С 2025 года в Беларуси вступают в силу новые требования ОАЦ по обязательной аттестации систем защиты информации (СЗИ). Организации, обрабатывающие персональные данные и иную информацию с ограниченным доступом, обязаны пройти процедуру аттестации. Успешный результат зависит от правильной подготовки — как технической, так и документальной.
Этап 1. Провести аудит системы безопасности
Перед началом аттестации важно:
- проверить, соответствует ли инфраструктура действующим нормам;
- убедиться в наличии необходимых средств защиты информации (межсетевые экраны, антивирус, EDR/XDR-системы для обнаружения угроз на конечных узлах);
- устранить очевидные уязвимости до начала проверки.
Этап 2. Определить перечень защищаемой информации
Организации должны четко зафиксировать, какие именно данные подлежат защите:
- персональные данные (ФИО, паспортные данные, контакты клиентов и сотрудников);
- служебная или коммерческая тайна;
- иные сведения ограниченного распространения.
Этот перечень включается в документацию по аттестации.
Этап 3. Подготовить комплект документов
Аттестация — это не только техническая проверка, но и анализ документальной базы. Рекомендуется подготовить:
Общая информация об информационной системе (ИС)
- назначение и структура ИС;
- используемое ПО и оборудование;
- схема информационных потоков.
Документы по безопасности
- модель угроз и нарушителей;
- задание по безопасности;
- проект системы защиты информации (СЗИ);
- эксплуатационная документация по СЗИ.
Организационные документы
- приказ о назначении ответственного за информационную безопасность;
- регламент или положение о подразделении по защите информации (если есть);
- инструкции для сотрудников (политики паролей, работа с ПДн, реагирование на инциденты).
Техническая документация
- протоколы испытаний и настройки средств защиты;
- акты приёмки оборудования;
- схемы сетевой инфраструктуры;
- планы резервного копирования и восстановления.
Этап 4. Провести внутреннее тестирование
До подачи заявки на аттестацию стоит провести «репетицию» — внутренний аудит и испытания:
- проверка настроек защиты;
- имитация инцидентов и отработка реакции;
- оценка полноты документов.
Это позволяет заранее устранить недочёты.
Этап 5. Подготовить заявку и пройти аттестацию
Финальный шаг — подача заявки в аккредитованную организацию, проведение испытаний и получение аттестата соответствия.
Качественная подготовка — залог успешного прохождения аттестации СЗИ. Чем полнее и точнее собрана документация, тем меньше рисков получить отказ или предписание на доработку. Организациям стоит заранее сформировать пакет документов, провести внутренний аудит и привлечь специалистов по кибербезопасности.
