Принятие решения о необходимости защиты информации - Форум по вопросам информационной безопасности

Добрый день!

Помогите. пожалуйста понять какие документы необходимо готовить на этапе
Принятия решения о необходимости защиты информации, содержащейся в ИС (п.14.1 17 приказа ФСТЭК)?

Есть ли необходимость во всякого рода:
научно-технических отчетах, тактико-технических заданиях, технико-экономических обоснованиях, заявках на создание АС.
Или достаточно приказа по организации в котором отразить перечень НПА, указать цель и дать распоряжение на создание СЗИ?
И всё.

Спасибо!

В 17 приказе прописано на разных этапах, что необходимо сделать, например:

--------------------Цитата------------------
14.1. При принятии решения о необходимости защиты информации,
содержащейся в информационной системе, осуществляется:
- анализ целей создания информационной системы и задач, решаемых этой
информационной системой;
- определение информации, подлежащей обработке в информационной
системе;
- анализ нормативных правовых актов, методических документов и
национальных стандартов, которым должна соответствовать информационная
система;
- принятие решения о необходимости создания системы защиты
информации информационной системы, а также определение целей и задач
защиты информации в информационной системе, основных этапов создания
системы защиты информации информационной системы и функций по
обеспечению защиты информации, содержащейся в информационной системе,
обладателя информации (заказчика), оператора и уполномоченных лиц.
--------------------Конец цитаты------------------

Здесь и речи нет ни о каких технико-экономических оценках и технико-технических заданий, однако идут ссылки на ГОСТы (51583, 34601 и др.), где такие документы обозначены.
Для чего эти ГОСТы приведены?
Являются ли они применительно к исполнению требований 149-ФЗ (21 и 17 приказов в частности) обязательными или нет?

Не понятно есть ли необходимость при принятии решения о необходимости защиты информации в соответствии с 17 Приказом ФСТЭК готовить пакет документов в соответствии с ГОСТ Р 51583, ГОСТ Р 51624, 34601
Например:
технико-экономическую оценку
технико-техническое задание
Заявку на создание СЗИС

Или можно ограничиться Приказом в котором:
- определить цели создания
- сделать ссылку на НПА
- принять решение

???

Буду очень благодарен.

- ведомость держателей подлинников
- ведомость эксплуатационных документов

Господа.

Подскажите, пожалуйста, хотя бы такой вопрос:

В 17 приказе ФСТЭК порядок организации системы защиты расписан по этапам.

Есть этапы от принятия решения до техпроекта, внедрения и аттестации.

Понятно дело, что с точки зрения дат утверждения документов не может быть, скажем, сначала, утверждены техпроект и проведена аттестация, а потом разработана и принята модель угроз и проведена классификация.
Логика диктует определенный порядок .

Но есть этап, касающийся разработки организационно-распорядительных документов.

Как Вы считаете, если выполнить все этапы (в том числе разработать и утвердить документы) в соответствие с логической упорядоченностью, ввести СЗ информации в действие, а потом уже потихоньку утверждать орг-распорядительные документы (всякие инструкции,порядки и т.п.) в случае проверки тем же ФСТЭКом не будет ли это воспринято, как нарушение?

Спасибо!

Прочитайте детальнее по этой теме здесь.
https://bramasys.com.ua/services/it-infrastruktura/