Аттестация подтверждает независимой стороной, что система защиты реализована и работает так, как требуют нормативные документы. Ее проводят на этапе создания или развития объекта, а также при эксплуатации, если решение об обработке защищаемой информации принято позже. Для государственных и муниципальных информационных систем аттестация является обязательной формой оценки соответствия, для частных операторов – способом подтвердить защиту по решению владельца.

• Выбрать орган по аттестации с лицензией ФСТЭК и согласовать сроки; срок работ по аттестации не может превышать четырех месяцев.
• Подготовить документы: технический паспорт объекта, акт классификации или акт категорирования, модель угроз, техническое задание, проектную и эксплуатационную документацию, организационно-распорядительные документы владельца, результаты анализа уязвимостей и приемочных испытаний.
• Орган по аттестации назначает аттестационную комиссию, анализирует документы и обследует объект в условиях эксплуатации.
• Разработать и согласовать программу и методики аттестационных испытаний.
• Провести испытания: проверка документов, настроек и работы мер защиты, анализ уязвимостей, проверка сертификатов средств защиты.
• Оформить заключение и протоколы испытаний; владелец устраняет устранимые недостатки в ходе аттестации, комиссия проверяет устранение.
• При положительном результате оформить и выдать аттестат соответствия.

Программа и методики аттестационных испытаний, заключение по результатам испытаний, протоколы испытаний, аттестат соответствия требованиям по защите информации (при положительном результате).

Испытания проводит орган по аттестации – организация с лицензией ФСТЭК на техническую защиту конфиденциальной информации, в составе комиссии из руководителя и не менее двух экспертов, независимых от разработчиков и внедрявших защиту. Владелец объекта готовит документы, обеспечивает доступ и устраняет недостатки. Органы власти могут проводить аттестацию своими силами по решению руководителя и после информирования ФСТЭК.

• Проверить лицензию ФСТЭК органа по аттестации и ее соответствие видам работ.
• Убедиться, что эксперты не участвовали в разработке и внедрении системы защиты.
• Заранее согласовать перечень документов, программу и методики, сроки и порядок устранения недостатков.
• Подготовить документацию: до начала испытаний технический паспорт, акт классификации, модель угроз и эксплуатационные документы должны быть актуальными.
• Оговорить порядок периодического контроля и повторной аттестации после существенных изменений.