Обсуждение новости: Задай вопрос ФСТЭК - Форум по вопросам информационной безопасности

В вопросе звучит некое "нетерпение" - ну когда-же РФ откажется от собственной системы сертификации и стандартизации !!!
Скорее всего, вопрос был задан со стороны представителей западной идеологии безопасности и западных компаний, типа Медведовский-Лукацкий-Астахов, длительное время публикующих материалы о неэффективности существующей в РФ системы информационной безопасности. Цели их ясны и понятны: легализовать западные технологии на рынке ИБ России; легализовать курсы CISCO и прочих "учебных академий", создать возможность юридического признания учебных курсов западных компаний в РФ.
В своих материалах оные господа по неизвестной причине (ну если только Хьюзе известно) не указывают на огромное количество документов, рекомендованных NIST для использования в повседневной деятельности. При этом этот сонм документов никоим образом не мешает существовать утечкам информации из в т.ч. гос.организаций запада.
Указанные господа почему-то не учитывают стратегию информационой безопасности России; не указывают нигде на то, что киско-ориентированнные и прочие мелкософто-курсы существуют в РФ на не-легитимной основе и только лишь за счёт того, что западные компании на рынке РФ нарушают права потребителей. Достаточно потребовать полную русско-язычную документацию на всё оборудование и программное обеспечение - и большую часть курсов, большую часть бизнеса на переводах тех.документации придётся закрывать, а западникам придётся учить русский технически грамотный язык и нанимать переводчиков перед продажей оборудования, а не требовать кучу денег за курсы, где читают свежие неизданные переводы на русский. Господам неуютно от того, что в стандарте ГОСТ Р ИСО/МЭК 17799 сказано, что аудит может проводить специалист, но ничего не сказано о том, что это должен быть специалист с дипломом от мелкософта либо киско. Политика ФСТЭК защищает прежде всего безопасность РФ и российского производителя. Виват ФСТЭК !

Обязательны ли какие бы то ни было мероприятия по защите ИСПДн к4? То есть, обязана ли организации нести расходы по защите ИСПДн к4 с точки зрения закона, помимо стандартной антивирусной защиты, резервного копирования и т. п.

- на усмотрение Оператора.
Часто для ИС существуют прочие требования, которые гораздо строже, чем неопубликованные требования 4к - например, это справедливо для телекоммуникационных систем.

Речь в контексте ИСПДн 4К может идти о том, что Регулятор при контроле может поинтересоваться, как именно реализована СЗПДн, а это как минимум акт классификации, проектно-эксплуатационная документация и т.д.

по Теме: За NIST SP 800-122 Лукацкому должно быть стыдно. имхо.