Классификация специальной ИСПДн (???) - Форум по вопросам информационной безопасности

Уважаемые господа разрешите загвоздку!

Все ИСПДн разделяются на специальные и типовые. Это понятно.

Далее, типовые ИСПДн в соответствии с документами "Об утверждении Порядка проведения классификации информационных систем персональных данных" и "Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" делятся на четыре класса - К1, К2, К3 и К4.

А вот, теперь "непонятность". Делится ли специальная ИСПДн на классы или нет? Если да, то в каком документе написано это деление? Если нет, то нужно ли классифицировать специальную ИСПДн по классам?

Если, опять же, классифицировать специальную ИСПДн по классам не надо, то как вырабатывать требования к ней? На основе модели угроз и исходных данных самой системы?

классификация систем происходит на основании анализа исходных данных, который проводится для спец. ИСПДн по модели угроз и также сводится к К4-К1 (по принципу и подобию). см. "Рекомендации ... ФСТЭК" раздел 3 сразу после таблицы по К.

В том-то и дело, sc63, что после таблицы по классиф-ции типовых ИСПДн про специальные сказано: классифицируются на основе модели угроз и в соответствии с методическими док., разрабатываемыми в соотв. с п. 2 Постановления.
П.2 Постановления обязывает разработать методы классификации спец. ИСПДн регуляторам, которые этого еще не сделали.
На семинаре по ТЗКИ в ИСПДн я задал этот вопрос представителю регионального ФСТЭК. На что тот ответил , что НПД по спец. ИСПДн действительно пока нет и следует выбирать методы защиты аналогично типовой К1, т.к. когда выйдут требования к специальным ИСПДн, они однозначно будут включать и требования по К1 (где-то очень рядом). Более того на сегодняшний момент ни один аттестующий орган России не выдаст Вам аттестат соответствия даже по классу К3. Аттестат будет выдан на АС 1Г с препиской (соответствует требованиям К 3). Нет методик в частности по ПЭМИН (введено новая зона замеров)

Смотрите "Рекомендации....." самого ФСТЭК, а там говориться, что "применительно к спец ИС после определения класса системы оператором должна быть разработана модель... " т.е. сначала по аналогии определяем класс системы, затем строим модель и защищаем саму систему.

Так точно, но классов специальной ИСПДн нет еще в природе. Это однозначно. У нас самих - спец. ИСПДн вот и мучаемся. На семинаре регуляторы сказали, что очень не завидуют тем у кого спец. ИСПДн (инф. о состоянии здоровья и пр.). Допустим даже, если классифицировать спец. ИСПдн как класс К1 (спец.), выполнить меры по ТЗКИ типовой К1 и при этом получить аттестат соответствия по 1Г (соотв. требованиям К1), то не логично получается само наличие спец. ИСПДн. А еще выйдут таки НПД по спец. ИСПДн, в которых появится новый класс - 1Ж, к примеру, и тогда переаттестовываться? Действительно не позавидуешь!

Да, Вам придется классифицировать свою систему как К1, затем разработать модель угроз и для каждой из значимых угроз предусмотреть средства защиты, потом провести все остальные работы либо по ФСТЭК (если не крипто) либо по ФСБ.

Сергей, что Вы имели в виду под фразой "Более того на сегодняшний момент ни один аттестующий орган России не выдаст Вам аттестат соответствия даже по классу К3. Аттестат будет выдан на АС 1Г с препиской (соответствует требованиям К 3)"? Поясните, пожалуйста.

А как же классы спец. ИСПДн и соответственно требования к подсистемам 1Ж? Классификация на данный момент (в соответствии с законами) по К1 в случае спец. ИСПДн - не правомерна! К1 - класс Т И П О В О Й системы ИСПДН

Сергей,еще раз по порядку и по РД ФСТЭК. Первое, Вы определяете класс своей системы от К4 до К1, потом, определяетесь, типовая или специальная, и если специальная, то строите модель угроз со всеми вытекающими, типовая - по типовой базовой модели.

Данные спец. ИСПДн должны быть отнесены к 1 категории данных , обрабатываемых в ИСПДн, но никак не к классу К1

Что касается аттестата по 1 Г (соответствует требованиям по ТЗКИ Кn...), информация точная. Нет на данный момент методик замеров ПЭМИН в ИСПДн (это основная причина) в новой зоне r2. Ее (зону) ввели в четырех методичках ФСТЭК (Рекомендации...) и аттестующий орган рад бы да неможет выдать аттестат на соотв. треб. классов ИСПДн, т.к проводит замеры ПЭМИН и др. по методикам для 1 Г. Данная позиция согласована с ФСТЭК, узнавал. Но если Ваш аттестующий орган сможет выдать аттестат не по 1Г, а по К1 к примеру буду рад узнать как они это сделали. Сами ищем таких. ни в Москве, ни в регионах такой практики нет