Требования к ИСПДн - Форум по вопросам информационной безопасности

Здравствуйте. Вопрос к знающим, кто непосредственно "варится" в этой теме или каким-то боком знает нюансы.
Согласно законодательству ПДн необходимо защищать), для этого определяются актуальные угрозы (строится модель угроз), уровень защищенности и выполняются меры по защите. Вопрос в том, что будет если актуальные угрозы определены без модели или построенная модель не соответствует реальной системе? Т.е. пока я вижу, что необходимо предоставить данные РКН, чтобы попасть в реестр и там могут подловить на неправильных мерах по защите ПДн. Но где-то же еще должны быть проблемы? В общем интересует какая ответственность будет при неправильно составленной модели угроз безопасности ИСПДн или ее отсутствии. Ну или даже не какая ответственность (КоАП РФ могу почитать), а как она наступает, какие проверки выявят проблему? Вот если мы аттестуем систему, там понятное дело будут какие-то проверки. Но что происходит при вводе в эксплуатацию ИСПДн и кто нам запретит?

Если только ИСПДн (без ГИС, без КИИ), то только в случае экспертной проверки со стороны ФСТЭК и/или ФСБ (по направлению криптографии). По "наводке" ли, по плану ли, по приглашению ли РКН в период их проверки...
Результат - потенциально вплоть до запрета эксплуатации. На практике такое видел 1 раз, хоть и много лет назад...

ЗЫ особенность закона и прочей нормативки по ПДн в том, что Оператор в любом случае несет ответственность за принятые решения. Не важно, корректные они или принципиально некорректные изначально...

Алексей, РКН при включении в реестр не проверяет технические меры.
В заявлении нужно перечислить только меры, приведенные в статьях 18.1 и 19 (это поле в заявлении называется "Описание мер, предусмотренных ст. 18.1 и 19 Закона"). Например, "Назначено лицо, ответственное за организацию обработки персональных данных." И далее берете пункты из 152-ФЗ и пишете, что они выполнены.
Единственную техническую меру, которую может проверить РКН в заявлении - "Наличие шифровальных средств", тут пишут "Используется", поскольку сейчас почти все организации используют электронные подписи, передают данные в налоговую через интернет и т.д.

Что касается КОАП могу только предположить, что модель угроз можно натянуть на часть 6 ст. 13.12 КоАП РФ "Нарушение требований о защите информации ".

Саму модель угроз РКН не проверяет, а чтобы к Вам пришел ФСТЭК или ФСБ Вы должны бить госником или эксплуатировать ГИС/МИС, в противном случае встретиться с ними шансы близки к 0.

Primo, шанс много больше 0, если дело дойдет до утечки или "тихой" проверки от того же РКН соответствия того, что указано в Политике ПДн, фактическому положению дел. Да, утечка в малой степени связана с корректной или некорректной актуализацией угроз, но "паровозом" может пойти и предоставление умышленно ложных сведений. Да, упомянутые "тихие" проверки больше касаются документального анализа публичных инфосистем (где Политика обязательна к ознакомлению неограниченного круга лиц), но тем не менее...
Secundo, еще одна мера, положенная законом, это использование средств гарантированного уничтожения баз данных, отдельных данных и/или носителей ПДн...
Tertio, с шифровальными средствами в случае ФНС и тем более ЭП можно поспорить. Отчетность в ФНС - это не в полной мере зона ответственности Оператора ПДн, т.к. правила шифрования и иной защиты устанавливает ФНС, а не сам Оператор (как указано в 152-ФЗ). А ЭП - это вообще в данном случае не мера защиты ПДн (во всяком случае, в классической парадигме К Ц Д)...
Last, предлагаю дождаться новой правоприменительной практики. Есть ощущение, что количество "неуловимых Джо" резко уменьшится. Исключения же всегда будут возможны по принципу "песка сквозь пальцы", но рассчитывать на такое - очень опасная игра, ага...