МУП 21 или 17 - Форум по вопросам информационной безопасности

Коллеги, по вашему мнению унитарные предприятия должны руководствоваться 21 или 17 приказом при защите ПДн?
Иными словами лвс МУПа, это ГИС или МИС?

1. Пр.17 к МИС тоже относится. Выполнить надо оба приказа, просто требования пр.17 обычно "поглощают" требования 21. Посмотрите "Информационное сообщение ФСТЭК России от 15 июля 2013 г. N 240/22/2637" В форумах были соответствующие обсуждения, например http://www.securitylab.ru/blog/personal/Business_without_danger/31734.php

2. Начните с актов и прочих распорядительных документов - отклассифицируйте свои системы: чем являются эти системы - ГИС (МИС), ИСПДн или и тем и другим.
У Вас должны быть формальные основания для последующих шагов (включение в планы и приобретения СЗИ, аттестации и пр.)
Причём ГИС и ИСПДн практически независимые классификации. Например, в системе ФСТЭК нет ни одной ГИС
http://fstec.ru/obshchaya-informatsiya/gosudarstvennye-informatsionnye-sistemy
что явно противоречит многим толкованиям

Вообще Лукацкий писал, что на унитарные предприятия 17 не распостраняется, тк по букве закона это коммерческие организации.

Автор | 57947
Все намного проще, если Ваша информационная система внесена в реестр ГИС, МИС, то работаете по 17 приказу. Если нет, то 21.

Как же утомили сказки про реестр ГИС.
Официальная позиция ФСТЭК: отсутствие ГИС в реестре не освобождает от обязанности выполнять установленные законом требования.

malotavr,
Есть документальные свидетельства, что ФСТЭК требует выполнения 17 приказа от ИС, которые ГИС ничем официально не признаны, например, как собственные информационные системы ФСТЭК?
Потому как пугальщиков очень много и в интернете, и при проверках, И позиция их логична. Но признаков "официальности позиции" (методические письма, разъяснения обзоры, акты) не встречал.

Учитывая тему, эти документы ФСТЭК должны быть открытыми

Вообще, есть мысля такая.

Можно еще отталкиваться, чем занимается Унитарное предприятие, какую информацию обрабатывает.

Касательно персональных данных, то это данные работника самого предприятия. Коммерческие наймиты (и не гос.служащие) Применяем 21 Приказ.

Однако Унитарное предприятие может выполнять заказ вышестоящей государственной организации - органа исполнительной власти. У тех обычно свои требования по охране разрабатываемой продукции. В частности, требования считать разрабатываемую продукцию "Служебной тайной".

Служебная тайна
это Постановление РФ от 03.11.94 N 1233
это СТР-К
с учетом сообщения ФСТЭК России от 15 июля 2013 г. N 240/22/2637, которое говорит, что 17 приказ имеет большую значимость (не противоречит)
"""
Иные положения СТР-К (раздел 3 «Организация работ по защите конфиденциальной информации», раздел 5 «Требования и рекомендации по защите конфиденциальной информации, обрабатываемой в автоматизированных системах») могут применяться по решению обладателей информации, заказчиков и операторов государственных информационных систем в части, не противоречащей Требованиям, утвержденным приказом ФСТЭК России от 11 февраля 2013 г. N 17.
"""
это еще и 17 приказ.

Таким образом вышестоящая гос.организация может потребовать всех мер к ИС Унитарного предприятия, как к своим собственным.

И тут уже надо смотреть, если ИСПДн работает в том же сегменте ЛВС, что и сегмент обработки "Служебной тайны", то 17 приказ.

Если сегменты изолированны друг от друга, то в одном сегменте 17, в другом 21.

2 Dfg
"это еще и 17 приказ" - вот эта добавка не закон, а "очевидность"
Для признания этого орган государственной власти должен чем то (приказом, госконтрактом) признать систему, создание или обслуживание которой поручено ГУП/МУП, ГИСом. Поскольку не любая система под ДСП _автоматически_ становится ГИС.

Почти любую информационную систему, работающую на/в государственной/муниципальной структуре _возможно_ счесть ГИСом и найти к этому обоснование. Но, в подавляющем большинстве случаев, руководство и финорганы стараются избегнуть этого. Поэтому вопрос ставится, когда и почему признание ИСы ГИС или МИС неминуемо.
После внесения в реестр (или хотя бы издания приказа на создание ГИС/МИС) есть _юридически_значимое_основание считать. Остальное на сегодня - личное экспертное мнение специалиста. Тяжело обосновать им весьма немалые бюджетные затраты на выполнение пр 17, что приводит или к секвестированию (вычеркиванию) из проекта бюджета, либо к проверке по факту нецелевого использования (а в этих случаях обычно удобнее списать избыточные затраты на неграмотность исполнителей и взыскать)

Нужны документы, дающее однозначное толкование. Их, похоже, уже третий год нет, значит не так уж "очевидна" позиция ФСТЭК и РКН

"Тяжело обосновать им весьма немалые бюджетные затраты на выполнение пр 17, что приводит или к секвестированию (вычеркиванию) из проекта бюджета, либо к проверке по факту нецелевого использования (а в этих случаях обычно удобнее списать избыточные затраты на неграмотность исполнителей и взыскать)"

По идее,если мы берем ЛВС уже гос учеререждения, то для обработки ДСП, она должна быть аттестована на 1г.
Список требований РД и 17 приказа во многом пересекается. Никаких особых затрат на приоберетение тех-же сертифиированных СЗИ не нужны, они уже должны быть закуплены и стоять не один год как.

"Нужны документы, дающее однозначное толкование. Их, похоже, уже третий год нет, значит не так уж "очевидна" позиция ФСТЭК и РКН"

Это да.

Dfg, спасибо!
В общем и целом соглашусь, что при аттестации под "к" заодно выполнить меры по пр.17 выполнимо (хотя объём работ и бумаг прибавится).
А в частности, в хедпосте шла речь про все ОИ, не обязательно под "дсп", в этом варианте всё не так очевидно. Особенно, если ИС создано и сопровождается ГУПом, но обслуживает задачи органа власти (местного самоуправления)