Об обработке документов ДСП - Форум по вопросам информационной безопасности

Всем доброго! Коллеги, подскажите, документы с грифом "ДСП" должны разрабатываться и храниться на аттестованных АРМах или не обязательно? И в каком НПА отражены данные требования? Спасибо!

СТР-К:

пункт 2.1: Настоящий документ устанавливает порядок организации работ, требования и рекомендации по обеспечению технической защиты конфиденциальной информации на территории Российской Федерации и является основным руководящим документом в этой области для федеральных органов государственной власти, органов государственной власти субъектов Российской Федерации и органов местного самоуправления, предприятий, учреждений и организаций (далее - учреждения и предприятия) независимо от их организационно-правовой формы и формы собственности, должностных лиц и граждан Российской Федерации, взявшим на себя обязательства либо обязанными по статусу исполнять требования правовых документов Российской Федерации по защите информации.


пункт 2.17: Объекты информатизации должны быть аттестованы на соответствие требованиям по защите информации.

По СТР-К проблемно из-за несогласования его в Минюсте. Тут скорее подойдет ППр 912-51.

"документы с грифом "ДСП". А откуда они у Вас есть? Если вы ведомствены но смотрите бумаги ведомства.

Цитата из статьи Алексей Комарова с сайта секъюрити лаб по поводу правового статуса СТР-К:
«Подытожив мнение различных специалистов можно сказать следующее:
Документ СТР-К, утвержденный решением Коллегии Гостехкомиссии России № 7.2/02.03.01г. действительно не регистрировался в Минюсте;
Регулятор считает, что это технический документ и регистрации в Минюсте не подлежит;
Для доказывания своей точки зрения на правовой статус данного документа нужно обращаться в суд;
На практике при проведении аттестации автоматизированных систем как аттестаторы, так и проверяющие органы следуют рекомендациям этого документа;
Приведённые в документе рекомендации распространяются не только на государственные АС, но и на принадлежащие коммерческим организациям и попыток обратиться в суд с обжалованием (по крайней мере, широко известных попыток) никто не предпринимал».
Так оно и есть.

Мы - ОМСУ, документы ДСП имеются

to ДВ регион

Вопрос весьма спорный. Неоднократно слышал от сотрудников 2 управления ФСТЭК (включая Д. Шевцова), что аттестация ДСП проводится в добровольном порядке, т.к. обязывающего правового акта нет (СТР-К - это методический документ) (замечу, что такая добровольность самой ФСТЭК не нравится).

Постановление 912-51 здесь совершенно не при чем, поскольку оно касается гос. тайны (которая есть) и служебной тайны (которой нет). Но на практике это Постановление иногда притягивают за уши к ДСП.

Т.о., как защищать ДСП должен решить гос. орган - обладатель этой информации. Опять же на практике часто пользуются СТР-К (по давно сложившейся традиции), хотя представители ФСТЭК рекомендуют пользоваться 17-м приказом, как более современным документом. К тому же, с недавних пор аттестат по 17-му приказу выдается не на 5 лет, а бессрочно.

Условия работы с документами, имеющими ограничительную пометку "Для служебного пользования", приведены в Положении о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти, уполномоченном органе управлением использования атомной энергии и уполномоченном органе по космической деятельности, утвержденного постановлением Правительства Российской Федерации от 03 ноября 1994 года №1233

"Условия работы с документами", но не обязательность аттестации "АС ДСП".

to WORM
Бессрочность аттестации по 17 Приказу же пока не утвердили? Всякое может статься...

*в сторону*
Если ДСП != "информация ограниченного доступа, обрабатываемая в государственных информационных системах" в 90% случаев (и по мнению тех же регуляторов, ага), то мне в космосе делать нечего...

to oko
Как это не утвердили? Зарегистрирован в Минюсте, опубликован в РГ... Чего ж Вам боле?

Хотя, конечно, от нашего регулятора всего можно ожидать.

Насчет ДСП. А вот если эта информация (скажем, ГОСТ 0043) не в ГИС, а в компьютере лицензиата, тогда как? Она в ГИС или не в ГИС?