Согласование ЧМУ и Техпроекта со ФСТЭК - Форум по вопросам информационной безопасности

Добрый день, коллеги.

Может кто объяснить на практике, какова обязательность и в каких случаях согласовать частную модель угроз и техпроект для ГИС/МИС со ФСТЭК?

Согласовывать нужно МУ (ЧМУ) и техзадание (не техпроект!) на ГИС со ФСТЭК и ФСБ.
Обязанность согласования установлена Постановлением 676 (2015 г).

Обязанности согласовывать МУ и ТЗ на МИС нет.

to WORM.

Спасибо.

А как насчет сегмента ГИС?

И разве гис/мис не одно и тоже?

А также, согласовывается на любую ГИС (как 100, так и 1 арм)?

>- А как насчет сегмента ГИС?

Про сегмент не сказано. Если сегмент будет аттестоваться отдельно и эксплуатироваться отдельным юрлицом, то, возможно, надо (если нет МУ на всю ГИС, включая ее сегменты).

>- И разве гис/мис не одно и тоже?
По закону нет. Но регуляторы иногда путают.

>- А также, согласовывается на любую ГИС (как 100, так и 1 арм)?
Если система юридически является ГИС (включена в реестр), то неважно, сколько в ней арм.

to all
Вот тут нюанс - возможно, не в курсе изменений, но то, что видел в ПП РФ 676 с изменениями касается только ГИС, создаваемых по инициатива ФОИВ и ОИВ или их подведов. И там да, МУ и СТЗ согласуются с ФСБ (только 8 Центр) и ФСТЭК (федералка с ЦА, регионалка и объектовка с региональными Управлениями)...
Для остальных случаев, включая ситуацию, при которой требования ГИС применяются к ИС, де юре ГИС не являющейся (например, КОНФИ-АС, в которую не хотят тащить устаревшие РД и СТР-К), обязаловки нет - только рекомендательный характер...

to WORM
И да, есть п. 4 ст. 13 149-ФЗ про равнозначность по умолчанию требований к ГИС для МИС (включая п. 6 ст. 14, который ведет к упомянутому ПП РФ 676). Исключения допускаются на уровне постановлений органов местного самоуправления, под эгидой которых создается МИС. То ли дело, что "федеральные МИС" - это нонсенс, так что требования ПП РФ 676 на любые МИС по умолчанию распространяться не могут...

Коллеги, подскажите, пожалуйста, кто проходил процедуру подачи на согласование МУ и ТЗ для ГИС - какие шаги выполняли, куда отправляли? Или может быть в общем доступе есть методический документ, более подробно описывающий данную процедуру?

to Баснева Е.А.
По линии ФСТЭК есть инфосообщение от 22 июня 2017 г. N 240/22/3031 (см. сайт ФСТЭК). Главное различие: федеральная ГИС или региональная/объектовая...
По линии ФСБ в общем случае нужно выходить на 8 Центр и далее действовать, как укажут...
По линии Минцифры (если у вас ГИС > 100 млн.руб.), возможно, подскажут коллеги на форуме, кто это проводил в последние несколько лет (ибо деталей уже не помню)...
Во всех случаях, если нет собственного опыта, рекомендую писать официальный запрос в каждую инстанцию с кратким описанием ситуации и, особенно, основания для согласования, а также с просьбой разъяснить последующий порядок действий...
Главное, чтобы не было промашек по порядку и правилам, приведенным в ПП РФ от 06.07.2015 г. N 676, а то встречаются любители его трактовать и выполнять как-то "иначе", ага...