ГИС ФСТЭК - Форум по вопросам информационной безопасности

Коллеги, на сайте ФСТЭК России в разделе "Информация-Государственные информационные системы" указано: "Государственных информационных систем, находящихся в ведении ФСТЭК России, ее территориальных органов и подведомственных ей организаций, не имеется".
Разъясните, пожалуйста, как такое может быть? Например, ИСПДн кадров или бухгалтерии ФСТЭК разве не относятся к ГИС, в которых обрабатываются государственные информационные ресурсы?

Ага... А gosuslugi.ru должны были быть аттестованы еще много лет назад... Но, кажется, до сих пор выходных документов не имеют и находятся в "тестовом режиме"... чем и живы...
Кстати, многие представители ФСТЭК, с которыми имел удовольствие общаться (ага), считают, что ИСПДн-внутри-организации-для-сотрудников-организации - это чистая ИСПДн. А вот любые другие ИСПДн в гос.организациях - это уже ГИС...
То ли дело, что внутри ФСТЭК куча сетей внутреннего пользования с обработкой той же ДСП-информации... и, по-идее, они как раз должны защищаться по требованиям ГИС... но дальше начинается юридический коллапс: реестры, прямые постановления Правительства и проч. Короче, пока отмазываться может каждый, кто грамотно подойдет к делу. ФСТЭК - молодцы, грамотно подошли (или попросту забили на этот раздел сайта) :)

В статье 14 (пункт 9) ФЗ-149 написано, что "Информация, содержащаяся в государственных информационных системах, является официальной. Государственные органы, определенные в соответствии с нормативным правовым актом, регламентирующим функционирование государственной информационной системы, обязаны обеспечить достоверность и актуальность информации, содержащейся в данной информационной системе, доступ к указанной информации в случаях и в порядке, предусмотренных законодательством, а также защиту
указанной информации от неправомерных доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий." Верно ли получается, что если ФСТЭК отвечает за свой сайт, то она нарушает Федеральный закон № 149 говоря пользователям что у них ГИС-ов нет? Или как-то иначе это можно трактовать? Спрашиваю, чтобы можно было аналогично аргументированно использовать подход регулятора в отношении других ФОИВ-ов:)

А кто сказал, что сайт ФСТЭК - это ГИС? Он имеет федеральный масштаб (по охвату "аудитории"), следовательно, как ГИС должен быть зарегистрирован в соответствующем реестре. В котором его (сайта) нет...
Он (сайт) предоставляет ко всей своей информации (кроме админки, разумеется) публичный доступ. Так что скорее относится к "Информационным системам общего пользования", т.е. подпадает под приказ № 416/489 ФСБ и ФСТЭК. ФСБ тут, правда, ни при чем. Но суть не меняется...

*в сторону* Любопытный парадокс, кстати. Класс защищенности у такой системы (сайта) будет, пожалуй, К I, ибо возможны последствия для всей РФ, если нормативка или иные положения ФСТЭК будут на нем выложены в "неверном" состоянии. Ну, или не для всей РФ, а только для касты безопасников и/или лицензиатов, ага... Таким образом, ФСТЭК для защиты своего сайта де юре не имеет права использовать СЗИ, сертифицированные ФСТЭК, - только с сертификатами ФСБ :)

ЗЫ Меня может глючить на ночь глядя, но, если в вышеизложенном нет ошибки, то, imho, это высшая степень публичной идиотии в области безопасности информации в нашей стране :)

" Таким образом, ФСТЭК для защиты своего сайта де юре не имеет права использовать СЗИ, сертифицированные ФСТЭК, - только с сертификатами ФСБ "

С чего бы? ФСТЭК это не высший орган гос. власти, так что ФСБ тут не при чем.

Насчет того, что есть сайт ФСТЭК. Сайт существует не для красы, а для реализации функций, возложенных на данный ФОИВ. Содержание информации сайта ФСТЭК регламентируется то ли указом Президента, то ли Постановлением Прав-ва (не помню сейчас, но есть). Плюс там размещается инфа согласно ФЗ-8. Так что это ГИС чистой воды.
Просто регулятор забил на это дело и не парится, а других заставляет ИСПДН-ы аттестовать...

To oko | 70524
Про последствия - не уверен. Юридически - публикация нормативки на сайте ФСТЭК не совсем официальная публикация - скорее - справочная.

to WORM
Я говорил про класс. Их всего два. И под 2 класс ИСОП сайт ФСТЭК явно не тянет. А для 1 класса только СЗИ по ФСБ, вот в чем прикол :)
ГИС по 17 Приказу - это еще и ИС с обработкой ИОД. Нет ИОД - нет требований 17 Приказа - нет ГИС. А на сайте ФСТЭК ИОД нет (во всяком случае в общем разделе + отсутствует форма логина для доступа к частному разделу, т.е. формально весь сайт - это сборник общедоступной/публичной информации)...

to Alex_kl
Юридически, согласен. Но фактически не раз уже сталкивался с "проблемными" организациями, которые с пеной у рта доказывали, что если "написано на сайте ФСТЭК, значит, написано официально". Соглашусь, что масштаб не в рамках последствий всея РФ, но все равно негатив возможен...

to oko
Так это ИСОП 2 класса, а у ГИС 3. И то, что система является ИСОП вовсе не говорит о том, что она не ГИС :)
Тут, как обычно, регуляторы напустили туману, утвердив в разное время разные классификации....

Согласно ФЗ-149, ГИСы создаются в целях реализации полномочий гос. органов. Сайт ФСТЭК как раз для этого и используется -> это ГИС, и одновременно ИСОП.

to WORM
Тогда это ГИС ИСОП без обязательного выполнения требований 17 Приказа, поскольку ИОД отсутствует. Сойдемся на этом. :)