Утверждение модели угроз - Форум по вопросам информационной безопасности

Добрый день, подскажите, имеете МИС (Медицинская инф. система) не является ГИС, нужно ли утверждать модель угроз во ФСТЭК и ФСБ? Знаю, что надо утверждать в ФСБ, если в ГИС используется СКЗИ, но так же слышал утверждение, что по 152 ФЗ модель угроз тоже должна быть утверждена и во ФСТЭК и в ФСБ, но что-то не найду где это прописано или на это ссылается в 153 ФЗ.

Опечатка везде имеется ввиду 152 ФЗ

Вычитал. Статья 19 пункты 5,6,7

Хотя нет, в статье 5 говорится о гос органах "Федеральные органы исполнительной власти, осуществляющие функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности, органы государственной власти субъектов Российской Федерации, Банк России, органы государственных внебюджетных фондов, иные государственные органы"
Выходит юр лицам если нет ГИС и СКЗИ не нужно согласовывать?

to Avstry
В общем случае не нужно...
В случае же целеуказания или подозрения на наличие концов, указывающих на участие какое-то невнятное участике гос.органов в создании/эксплуатации такой МИС - рекомендуется вооружиться оными концами и запросить ответ в местном УФСТЭК и в 8 Центре. С большой вероятностью получите мотивированный отказ (в полном соответствии со ст. 19 ч. 7 152-ФЗ, ага) - потому что концы концами, а дела делами - и со спокойной душой его подошьете к остальным документам на систему. На будущее, так сказать...
ЗЫ Исключение, если МИС ну очень необычная, либо существуют объективные риски не просто опасных, но катастрофических последствий для весьма серьезных людей, чьи данные в ней обрабатываются. Притянуто за уши, конечно, но направление рассуждений, думаю, понятно. Тогда, ради очистки совести, тоже рекомендуется направить соответствующие письма по соответствующим адресам. И действовать сообразно ответу...