реализации.

Уточнение адаптированного набора мер выполняется в зависимости от состава и свойств актуальных угроз безопасности информации при ее обработке и обусловлено необходимостью выполнения нормативных требований по обеспечению безопасности информации, в том числе необходимостью нейтрализации определенных по результатам моделирования актуальных угроз безопасности информации.

Защита ГИС имеет несколько отличий от сформировавшего подхода при защите ПДн. Среди основных мы выделяем следующие:

• обязательная аттестация государственных информационных систем перед вводом в эксплуатацию;
• обязательное использование сертифицированных средств защиты информации;
• повышенные требования к подсистеме информационной безопасности по сравнению с СЗПДн.