Обсуждение статьи: Открытое письмо директору ФСТЭК России В.В. Селину - Форум по вопросам информационной безопасности

Мне не очень хочется повторять споры, которые закончились несколько лет назад.

> А можно по подробнее: что Вы имеете в виду?

На любой софт, в котором есть функции безопасности, можно написать ТУ или задание по безопасности, в котором будут предъявлены требования к этим функциям по безопасности.

> Согласно положению о сертификации СЗИ в системе ФСТЭК

В силу ч. 4 статьи 5 ФЗ "О техническом регулировании" особенности оценки соответствия СЗИ устанавливаются Правительством и только Правительством. Так что положение на которое вы ссылаетесь, будет дейстоввать тогда и только тогда, когда обязанность использовать сертифицированные СЗИ или аттестованные АС будет установлена соответствующим постановлением Правительства.

На сегодняшний день, если мы не говорим о гостайне, законная обязанность использовать аттестовванные , которые обязывают автоматизированные системы возникает только у соискателей лицензий ФСТЭК и ФСБ (потому что есть соответствующие постановления Правительства, которые обязывают соискателей лицензий выполнять требования внутренних документов регуляторов, таких как СТР-К и ПКЗ-2005, положений о сертификации и т.п.). У остальных субъектов обязанности выполнять эти требования нет.

> Например, если я, директор детского садика, куплю в магазине молоко без значка "СТР" - то кто будет отвечать?

Оборот СЗИ регулируется одними нормативными документами, оборот пищевой продукции - другими, а санитарные нормы детских дошкольных учреждений - третьими. И они между собой никак не связаны.

> Проблеммммммаааа заключается в том, что либо надо всем получать лицензии

А так как в соответствии с буквой закона лицензии надо получать очень небольшой части субъектов, то для остальных это совсем не проблема. И ФСТЭК эту точкузрени подтвердила разъяснением.

> Либо СЗИ, как продукция подлежащая обязательной оценке соответствия

Опять же, в соответтсвии с буквой закона и действующими постановленими Правительства СЗИ вовсе не являются "продукцией, подлежащей обязательной оценке соответствия".

> Источник проблемммыыыы в том, что система "заточена под ГТ".

Да, заточена. И эта заточка действует только в отношении АС, обрабатывающих гостайну. Для остальных систем потизоньку разрабатывается совсем другая система.

Насколько я могу наблюдать этот процесс со стороны, делается следующее:
- замена неформального процесса оценки (будет желание - попробуйте найти формальные требвоаний к процессу оценки соответствия СЗИ техническим условиям) на формальную оценку по ГОСТ 18045
- замена абстрактныхтребований РД на специализированные профили защиты по ГОСТ 15408
- "обкладывание" обязанностей отдельных категорий субъектов использовать только СЗИ, прошедшие оценку соответствия, постановлениями Правительства.

Процесс долгий, займет не один год. Но он идет. В 2007 году все было намного печальнее.

>Возьмите к себе, а?

А что, есть перспективные идеи?
Высылайте резюме, рассмотрю.
Только с идеями и инфо, на какую з/п рассчитываете.

Серттификация на соответствие требованиям ГОСТов, законов и др нормативных документов.А это есть? Остальное - должно быть добровольно, и сказки слушать только тем кто их хочет слушать.