Аттестация информационной системы предполагает проверку не отдельных компонентов, а законченной информационной системы.
Другими словами: сначала нужно создать полностью функционирующую эксплуатируемую ИС, а только потом станет возможным проведение её аттестации, порядок которой определеяется Положением по аттестации объектов информатизации по требованиям безопасности информации и которая проводится в соответствии с традиционными методами и подходами, описанными в руководящих документах Гостехкомиссии России 1992-2002 годов.
В случае, если в систему вносятся изменения, её аттестационный сертификат становится недействительным.
Таким образом, заранее невозможно создать/гарантировать/обещать некую «защищённую и аттестованую по 152-ФЗ среду» в вакууме, размещая вашу ИС в которой вы автоматом начнёте соблюдать этот закон. Когда кто-то предлагает сервер или любое другое решение, которое соответствует 152-ФЗ — это маркетинговое лукавство, означающее, что он создал завершённую, уже работающую систему, зафиксировал её состояние и сертифицировал, что она защищена на должном уровне.
Как только в эту архитектуру добавятся любые изменения — т.е. доступ получат новые лица (вы), через новые точки входа (с ваших терминалов, компьютеров и других устройств), которые не будут работать по утверждённым ранее регламентам по обработке ПДн (ваши сотрудники ведь не могут контролироваться хостинг-провайдером), — она перестанет соответствовать заявленным характеристикам защищённости.
Мы, в свою очередь, всегда рады помочь по мере наших возможностей нашим клиентам, которым необходимо обеспечить соответствие их ИС закону 152-ФЗ, а именно: внести необходимые для их уровня защищённости изменения в предоставляемую им услугу (будь то виртуальный сервер, виртуальный дата-центр, аренда физического сервера или аренда стойки и т.д.), если окажется, что имеющего сейчас уровня не достаточно, а также можем давать рекомендации по специалистам и профильным компаниям, но это не услуга «из коробки», а индивидуальная работа.
Процесс в общем случае выглядит так:
- вы описываете (сами или с помощью привлечённых специалистов) свою ИС;
- понимаете, какой уровень защищённости вам нужен;
- понимаете, какой уровень защищённости у вас сейчас;
- составляете (сами или с помощью привлечённых специалистов) перечень требований, выполнение которых необходимо для нейтрализации угроз безопасности ПДн;
- если какие-либо требования из перечня будут относиться к предоставляемым нами услугам, то вы обращаетесь с данными требованиями к нам и мы, работая в контакте с вами, делаем всё возможное для их удовлетворения.
Возможно Вас также заинтересует:
Должны ли все средства защиты персональных данных быть сертифицированы ФСТЭК России по 152-ФЗ?
Достаточно ли защитить сервер или стойку для соответствия 152-ФЗ?
Какой уровень защищённости может обеспечить ATLEX по 152-ФЗ?
Почему хостинг-провайдер или дата-центр не может взять на себя ваши обязанности по исполнению 152-ФЗ?