Что такое автоматизированное рабочее место
Автоматизированное рабочее место (АРМ) — это персональное рабочее место сотрудника, оснащённое вычислительной техникой и программным обеспечением (ПО).
Аттестация — процедура проверки, которая подтверждает соблюдение норм ИБ и оценивает эффективность используемых средств защиты.
Разница между аттестацией АРМ и выделенных помещений
Аттестация выделенных (защищаемых) помещений проводится для проверки конкретных помещений — переговорных комнат, серверных, архивов, хранилищ документов.
Аттестация АРМ охватывает рабочее место сотрудника: персональный компьютер (ПК), периферийные устройства, сетевое подключение, программное обеспечение и права доступа.
Если помещение рассматривается как физический объект защиты, то АРМ — элемент информационной инфраструктуры. Это помогает определить необходимую процедуру и объём работ.
Разница между аттестацией АРМ и аттестацией ИС
Аттестация информационной системы (ИС) охватывает комплекс программных, технических и организационных средств: серверы, приложения, сетевое оборудование, базы данных, учетные записи пользователей, механизмы защиты.
Порядок проведения установлен Приказами ФСТЭК России №77 и №17. При обработке персональных данных (ПДн) применяются нормы Приказа №21 и Постановления №1119.
Аттестация АРМ проводится для конкретного места, которое может входить в состав аттестованной ИС. Если АРМ не выполняет самостоятельную обработку защищаемой информации, дополнительная проверка не требуется. При этом она должна соответствовать параметрам, учтённым при аттестации ИС. Это частный случай аттестации ИС, гарантирующий защиту конкретного сегмента ИТ-инфраструктуры.
Зачем проводить аттестацию АРМ
Процедура решает следующие задачи:
- Снижение рисков несанкционированного доступа (НСД) и компрометации информации. Особенно важно при обработке конфиденциальных данных.
- Повышение доверия со стороны контролирующих органов, партнёров и заказчиков: наличие аттестации подтверждает зрелость процессов ИБ.
- Комплексная защита. Оценка каждого АРМ укрепляет ИБ-среду «снизу», повышая эффективность мер безопасности.
- Выполнение нормативных требований: процедура может быть обязательной по закону, например, при обработке ПДн или сведений ограниченного доступа.
Аттестация АРМ — это не просто формальность, а инструмент повышения уровня ИБ и устойчивости бизнеса.
В каких случаях требуется аттестация АРМ
Аттестация АРМ бывает обязательной или рекомендательной. Это зависит от того, с какими данными работает организация, как устроена её ИТ-инфраструктура.
Когда аттестация обязательна
- Подключение к аттестованной ИС. Если АРМ подключён к государственной, корпоративной или иной проверенной системе и обрабатывает защищаемые данные, проверка обязательна. Особенно при операциях по выгрузке, редактированию или хранению данных вне основной системы (Приказ ФСТЭК №77).
- Наличие внутреннего регламента по обязательной аттестации. Если политика ИБ или стандарты СУИБ предусматривают обязательную проверку АРМ, она выполняется согласно внутренним актам.
Когда аттестация рекомендована
- Работа с корпоративными данными без формальных ограничений доступа. Аттестация помогает выявить уязвимости и повысить устойчивость инфраструктуры.
- Обработка ПДн в соответствии с требованиями 152-ФЗ и Приказами ФСТЭК №77, №17.
- Работа с конфиденциальной информацией и сведениями ограниченного доступа: коммерческая тайна, служебные сведения, данные ограниченного распространения или государственная тайна.
- Демонстрация уровня информационной безопасности партнёрам, заказчикам и проверяющим. Документированная процедура повышает доверие и может стать конкурентным преимуществом.
Важно! Если АРМ не обрабатывает защищаемые сведения, отдельная проверка может быть необязательной. Решение принимается на основе внутреннего регламента. Например, при работе с системой АИСТ проверка обязательна. А рабочее место, где в хранилище находятся файлы, не содержащие ПДн и конфиденциальные данные, аттестовать необязательно.
Наши специалисты помогут определить, какие АРМ требуют проверки, а где достаточно распространять аттестат ИС или использовать упрощённую схему.
Требования к аттестации АРМ
При оценке проверяются:
- корректность настроек операционной системы (ОС) и установленного ПО;
- управление учетными записями и правами доступа;
- безопасность сетевых подключений и каналов передачи данных;
- наличие и эффективность средств защиты от НСД и вредоносных воздействий;
- процедуры резервного копирования и восстановления данных;
- соблюдение регламентов и стандартов ИБ.
Какие АРМ подлежат проверке
- Пользовательские АРМ, обрабатывающие сведения ограниченного доступа и конфиденциальные данные.
- Подключённые к защищаемой ИС, где производится выгрузка и обработка информации.
- Филиальные, удалённые или мобильные АРМ, не контролируемые центральной ИТ-службой.
- Места с обработкой ПДн или доступом к государственным системам.
Нормативные документы
В сфере ИБ действуют приказы ФСТЭК 17, № 77, № 21.
Этапы процедуры
1. Подготовка
- Определение перечня АРМ для проверки;
- Сбор данных: технических характеристик, перечня обрабатываемой информации, существующих мер защиты;
- разработка программы и методики проведения аттестационных испытаний.
2. Организационно-технический этап
- Внедрение или обновление средств защиты информации (СЗИ);
- Настройка мест, распределение прав доступа, организация мониторинга и журналирования действий пользователей.
3. Испытания
- Проведение проверок и тестов защиты;
- Анализ уязвимостей, прав доступа и каналов передачи данных;
- Оформление акта по результатам.
4. Завершение
- Оформление аттестата соответствия или заключения о несоответствии;
- При необходимости — регистрация в контролирующем органе.
5. Поддержка и повторная проверка
- Регулярный мониторинг средств защиты;
- Повторная оценка при изменениях аппаратуры или ПО.
Процедура подтверждает, что сотрудники работают в безопасной ИТ-среде, где исключён НСД к сведениям.
Проведение аттестации рабочих мест в УИБ
Компания «Управление информационной безопасности» гарантирует:
- Легальность и отсутствие штрафов. Все АРМ соответствуют требованиям ФСТЭК, ФСБ и 152-ФЗ. Полный пакет документов для защиты при проверке.
- Реальная защита, а не бумажная работа. Выявляем слабые места каждого АРМ.
- Экономию времени и ресурсов. Берём на себя всю рутину: от сбора данных до оформления протоколов.
- Поддержку специалистов. Консультации, помощь при изменениях инфраструктуры, подготовка к повторной проверке.
Преимущества работы с УИБ
- Опыт команды более 14 лет в ИБ.
- Комплексный подход: анализ рисков, оптимизация процессов, документальное сопровождение.
- Ориентация на результат: процедура укрепляет ИБ-инфраструктуру и бизнес.
- Индивидуальный подход: адаптация под отрасль, объект, уровень информации, бюджет и сроки.
- Поддержка после завершения: помощь в поддержании соответствия, повторной проверке, развитии информационной защиты и снижении рисков.
Мы помогаем не просто с аттестацией АРМ, а усиливаем систему информационной безопасности и повышаем доверие к вашей организации.
Для консультации: звоните 8 800-707-94-97, оставьте заявку на сайте или напишите на почту sales@uibcom.ru
