Рубрика «Циничная аттестация»
Исторические хроники.
В мае 2016 года вышло постановление Правительства 392, в народе известное как «новое 365-ое», потому что оно достаточно кардинально изменило содержание и смысл Положения о координации, утвержденного «старым 365-м», которое, на самом деле было не 365-м (ПП 365 вышло в 2010 году, но в его составе тогда не было Положения о координации), а было 394-м (ПП 394 от апреля 2012, изменившее ПП 365 от мая 2010). Принципиально новым в «новом 365-м» версии 2016 года было появление нового перечня так называемых приоритетных направлений (ПН), среди которых появилось и ПН 4 – «Защита информации, содержащейся в государственных информационных системах, и обеспечение информационной безопасности при использовании информационно-коммуникационных технологий в деятельности федеральных органов исполнительной власти и органов управления государственными внебюджетными фондами». К каждому ПН прилагался перечень так называемых целевых показателей (ЦП), которые полагалось указывать при планировании МПИ.
ПН 4 и соответствующий ЦП к нему как раз и явились тем средством, которое Минкомсвязи намеревалось использовать уже для более жесткого «принуждения к аттестации». Но вместо того, чтобы сделать значением ЦП для ПН 4 совершенно логично напрашивающееся отношение числа аттестованных ГИС к общему количеству ГИС в ведомстве, в методику оценки был включен совершенно идиотский показатель, названный «Наличие мероприятий по защите информации в соответствии с требованиями».
Ниже Циникс цитирует формулировку этого ЦП в соответствии с одним из основных действующих до настоящего времени методических приказов по координации – приказом 420 от августа 2016:
По приоритетному направлению N 4.
Базовый показатель: "Наличие мероприятий по защите информации в соответствии с требованиями".
Данный показатель рекомендуется устанавливать для мероприятий по информатизации, направленных на создание, развитие, эксплуатацию или вывод из эксплуатации информационных систем. Значение данного показателя устанавливается "Да", если орган государственной власти осуществляет (планирует осуществить) в составе работ мероприятия по защите информации в соответствии с требованиями приказа ФСТЭК России от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (зарегистрирован в Министерстве юстиции Российской Федерации 31 мая 2013 г., регистрационный N 28608), в обратном случае в значение показателя устанавливается "Нет".
Данный показатель является основным для информационных систем.
То есть, вместо четкого «Аттестовано 7 ГИС из имеющихся 20», который нужно было бы выставлять на уровне всего ПИ, в методике предлагалось для каждого МПИ, направленного на ГИС, писать «Да» или «Нет» в каждом году планирования. А поскольку таких значений в МПИ нужно было указывать 4 (одно базовое, фиксирующее текущее состояние, и по одному для каждых из 3-лет планового периода) шкала значений ЦП для ПН 4 в МПИ выглядела примерно так – «Нет-Нет-Нет-Да» (что на на простом русском языке означало «Сейчас эта ГИС не аттестована, но, возможно, мы займемся аттестацией через 2 года. Но это не точно») или «Нет-Да-Да-Да» (что означало – «Сейчас аттестации нет, но мы обещаем, что начнем ею заниматься в следующем году. Но получим аттестат или нет, неизвестно»).
Эксперты ЦЭКИ, занимающиеся оценкой МПИ, были обучены реагировать на последовательность четырех подряд «Нет» в целевом показателе (потому что это означало, что аттестации нет, и ведомство на эту тему не заморачивается) и в этом случае выставлять замечание к МПИ. В остальных же случаях всё прокатывало – МПИ получало положительную оценку по соответствующему правилу проверки.
Что совсем не гарантировало, что аттестация конкретной ГИС все-таки состоится.
Исторические хроники.
В мае 2016 года вышло постановление Правительства 392, в народе известное как «новое 365-ое», потому что оно достаточно кардинально изменило содержание и смысл Положения о координации, утвержденного «старым 365-м», которое, на самом деле было не 365-м (ПП 365 вышло в 2010 году, но в его составе тогда не было Положения о координации), а было 394-м (ПП 394 от апреля 2012, изменившее ПП 365 от мая 2010). Принципиально новым в «новом 365-м» версии 2016 года было появление нового перечня так называемых приоритетных направлений (ПН), среди которых появилось и ПН 4 – «Защита информации, содержащейся в государственных информационных системах, и обеспечение информационной безопасности при использовании информационно-коммуникационных технологий в деятельности федеральных органов исполнительной власти и органов управления государственными внебюджетными фондами». К каждому ПН прилагался перечень так называемых целевых показателей (ЦП), которые полагалось указывать при планировании МПИ.
ПН 4 и соответствующий ЦП к нему как раз и явились тем средством, которое Минкомсвязи намеревалось использовать уже для более жесткого «принуждения к аттестации». Но вместо того, чтобы сделать значением ЦП для ПН 4 совершенно логично напрашивающееся отношение числа аттестованных ГИС к общему количеству ГИС в ведомстве, в методику оценки был включен совершенно идиотский показатель, названный «Наличие мероприятий по защите информации в соответствии с требованиями».
Ниже Циникс цитирует формулировку этого ЦП в соответствии с одним из основных действующих до настоящего времени методических приказов по координации – приказом 420 от августа 2016:
По приоритетному направлению N 4.
Базовый показатель: "Наличие мероприятий по защите информации в соответствии с требованиями".
Данный показатель рекомендуется устанавливать для мероприятий по информатизации, направленных на создание, развитие, эксплуатацию или вывод из эксплуатации информационных систем. Значение данного показателя устанавливается "Да", если орган государственной власти осуществляет (планирует осуществить) в составе работ мероприятия по защите информации в соответствии с требованиями приказа ФСТЭК России от 11 февраля 2013 г. N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (зарегистрирован в Министерстве юстиции Российской Федерации 31 мая 2013 г., регистрационный N 28608), в обратном случае в значение показателя устанавливается "Нет".
Данный показатель является основным для информационных систем.
То есть, вместо четкого «Аттестовано 7 ГИС из имеющихся 20», который нужно было бы выставлять на уровне всего ПИ, в методике предлагалось для каждого МПИ, направленного на ГИС, писать «Да» или «Нет» в каждом году планирования. А поскольку таких значений в МПИ нужно было указывать 4 (одно базовое, фиксирующее текущее состояние, и по одному для каждых из 3-лет планового периода) шкала значений ЦП для ПН 4 в МПИ выглядела примерно так – «Нет-Нет-Нет-Да» (что на на простом русском языке означало «Сейчас эта ГИС не аттестована, но, возможно, мы займемся аттестацией через 2 года. Но это не точно») или «Нет-Да-Да-Да» (что означало – «Сейчас аттестации нет, но мы обещаем, что начнем ею заниматься в следующем году. Но получим аттестат или нет, неизвестно»).
Эксперты ЦЭКИ, занимающиеся оценкой МПИ, были обучены реагировать на последовательность четырех подряд «Нет» в целевом показателе (потому что это означало, что аттестации нет, и ведомство на эту тему не заморачивается) и в этом случае выставлять замечание к МПИ. В остальных же случаях всё прокатывало – МПИ получало положительную оценку по соответствующему правилу проверки.
Что совсем не гарантировало, что аттестация конкретной ГИС все-таки состоится.
