Самостоятельное создание системы защиты ПДн - Форум по вопросам информационной безопасности

И снова, здравствуйте.

Вообще-то у меня уже есть ощущение, что если я задам еще один вопрос, то вы меня просто уже убьете на месте, но чем больше я закапываюсь в документы и форумы, тем больше я запутываюсь, поэтому я все-таки спрошу...

Фраза с форума "Лицензия ТЗКИ нужна в случае ПДн 1, 2 класса и 3 распределенной". Она нужна для того, чтоб я имела право создать эти системы у себя или для того, чтобы я имела право их эксплуатировать?
А если у меня есть еще и 3я нераспределенная, то лицензия ТЗКИ для нее не нужна для эксплуатации или для создания или и для того и для другого? Т.е. если у меня 3я нераспределенная, то могу ли я, не имея лицензий ФСТЭК сама защищать ее или все же придется кого-то нанимать, кто имеет право на создание систем защиты?

Если у нас в организации есть ИС ПДн 2го класса, то нужно лицензирование СЗ ПДн.
Я так поняла, что не имея лицензии на ТЗКИ мы не имеем права сами строить такую систему защиты.
Тогда мы нанимаем некую организацию, которая такую лицензию имеет, чтобы она нам организовала защиту (т.е. построила соответствующую систему защиты) ПДн по 2му классу.

Вопрос: После внедрения СЗ ПДн по 2му классу, для "штатной" эксплуатации этой системы нужна ли нам лицензия по ТЗКИ?

Кошка,
Эта фраза (требование) про лицензию взята из "Основные мероприятия по организации и тех. обеспечению безопасности ПД в ИСПДН", со ссылкой на ФЗ 128 от 2001 г. и ПП №504 от 16.08.06 в которых деятельность по ТЗКИ отнесена к лицензируемому виду деятельности. Ключевое и необъяснимое здесь слово "деятельность", более широкое понятие которого ни один НПА не раскрывает. Т. е. это может быть и создание СЗИ и обслуживание и просто пользовательская эксплуатация и еще что-нибудь. Наш официальный запрос в ФСТЭК РФ по этому вопросу (который задаете вы), написанный еще в марте так и не пришел, хотя в ФСТЭК его получили и я знаю №вх. С ответом ФСТЭК затрудняется. Но мы послали уже повторный. Как ответят сообщу что значит термин "деятельность" если будет не ДСП. А пока ФСТЭК однозначно устно рекомендует получать лицензию всем даже при аутсорсинге вашей ИСПДн.
3-ю не распределенную можно даже не аттестовывать, поэтому видимо и лицензии ни какой не нужно даже на создание

Хм.
Вот у нас есть корпоративный портал, который виден только внутри сети организации. Но организация расположена в нескольких зданиях и между ними данные передаются по VPN с шифрованием.
На портале любой сотрудник (сперва авторизовавшись в общей сети, а затем авторизовавшись на портале) может получить о других сотрудниках следующую информацию:
ФИО, фотография, №служебного помещения, №служебного телефона.
Как я понимаю, получаем распределенную систему 3 класса.
Мы что должны теперь аттестовать все помещения, в которых сидят сотрудники, имеющие доступ к порталу (т.е. _все_ помещения) по ТЗКИ?
Надеюсь, что я все-таки напутала...

Кошка,
не торопитесь с выводами. Дождитесь получения документов по ПД.
Во-первых, ФИО, фотография, №служебного помещения, №служебного телефона с согласия субъектов ПД можно отнести к общедоступным ПД - класс К4 (оценка соответствия по решению оператора).
Во-вторых, К3 обязательная аттестация - по решению оператора (в т.ч. распределенная К3).
В третьих аттестация помещений требуется для ГТ, либо при ведении переговоров, либо голосовом вводе ПД (не ваш случай). Есть только замечания о закрытых шторах на окнах и т.п. орг.меры.
Короче, дождитесь документов по ПД

Я правильно понимаю, что windows XP это не сертифицированная ОС?
А какая сертифицированная?

Изначально (с завода) встроенные механизмы защиты windows XP не сертифицированны ФСТЭКом. Это делается позже по вашей заявке. Либо некий поставщик сертифицирет ее в ФСТЭК, а потом реализует с пометкой о проведенной сертификации + голограмма ФСТЭК

В ЦБИ можно заказать пакет для сертификации. Или же приобрести сертифицированную винду.
Linux XP от Информзащиты, вроде, сертифицировали под 1Г

> Я правильно понимаю, что windows XP это не сертифицированная ОС?

Неправильно понимаете :)

Сертифицированным считается не просто дистрибутив Windows, а дистрибуи\тив Windows, входящий в сертифицированную серию или изготовленный в рамказ сертифицированного производства.

В реестре сертифицированных СЗИ вы найдете несколько сертификатов на Windows XP, причем один из них выдан по схеме сертифицированного производства. Там же указан и заявитель. Вот у заявителя вы и можете приобрести сертифицированную Windows.

Варианты "сертифицировать позже" даже не рассматривайте:
1. это дорого
2. заявку на сертификацию вашего единичного образца, в принципе, могут отклонить, поскольку подобный продукт уже сертифицирован по схеме производства

Сертификация единичных экземпляров ХР (3 шт.) в 2008 г. стоила 900 р за шт. с отправкой фото лицензионных знаков в ФСТЭК. Делали лично