Обязательность ГОСТ по ЗИ - Форум по вопросам информационной безопасности

Постановление Правительства РФ от 30.12.2016 N 1567 "О порядке стандартизации в отношении оборонной продукции (товаров, работ, услуг) по государственному оборонному заказу, продукции, используемой в целях защиты сведений, составляющих государственную...
http://www.consultant.ru/document/cons_doc_LAW_210622/f969f8d6c1ef04333dc86c9f77637a9e62fc93cc/

(вступило в действие с 1 марта 2017 года)

б) "объект стандартизации" - продукция, процессы, связанные с такой продукцией, терминология, условные обозначения, исследования (испытания) и измерения, методы испытаний, маркировка, процедуры оценки соответствия продукции;

в) "процессы" - проектирование (исследования и обоснование разработки, изыскания), производство, строительство, монтаж, наладка, эксплуатация, техническое обслуживание, ремонт и сервисное обслуживание, хранение, перевозка, реализация, утилизация, а также иные виды деятельности на стадиях жизненного цикла продукции применительно к объектам стандартизации.

8. Национальные стандарты ограниченного распространения, а также документы национальной системы стандартизации применяются в обязательном порядке в отношении объектов стандартизации.

Федеральный закон от 29 июня 2015 г. N 162-ФЗ
"О стандартизации в Российской Федерации"

Статья 4. Принципы стандартизации
Стандартизация в Российской Федерации основывается на следующих принципах:
2) обязательность применения документов по стандартизации в отношении объектов стандартизации, предусмотренных статьей 6 настоящего Федерального закона, а также включенных в определенный Правительством Российской Федерации перечень документов по стандартизации, обязательное применение которых обеспечивает безопасность дорожного движения при его организации на территории Российской Федерации;

Статья 6. Стандартизация в отношении оборонной продукции (товаров, работ, услуг) по государственному оборонному заказу, продукции, используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, продукции, сведения о которой составляют государственную тайну, продукции, для которой устанавливаются требования, связанные с обеспечением безопасности в области использования атомной энергии, а также в отношении процессов и иных объектов стандартизации, связанных с такой продукцией
1. Порядок стандартизации в отношении оборонной продукции (товаров, работ, услуг) по государственному оборонному заказу, продукции, используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, продукции, сведения о которой составляют государственную тайну, а также процессов и иных объектов стандартизации, связанных с такой продукцией, устанавливается Правительством Российской Федерации.

Постановление в развитие закона.
Ранее, применение стандартов носило - типа добровольный характер. При этом если ГОСТ приведен в нормативном правовом акте (пример - Приказ ФСТЭК России № 17), в тактико-техническом (техническом) задании - в этом случае ГОСТ становились обязательными к исполнению.
Теперь все стало на места. Выполняй положения ГОСТ.

Угу...
Вот теперь и гадаем, в неком "Перечне" на сайте регулятора ГОСТ есть. Ни в одном Приказе - как не было, так и нет.
И как, исполнять или игнорировать?
Другой вариант: В Приказе (например №65 от 2009 года) прямо указано, не ГОСТ - Закон надо исполнять. Где хоть одна методика, прошедшая метрологическую аттестацию?????
Вы именно это называете "Теперь все стало на места"?
По-моему это настоящий бардак!!!
И попытайтесь на языке фактов убедить меня (да и остальных), что это не так...
Чак

Андрей Валерианович, но есть же отдельные методики. Аттестованные.

Обратитесь к регулятору и запросите Перечень, разработанный на основании ведомственного приказа. Перечень не находится на официальном сайте, т.к. имеет ограничительную пометку.

Вам предоставят такой Перечень с указанием правовых актов и ГОСТов, которыми необходимо руководствоваться.

ГОСТ - есть ГОСТ. А ГОСТов в области защиты ГТ, пересчитать по пальцам можно.
Так что, не вижу проблемы.
Работаете с оборонкой, выполняйте ГОСТы в части защиты ГТ.
Тоже самое касается и других услуг в области защиты ГТ.

А причем здесь методики?

К примеру, при аттестации объектов информатизации Вы используете Положение от 1994 г. и два ГОСТ (один об аттестации и второй - программа и методика аттестационных испытаний).
Вот и разрабатывайте программу и методики аттестационных испытаний объекта информатизации на основании ГОСТ, который рассматривает порядок разработки, согласования и утверждения ПиМ, а также их структуру и содержание.

Для меня все ясно теперь, даже если в приказе или ТТЗ (ТЗ) нет ссылки на ГОСТы, а работы связаны в т.ч. и с защитой ГТ - выполнение ГОСТов, определяющих порядок проведения мероприятий по защите ГТ - ОБЯЗАТЕЛЬНО,

Адмирал, вы слышали звон, но не более.
Перечни бывают разные. Вы на сайт ФСТЭК давно заходили? Там перечень есть.

> "ГОСТ - есть ГОСТ. А ГОСТов в области защиты ГТ, пересчитать по пальцам можно. Так что, не вижу проблемы"

Речь не о ГОСТах по ГТ, речь о ДОКУМЕНТАХ ПО СТАНДАРТИЗАЦИИ в области защиты информации. Почитайте в законе, что к ним относится, а потом уже комментируйте.

> "А причем здесь методики?"

Про закон "Об обеспечении единства измерений" что-нибудь слышали?

Уважаемый WORM, MK!

Наша организация получила от территориального органа ФСТЭК России Перечень нормативных правовых актов, методических документов и государственных стандартов, необходимых для осуществления мероприятий по аттестации объектов информатизации по требованиям защиты информации в части ТЗИ ГТ.
Перечень с ограничительной пометкой, так что понятно, что на офиц. сайте его не будет.

В этой части вопросов, думаю, не будет.

"Речь не о ГОСТах по ГТ, речь о ДОКУМЕНТАХ ПО СТАНДАРТИЗАЦИИ в области защиты информации. Почитайте в законе, что к ним относится, а потом уже комментируйте."

Вы сами разберитесь, в чем отличие государственный стандарта от национального?
Документы по стандартизации в области защита информации.
Защите какой информации?

Прочитайте ст 6. 162-ФЗ и Постановление № 1567. Там речь идет о стандартизации в области защиты ГТ в области выполнения оборонного заказа.
Ни о каких работах и ни о какой иной информации ограниченного доступа, там речи не идет.

Так что воюйте с конфиденциальной информацией, не относящейся к ГТ, как хотите, но не забудьте, что требования заказчика - надо выполнять обязательно.

Я и веду речь о ГОСТ в части защиты ГТ, а на остальные виды информации - чихать.

"Про закон "Об обеспечении единства измерений" что-нибудь слышали?"

А Вы пытались разобраться в вопросе, что является средством измерения?
А если средство измерения, включенное в реестр, имеет функции - памяти, печати, записи на внешние носители.
А может это средство вычислительной техники?
И что?

Тов. Адмирал,
вы бы, прежде, чем писать, документы бы читали внимательно.

Что относится к документам по стандартизации, кроме нац. стандарта?
И откуда вы взяли термин "государственный стандарт"? Просветите, что это такое.

В Постановлении 1567 говорится о "сведениях, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством РФ иной информации ограниченного доступа". В законе 162, кстати, то же. Почитайте.
Это вам на остальные виды информации чихать, а вот законодателю и Правительству- нет.

К вопросу "А причем здесь методики?":
Так вы читали закон "Об обеспечении единства измерений"? Что там сказано о методиках измерений? Не переводите разговор на другую тему, pls.

Ну а про перечень я намекнул, да вы не поняли: на сайте ФСТЭК есть перечни НМД для лицензий по конфе. В них много стандартов. И никаких запросов никуда посылать не надо.

Всем доброго времени суток :)
Для случайный прохожий | 69381 :
Коллега, есть, конечно! Например в смежной области, но не в ТЗИ. В ТЗИ тоже есть. Одна. Регулятором никак не признанная и к исполнению не рекомендованная :)) Потому как разработана в инициативном порядке в рамках конкретного заказа.
А все проекты, которые пришлось видеть (а их немало...) к требованиям системы метрологического законодательства "попендикулярны" ... :(
Кстати дискуссия-то продолжается, как вижу. Но несколько в ином плане...
Спорить можно долго. Но суть - одна. В соответствии с Законом для исполнения требований по стандартизации в форме ГОСТ необходимо его прямое указание "заинтересованным министерством (ведомством)". И (конечно, и тут можно спорить, но это уже вопрос юридического плана) это должен быть определённый "ранг" указания (Приказ, Постановление, Распоряжение, ТЗ...), а не просто упоминание в произвольном тексте.
И пока это "вода" столь мутна, до тех пор ни фига делаться не будет, ибо ДЕШЕВЛЕ не делать... А "экономика должна быть экономной!"
;)))
Чак

Уважаемый WORM, MK пишет:
"В Постановлении 1567 говорится о "сведениях, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством РФ иной информации ограниченного доступа". В законе 162, кстати, то же. Почитайте.
И откуда вы взяли термин "государственный стандарт"? Просветите, что это такое.
Это вам на остальные виды информации чихать, а вот законодателю и Правительству- нет."

Из всего что я прочитал, более не узнал, и остался при своем.

Мое мнение следующее:
Федеральные органы исполнительной власти, перечисленные в постановлении (Роскосмос и Росатом являются ими - так как, выполняют функции государственного заказчика в отношении продукции военного назначения), не имеют понятия о конфиденциальной информации. Циркулирующая в этих конторах иная информация ограниченного доступа - т.е. конфиденциальная - это информация с пометкой "дсп" (служебная тайна - элемент конфи, но отдельно приведена в Положении о ГСЗИ - да есть и по этой теме пробелы в законодательстве).

Обратите особое внимание на слово "охраняемой". Это уже тема не для форума.

Вы когда-нибудь видели техзадание на создания военной продукции с пометкой "Конфиденциально" или "Коммерческая тайна"?

Никогда не увидите.

Поэтому в оборонной продукции два вида информации - с "сережками" или "дсп".

Я остался при своем. Информация с "сережками" и "дсп" в отношении оборонной продукции, будет защищаться в соответствии с ГОСТ по этой теме.

Государственный стандарт.
Государственный военный стандарт. Есть такие официальные печатные издания, где так и написано (поищите в интернете и найдете).

На работе у нас идет давно по этому спор, что за чудо-юдо - "национальный стандарт".
Открываем техзадание, а там ссылки на гостандарты.

Вопрос к Ростехрегулированию. Пусть приведут черту равенства между нац и госстандартом.
Или приведут отличие.
Некоторые мои коллеги говорят это одно и тоже.