Согласование МУ и ТЗ - Форум по вопросам информационной безопасности

Здравствуйте. Скажите, а тут точно описывали процедуры по созданию ГИСов в органах власти или про ИС в около государственных юр лицах? Если первое, то поясните как увязать требование согласовать ТЗ с УФСТЭК и закупочными мероприятиями по 44 ФЗ? как временные рамки соблюсти плана закупок? И про «обследование объекта» какое обследование? Нарезали новые полномочия сразу идет команда цифровизировать, вот деньги вот сроки, кого обследовать, полномочия? Ваше описание это описание идеального мира ИБшника, на который тем кто ставит задачи по фиг, сначала исполнение бюджета и выполнение поручения, потом все остальное.

to MAB
Не идеальный мир, а последовательность, почти полностью совпадающая с официальными решениями регулятора...
По анализу и обследованию см. п. 14 Приказа 17 ФСТЭК России. Если можете хотя бы первую его часть выполнить без предварительного обследования и анализа, то либо вы и так это знаете (будучи хоть Владельцем ГИС, хоть привлекаемым лицом), либо вам наплевать...
И если "наплевать" от привлекаемого лица еще хоть как-то можно понять (и простить, ага), то от Владельца ГИС - это уже повод для статьи...

ЗЫ Мир вообще не идеален, жесток и противоречив. А когда во главу угла ставятся бабки и безголовые решения как управленцев, так и ретивых исполнителей, это только увеличивает количество противоречий и крайне мешает стремлению к идеалу...

причем тут пункт 14? У меня был вопрос, вы согласовывали ТЗ на создание ГИСа с ФСТЭК? вышел новый ФЗ, появились новые полномочия, под них сформировался бюджет, срочно надо цифровизовать эти полномочия, есть бюджетные правила, есть финансовый год и вы должны потратить выделенные деньги до конца года либо будет не исполнение. Пунт 14 тут будет выполнятся где то в самом конце когда системы уже будет чуть ли не в проде. Хорошо, что кто то догадается и попросит спеку на СЗИ. Модель угроз да согласовываем, а вот как ТЗ на создание именно ГИСа а не системы защиты не представляю как это увязать с закупочными мероприятиями.

to MAB
Т.е. закупка софта и железа (при необходимости), определение целей и задач, внедрение, пусконаладка, защита и проч. проводятся без ТЗ в принципе, вы это хотите сказать? Или на все указанные операции дается настолько мало времени, что некогда разработать ни Модель, ни ТЗ, а также выждать 30-60 дней согласования?
Повторюсь, некомпетентные, но исполнительные придурки есть везде. Хапуги, стремящиеся "освоить бюджет", тоже. Да, приходится работать с противодействием и одним, и вторым. Да, часто Модель и ТЗ возвращаются с замечаниями уже в период фактической реализации ОИ. И приходится ускоряться, допиливать, обосновывать и т.д. буквально на ходу. Или заранее продумывать реализацию так, чтобы минимизировать проблемы в будущем...
Но принципиально невозможных ситуаций, препятствующих изложенному в соседних сообщениях подходу, не встречал...

1.определение целей на каким нибудь совещательным органом с выдачей поручения
2.закупка софта, внедрение, пусконаладка - одно ТЗ
3.определение целей и задач - НПА
4.построение системы защиты (в том числе разработка модели) и\или аттестация - другое ТЗ
2 и 3 обычно идет параллельно, а вот между 2 и 4 могут быть большие временные лаги
я пишу про пункт 2, как соотнести бюджетный процесс с требованиями ФСТЭК о согласование именно ТЗ на развитие\создание ИСа в котором нет ни чего про построение системы защиты.

устройтесь в какой нибудь гос орган и заявите там заместителю директора ответственному за цифровизацию, что ни одно ТЗ не пойдет на закупку пока они не согласуются с регуляторами, а потом опишите свои впечатления от рабочего процесса. Со стороны выполнять нормы законодательства лишь одной сферы не соотнося с другими целями и задачами это красиво лишь на форумной бумаге, с реальностью не бьется. Далее не вижу смысла в переписке, так как вы все равно останетесь при мнение своем.

Ну, раз все так плохо и неправильно, увольтесь из плохого органа и поступите работать в хороший, правильный. И будет вам счастье. Чего кричать-то?

Не нравятся ответы - делайте по-своему.

to MAB
Вы каким местом читаете, любезнейший? Повторюсь, бывает всякое - и согласование "запаздывает", и "задним числом" решения принимаются. Но к логике приведенной последвательности действий фактор человеческого наплевательства и идиотизма отношения не имеет. О том и речь, не более...
Меня больше смущает, что ТЗ на создание ГИС вы упорно приравниваете к ТЗ на закупку и именно в нем видите корень всех бед...

ЗЫ Тов. oko "повезло" бывать во многих ситуациях и почти со всех сторон этой бессмысленной в своей сути баррикады. Вспоминается в том числе ГИС, Модель на которую торжественно "потерял" один из регуляторов, а "нашел" уже через полгода работы объекта, выдав, с умным видом, пачку замечаний. Благо, люди оказались вменяемыми, и все отклонения удалось нивелировать оперативно...

Некорректно выразился. Не приравнивание, а именно что ключевой момент. Причем выбор софта, очевидно, проводится "пальцем в небо"...
Проектирование+закупка+пусконаладка в один этап - это лихо. Но даже при первичном проектировании это ТЗ уже должно включать вопросы безопасности, а не быть отдельным этапом уже после. Подход АСЗИ в помощь...