Что такое аттестация ГТС
Аттестация государственных технических средств — обязательная процедура проверки соответствия информационных систем госорганов и квазигоссектора РК единым требованиям ИБ. Регулируется Законом «Об информатизации».
Кому необходима
Государственные органы — центральные и местные исполнительные органы.
Квазигоссектор — нацкомпании, холдинги, дочерние организации.
Операторы критической инфраструктуры.
Этапы аттестации
1. GAP-анализ
Инвентаризация активов, оценка текущей защиты, перечень мероприятий по устранению замечаний.
2. Разработка документации
Политика ИБ, модель угроз, ТЗ на систему защиты, регламенты, планы непрерывности.
3. Внедрение технических средств
Межсетевые экраны, SIEM, DLP, антивирус, криптозащита, управление доступом.
4. Тестирование
Внутренние проверки и пентест. Оформление протоколов испытаний.
5. Аттестационные испытания
Проверка аккредитованным органом. Выдача аттестата или предписания.
Средний срок подготовки к аттестации ГТС — от 3 до 6 месяцев.
Типичные ошибки
Формальная документация — шаблоны без привязки к реальным процессам.
Нет модели угроз — должна учитывать специфику конкретной системы.
Незакрытые уязвимости в системном и прикладном ПО.
Нет журналирования — отсутствует централизованный сбор логов.