Внутренние работы предприятия по ТЗКИ в рамках ИСПДн - Форум по вопросам информационной безопасности

Breghnev
У вас какие-то предубеждения.
Это собственные нужды юрлица, не связанные с основной деятельностью. За корректность защиты юрлицо отвечает перед регуляторами. Коллективной безответственностью тут не пахнет, не надо панику на людей наводить.

Насколько я понимаю подтверждение соответствия требованиям таким-то... не что иное как "аттетат соответствия...", или декларирование .... опять же по несуществующему регламенту. С отменой части четырехкнижия (ФСТЭК) нигде ни в каком документе не прописано требование обязательной аттестации ИСПДн, также канул в лету и п. 3.14 одного из отмененных доков на обязаловку в получении лицензи по ТЗКИ. В новом "Положении..." №58 в п 1.3. межете сами, а могете и с привлечением лицензиатов. И на многочисленных конференциях и даже КМСах ФСТЭК это не опровергает, а "говорит" луччче пригласите лицензиатов для более простой отмазки на будущее. Вот и вся разница.

Для понятливости
я ваш клиент и вы получили доступ к моим персональнм данным.
так вот у меня возникли сомнения что вы их нормально обрабатываете и итд итп. я подаю на вас заявление регулятору, в случае действительно херовой защиты, подаю на вас в суд.
на вас вначале налагают штрафы, а затем суд останавливает вашу деятельность до устранения замечаний и соответственно вы будет платить денюжку мне.
и вы будете отвечать передомной а не только перед регулятором, так как это вы мои данные защищаете.
удачи

это слону про собственные нужды

СЛОН
Какая бы ни была основная деятельность предприятия, необходимо выполнять некоторые ФЗ, чтобы лавочку не прикрыли. За безопасность сотрудников на производстве отвечает юрлицо. В том числе за пожарную безопасность. Для этого приходит специализированная контора с лицензией, устанавливает вам систему пожарной сигнализации. Аналогично за сохранность персональных данных как сотрудников, так и клиентов, отвечает юрлицо. Вызываете спецов с лицензией - они вам организуют выполнение требований ФЗ в отношении защиты ПДн. Никаких собственных нужд как в отношении защиты сотрудников от пожара, так и в отношении защиты субъектов ПДн от утечки их ПДн, у юрлица нет и быть не может. Это нужды третьих лиц.

Так-то все понятно, но нормативные документы корявые и нигде в явном виде не прописано то, что....
отсюда все непонятки и терки.
Даже на счет приостановки деятельности предприятия на 90 суток иль как там, какой деятельности основной или той которая требует определенной лицензии и выполняется без нее.
Я делаю кастрюли с пожарной сигнализацией все ок., а вот ПДн не защитили должным образом, что запретят приостановят кастрюли выпускать или ПДн защищать

интересующийся
Если вы делаете кастрли и не соблюдаете нормы пожарной безопасности, вам какую деятельность остановят? Само собой основную. Кастрюли делать запретят. В офисе. На улице делайте, там не нужно датчиков пожарных устанавливать (я утрирую). Так же и с ПДн. Не защищаете ПДн - не имеете право их обрабатывать. Если без обработки ПДн вы можете вести основную деятельность - никто её запрещать не будет, запретят обработку ПДн. А если обработка ПДн напрямую следует из вашей основной деятельности (а так будет практически во всех реальных случаях), тогда выводы делайте сами.
P.S. само собой мы рассматриваем крайний случай. я сильно сомневаюсь, что если регуляторам при проверке что-то не понравится, они сразу что-то запретят.

Поймите правильно мою позицию и причину сравнения организации защиты ПДн и организации противопожарной системы. Пожарная сигнализация подразумевает защиту жизни и здоровья сотрудников организации, её наличие - обязательное _условие_ ведения какой-либо деятельности юридическим лицом. СЗПДн подразумевает защиту информации сотрудников (и не только), что так же является обязательным условием ведения любой деятельности, _связанной_ с обработкой ПДн. И в том, и в другом случае защиту нужно организовывать профессионально. Профессионализм подтверждается лицензией. В части защиты ПДн это лицензия на ТЗКИ (то, что ТЗКИ является лицензируемым видом деятельности, никто оспаривать не будет). Если вы сможете обосновать, что защита ПДн на вашем объекте не подразумевает технической защиты, тогда я буду первым, кто встанет на вашу сторону (в этом случае никакая лицензия не нужна). Насколько я понимаю, для этого придётся доказать, что у вас отсутствует автоматизированная обработка ПДн. Тогда попадёте под ПП 687, там лицензия на ТЗКИ не потребуется.

Так ведь и я непротив, пусть только напишут, что К1,К2 и КЗ распределенная (или как-то подругому) подлежат обязательной аттестации, проводить такие работы имеют право те-то и те-то, лицензии обязаны иметь такие-то и т.д., а то доки где это было обозначено отменили, а в новых навели тень на плетень вот и думай как хочешь. Теперь еще выясняется, что нет типовых есть только специальные, а как специальные классифицировать тоже никто не определил, кроме упоминания типа по модели угроз...

http://bankir.ru/dom/showthread.php?t=78706&page=128

Пьяный - а тогда не идут противоречия ПП и 1.3, и почему надо првлекать лицензиата