Если его делает лицензиат, то это его зона ответственности, а Ваша в том какие условия содержит договор об услугах.

Так коллега и ищет такого лицензиата. Не все, у кого есть такая лицензия, действительно это умеют.

Именно, но не бумажки)

это к тем, кто утверждает что можно привлечь кого угодно

Если вы покажете мне, как вы сможете провести тестирование на проникновение проекта системы защиты (читай - только на бумаге), я вам памятник поставлю.
А когда система защиты уже есть, то пентест проводится по согласованию с заказчиком. Программы и методики продразумевают множество различных вариантов.

Сссылку, пожалуйста

СуКИИ нужна лишь бумажка)

<с ленинским прищуром>

А как можно давать заключения о соответствии, не зная досконально требований?

П. 12.6 приказа 239. Должен быть выполнен непосредственно перед приемочными испытаниями.

Я просил Вас ссылку, а не выдержку

Ссылку на что? На приказ 239?

12.6. Анализ уязвимостей значимого объекта проводится в целях выявления недостатков (слабостей) в подсистеме безопасности значимого объекта и оценки возможности их использования для реализации угроз безопасности информации. При этом анализу подлежат уязвимости кода, конфигурации и архитектуры значимого объекта.

Анализ уязвимостей проводится для всех программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта.

При проведении анализа уязвимостей применяются следующие способы их выявления:

а) анализ проектной, рабочей (эксплуатационной) документации и организационно-распорядительных документов по безопасности значимого объекта;

б) анализ настроек программных и программно-аппаратных средств, в том числе средств защиты информации, значимого объекта;

в) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, посредством анализа состава установленного программного обеспечения и обновлений безопасности с применением средств контроля (анализа) защищенности и (или) иных средств защиты информации;

г) выявление известных уязвимостей программных и программно-аппаратных средств, в том числе средств защиты информации, сетевых служб, доступных для сетевого взаимодействия, с применением средств контроля (анализа) защищенности;

д) тестирование на проникновение в условиях, соответствующих возможностям нарушителей, определенных в модели угроз безопасности информации.

Применение способов и средств выявления уязвимостей осуществляется субъектом критической информационной инфраструктуры с учетом особенностей функционирования значимого объекта.

Допускается проведение анализа уязвимостей на макете (в тестовой зоне) значимого объекта или макетах отдельных сегментов значимого объекта.

Анализ уязвимостей значимого объекта проводится до ввода его в эксплуатацию на этапах, определяемых субъектом критической информационной инфраструктуры.

В случае выявления уязвимостей значимого объекта, которые могут быть использованы для реализации (способствовать возникновению) угроз безопасности информации, принимаются меры, направленные на их устранение или исключающие возможность использования (эксплуатации) нарушителем выявленных уязвимостей.

По результатам анализа уязвимостей должно быть подтверждено, что в значимом объекте, отсутствуют уязвимости, как минимум содержащиеся в банке данных угроз безопасности информации ФСТЭК России, указанном в пункте 11.1 настоящих Требований, или выявленные уязвимости не приводят к возникновению угроз безопасности информации в отношении значимого объекта.



Отлично, смотрим: у Заказчика есть ряд документов на его объект КИИ и модель угроз с проектом на систему защиты. Просит провести оценку.
Следуем по вашей логике:
1) Проводим анализ по пункту а) - даем соответствующее предзаключение (что логично);
2) не можем провести работы по пункту б) - что делать?;
3) можем провести частично работы по пункту в) при условии что у Заказчика уже что-то есть, что он будет использовать в рамках ОКИИ и СЗ ОКИИ, но не можем выполнить полностью - что делать?;
4) Можем провести частично работы по пункту г), при условии, что у Заказчика есть что-то, что он будет испорльзовать в рамках ОКИИ и СЗ ОКИИ, и то не можем выполнить нормально, так как не будет проанализоравн комплекс - что делать?;
5) не можем провести работы по пункту д) - что делать?
Как итог, мы выполняем только работы по пункту а). О чем товарищ выше и просит - почему нет?
А теперь внимательно (!) читаем название раздела, из которого взят пункт 12.6: "Внедрение организационных и технических мер по обеспечению безопасности значимого объекта и ввод его в действие". О каком внедрении идет речь?

так, извините

неккоректно написано все.

Сейчас исправлю.

Вот, теперь лучше. Еще раз прошу прощения за некорректно составленный ранее ответ.

Совершенно верно.

Коллега спросил: кто может дать заключение о (цитирую) "достаточности технических мер защиты".

Момент, в котором принимается решение о достаточности мер защиты - анализ уязвимостей на готовой системе непосредственно перед приемкой. Поэтому я и уточнил: делаете ли вы то телодвижение, которое приказ 239 называет обязательным при принятии такого решения :)

Вы можете провести экспертизу проектной документации и выявить некоторые (но не все) недостатки. Но вы не можете и не имеете права на основе только анализа документации утверждать, что описанные в ней меры защиты достаточны.

Так понятнее?

+

Вот теперь да. Полагаю, мы с вами несколько в разные стороны смотрели.

Теперь более подробно отвечу:
При анализе документов больше оценивается соответствие модели угроз и проекта:
а) Реальному положению дел на объекте;
б) требованиям самого нормативного акта, в соответствии с которым будут проводится работы.

Совершенно логично, что при опытной эксплуатации могут появится всякие "нюансы" (новые версии ОС, новые способы и методы проведения атак, новые "дыры" в уже существующей системе и так далее). Как правило, при объектах около сотни АРМ, несколько серверов и что-нибудь еще проекты длятся больше года. Там иногда даже сам проект приходится пересматривать)

И прошу прощения, если был резок - не хотел Вас задеть.

Да все нормально :) Просто люди часто путают достаточность с необходимостью. То, что вы описали - заключение о наличии всех необходимых мер защиты.

Вопрос, как оценивать необходимость. Базовые меры защиты необходимы безусловно. А вот меры защиты, добавленные из-за модели угроз... Я, например, не возьмусь сказать, достаточно ли для защиты веб-приложения только WAFа, который мы сами же и предлагаем заказчикам. В конкретной ИС для защиты от отдельных видов атак на веб требуется или индивидуальная настройка, или применение дополнительных решений из-за особенностей инфраструктуры или самого веб-приложения.

Т. е. на основе только анализа документации я могу сказать, что без WAF тут не обойтись, но даже досконально зная его возможности я не могу сказать, что достаточно только его или что необходимо что-то еще.