Новый документ ФСТЭК по ПД - Форум по вопросам информационной безопасности

На сайте ФСТЭКа появился Проект "Положения о методах и способах защиты информации в информационных системах персональных данных"


http://www.fstec.ru/_licen/prik_proekt.doc
Есть кое что интересное!

я его прочитал,но особо не анализировал.на вскидку,что мне бросилось в глаза,так это - требования к СЗ ИСПДн К2 и К3 ничем не отличаются,за исключением,требований предъявляемым к МЭ.Кроме того,стоит учесть,что это пока проект и документ не утвержден.

Проект написан сотрудниками Воронежского ГНИИПТЗИ.
Интересно когда ФСТЭК заказывала эту работу как собиралась использовать этот материал?
В какое место его собирались вставлять?

Я не контексте и не в теме, но раз раз сайте ФСТЭК это выложено как проект, то очевидно так.

Выкинуть низзя - буджет потрачен.
Использовать сложно, да и не нужно.
А выложили на сайт - вроде проект.
И спроса нет - не утвержден.
И вроде деньги не просто так потратили.
Народ - не грузись!
Не спеши внедрять - отменят!

1.3. Для выбора и реализации методов и способов защиты информации в информационной системе оператором или уполномоченным лицом может назначаться структурное подразделение или должностное лицо (работник), ответственные за обеспечение безопасности персональных данных.
Для кого написан этот документ? Очередная РЕКОМЕНДАЦИЯ непонятно для кого! Документ, который нисколько не помогает специалистам по защите информации для решения организационных вопросов по построению системы защиты информации

В этом проекте для к1 теперь не требуется мандатный доступ, а в методичках по ПД требуется. Мы согласно этих требований при переаттестации с 1Г на К1 заменили СЗИ securitystudio на secretnet (мандатный доступ), вышло затратно и больше головной боли, выходит зазря?

Сергей,при переаттестации с 1Г на К1 аттестат соответствия содержит информацию,что ИСПДн аттестована в соответствии с требованиями,предъявляемыми к ИСПДн К1?или аттестат включает соответствие 1Г и К1?

Сергей,
есть такое правило: "Лучше сделать и жалеть, чем не сделать и жалеть".

Я был уверен, что "Основные мероприятия..." выполнять не придется, поэтому на вашем месте я бы этих затрат делать не стал. Но у вас такой уверенности не было, поэтому поступили вы абсолютно правильно. Полагаю, новым требованиям вы соответствуете :)

Артем,

"Ну а ты у нас на кой,
с востой саблею такой?
Мы ж тебя на то и держим,
чтоб берег царев покой." (с)

Вам что, кто-то обещал помочь "решить организационные вопросы по построению системы защиты информации"? Если вы специалист по ИБ, то вам платят зарплату за то, чтобы вы как-нибудь без посторонней помощью со своей работой справлялись.

Вам обещали перечислить методы и средства, которые вы ОБЯЗАНЫ применять - вам их перечислили. Как их применять, вы решаете САМИ (как и завещано в трехглавом законе).

И, в отличие от "основных мероприятий", это не рекомендации, а нормативный правовой акт, который с момента своего утверждения и государственной регистрации будет подлежать обязательному исполнению.

malotavr,
"..нормативный правовой акт, который с момента своего утверждения и государственной регистрации будет подлежать обязательному исполнению." КЕМ? "..может назначаться структурное подразделение или должн. лицо" , а может и НЕ назначаться! Проблема заключается не в том, ЧТО делать, а КЕМ делать! Финансисты требуют обоснования должностных единиц, а словом "МОЖЕТ" отметается вся ценность документов ФСТЭК!
Такая же ситуация с администраторами информ. безопасности- во многих НМД упоминаются их права и обязанности, НО НИГДЕ нет того, что они ДОЛЖНЫ быть!

Александ, ПЭС , Помимо КИ, содержащей ПД, в системе обрабатывается служебная тайна, поэтому аттестат включает соответствие 1Г и К1, хотя СрЗИ для К1и так с лихвой перекрывают требования 1Г