Закон о СКЗИ - Форум по вопросам информационной безопасности

2 Практик:
Вы бы ближе к делу, любезный, без оценки моих вопросов. ФАПСИ приказало долго жить 20 лет назад, и за это время ФСБ могла сделать полную копию этого документа, заменив там все спорные слова. Вместо этого вышли ПКЗ 2005 и, например, приказ 378, в которых есть некоторые моменты из фапси 152 вроде учета скзи и защиты помещений. Но давайте к вашему посту. Можно ссылку на документ, которым обсуждаемому приказу присвоен статус "нормативно- МЕТОДИЧЕСКОГО"? Лучше нормативного конечно. Поскольку неисполнение методических не образует состава административного правонарушения, как я понимаю.

2 CM:
Если вы откроете приказ, прошедший, как вы говорите, процедуру регистрации, то во первых строках увидите, что он распространяется на криптосредства, сертифицированные фапси. На каком основании вы распространяете его на все, что видите?

Для otnud:

> На каком основании вы распространяете его на все, что видите?
При ведении диалога не корректно приписывать оппонентам то, чего ими не говорилось. Ваш вопрос был процитирован и ответ давался на него. Если он не устроил, то рекомендую посмотреть правоприменительную практику "парней", в которой есть отсылки на действующие нормы.
Похвально, что в Инструкции, утв. приказом ФАПСИ от 13.06.2001 № 152, Вами замечена формулировка "сертифицированных ФАПСИ средств". Это тема, в том числе, активно обсуждалась в нулевых после передачи полномочий ФАПСИ в ФСБ, когда задавались вопросами построения системы сертификации и правоприменительной практики в новых условиях. Но сейчас просто пережёвывать формулировки 2001 года при сложившейся практике... Хотя возможно чудо и с Вашей стороны будут предложены новые подходы к их толкованию и применению?!

*в сторону*
Некогда ранее топикстартер сразу переходил к делу. А теперь, оказывается, нужно 3 человека, чтобы добиться от него более-менее внятного изложения сути вопроса. Так себе тенденция, ага...

to otnud
Сделайте официальный запрос в ФСБ России на тему правомочности 152-Инструкции, опубликуйте его и осчастливьте общественность. Вне зависимости от результата разъяснений (и возможных последствий)...
Либо обратитесь, наконец, к юристам: пусть докажут, что основание для 152-Инструкции ФАПСИ устарело или отменено (в частности, 24-ФЗ и ПКЗ-99). Вооружившись этой бумажкой, начните отмахиваться от представителей регулятора - по результатам чего опять-таки осчастливьте общественность полезным опытом. Вне зависимости от результата (еще раз)...
Либо переработайте требования, порядок и правила, изложенные в 152-ФАПСИ, применительно к своей ситуации. Согласуйте их с регулятором применительно к конкретным случаям внедрения/учета/etc СКЗИ и живите спокойно...

ЗЫ Этот путь безопасники страны, погруженные в тему взаимодействия с указанным регулятором, в большей или меньшей степени прошли до вас. Именно на это я намекал многими постами ранее. И на то, что, как справедливо заметил тов. Практик, результат в общем случае всегда неоднозначный в причину особенностей указанного регулятора...

2 CM
Да, пожалуй, некорректно. Но я предположил, что вы именно это имеете в виду.
Я в нулевых ничего не пережевывал и правоприменительную практику за много лет изучить не готов. Предполагаю, что вы это все уже знаете, и готовы поделиться реквизитами документов, которые пережевывались и легли в основу правоприменительной практики. Сама по себе практика без отсылок к НПА не так много смысла имеет - не построишь на ней ни защиту, ни обвинение.

2 oko
ПКЗ-99 отменено приказом ФСБ от 9 февраля 2005 года N 66. Из вас советчик - так себе. Прошу вас воздержаться от бессмысленных комментариев

Для otnud:

Разве бывают документы правоприменительной практики без отсылок на НПА?! Предписания, акты проверок, протоколы об административном правонарушении всегда содержат отсылки на действующие нормы. Воспроизвести реквизиты таких документов, с которыми лично сталкивался в своей работе, сейчас отсутствует возможность. А реквизиты НПА, той же Инструкции, утв. приказом ФАПСИ от 13.06.2001 № 152, открыты.

to otnud
По буквам мои советы перечитайте еще раз - особенно про упомянутые 24-ФЗ и ПКЗ-99 в контексте отмены основания для 152-ФАПСИ. И к кому обращаться для подтверждения правомочности этой и (любой другой) позиции перед общением с регулятором. К которому вы, очевидно, имеете претензию (поскольку он, негодяй, ничего за столько лет не переписал и не уточнил). Искренне надеюсь, что после этого наконец дойдет...

ЗЫ Зря вы, любезнейший, отказались от договора о консультационных услугах - в нем можно было бы и структуру, и характер, и количество комментариев однозначно определить, ага...

2 CM
Дело за малым - найти реквизиты в документах правоприменительной практики. Если они существуют. Пока мы с вами остановились на том, что в 152 фапси действительно написано про криптосредства фапси. Осмелюсь предположить, что таких криптосредств в природе лет пятнадцать уже нет.
В общем, пока мы никуда не сдвинулись. Буду признателен за информацию, если она у вас действительно есть.
Исходный вопрос, думаю, можно сузить, до: *** На каком основании фсб распространяет действие инструкции с криптосредств фапси на все криптосредства? ***

Для otnud:

> Пока мы с вами остановились на том, что в 152 фапси действительно написано про криптосредства фапси.
> На каком основании фсб распространяет действие инструкции с криптосредств фапси на все криптосредства?

Не "криптосредства ФАПСИ", а "сертифицированные ФАПСИ средства". Для человека, отмечавшего важным наличие в действующей норме слова "ФАПСИ" вместо "ФСБ", и не видеть смысловую разницу между "средство ведомства" и "сертифицированное ведомством средство"?! К слову: наличие у ФСБ функции сертификации СКЗИ указано в подпункте 21 пункта 9 Положения, утв. Указом Президента РФ от 11.08.2003 № 960.
А как бы Вы сами ответили на свой вопрос с учётом переданных соответствующих ФСБ полномочий, установленных им функций и статуса действия рассматриваемого НПА?

2 CM
Вы прекрасно поняли, что я имел в виду под "криптосредства ФАПСИ". Решили попридираться к словосочетаниям вместо того, чтобы ответить по реквизитам документов?

Сам:
сертифицированные ФАПСИ <не равно> сертифицированные <не равно> сертифицированные ФСБ
Иными словами: множество средств > подмножество сертифицированных > подмножество сертифицированных фапси.

Это обычный русский язык. Имеется уточняющий причастный оборот. Прием очень распространен в нормативных документах.

Для otnud:

> Решили попридираться к словосочетаниям вместо того, чтобы ответить по реквизитам документов?
По реквизитам ответ дан выше.

> сертифицированные ФАПСИ <не равно> сертифицированные <не равно> сертифицированные ФСБ
Так вопрос и не стоял в равенстве систем сертификации 2-х ведомств или равенстве сертифицированных ими средств. Это неравенство очевидно, поскольку (!) разные СКЗИ сертифицировались в (!) разное время и в (!) разными ведомствами. Вопрос в последней формулировке заключался в основаниях ФСБ распространять действие инструкции, утвержденной ФАПСИ, на вновь сертифицированные средства. Цитирую дословно: "На каком основании фсб распространяет действие инструкции с криптосредств фапси на все криптосредства?"

> Иными словами: множество средств > подмножество сертифицированных > подмножество сертифицированных фапси.
Эти "иные слова" не корректны по отношению к высказанному неравенству, т.к. в них не учтены сертифицированные ФСБ средства.
Может так: множество средств > подмножество сертифицированных > подмножество сертифицированных СКЗИ (до 2003 года ФАПСИ, с 2003 года ФСБ)?