ИСПДн К3 - Форум по вопросам информационной безопасности

Здравствуйте!

Силами своих специалистов решили что у нас система класса 3 ("закон что дышло...") В связи с этим вопросы:

1. Подскажите, пожалуйста, необходимо ли аттестовать нашу ИСПДн? В интернете распространено мнение что если система не распределенная, то аттестации не подлежит, но идут ссылки на РД ФСТЭК "Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных" от 15 февраля 2008 года", которое имеет статус ДСП. Что делать нам, конкретной организации, для обоснования того что аттестация нам не нужна (если это действительно так)?

2. Если нам не нужна аттестация, то какие конкретные мероприятия нам нужно провести для того чтобы соответствовать требованиям 152-ФЗ? Можем ли мы справиться с этим своими силами, или необходимо привлекать сторонних лицензнзированных специалистов?

Спасибо!

Для начала найдите сам документ.
Для того что бы заявлять, что Ваша система имеет класс К3 и не распределенная - сделайте акт классификации системы (по "трех главому"). Если в акте будет все прописано - тогда декларирование соответствия требованиям. Если Вы "за уши" притянули класс К3 - будьте готовы, что регуляторы наложат на Вас наказание.

Исходя из прописанных в приказе трех требований при желании "за уши" можно притягивать и "оттягивать" ИСПДн из 2 в 3 класс и наооборот :)) . И абсолютно никакой логики и упирающийся волюнтаризм основанный на одном никем и негде официально не раскрытым понятием "ДОПОЛНИТЕЛЬНАЯ ИНФОРМАЦИЯ ". А разница то между 2 и 3 классом начинается по затратам от десятков тысяч рублей. Остается только писать письма во ФСТЭК чтобы ответом прикрытся от негоже самого и от других проверятелей, потомучто как завышение так и занижение класса одинаково опасны !

Просто у нас кооператив, кол-во членов гораздо более 1000, но при этом все они состоят в одной организации, поэтому мы решили что класс 3. Хотя информация обрабатывается категории 2. Спортный момент, но это дело юристов, имхо. Или я не прав?

Если не трудно, подскажите пожалуйста куда и к кому конкретно нужно обращаться за получением РД ФСТЭК.

Для получения РД надо написать письмо в региональный ФСТЭК (по округам).
Если Вам более 1000 и Вы обрабатываете информацию об образовании и ДОХОДАХ (финансы) членов кооператива, тогда точно К2, если Вы учитываете только платежи Ваших членов кооператива (расходы) то К3.

PS. для комментаторов - "Кто не согласен, читайте ФЗ, там четко говориться о финанасах".

А не подскажите название ФЗ (или друго, любого документа) и пункт если можно, где бы точно расшифровывалось, что ДОПОЛНИТЕЛЬНАЯ ИНФОРМАЦИЯ при классификации на 2 класс, это информация о ДОХОДАХ (финансах) или образовании (или еще о чем либо ) субъекта ПДн. А то самим уже неопределенность надоела )).

PS. Закон о персональных данных зачитан до дыр :)))

Статья 3 ФЗ 152. Основные понятия, используемые в настоящем Федеральном законеВ целях настоящего Федерального закона используются следующие основные понятия:1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, ДОХОДЫ, другая информация;

Это читано !! Это просто определение персональных данных (неудачное кстати ,остается белое пятно "другая информация")
К классификации ИСПДн этот закон неимеет прямого отношения!
Где написано четко ДОПОЛНИТЕЛЬНАЯ ИНФОРМАЦИЯ = ДОХОДЫ !!?
Или ДОПОЛНИТЕЛЬНАЯ ИНФОРМАЦИЯ = ОБРАЗОВАНИЕ.
А ?

ФЗ 152 не определяет класс информационной системы. И я не пойму при чем здесь ДОХОДЫ, если в системе помимо этого хранятся ФИО, паспортные данные, адреса, телефоны и прочие ПЕРСОНАЛЬНЫЕ ДАННЫЕ.

По вашей логике любая ИСПДн должна быть классифицирована по классу не менее К2. Зачем же тогда придумали К3? :)

При классификации используется слово ФИНАНСЫ, а ФЗ 152 конкретно говорит финансы - это ДОХОДЫ и имущественное положение.

mikkpr@rambler.ru напишите мне на мыло, объясню подробнее