Документы для аттестации СЗИ: перечень ЛПА

Документы для аттестации СЗИ — это пакет из примерно 11 локальных правовых актов (ЛПА), которые описывают, как организация защищает информацию: от политики безопасности до регламентов реагирования на инциденты. Без этого комплекта аттестация невозможна — именно отсутствие или формальность документов чаще всего становится причиной отказа с первого раза. В этой статье разбираем, какие документы нужны, кто их готовит и в какой момент.

Ключевые выводы

• Пакет ЛПА — обязательная часть аттестации наравне с технической защитой.
• Типовой комплект — около 11 документов: политики, положения, инструкции, регламенты.
• Документы должны отражать реальные процессы, а не существовать «для галочки».
• Несоответствие или отсутствие ЛПА — самая частая причина отказа в аттестации.
• Документы готовят параллельно с технической защитой, а не после неё.

Если вы ещё не знакомы с процессом в целом, посмотрите что такое аттестация СЗИ и этапы аттестации — анализ документов там один из девяти шагов испытаний.

Что такое локальные правовые акты (ЛПА)

ЛПА — это внутренние документы организации, которые закрепляют правила работы с защищаемой информацией. Технические средства защиты отвечают на вопрос «чем защищаем», а ЛПА — «по каким правилам». На аттестации проверяют и то, и другое: средства защиты должны соответствовать классу системы, а документы — реально регулировать процессы и не противоречить установленным мерам.

Полный перечень документов для аттестации СЗИ

Состав пакета зависит от класса системы и специфики организации, но типовой комплект включает:

Многие из этих документов напрямую связаны с техническими мерами: например, положение о разграничении доступа опирается на управление доступом к информационным ресурсам, а порядок резервного копирования — на настроенное резервное копирование данных. Документ и реализованная мера должны совпадать.

Кто готовит документы

Готовить ЛПА может сама организация, но на практике это требует профильной экспертизы: документы должны соответствовать приказу ОАЦ № 66 и при этом отражать реальные процессы. Поэтому чаще их разрабатывает подрядчик в рамках комплексного обеспечения информационной безопасности — параллельно с настройкой защиты информации от несанкционированного доступа. Так документы и технические меры создаются согласованно.

Типичные ошибки в документах

• Шаблоны без адаптации: скачанные из интернета политики, не отражающие реальную систему.
• Расхождение с техникой: документ описывает одни меры, а внедрены другие.
• Неполный комплект: отсутствует один или несколько обязательных ЛПА.
• Устаревшие данные: в документах перечислены средства, которых уже нет в системе.
• Отсутствие журналов учёта носителей и событий безопасности.

Любое из этих несоответствий аттестующая организация фиксирует как замечание, которое нужно устранить до выдачи аттестата.

Когда готовить документы

Главное правило — параллельно с технической частью, а не после неё. Если оставить документы «на потом», то к моменту аттестационных испытаний выяснится, что их нужно срочно писать с нуля, и это растянет сроки. Оптимально: по мере внедрения каждой меры защиты сразу закреплять её в соответствующем регламенте. Проверить полноту защиты до испытаний помогает анализ защищённости информационной системы.

Часто задаваемые вопросы о документах для аттестации СЗИ

Заключение

Документы для аттестации СЗИ — это не формальность, а зеркало вашей защиты информации. Они должны точно описывать внедрённые меры и реальные процессы. Готовить их нужно параллельно с технической частью и силами специалистов, понимающих требования ОАЦ.

Нужна помощь с комплектом документов? Специалисты Genesis Systems разработают пакет ЛПА и проведут аттестацию системы защиты информации под ключ — по лицензии ОАЦ, с гарантией 12 месяцев. Свяжитесь с нами: +375 (17) 336-07-67, info@genesis-systems.by.

Оставьте заявку на подготовку документов

Оставьте заявку — специалисты Genesis Systems помогут подготовить полный комплект документов и пройти аттестацию СЗИ.