Интересный диалог коллег по вопросу необходимости аттестации рабочего места:

Василий:
Получили ключи. Можем ли мы подтвердить подключение без аттестованного ПК? Специалист все никак не может до нас доехать.

Павел:
Установите vipnet client с дистрибутива или скачайте его с сайта Инфотекс, установите полученный файл ПКИ. Работы на полчаса. Увидите в клиенте, что координатор доступен - звоните в ЦИТИС, чтобы подтвердить, что они вас видят.
Аттестовать компьютер вам никто сейчас не сможет, т.к. у випнет клиента по прежнему нет сертификата соответствия ФСБ на использование его в качестве средства криптографической защиты.

Сергей:
Аттестация при подключении к 13833 не требуется вовсе, это несколько раз говорилось в онлайн совещаниях. Также нет требований на сайте цитис.

Павел:
Не путайте требования ЦИТиС и требования законодательства РФ. Когда придут к вам проверять соблюдение законодательства в своей компетенции, на ЦИТиС вы сослаться не сможете.
И независимо от проведения процедуры оценки соответствия или аттестации передавать в сети общего пользования персональные данные вы можете только с использованием сертифицированных средств криптографической защиты.
Кстати, погружался в этот вопрос, нужна ли все же аттестация или нет. Фактически это зависит о того, является ли информационная система государственной (ГИС) или нет. Определение ГИС дано в законе 149-ФЗ "ОБ ИНФОРМАЦИИ, ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЯХИ О ЗАЩИТЕ ИНФОРМАЦИИ" в статье 14. И по всему выходит, что любая информационная система, которую мы создаем для реализации полномочий государственных органов, является ГИС. Так что и аттестация наших информационных систем выглядит вполне обязательной.

Сергей:
Требования цитис не должны противоречить или нарушать законодательство.

Павел:
А они и не противоречат. Это обязанность каждой отдельной организации соблюдать законодательство. В требованиях ЦИТиСа не указано "не убий, не укради", это же не значит, что вам это теперь разрешено. Просто ЦИТиС не имеет права брать на себя полномочия регулирующего органа, чтобы контролировать исполнение вами законодательства.

Н.:
А нам Русь-Телеком проводили аттестацию рабочего места для Суперсервиса. И для ФРДО/ФИС ГИА тоже, кстати.

Павел:
Может быть, вы успели сделать это все до 28.02.2021?
Посмотрите, какой сертификат у вас на криптографию. Либо никакого, либо этот истекший:

Sertifikat sootvetstvija.jpg (143kb) загружен 3 раз(а).

Н.:
Фрдо/фис каждый год переаттестовываем, последний раз это было до февраля, да. А вот Суперсервис - нам от них КП пришло только в середине февраля, а ПО от Инфотекс мы ждали вообще до конца марта. Так что с Суперсервисом не знаю, как они Випнет аттестовывали с истекшим (они про это просто не говорили, зато условием была Вин 8.1, потому что как раз 10-ка, по их словам, не сертифицирована фсб/фстэк), но документацию разработали и как бы всё аттестовано.

Павел:
Каждый год тоже круто, аттестат обычно на 3 года выписывают.
К сожалению, наличие этого аттестата не имеет никакого значения, если хотя бы у одного из используемых СЗИ истек сертификат соответствия по необходимому фунционалу (криптография, МСЭ, НСД, ОВ и т.д.). Если сертификат истек и не продляется, формально использовать это СЗИ нельзя

Н.: Ну, может быть, Инфотекс получит вскоре новый
Павел: Получит, конечно. Вопрос времени

Владимир:
Про программный координатор они сказали, что обновлять сертификат не будут и теперь для аттестации нужно покупать хардварное решение, а это уже совсем другие деньги.
Плюсом к координатору hw ещё нужно купить расширенную годовую поддержку.

Продолжение диалога:

Сергей:
Вопросы по аттестации, проверкам и вообще по безопасности возникают из-за отсутствия информации:
- Сервис приема это ИСПДн или нет?
- Какой правовой статус "интеграции" с сервисом приема с точки зрения обмена персданными?
- Получение и передача персональных данных при подключении VPN с использованием VipNET это интеграция с ИСПДн? Если ИСПДн, то должны быть требования и к рабочему месту, используемым СЗИ и СКЗИ, определены категории ПДн. Если нет, то как это объясняется.
Например при подключении к ФРДО и иным системам ИСПДн есть четкий перечень мер которые необходимо обеспечить, чему соответствовать по всем регламентирующим документам.
Сервис приема такого не предлагает. Но его использование предполагает получение и обработку персданных от третьей стороны, и передачу собираемых ООВО персональных данных третьей стороне.
А хватит ли мер по защите ПДн принимаемых ООВО - не понятно. Разница в принятых мерах разных ООВО может быть весьма значительной и это допустимо по закону. У одних может быть аттестация и приняты меры для локальных ИС и обработки 500 единиц персданных, у других для 5 млн, а мер для передачи по сети может быть не предусмотрено.
Прошу пояснить по сути, изложенной выше.

Катерина:
Сервис приема - это модуль ФИС ГИА и Приема

Сергей:
Это значит, что при подключении руководствоваться техусловиями: https://www.rustest.ru/u...814fad747f9fbca9caee.pdf
Есть противоречия этого документа и того, как происходит подключение. Отсюда вопросы.
Причем устный ответ в конференции, что аттестовывать рабочее место не надо - прямо противоречит техусловиям.
Все нормативные документы: https://rustest.ru/gia/o...s/normativnye-dokumenty/

Катерина:
Вы подключаетесь к ФИС ГИА и Приема разными путями. К Сервису приема - по сети 13833. Ответ был в том, что непосредственно подключение к Сервису приема не требует аттестации. Это действительно так. Но при этом никто не отменяет требования по необходимости обеспечения безопасности на стороне вуза при работе с персональными данными, в т.ч. в информационных системах. И меры по безопасности применяются в зависимости от угроз.

Сергей:
Это обобщенные фразы.
Требования по безопасности, выполняемые ООВО относятся к локальным ИС, а не к Сервису приема.
При интеграции с ИСПДн организация выполняет требования, предъявляемые этой ИСПДн.
Нет понятия достаточных мер при интеграции.
Требования определяются согласно классу ИСПДн в ОРД ответственным за ИСПДн, а не подключаемой стороной.
Уточню вопрос:
Если Сервис приема - это модуль ФИС ГИА и Приема, соответственно Сервис приема это часть ИСПДн и для подключения применять туже организационно-распорядительную документацию, размещенную тут: https://rustest.ru/gia/o.../normativnye-dokumenty/?
Почему для подключения к ФИС ГИА и Приема требуется аттестация и выполнение техусловий, а к Сервису приема не требуется если это одна система, а набор ПДн в Сервисе приема даже шире.

Юрий:
Сергей, Вам ответили полно и точно. Подключение {канал связи) определяется техническими условиями. Применения VipNet вполне достаточно для выполнения требований законодательства. От слова - больше ничего не нужно. Ваше рабочее место - информационная система образовательной организации - как и тысячи других рабочих мест и серверов, обрабатывающих ПД в Вашем вузе, должны пройти оценку соответствия. Это обязанность Вашего вуза как оператора ПД, а не ЦИТиС и не Минобрнауки.

Катерина:
Отправка по электронной почте и-2021-0177 ViPNet Client for Win 4.5.3 ФСБ - Положительное заключение:
infotecs soobshchenie.jpg (61kb) загружен 0 раз(а).

Павел:
Общались сегодня достаточно продуктивно с представителем Инфотекса, сошлись на том, что наличие этого положительного заключения ФСБ в принципе позволяет проводить лицезиатам ФСБ аттестацию, хотя само это заключение и является секретным и доступны только его номер и дата.

На данный момент доступен временный упрощенный режим подключения для новых вузов: это означает, что вуз подписывает договор с любым партнером (VipNet) и, не дожидаясь оригиналов документов, отправляет запрос в ЦИТиС с приложением заявки, сертификата и копии договора. В ответ вузу присылают ключи на подключение (DST). При этом, когда вуз получит оригиналы лицензий по договору (через 20-40 дней), он должен в установленном порядке их направить в ЦИТиС.

Отредактировано пользователем 3 июня 2021 г. 9:41:43(UTC)  | Причина: Не указана

Временный упрощенный режим подключения для новых вузов ещё действует?

С 13833vipnet@citis.ru ответили, что нет такого режима.
Возможно на текущий момент. Может ближе к ПК резрешат.