Персональные данные - это конфиденцальная информация????? - Форум по вопросам информационной безопасности

> Если судить только так, то «категорирование» конфиденциальной информации само по себе не существует, а появляется и пропадает вместе с законами (т.е. получается категорирование зависит от наличия слова написанного на бумаге?).

Конечно. Обязанность категорировать информацию, как и любая другая обязанность появляется и пропадает вместе с правовыми нормами, вводящими и отменяющими эту обязанность.

> На практике видел, что некоторые ИСПДн К2 «защитили» орг. мерами и «кучерявыми» бумажками. Тогда и задумываешься, что может какие-то права надо перевести в обязанности?

А насквозь дырявую систему управления экологическим производством не встречали? При этом аттестованную? Я встречал. И предприятие плевать хотело с высокой колокольни на то, что их система может отправиться в разнос легким движением руки: у них есть Бумажка.

Поэтому введение обязанностей по защите отдельных категорий информационных систем я приветствую двумя руками. Но только тогда, когда формальное исполнение обязанностей не путается под ногами у практического обеспечения безопасности. А у нас пока все телодвижения по "принуждению к защите" характеризуютя извечным "хуже дурака только дурак с инициативой".

> Обязанность категорировать информацию, как и любая другая обязанность появляется и пропадает вместе с правовыми нормами, вводящими и отменяющими эту обязанность.

Вот и так думаю: обязанность делать или не делать что-то зависит от наличия или отсутствия нормы по этой обязанности. Хуже когда есть несколько разных норм, по разному трактующих одно и тоже, а каждый проверяющий использует для своих аргументов выгодную для себя. В таком случае лучше у себя найти способ совместить эти нормы до проверки и заниматься своими делами (так из личной практики для некоторых «проверяющих» оказалось удобным, чтобы Указ № 188 был частью всей системы и служебной и ПДн-овской информации, уверяю от этого система защиты ничуть не пострадала). Но хуже всего, когда одну и ту же норму разные ведомства трактуют по-разному, а тебе надо чтобы всё работало «по уму» и проверки не мешали людям глупостями…

> Поэтому введение обязанностей по защите отдельных категорий информационных систем я приветствую двумя руками. Но только тогда, когда формальное исполнение обязанностей не путается под ногами у практического обеспечения безопасности. А у нас пока все телодвижения по "принуждению к защите" характеризуютя извечным "хуже дурака только дурак с инициативой".

Может и правильно, если будет ясная система категорирования отдельных видов информации и предъявления обязанностей к категориям (например, если ГТ, то ясно однозначно есть общие требования – они главные их сложнее игнорировать, даже если отсутствуют специальные). Система защиты будет строиться вокруг категорий, что позволит избежать разработки для каждого вида информации своих правил игры. Появится больше общих обязанностей вместо личных прав на «поле» общих требований, что должно привести (я надеюсь) к большему порядку. Почему то в этой своей позиции я не вижу ничего «формального исполнения» или «дурацкого», увы… Есть действующее требование – замечательно, мы будем его про него помнить, любить, уважать и учитывать в работе по-своему… Главное, что соблюдение выбранной позиций не мешает в работе и позволяет сосредоточиться на нужной работе.

… в случае «придирок» со стороны регуляторов может понадобиться предложенный мной вариант – я не юрист и не претендую на «истину в последней инстанции». Главное, что вопрос категория конфиденциальности у персональных данных открытый в силу жутких формулировок законодателя :-) Думаю, что он нас ещё «порадует» своими требованиями…

> А насквозь дырявую систему управления экологическим производством не встречали? При этом аттестованную? Я встречал. И предприятие плевать хотело с высокой колокольни на то, что их система может отправиться в разнос легким движением руки: у них есть Бумажка.

Признаю, что такого в моей практике не было. Хоть меня сложно удивить какими-то глупостями, но в таких случаях можно сказать только одно: «Грустно и за державу обидно…»