Взаимодействие с органами госвласти - Форум по вопросам информационной безопасности

Всем добрый день.
Прошу высказать мнение по поводу следующего момента:
у организации промышленности стоит задача взаимодействия с органами госвласти. Документация, которой производится обмен - с пометкой дсп, и, по логике, информация в документах - служебная тайна. Перечень сведений конфиденциальгого характера (указ президента) - относится только к органам госвласти.
В связи с неопределенностью пометки дсп и указанного вида тайны, обязана ли организация промышленности использовать аттестованные ИС и СВТ для обработки таких документов?
Где кроме СТР-К есть про порядок защиты служебной тайны / порядок работы с дсп?

Мнение такое.

Служебной тайны в нашем законодательстве нет. Есть "служебная информация ограниченного распространения" (т.е. ДСП). Про нее написано в Постановлении 1233 (1994г). В Указе Президента тоже ничего путного про это нет.

Если орган власти вам передает какую-то инфу с пометкой "дсп", то, по хорошему, он, как обладатель информации, должен вам указать: как с ней обращаться и как ее защищать. Если указал - делайте, если нет - читайте Постановление 1233 и выполняйте его. Но там только бумажное делопроизводство, никаких требований по технической защите и тем более по аттестации там нет.

Вывод: если обладатель не требует обрабатывать ее на аттестованных объектах, то можно не аттестовать.

Логично, спасибо за ответ

2 Николай А чем СТР-К вас не устроил? Как раз для вас же п. 5.2.

Я считаю, что вы должны использовать аттестованные ИС и СВТ.
При взаимодействии и обработке ДСП вы берёте на себя обязательства. Эти обязательства регулируются СТР-К, согласно которому вы должны защищать эти сведения.

А вот ПП 1233 исполнять только если вы взаимодействуете или принадлежите к федеральным органам исполнительной власти, уполномоченному органу управления использованием атомной энергии, уполномоченному органу по космической деятельности, подведомственным им предприятиям, учреждениям и организациям.

А можно уточнить где в законодательстве или в НМД регуляторов написано что...

"При взаимодействии и обработке ДСП вы берёте на себя обязательства"
"Эти обязательства регулируются СТР-К"

Вопрос: означенная организация промышленности - чисто коммерческое предприятие? Без толики государственной собственности/участия? Если да, то:
По-хорошему госорган должен заявить комм.оргу, каким требованиям и по какому уровню (классу и т.п.) должна соответствовать его (комм.орга) АС (ИС). Так сказать, сделать его удаленным сегментом своей ГИС. А дальше комм.орг. своими/чужими силами приводит свою систему в соответствие указанным требованиям. Необходима ли в данном случае формальная аттестация на соответствие требованиям безопасности информации - спорный вопрос. Хотя, если сегмент ГИС, то да. Но все это лирика. Фактически, да, служебной тайны в юридическом смысле в нашей стране нет (за исключением означенной атомной промышленности и иже с ними). И потом, в комм.орг. конфиденциалка - это какой-то вид коммерческой тайны. Правил работы с дсп-информацией "по умолчанию" у комм.орга не может быть в принципе, ибо это конфиденциальные сведения государственного уровня. Так что с комм.орга взятки гладки, если явно не сказано обратное (хотя бы в договоре подключения комм.АС к ГИС)...
А вот если "организация промышленности" - государственное учреждение (например, государственный завод, или предприятие, ранее учрежденное государством), то на всю ИОД, циркулирующую в информационных системах этой организации уже распространяются требования 17 Приказа ФСТЭК. Это уже ГИС определенного масштаба. А какая там пометка у документов приходящих в эту ГИС - другой вопрос (хоть "ДСП", хоть "Конфиденциально", хоть что угодно). И тогда все делать необходимо в рамках 17 Приказа.
А СТР-К тут используется либо в связке с 17 Приказом, либо раздельно+РД ГТК АС НСД и то в случае, когда комм.орг. должен выполнить некоторый ряд требований безопасности информации на установленном законодательством уровне. Например, раньше использовался вместо 17 Приказа при подключении к государственным системам обработки ИОД, или сейчас используется для подтверждения ввода в действие режима "Коммерческой тайны"...

oko | 65555

>>А вот если "организация промышленности" - государственное учреждение >>(например, государственный завод, или предприятие, ранее учрежденное >>государством), то на всю ИОД, циркулирующую в информационных системах этой >>организации уже распространяются требования 17 Приказа ФСТЭК. Это уже ГИС >>определенного масштаба. А какая там пометка у документов приходящих в эту >>ГИС - другой вопрос (хоть "ДСП", хоть "Конфиденциально", хоть что угодно). И >>тогда все делать необходимо в рамках 17 Приказа.

Око, опять Вы своими теоретическими размышлениями вводите людей в заблуждение.... )))

Во-первых, промышленное предприятие, ранее учреждённое государством - не есть государственное учреждение. Во-вторых, нет требований обязательного отнесения всех ИС/АС государственных предприятий и учреждений к ГИС по 17-му приказу )))

to Работник холдинга
Увы, если бы только теоретическими... Как говорится, с чем сам сталкивался, то и рассказываю. Хотя никого не призываю также поступать и рассуждать - возможно, только мне так "везет" на общение с регуляторами...
А про ранее утвержденное государством. Окей, поправлюсь: предприятие, большая часть ресурсов которого принадлежит государству. Так понятнее? :)

ЗЫ А у вас позиция по сути вопроса топикстартера какая? А то второй раз уже исключительно разбор моих ошибок без конкретики по теме...

2 sekira

Я согласен, нигде не написано, но

Относится ли ДСП к служебным сведениям, доступ к которым ограничен органами госвласти?
Думаю, да, относится.
Документ который регулирует защиту конф информации СТР-К.

В организации обрабатывается служебная тайна относящаяся к сведениям конф.характера. Каким документом это регулируется? СТР-К.

2 sekira

Взаимосвязь понятий ДСП и служебная тайна можно проследить по п.5.2 СТР-К

"Основные требования и рекомендации по защите служебной тайны и персональных данных"
где в п.5.2.6 сказано, что
"Носители информации на магнитной (магнитно-оптической) и бумажной основе должны учитываться, храниться и уничтожаться в подразделениях учреждений (предприятий) в порядке, установленном для служебной информации ограниченного распространения, с пометкой "Для служебного пользования".

То что служебная тайна, перестаёт быть служебной тайной если она передана в другую организация нигде не написано. А следовательно организация при обработке такой информация должна выполнять требования по защите.