По обязательной аттестации объектов обрабатывающих ДСП - Форум по вопросам информационной безопасности

NoVaN,
требования ГКРЧ выполняют коммерческие компании, занимающиеся эксплуатацией, изготовлением или продажей радиоэлектронных устройств. Для них требования ГКРЧ робязательны в силу лицензионных требований, установленных соответствующими нромативными правовыми актами. А вот подобных нормативных актов, устанавливающих обязательность выполнения требований ФСТЭК (ели эти требования не касаются ГТ или ПД) в природе не существует.

sekira,
трехглавый закон, статья 5 ч. 3:

"Информация в зависимости от порядка ее предоставления или распространения подразделяется на:
1) информацию, свободно распространяемую;
2) информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;
3) информацию, которая в соответствии с федеральными законами подлежит предоставлению или распространению;
4) информацию, распространение которой в Российской Федерации ограничивается или запрещается."

Ваш случай относится или к п. 2, или к п. 3. (п. 4 в данном случае неприменим, поскольку режим тайны в отношении документов с грифом ДСП определяется только ПП 1233, а он не ограничивает передачу информации, оставляя решение на усмотрение руговодителя гос. органа).

В случае п. 3 речь идет о сведениях, которые гос. орган ОБЯЗАН предоставлять в сответствии с законодательством. В этом случае любое ограничение на предоставление таких сведений будет нарушением закона, и еего либо игнорируют, либо отменяют (вы могли это видеть на примере "четырехкнижия").

В случае п. 2 порядок предоставления информации определяется договором. Если договор не устанавливает определенных обязанностей по защите информации принимающей стороной, принимающая сторона, став в свою очередь обладателем этой информации, на основании статьи 6 того же закона САМОСТОЯТЕЛЬНО решает, как этой информацией распорядиться и принимает соответствующие меры защиты.

Никаких других требований, обязательных для принимающей стороны, для коммерческой компании нет. Ни ФСТЭК, ни ФСБ в данном случае не имеют оснований для того, чтобы придъявлять ей какие-либо требования. Обязанности выполнять их требования у нее нет, поскольку нет нормативного правового акта, который укстанавливал бы эту обязанность.

Так понятнее?

Служебную тайну предоставлять необязательно в данном случае, договора есть зачастую, но нет пунктов на обмен информацие в электронном виде! Потому что обмен зачастую велся и так, но защиты никакой обычно небыло и нет! В том то и прикол :)) А сейчас спохватились и требуют (ситуация аналогично персданным только проверяющих нет ).

То есть исходя из сказанного по нашему законодательству получается нет обязательного требования аттестации объектов обрабатывающих "служебную тайну" ? А как же СТР-К и постановление по ПД ИТР ?

to malotavr:
может просвятите народу порядок регистрации в минюсте документов с пометкой "Для служебного пользования"...

"А как же СТР-К и постановление по ПД ИТР?"

А вот так :) Весь фокус в "подвешенном" состоянии грифа ДСП.

Для гос. тайны есть соответствующий ФЗ и подзаконные акты, делающие обязательным выполнение определенного набора требований, и эти нормативные акты обязательны для всех. Для персональных данных есть ПП 781 и вводимые на основании этого постановления требования к ИСПД, и они тоже обязательны для всех.

Для "информации ограниченного доступа органов государственной власти" ничего подобного нет - есть только право руководителя организаци самостоятельно устанавливать требования по защите. И эти требования не являются обязательными для сторонней организации, ели только они не заложены в договор с ней.

Так что СТР-К - это просто внутренний документ Гостехкомиссии, и для коммерческой организации он - пустой звук.

NoVaN,
могли бы и сами найти - постановление Правительства РФ №1009 от 11.12.1997. Есть также аналогичный указ президента, номер не помню.

"10. Государственной регистрации подлежат нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, устанавливающие правовой статус организаций, имеющие межведомственный характер, независимо от срока их действия, В ТОМ ЧИСЛЕ АКТЫ, СОДЕРЖАЩИЕ СВЕДЕНИЯ, СОСТАВЛЯЮЩИЕ ГОСУДАРСТВЕННУЮ ТАЙНУ, ИЛИ СВЕДЕНИЯ КОНФИДЕНЦИАЛЬНОГО ХАРАКТЕРА."

В силу этого пункта номативные акты конфиденциадльного характера не публикуются, но все равно регистрируются.

"19. Федеральные органы исполнительной власти направляют для исполнения нормативные правовые акты, подлежащие государственной регистрации, только после их регистрации и официального
опубликования.
При нарушении указанных требований нормативные правовые акты, как не вступившие в силу, применяться не могут."

В силу этого пункта незарешистиррованные нормативные акты считаются не вступившими в силу и не подлежат исполнению.

То есть вывод обговаривайте все в договоре ! Правильно понял?
А так требовать аттестацию объекта при передаче информации сторонней организации получается неправомочно ?
Или все зависит от ситуации?
И все толко из-за отсутствия соответствующего ФЗ на соответствующую информацию? (Указ презедента некатит?)
И постановление ПД ИТР для коммерческих организаций недействует?
СТР-К тоже недействует?
Патовая ситуация !
Правильно понял?

sekira,

по ПД ИТР не скажу, сталкивался с этим давно и только в рамках гостайны. Как регламентируцются мероприятия по ПД ИТР вне гостайны - не знаю.

По поводу договора - да, если в договоре не оговорены требования по обеспечению безопасности принимающей стороной, оснований заставить ее следовать методическим документам ФСТЭК нет.

Указ президента (если вы имеете в виду указ 188), как вы выражаетесь, не катит. Он вообще не устанавливает каких-либо обязанностей какого-либо субъекта права. Он просто сообщает, что в отношении этих ведений есть "обязательное к исполнению требование не передавать такую информацию третьим лицам без согласия ее обладателя" (см. определение конфмиденциальности в трехглавом законе.

Поэтому ситуацию можно охарактеризовать как "поезд ушел". Вы можете договориться с подрядчиком, но не можете его заставить.

Да...
получается у обладателей Коммерческой тайны больше возможностей по их защите чем у тех кто работает со служебной информацией :)

У обладателя коммерческой тайны есть одно преимущество - заведомая ответственность принимающей стороны за рахглашение переданной информации.

А так - все то же самое. И гос. органы, и коммерческие компании находятся в одинаковых уловиях: они должны самостоятельно заботиться о том, чтобы информация "не утекла" и заранее прописывать требования по обеспеычению безопасности в договорах с контрагентами. Просто ругводство гос. органов часто забывает о том, что необходимо что-то делать самостоятельно, и ждет "руководящих указаний из компетентных органов" . У руководителей коммерческих компаний таких иллюзий нет.