Масштаб информационной системы - Форум по вопросам информационной безопасности

Добрый день.

Имеется ГИС всё оборудование которой находится в одном ЦОДе, а сама система представляет из себя интернет-портал для пользователей региона.

Вопрос - какой масштаб имеет ИС региональный или объектовый?

Правильно я понимаю, что раз пользователи не относятся к системе, то с точки зрения 17 приказа она будет являться объектовой? или пользователи должны быть обязательной частью?

Если буквально по приказу, то объектовый.
Возможно, это придется доказывать аттестатору и регулятору: у них м.б. свое мнение.

А что доказывать-то? Класс защищенности будет одинаковый для объектовой, что для региональной

Класс-то одинаковый, а вот фразы в Акте классификации разные... И это прецедент...

to Константин
Делайте региональный, если сама ГИС охватывает целый или часть региона. Весь вопрос в источниках накопления и обработки информации - затрагивают они весь/часть региона или только один объект, пусть и территориально распределенный... Другой вопрос со всякими МФЦ - суть одна организация, но сегментов в регионах масса => единый ЦОД будет регионального масштаба....

Всем спасибо!

2 WORM

А почему вы считаете, что если буквально, то объектовый.
Вот я наоборот в сомнениях.

Если брать определение региональной ИС, то
1 - правда, что она функционирует на территории субъекта (если функционирование включает в себя подключение пользователей со всего региона?!)
2 - не правда, что имеет сегменты где-то ещё. (если подключаемый пользователь портала не является сегментом?!)

Если брать определение объектовой ИС, то
1 - не правда, что функционирует на объектах на одной организации (если функционирование включает в себя подключение пользователей со всего региона?!)
2 - правда, что не имеет сегментов. (если подключаемый пользователь портала не является сегментом?!)

То есть и в том, и в том определение есть правда и ложь, но выбрать что-то надо. Аргументировать можно и тот, и тот вариант..

Конечно, Евгений, прав, что класс от этого не поменяется, но где же истина, в этом я согласен с oko

Может во ФСТЭК вопрос задать?! Правда мне кажется ответ будет такой же, как и вопрос)

to Константин
А все просто...
Сделаете "объектовый" - сможете аттестовать только ЦОД. Но Абонентов вынуждены будете считать сторонними организациями (см. пункты ИАФ, УПД и т.д., посвященные взаимодействию с внешними пользователями и системами) - вынуждены будете ломать голову, как от них защищаться, чтобы и доступ нужный дать, и "доверенными" их не считать. Зато с защитой каналов связи проблем нет - это будет уже геморрой Абонентов, вы же только ЦОД, т.е. только принимаете, накапливаете и обрабатываете у себя. За подлог и утечку в канале связи ответственности не несете...
Сделаете "региональный" - вынуждены будете считать Абонентов "сегментами ГИС". И аттестовать будете вынуждены их совместно с собой. Зато проблемы "доверия" и доступа отпадут сразу. Но встанет проблема защиты каналов связи...
И еще вагон и маленькая тележка различий. Можете крутить и так, и эдак, если сами принимаете решение, а не руководствуетесь чьим-то гос.приказом, в котором явно сказано "считать так-то, а не эдак!" Но как напишите, так и придется работать, и защищаться, и аттестовываться (слово-то какое некрасивое, но правду не скроешь)...

ЗЫ Я бы плясал в первую голову от средств: есть средства на аттестацию "всея ГИС" - делайте региональный и ввязывайтесь в просеивание глупых/жадных лицензиатов, которые за каждую АС каждого Абонента будут просить баснословные деньги. Ищите среди них тех, кто сможет применить интеллектуальный, а не сугубо экономический подход, и сделать вам все в ажуре... Ну а коли средств нет, то и суда нет - защищайте и аттестуйте только свой ЦОД и забейте на Абонентов. Как-нибудь выкрутятся (который год так делается)...

ЗЗЫ И еще одно. Если под "пользователями" (в моей интерпретации - "Абонентами") вы понимаете простых физ.лиц, вносящих/выносящих некую информацию в/из ваш интернет-портал, то все сразу становится с ног на голову. Такую "городскую" ГИС можно со скрипом пропихнуть под "объектовый масштаб"; несколько городов/поселков/вся область/весь край/и т.п. - это уже регионалка. Еще больше - федералка. Но цимес будет уже не в масштабе, а в способе защиты. Потому как простого и бесплатного (для таких пользователей) сертифицированного решения никто не сделал (и, скорее всего, не сделает). С перс.данными проще, но коли у вас ГИС, то, как говорится, сушите весла и лейте воду...

2 oko

Спасибо огромное!!

Всё очень доступно расписано, как раз для моего понимания понимания))