Разделение испдн - Форум по вопросам информационной безопасности

taro01@yandex.ru
В этом вопросе наша позиция в крупную клетку такая:

1. Выполнять требования ФЗ и нормативно-правовых актов по ИСПДн необходимо обязательно.
2. Подтверждением выполнения требований является декларирование или аттестация.
3. Нормативно правового акта определяющего как декларировать нет. Поэтому декларирование не может быть применено в принципе. Остается только аттестация.
4. Без аттестации - подтверждения выполнения требований по защите ИСПДн - все проведенные работы не имеют юридического значения - ничтожны иными словами, и могут применяться меры по ТК, УК и АК.

Уточненьице:
"kirill, вам же все равно обращаться в орган по аттестации.." - к любому лицензиату по ТЗКИ.

В РКН обращаться не стоит - не их епархия.

Некто
А это почему так Вы решили?

2Любопытный: прекрасно обходились без аттестаций. Декларирование прекрасно оформляется документами по организации (создается комиссия - комиссия проверяет ИСПДн - делаются акты классификации и тп).
Подтверждение выполнения требований проводят Роском, ФСТЭК и ФСБ в рамках своих компетенций при плановых либо внеплановых проверках.

AIB
1.
Покажите пожалуйста регламент проведения Декларирования, форму Декларации, нормативные, методические документы по проведению Декларирования.
Это не документ получится а бумажка, выдуманная.
Чтобы провести классификацию, создать и внедрить СЗИ для ИСПДн, требуются лицензии ФСТЭК, а иногда и ФСБ, поэтому не всякая организация где ИСПДн К1 или К2 может это выполнить.
Если кто-то занимается самодеятельностью или советует заниматься другим самодеятельностью, то вводит операторов ИСПДн в заблуждение. С Вас то "взятки гладки" - вы высказались и не несете ответственности, а вот оператор по Вашей рекомендации нарушит закон.
2.
То что делает Роском, ФСБ и ФСТЭК не имеет отношения к тому что должны сделать операторы ИСПДн. А подтверждение соответствия - аттестацию ОИ выполняют органы по аттестации, которым выдан соответствующий аттестат аккредитации, в некоторых случаях достаточно и лицензии на деятельность по ЗКИ, но не в рассматриваемом случае.

Подскажите, помимо 152 ФЗ где-нибудь сказано о необходимости разделения ИСПДН (или БД) с разными целями обработки?

имеется сервер на котором хранятся пд, а так же 3 отдела которые работают с ними ( у каждого отдела своя рабочая папка, к которой только они имеют доступ )

Вот не знаю почему, но это меня чем-то смущает...
Согласно ФЗ 128-ФЗ О ЛИЦЕНЗИРОВАНИИ ОТДЕЛЬНЫХ ВИДОВ ДЕЯТЕЛЬНОСТИ деятельность по ТСЗИ подлежит лицензированию ( на тему стоит ли получать лицензию для себя все еще идет жОсткий холивар).
Пока ясно одно - резать ИСПДн на 3 части+переводить пользователей в соответствующие подсети с отдельнвми серваками. Для ознокомления ПП № 781, приказ ФСТЭК № 58.
Согласно тому же ПП № 781
6. Информационные системы классифицируются государственными органами,
муниципальными органами, юридическими или физическими лицами, организующими и (или)
осуществляющими обработку персональных данных, а также определяющими цели и содержание
обработки персональных данных (далее - оператор), в зависимости от объема обрабатываемых
ими персональных данных и угроз безопасности жизненно важным интересам личности, общества
и государства.
Порядок проведения классификации информационных систем устанавливается совместно
Федеральной службой по техническому и экспортному контролю, Федеральной службой
безопасности Российской Федерации и Министерством информационных технологий и связи
Российской Федерации.