मानक खंडों के सिद्धांत पर सूचना प्रणालियों का प्रमाणन। मिथक और वास्तविकता

शुभ दिन, हेब्र! आज हम मानक खंडों के सिद्धांत पर सूचना सुरक्षा आवश्यकताओं के लिए अनौपचारिककरण (OI) की वस्तुओं के प्रमाणीकरण से संबंधित विभिन्न मिथकों पर विचार करना चाहते हैं। और हम यह भी पता लगाएंगे कि इस तरह के प्रमाणीकरण को सही तरीके से कैसे किया जाए।

मिथकों के बारे में यह कहा जाना चाहिए कि वे बहुत सारे घूम रहे हैं और अक्सर वे एक-दूसरे के साथ विरोधाभास करते हैं। उदाहरण के लिए, एक राय है कि मानक खंडों के सिद्धांत के अनुसार, आप किसी देश में सभी ISPDs को प्रमाणित कर सकते हैं (हालांकि ISPDs के लिए प्रमाणीकरण अनिवार्य नहीं है), लेकिन दूसरी ओर, एक राय है कि आपको केवल पुराने तरीके से सूचना प्रणाली को प्रमाणित करने की आवश्यकता है, और इन सभी "विशिष्ट खंडों" से। बुराई।

परिचय

सूचना सुरक्षा प्रणाली के निर्माण में अनौपचारिककरण की वस्तु का प्रमाणन शायद सबसे अधिक विनियमित और रूढ़िवादी चरणों में से एक है।

रूढ़िवाद इस तथ्य में निहित है कि प्रमाणीकरण एक विशिष्ट प्रणाली के साथ तकनीकी साधनों की एक विशिष्ट सूची के अधीन है, जो तकनीकी पासपोर्ट में बड़े पैमाने पर पुन: लिखित रूप में सूचना देने के उद्देश्य से और अनुरूपता के प्रमाण पत्र में हैं। उदाहरण के लिए, एक प्रमाणित सूचना प्रणाली से एक जला हुआ कंप्यूटर, उस संगठन के साथ कम से कम लंबा पत्राचार दर्ज कर सकता है जिसने प्रमाणन किया, और बहुत कम से कम अतिरिक्त प्रमाणन परीक्षण (यानी, लागत)।

यह एक बड़ी समस्या नहीं थी, जबकि सूचना सुरक्षा आवश्यकताओं के प्रमाणन या तो स्टैंड-अलोन कंप्यूटरों के अधीन थे जो संरक्षित जानकारी, या छोटे समर्पित स्थानीय क्षेत्र नेटवर्क की प्रक्रिया करते हैं।

लेकिन प्रगति अभी भी खड़ा नहीं है। अब, राज्य सूचना प्रणाली के लिए, FSTEC का 17 वाँ फरमान कमीशनिंग से पहले उनके अनिवार्य प्रमाणीकरण को निर्धारित करता है। और राज्य सूचना प्रणाली आज एक स्थिर कंप्यूटर या एक छोटा लोकाला नहीं है, बल्कि बड़े गतिशील रूप से बदलते सिस्टम, अक्सर क्षेत्रीय या संघीय पैमाने पर भी होते हैं।

तो इस मामले में क्या करना है? सत्यापन की आवश्यकता है, लेकिन एक स्थिर प्रणाली को प्रमाणित करना असंभव है, क्योंकि वहां लगभग हर दिन नए तत्व जोड़े जाते हैं और पुराने हटा दिए जाते हैं। "विशिष्ट खंड" बचाव के लिए आते हैं।

इस अवधारणा को FSTEC के 17 वें क्रम और मानक GOST RO 0043-003-2012 “सूचना सुरक्षा द्वारा पेश किया गया था। सूचना देने की वस्तुओं का प्रमाणन। 2013 में सामान्य प्रावधान ”। दुर्भाग्य से, GOST को FSTEC आदेश के विपरीत, "चिपबोर्ड" के रूप में चिह्नित किया गया है, इसलिए मानक को यहां उद्धृत नहीं किया जा सकता है। लेकिन इससे कुछ भी खो नहीं जाएगा, क्योंकि एफएसटीईसी के आदेश के अनुसार विशिष्ट खंडों के अनुरूपता के प्रमाण पत्र के विस्तार के क्रम में बहुत अधिक विवरण (धारा 17.3) में वर्णित किया गया है, और मानक में कुछ छोटे पैराग्राफ इसके लिए समर्पित हैं।

टाइप सेगमेंट सर्टिफिकेशन के आसपास के मिथक

विशिष्ट खंडों के आसपास कई मिथक हैं। यहां हम उन चीजों का विश्लेषण करेंगे जिनका हमने खुद सामना किया है। यदि आपके पास इसी तरह के मिथकों या प्रश्नों के उदाहरण हैं (आपको यकीन नहीं है कि यह एक मिथक है या नहीं), तो टिप्पणी में आपका स्वागत है।

मिथक संख्या 1। मानक खंडों के सिद्धांत पर एक प्रमाण पत्र रूसी संघ में सभी सूचना प्रणालियों को प्रमाणित कर सकता है

सैद्धांतिक रूप से, यह नियामक दस्तावेजों द्वारा सीधे निषिद्ध नहीं है, लेकिन व्यवहार में यह संभव नहीं होगा। मॉडल सेगमेंट पर FSTEC ऑर्डर के क्लॉज़ 17 में से एक में कहा गया है कि सूचना सुरक्षा के लिए संगठनात्मक और प्रशासनिक प्रलेखन का निष्पादन मानक सेगमेंट में सुनिश्चित किया जाना चाहिए। तो, इस तरह के प्रलेखन के विकास में बड़ी समस्या ठीक है, जो सूचना प्रसंस्करण, विभिन्न संरक्षित जानकारी, नियामकों की विभिन्न आवश्यकताओं आदि की विभिन्न तकनीकी प्रक्रियाओं को ध्यान में रखेगा। नतीजतन, एक प्रणाली के लिए विकसित प्रलेखन दूसरे के लिए प्रासंगिक नहीं होगा।

मिथक संख्या 2। "विशिष्ट खंड" केवल राज्य सूचना प्रणाली के लिए प्रदान किए जाते हैं

ऐसा नहीं है। सबसे पहले, एफएसटीईसी का 17 वां आदेश स्वयं अपने प्रावधानों को किसी अन्य सूचना प्रणाली में सूचना सुरक्षा प्रणालियों के विकास में लागू करने की अनुमति देता है। दूसरे, GOST RO 0043-003-2012 "राज्य सूचना प्रणाली" के बजाय "सूचना देने वाली वस्तुओं" की व्यापक अवधारणा का उपयोग करता है।

मिथक संख्या 3। यदि वे हमें एक प्रमाणपत्र देते हैं जिसे मानक खंडों तक बढ़ाया जा सकता है, तो हम इसे किसी भी चीज़ पर लागू कर सकते हैं

ऐसा नहीं है, स्पॉइलर के तहत ठेठ खंडों के लिए एफएसटीईसी आदेश संख्या 17 के पैराग्राफ 17.3 के पूर्ण पाठ के तहत, फिर हम उन मामलों पर विचार करेंगे जहां जारी किए गए प्रमाण पत्र को वितरित नहीं किया जा सकता है। यहां हमें और अधिक विस्तार से रहना होगा।


इसके अलावा, हम त्रुटियों के विशिष्ट उदाहरण लेंगे, और इस आदर्श अधिनियम से उचित उद्धरणों का औचित्य बताते हैं कि ऐसा क्यों नहीं किया जा सकता है।

उदाहरण संख्या १

केवल सर्वर भाग प्रमाणित है, लेकिन मैं प्रमाणपत्र को कार्यस्थानों (AWS) तक विस्तारित करना चाहता हूं। क्या यह किया जा सकता है?



नहीं! सूचना प्रणाली के प्रमाणन के परिणामों के आधार पर सूचना प्रणाली के प्रमाणन के परिणामों के आधार पर सूचना प्रणाली के प्रमाणन की अनुमति है, जो सूचना प्रसंस्करण की पूरी तकनीक को लागू करती है ।

संचार चैनलों के माध्यम से सूचना हस्तांतरण भी एक प्रसंस्करण प्रौद्योगिकी है। साथ ही, इस उदाहरण में, एक भी कार्य केंद्र प्रमाणित नहीं है, इसलिए हम प्रमाण पत्र को दूसरे मानक कार्य केंद्र तक नहीं बढ़ा सकते हैं।

उदाहरण संख्या 2

यहां हमने पिछली त्रुटि को ध्यान में रखा और प्रमाणपत्र में डेटा ट्रांसमिशन चैनल और एक विशिष्ट कार्य केंद्र शामिल किया। अचानक, हमें एक प्रमाणित प्रणाली (निश्चित रूप से सुरक्षित चैनलों के माध्यम से) के कनेक्शन के साथ एक बड़े मालिक के लिए एक लैपटॉप को व्यवस्थित करने की आवश्यकता थी। क्या हम इस लैपटॉप के अनुरूप प्रमाण पत्र का विस्तार कर सकते हैं?

नहीं! एक खंड को सूचना प्रणाली के खंड के लिए उपयुक्त माना जाता है जिसके संबंध में प्रमाणीकरण परीक्षण किए गए थे यदि संकेतित खंडों के लिए समान सुरक्षा कक्षाएं और सूचना सुरक्षा के लिए खतरा स्थापित किए गए थे ...

यहां, मोबाइल तकनीकी साधनों के लिए, सूचना सुरक्षा के नए खतरे दिखाई देते हैं जो स्थिर कार्यस्थलों के लिए प्रासंगिक नहीं हैं और सबसे अधिक संभावना एक प्रमाणित प्रणाली के लिए खतरे के मॉडल में नहीं मानी जाती है।

उदाहरण संख्या 3

खैर, हमने इस जाम को ध्यान में रखा और विकास मॉडल के लिए खतरों को जोड़ा, मोबाइल उपकरणों के लिए खतरे। अब मैं एक बड़े बॉस के लैपटॉप को प्रमाण पत्र दे सकता हूं?



नहीं! एक सेगमेंट को सूचना प्रणाली के सेगमेंट के लिए प्रासंगिक माना जाता है जिसके लिए प्रमाणन परीक्षण किए गए हैं ...

इस तथ्य के बावजूद कि मोबाइल उपकरण को सूचना संरक्षण प्रणाली के लिए डिज़ाइन प्रलेखन में वर्णित किया गया था और खतरों के मॉडल ने मोबाइल तकनीकी साधनों से जुड़े खतरों को ध्यान में रखा था, इस तरह के उपकरण के लिए कोई प्रमाणन परीक्षण नहीं किया गया था।

उदाहरण संख्या 4

यह कितना जटिल है! लेकिन यह स्थिति: एक चिकित्सा संस्थान है, दो सूचना प्रणाली हैं - कर्मचारियों के साथ और रोगियों के साथ एक चिकित्सा सूचना प्रणाली (एमआईएस)। क्या हम कर्मचारियों के साथ सूचना प्रणाली को सहेज सकते हैं, प्रमाणित कर सकते हैं और इस प्रमाण पत्र को IIAs तक बढ़ा सकते हैं?



नहीं! सूचना प्रणाली के खंड के लिए एक सेगमेंट को उपयुक्त माना जाता है जिसके संबंध में प्रमाणन परीक्षण किए गए थे यदि संकेतित खंडों के लिए समान सुरक्षा कक्षाएं स्थापित की गई थीं ... सूचना प्रणाली के लिए समान डिज़ाइन समाधान ।



हालांकि ऐसा लगता है कि यहां सब कुछ जटिल है, वास्तव में, आपको सुरक्षा प्रणाली के निर्माण की तैयारी में विशिष्ट खंडों के लिए संभावित विकल्पों के बारे में सोचने की जरूरत है। लेकिन वास्तव में, यदि आप सब कुछ ध्यान में रखते हैं (और इतनी आवश्यकताएं नहीं हैं), तो प्रमाण पत्र के वितरण के साथ कोई समस्या नहीं होगी।

मिथक संख्या 4। खतरे के मॉडल के साथ शुरू होने वाले संरक्षण प्रणाली के लिए डिजाइन सेगमेंट में विशिष्ट खंडों का वर्णन किया जाना चाहिए

ऐसी कोई आवश्यकता नहीं है। हालांकि यह सीधे निषिद्ध नहीं है, लेकिन यह दृष्टिकोण भविष्य में कुछ समस्याओं का कारण बन सकता है। 17 वां FSTEC आदेश हमें इस बारे में क्या बताता है:

एक सूचना प्रणाली के प्रमाणीकरण की विशेषताएं उसके खंडों के एक चयनित सेट के प्रमाणन परीक्षणों के परिणामों के साथ-साथ सूचना प्रणाली के अन्य खंडों के अनुरूपता के प्रमाण पत्र को वितरित करने के लिए शर्तों और प्रक्रिया को कार्यक्रम और प्रमाणन परीक्षणों के तरीकों और निष्कर्ष के प्रमाण पत्र में परिभाषित किया गया है।

यही है, हमें केवल प्रमाणन के चरण में विशिष्ट खंडों का उल्लेख करने का अधिकार है। इस स्थिति में, डिफ़ॉल्ट रूप से आपके सेगमेंट विशिष्ट होंगे, यदि FSTEC क्रम संख्या 17 की धारा 17.3 की शर्तें पूरी होती हैं। लेकिन हम ऐसे मामलों से मिले जब विशिष्ट खंडों को पहले से ही खतरे के मॉडलिंग के चरण में वर्णित करने की कोशिश की गई थी, जो इस तरह के खंडों के उपकरण की क्रम संख्या का संकेत देते हैं। इस दृष्टिकोण के साथ समस्या यह है कि यदि हार्डवेयर प्रतिस्थापन होता है या प्रसंस्करण प्रौद्योगिकियों में कुछ परिवर्तन होता है (उदाहरण के लिए, एक वर्चुअलाइजेशन वातावरण दिखाई देता है), तो वे सेगमेंट जिनमें प्रमाण पत्र पहले से वितरित है, बन सकते हैं, आइए बताते हैं नाजायज ठेठ। और इस मामले में, "अतिरिक्त प्रमाणन परीक्षण" नहीं, बल्कि नए के अनुसार परीक्षणों के पूरे सेट का संचालन करना आवश्यक हो सकता है।

सामान्य तौर पर, हमारी सलाह यह है कि डिजाइन प्रलेखन में विशिष्ट खंडों का उल्लेख बिल्कुल न किया जाए। दरअसल, मौजूदा कानून के तहत, स्थापित स्थितियों को पूरा करने वाला कोई भी खंड विशिष्ट होगा।

महत्वपूर्ण! यदि आप एक सूचना प्रणाली के संचालक हैं और मानक खंडों में प्रमाण पत्र का विस्तार करने की क्षमता के साथ एक सूचना प्रणाली को प्रमाणित करने की योजना बनाते हैं, तो अपने प्रमाणन निकाय के साथ चर्चा करना सुनिश्चित करें ताकि FSTEC के 17 आदेशों के अनुसार, यह संभावना प्रमाणन दस्तावेजों में परिलक्षित हो!

मिथक संख्या 5। FSTEC "विशिष्ट खंडों" को नहीं समझता है और अगर हम इस तरह प्रमाणित होते हैं, तो हमें दंडित किया जाएगा

यह मिथक बहुत अजीब लगता है, यह देखते हुए कि FSTEC से विनियामक प्रलेखन में विशिष्ट खंडों को अधिक विस्तार से वर्णित किया गया है। यह विचार अक्सर तथाकथित "पुराने स्कूल" के सुरक्षा गार्डों से सुना जाता है।

सामान्य तौर पर, "यह सच नहीं है" को छोड़कर हमारे पास यहां कहने के लिए कुछ भी नहीं है। इसके विपरीत, नियामक हर संभव तरीके से सूचना प्रणालियों के इस प्रमाणीकरण प्रणाली को बढ़ावा दे रहा है और हाल ही में हम FSTEC के एक दावे के सामने भी आए कि एक विशाल क्षेत्रीय-स्तरीय सूचना प्रणाली मानक खंडों के सिद्धांत द्वारा प्रमाणित नहीं थी। वहां मुझे यह समझाना पड़ा कि उस विशेष मामले में यह इष्टतम नहीं था।

मिथक संख्या 6। विशिष्ट खंड केवल तब काम करते हैं जब प्रमाणित भाग और खंड एक संगठन की संपत्ति होते हैं

यह सच नहीं है। यह स्पष्ट रूप से कानून में नहीं कहा गया है, लेकिन निषिद्ध नहीं है कि सब कुछ की अनुमति है। लेकिन, निश्चित रूप से, कुछ अंतर हैं जब प्रमाणित भाग और मॉडल खंड एक संगठन की संपत्ति होते हैं, और जब मॉडल खंड तृतीय-पक्ष कानूनी संस्थाओं से संबंधित होते हैं, तो होते हैं।

ऐसे मामलों में जहां सब कुछ एक संगठन का है, यह संगठन स्वतंत्र रूप से एक मानक खंड पर जानकारी की सुरक्षा के लिए उपाय कर सकता है, एक आयोग की नियुक्ति कर सकता है और एक मानक खंड को प्रमाणपत्र का विस्तार कर सकता है।

ऐसे मामलों में जहां राज्य सूचना प्रणाली का एक केंद्रीय ऑपरेटर होता है (उदाहरण के लिए, एक क्षेत्रीय सूचना प्रौद्योगिकी केंद्र) और अन्य कानूनी संस्थाओं के खंड (उदाहरण के लिए, राज्य संस्थानों का एक क्षेत्रीय दस्तावेज़ प्रबंधन प्रणाली), तो सब कुछ थोड़ा अधिक जटिल होता है। कठिनाई इस तथ्य में निहित है कि कानून के अनुसार, राज्य सूचना प्रणाली में सूचना के संरक्षण के लिए इन जीआईएस के ऑपरेटर जिम्मेदार हैं। इसलिए, ताकि अगला परीक्षण इस तथ्य के लिए ऑपरेटर को गर्म न करे कि कहीं स्कूल में क्षेत्रीय केंद्र से 400 किमी की दूरी पर, सूचना संरक्षण के उपाय नहीं किए गए हैं, उसे एक विशिष्ट खंड को जोड़ने के चरण में इस प्रक्रिया को कम से कम दस्तावेज करने की आवश्यकता है। सबसे पहले, सूचना प्रणाली से जुड़ने के नियम बनाए जाते हैं, जहां ऑपरेटर स्पष्ट रूप से और स्पष्ट रूप से जानकारी की सुरक्षा के लिए आवश्यकताओं का वर्णन करता है जो कि संबंधित खंड पर मिलना चाहिए। इसमें आमतौर पर उन जिम्मेदारियों की नियुक्ति, सूचना सुरक्षा के लिए आंतरिक दस्तावेजों की मंजूरी (विशेष रूप से भ्रमित ऑपरेटर भी एक मानक सेट को विकसित और प्रदान कर सकते हैं), आवश्यक सूचना संरक्षण उपकरण, भेद्यता विश्लेषण, आदि की खरीद, स्थापना और कॉन्फ़िगरेशन शामिल हैं। सभी आवश्यकताओं और नियमों में निर्दिष्ट तरीके से इसकी पुष्टि होती है।

दूसरी ओर, वर्णित सभी कठिनाइयाँ एक अनुमानित योजना है जो हमने पहले से ही एक ऐसे ऑपरेटर के साथ मिलकर की थी। यदि वितरित जीआईएस का ऑपरेटर कम से कम कनेक्शन चरण में दूरस्थ खंड पर जानकारी की सुरक्षा के लिए आवश्यकताओं को पूरा करने के तथ्य को साबित नहीं करने के लिए जिम्मेदारी लेने से डरता नहीं है, तो वह एक सरलीकृत पथ (कैसे "सरलीकृत" यह ऑपरेटर भी तय कर सकता है) के साथ जा सकता है।

दुर्भाग्य से, कुछ ऑपरेटर ऐसा करते हैं क्योंकि वे ईमानदारी से निम्नलिखित मिथक में विश्वास करते हैं।

मिथक संख्या 7। प्रमाणन प्राधिकारी प्रमाणपत्र को उन खंडों तक विस्तारित करने के लिए जिम्मेदार है जो आवश्यकताओं को पूरा नहीं करते हैं।

हमारी जिम्मेदारी की सीमाओं को समझने के लिए, प्रमाणन निकाय के रूप में यह हमारे लिए बहुत महत्वपूर्ण है। चूंकि कानून स्पष्ट रूप से इस सवाल का जवाब नहीं देता है कि "गैर-अनुरूप खंडों को प्रमाणपत्र देने के लिए कौन जिम्मेदार है", हमने FSTEC को एक पत्र लिखा।

FSTEC ने उत्तर दिया कि प्रमाणन निकाय स्वयं प्रमाणन परीक्षणों की गुणवत्ता के लिए जिम्मेदार है। सूचना प्रणाली का संगठन-संचालक ठेठ खंडों को प्रमाण पत्र के सही वितरण के लिए जिम्मेदार है।

मिथक संख्या 8। विशिष्ट खंड हमें कुछ भी नहीं देंगे। वैसे भी, आपको एक लाइसेंसधारी को आकर्षित करना होगा और उसे पैसे का भुगतान करना होगा

ऐसा नहीं है। कम से कम उन मामलों में जहां सूचना प्रणाली के ऑपरेटर के कर्मचारियों के पास विशेषज्ञ होते हैं, जो ऊपर वर्णित सभी गतिविधियों को पूरा करने में सक्षम हैं।

दूसरी ओर, हम अक्सर इस तथ्य का सामना करते हैं कि हमें मानक खंडों को जोड़ने में मदद करने के लिए कहा जाता है। वैसे भी, ऐसे सेगमेंट में, आपको कम से कम, आंतरिक दस्तावेज़ों को वर्कआउट करने, इंस्टॉल करने और सही ढंग से सूचना सुरक्षा टूल को कॉन्फ़िगर करने की आवश्यकता होती है। साथ ही, कई सूचना प्रणाली ऑपरेटर सिस्टम से कनेक्शन के लिए आवेदक की रिपोर्ट से अधिक तृतीय-पक्ष संगठन द्वारा लिखित एक विशिष्ट खंड की अनुरूपता पर निष्कर्ष पर भरोसा करते हैं।

लेकिन इस मामले में भी, विशिष्ट खंड ऑपरेटर को पैसे बचाने की अनुमति देते हैं, क्योंकि कम से कम तत्वों के लिए सूचना सुरक्षा प्रणाली के लिए एक अलग खतरे के मॉडल और डिजाइन प्रलेखन विकसित करने की आवश्यकता नहीं है। पूर्ण-पैमाने पर प्रमाणीकरण परीक्षण करने की भी आवश्यकता नहीं है।

मिथक संख्या 9। विशिष्ट खंडों में, केवल एक ही तकनीकी साधनों का उपयोग किया जाना चाहिए (उदाहरण के लिए, समान मदरबोर्ड वाले कंप्यूटर, समान प्रोसेसर, समान रैम, प्रकार, निर्माता और मॉडल तक)

इस मुद्दे को भी स्पष्ट रूप से कानून में शामिल नहीं किया गया है। एक सहज स्तर पर, यह स्पष्ट है कि प्रमाणित और जुड़े खंड के लोहे के पूर्ण अनुपालन की आवश्यकता नहीं है, अन्यथा पूरी चीज बेकार है। और जब हमें एक समान प्रश्न को स्पष्ट करने की आवश्यकता होती है, तो हम क्या करते हैं? यह सही है - हम नियामक को पत्र लिख रहे हैं। FSTEC ने उम्मीद व्यक्त की कि समरूप (एक निर्माता, एक मॉडल आदि) तकनीकी समाधानों का उपयोग विशिष्ट खंडों में नहीं किया जाना चाहिए।

प्रमाणित सेगमेंट के लिए एक सेगमेंट को उपयुक्त माना जाने के लिए, यह आवश्यक है कि इसके लिए समान सुरक्षा वर्ग की स्थापना की जाए, सूचना सुरक्षा के लिए समान खतरों की पहचान की जाती है और सिस्टम के लिए और सूचना सुरक्षा प्रणाली के लिए समान डिज़ाइन समाधान लागू किए जाते हैं। जैसा कि वास्तव में 17 वें क्रम में लिखा गया है।

मिथक संख्या 10। प्रत्येक अटैचमेंट प्रकार के खंड के लिए, आपको अपना खुद का खतरा मॉडल बनाने की आवश्यकता है।

नहीं। ठेठ सेगमेंट में, सूचना प्रणाली के प्रमाणित हिस्से के समान खतरे प्रासंगिक होने चाहिए। तदनुसार, धमकी मॉडल पूरे सिस्टम के लिए एक है। यदि प्रमाणित सूचना प्रणाली में कोई महत्वपूर्ण तकनीकी परिवर्तन होता है, जो सूचना सुरक्षा के लिए नए खतरों के उभरने का कारण बन सकता है, तो सामान्य खतरे के मॉडल को संशोधित करना आवश्यक है और यदि आवश्यक हो, तो पूरे सिस्टम के अतिरिक्त प्रमाणन परीक्षण करें।

मिथक संख्या 11। संलग्न मानक खंडों के डेटा को सूचना प्रणाली के लिए तकनीकी पासपोर्ट में प्रतिबिंबित करने की आवश्यकता नहीं है

इस मुद्दे पर, हमने FSTEC से भी पूछा। इसका उत्तर यह है कि नए पासपोर्ट का डेटा तकनीकी पासपोर्ट में दर्ज किया जाना चाहिए। लेकिन क्या सिस्टम के लिए सामान्य डेटा शीट में नया डेटा दर्ज करना है या खंड के लिए एक अलग दस्तावेज़ बनाना ऑपरेटर पर निर्भर है। .

. – . , .