Защита АС от НСД. Выбор класса защиты - Форум по вопросам информационной безопасности

В РД написано:
1.6. Выбор класса АС производится заказчиком и разработчиком с привлечением специалистов по защите информации.
Подскажите, уважаемые коллеги, как его (специалиста) привлечь?

Нанять по договору

Тогда подробнее. Постановление Правительства РФ от 06.05.2008 №359 для формирования бланков строгой отчётности (БСО) разрешает использовать
АС с защитой от НСД. Класс защиты в Постановлении не определён. Сдаётся мне, что на официальный запрос должен прийти официальный ответ. Вопрос, кому его (запрос) нужно направить?

1. Если в бланке строгой отчетности присутствует поле и) (ФИО и должность лица, ответственного за совершение операции и правильность ее оформления), вы имеете не просто АС, а ИСПД 3 класса. В этом случае вы обязаны руководствоваться требованиями ФСТЭК по защите персональных данных.
2. Если этого поля нет, то вы имеете информационную систему, не содержащую сведений, доступ к которым ограничивается федеральными законами (ФЗ "Об информации, информационных технологичх и защите информации" ограниченного досутпа"). В этом случае вы самостоятельно решаете, какие меры защиты от НСД принимать.

Во втором случае ФЗ и постановления правительства позволяют вам выбрать любой класс защиты. Какой именно - вы решите сами на основании совета специалиста и модели угроз, которую он вам разработает.

Автор: malotavr , очень признателен Вам. В разработке две системы, имеются оба рассмотренных Вами случая. А во-втором случае сертификация добровольная или всё же обязательная?

Добровольная

Согласно ФЗ "О тех. регулировании", сертификация - это форма подтверждения соответствия.

Обязательное подтверждение соответствия проводится в двух случаях:

1. При наличии технического регламента, в котором прописана такая обязанность
2. В случае средств защиты информации, доступ к которой ограничивается законодательством, если Правительством установлены соответствующие особенности оценки соответствия.

Если в АС нет сведений ограниченного доступа (ваш второй случай), ни один из этих двух пунктов не применим.

Автор: malotavr, спасибо за квалифицированные и исчерпывающие ответы.

Автор: malotavr
1. Если в бланке строгой отчетности присутствует поле и) (ФИО и должность лица, ответственного за совершение операции и правильность ее оформления), вы имеете не просто АС, а ИСПД 3 класса. В этом случае вы обязаны руководствоваться требованиями ФСТЭК по защите персональных данных.
-------------------------------------------------
Не подскажите, где найти требования ФСТЭК по защите персональных данных, конкретно для ИСПД 3 класса?

Эти требования изложены в методическом документе ФСТЭК "Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных".

Документ ДСП, можно истребовать его у ФСТЭК или проконсультироваться с компаниями-лицензиатами.

Об "информативности" и "глубине технической мысли" документа можете судить уже по его непроизносимому названию.

Увжаемый, malotavr, а правильно ли я понимаю, что ИСПД 3 класса должна пройти обязательные сертификационные испытания на соответствие требованиям, изложеным в методическом документе ФСТЭК "Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных"?