И еще 2 проекта документов ФСТЭК

И в заключение еще пара документов, которые так и не увидели свет :-( Первый должен был дополнить набор документов по "Общим критериям", который в середине 2000-х годов был принят в России, но так и не получил адекватного распространения. Сейчас ФСТЭК к нему вернулась, выпуская новые РД с требованиями к средствам защиты в виде адаптированных "Общих критериев".

Второй документ более интересен. Он определяет основные направления совершенствования нормативно-методической базы и организационных основ проведения оценки соответствия автоматизированных систем требованиям безопасности.

Иными словами, ФСТЭК в 2004-м году хотела уйти от устаревших подходов к аттестации АС, которые в документе и были перечислены:

• статичность и неконкретность требований, слабый учет особенностей АС и имеющихся угроз, непроработанность процедурных и методических аспектов оценки соответствия АС;
• преобладание технических мер по отношению к организационным и технологическим;
• дисбаланс между нормативной базой сертификации изделий ИТ и нормативной базой оценки соответствия АС.

А дальше на 25-ти страницах описывалось, как можно эти недостатки устранить. Но как и с предыдущими документами ФСТЭК, описанными мной на этой неделе, не сложилось. Строить догадки, почему 10 лет назад эти документы так и не были приняты,  не буду :-) Резюмировать тоже. Остается только надеяться, что сегодня ФСТЭК, уже сильно продвинувшаяся вперед в части нормативно-методического обеспечения деятельности по защите информации, сможет учесть в своей работе разработанные в ее же недрах проекты.