К1 или К2. Что делать? - Форум по вопросам информационной безопасности

В нашей организации ИСПДн представляет собой промышленный контур и связанные с ним филиалы (топология звезда). Вся информация, обрабатываемая филиалом, подпадает под Xпд категории 2, при этом в отдельном филиале Xнпд имеет значение 2. Получается согласно таблице категория К2. НО, вся эта информация стекается в промышленный контур, где уже Xнпд имеет значение 1, и мы получаем K1.

Между филиалом и промышленным контуром организован VPN-канал по.

Вопрос 1: каким образом классифицировать ИСПДн - отдельно промышленный контур с категорией К1 и филиалом с К2, или необходимо все объединять в одно целое с категорией К1??? Какой документ регламентирует данный аспект?

Вопрос 2: кто (орган или лицензиат) имеет право классифицировать ИСПДн? Какой класс (К1-К4) оператор ИСПДн вправе классифицировать сам?

Вопрос 3: можем ли мы использовать маршрутизаторы Cisco для построения своей защищенной ИСПДн? Если нельзя, то возможно ли аттестовать отдельные экземпляры циски для этого? Или надо использовать отечественные образцы (Дионис, ФПСУ-IP и т.п.)?

Вопрос 4: кто имеет проводить аттестацию ИСПДн на соответствие нормативным требованиям в области ЗИ РФ?

Вопрос 5: должен ли оператор ИСПДн обладать лицензиями ФСТЭК и ФСБ (если он просто обрабатывает и хранит ПД, а не чинит криптомаршрутизаторы и не генерирует ключи)??? или достаточно заключить договор на обслуживание с профильной в ИБ организацией, имеющей соответствующие лицензии?

1) лучше по отдельности и разделить МЭ. Данный аспект не регламентирован, но регуляторы советуют разделять ИСПДн
2)классифицирует ИСПДн сам оператор. РКСН или ФСТЭК могут только проверить правильность при проверке
3)у cisco есть сертифицированные варианты - обращайтесь в Алтэкс-Строй. Можно даже сертифицировать имеющийся маршрутизатор ;-)
4)аттестацию может проводить лицензиат ФСТЭК.
5) можно и так и этак. ФСТЭК советует использовать аутсорсинг услуг по ЗИ, а Вы смотрите что вам дешевле будет.

1) лучше по отдельности и разделить МЭ. Данный аспект не регламентирован, но регуляторы советуют разделять ИСПДн

уточните по первому пункту, схожая ситуация есть, только в нашем случае К2 и К3, непонятно как классифицировать и аттестовать, раздельно каждую ИСПДн или придется все вместе по К2.......

Владимир,

Я сделал одним актом - 2 ИСПДн - 2 класса.
Отделяем друг от друга межсетевым экраном и всё...ну или почти всё...