Нучтенные флешки в испдн - Форум по вопросам информационной безопасности

Товарищи, можно ли использовать в ИСПДн неучтенные носители информации. Если нет, то где написанно?

Меры по учету МНИ - ЗНИ.1 прописаны в приказах ФСТЭК № 21 и № 17 (если ИСПДн является ГИС).
Учет МНИ обязателен для ИСПДн с уровнями защищенности 1 и 2, а в ГИС для всех четырех классов ГИС

Учитывать машинные носители необходимо в соответствии с пп. 5 ч. 2 ст. 19 152-ФЗ "О персональных данных".

То что нельзя использовать неучтенные носители, можете у себя в политике/инструкции пользователя/инструкции по антивирусной защите прописать, ссылаясь на вышеуказанную статью.

В противном случае, получается, что вы не выполняете требования по обеспечению безопасности ПДн, что может повлечь нарушение параметров безопасности информации (К, Ц, Д).

Означает ли "учёт носителей информации" запрет неучтенных флешек?

Означает ли "учёт носителей информации" запрет неучтенных флешек?
Есстественно

Учитывать машинные носители необходимо в соответствии с пп. 5 ч. 2 ст. 19 152-ФЗ "О персональных данных"

ПРИКАЗ N 21 ОБ УТВЕРЖДЕНИИ СОСТАВА И СОДЕРЖАНИЯ
ОРГАНИЗАЦИОННЫХ И ТЕХНИЧЕСКИХ МЕР ПО ОБЕСПЕЧЕНИЮ
БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ
В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ

В соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных"

Желательно, что бы вы указали цель, которую преследуете.

Если необходимо объяснить и обосновать сотруднику бухгалтерии/отдела кадров, что нельзя пользоваться личными, не учтенными носителями, то отталкивайтесь от следующей логики:

"Убить" человека можно? Да, только за этим последуют определенные события - уголовная ответственность и заключение под стражу.

Использовать неучтенные носители можно? Да, только за этим последует нарушение требований законодательства, административная ответственность, возможный ущерб субъектам персональных данных в случае нарушения конфиденциальности и доступности информации, возможный ущерб организации в случае нарушения целостности информации, на пример из-за вредоноса, который зашифрует все доступные файлы в пределах досягаем

Фактическому учету подлежат МНИ, используемые для хранения и обработки защищаемой информации (ПДн, КТ, иная не ГТ в госорганах), а не абы какой. Если реализованная система разграничения доступа (организационная ли, читай, "сотрудник ознакомлен, не может являться нарушителем и делать так не будет..." или "у нас есть автоматчик, приставленный к каждому сотруднику..." / техническая ли, читай дискреционная+мандатная(опционально)+учет МНИ средствами СЗИ НСД) позволяет запретить прием/передачу защищаемой информации на носители, не учтенные лицами, ответственными за безопасность информации - используйте неучтенные flash-накопители без угрызений совести. Книгу или музыку, к примеру, сбросить сотруднице отдела кадров на рабочее место во время штатного обеденного перерыва...

ЗЫ На всякий случай: злым языкам, решившим, что в ЗНИ идет речь обо всех МНИ (не только для защищаемой информации) рекомендую внимательнее читать как раз требования по усилению. Логика явно нарушается, если предположить, что учету подлежат все без исключения носители...