Сервер видеоданных - Форум по вопросам информационной безопасности

В каждом муниципалитете в настоящее время поднимается проект "Безопасный город".

Одной из ячеек этого проекта является система видеонаблюдения мест с массовым пребыванием людей, опасных перекрестков, мостов, а также дворов, территорий, в том числе и закрытых от посторонних глаз (садики, школы, предприятия)...

Сервер с этим хранилищем видеоданных будет стоять в муниципалитете, за камерами будут наблюдать дежурные.

Понятно, что информация там будет крутиться ДСП.

Понятно, что ее нужно будет предоставлять в компетентные органы по запросу.

Как ее аттестовывать? Какие-то НПА существуют?

Прошу не отсылать в муниципалитет, ибо там ничего про это не знают.

Пока разброд и шатание в этом вопросе у всех. По опыту пишется модель угроз и модель нарушителя, реализуется система защиты информации, (потом деньги заканчиваются и все рады, что на случай будущей проверки есть установленные и настроенные сзи)), дальше аттестация.

Для всего этого есть 17 Приказ ФСТЭК. Решение не типовое и не стандартное, но, значит, и пространства для маневра больше. В зоне 1 камеры никакой конфиденциальной информации нет (если она не установлена в "особом месте", ага). Статус принимается по совокупности в БД текущей и, тем более, в БД архива. Вот этот сегмент и надо защищать (и подвергать аттестационным испытаниям). Заодно, правда, продумав защиту "обратной связи" (чисто для примера - камеры с PoE, чтобы никто вместо них не подцепился "своим" техническим средством ради атаки на хранилище данных и сеть передачи).

Спасибо.
И еще, подскажите по глупому вопросу - сама аттестация, как и установка СЗИ -- обязательны?

Или, придут, проведут, будут смотреть и хранить и не париться?
А отвечать, в случае чего, куратор будет, или глава муниципалитета, инициировавший по приказу Москвы установку сего проекта?

Пример ситуации: в камеры видеонаблюдения, установленные на дорогах, попадает видео ДТП, в том числе с участием несовершеннолетних. Такая информация в соответствии с п. 3 ст. 13.15 КоАП относится к информации, распространение которой в СМИ и информационно-телекоммуникационных сетях запрещается. Т.к. владельцами АС (ИС) "Безопасный город" являются муниципальные и региональные органы исполнительной власти, то логичнее всего им исполнять требования российского законодательства в области защиты информации ограниченного доступа. Каким образом оператор таких ИС, кроме как установки сертифицированных СЗИ (в том числе СКЗИ) и аттестации, сможет доказать регуляторам, что он действительно исполняет требования законодательства РФ? Отвечать в итоге перед регуляторами будет глава муниципалитета, который юридически владеет данной ИС (с кураторов и всех остальных добрых людей взятки гладки)).

Писатель-фантаст, толково!
Получается, аттестовывать как ГИС, без вариантов?

>>>Понятно, что информация там будет крутиться ДСП.

На основании чего только лишь видеосъёмка, будет иметь гриф конфиденциальности ДСП?

Фантаст, перечень информации, конфиденциальность которой (а, соотв., и требования к её защите) устанавливает гос-во, приведен в Указе 188. П.3 ст.13.15 КоАП накладывает ограничение на распространение информации о несовершеннолетнем, не предъявляя никаких требований к защите.

Вместе с тем, согласно Приказу ФСТЭК №17, "устанавливаются требования к обеспечению защиты информации ограниченного доступа" (с), "Требования могут применяться для защиты общедоступной информации, содержащейся в государственных информационных системах" (с).

Т.о., выполнение требований ФСТЭК по ЗИ обязательно только в случае, если видеосъемка будет отнесена к информации ограниченного доступа. Есть у нас спецы по категорированию информации?

ustav, Считаю, что регулятор при просачивании такой информации в СМИ и инициировании после этого проверки (например, прокуратурой) на предмет "как такое произошло и откуда эту информацию получили недобросовестные исполнители закона о СМИ или иные люди" достаточно быстро поможет оператору ИС разобраться в категорировании информации о ДТП с участием несовершеннолетних. При проверке регулятор может истолковать ситуацию таким образом, что оператор ИС не провел работы (бездействовал в определении п. 3. ст.13.15 КоАП) по ограничению доступа к запрещенной для распространения информации (в соответствии со ст. 4 "Закона о СМИ").
Интересно узнать ваше мнение и мнение остальных форумчан, является ли информация о ДТП с участием несовершеннолетних - сведениями о фактах, событиях и обстоятельствах частной жизни гражданина, позволяющих идентифицировать его личность (персональные данные) в рамках указа Президента № 188?

Мое мнение - видео с ДТП с участием несовершеннолетних, без дополнительной информации, не относится к категории ПДн.