Предоставление субъекту ПДн данных о том, что защита ПДн обеспечена - Форум по вопросам информационной безопасности

Коллеги, представим себе такую ситуацию:
Субъект ПДн запросил нас, как операторов, данных о системе защиты ИСПДн с целью узнать, действительно ли надёжно осуществляется обработка его ПДн оператором. Какие документы мы можем предоставить субъекту ПДн, чтобы тот был ответом удовлетворён, но не раскрывая тем не менее суть систему защиты?

Аттестат соответствия

А если аттестат ещё не был получен, но уведомление было отправлено?

Для Мас:
А Вы у клиента сначала спросите, что он вкладывает в понятие "надёжного осуществления обработки ПДн" и какая именно информация его удовлетворит в этом? А то получается: покажите мне то, что мне интересно, а что именно - думайте сами...

Для Некто:
Аттестация ИСПДн не является обязательной, поэтому Аттестата соответствия может и не быть.

информация о примененной системе защиты информации может быть и закрытой.

> Какие документы мы можем предоставить субъекту ПДн, чтобы тот был ответом удовлетворён, но не раскрывая тем не менее суть систему защиты?

Те, которые вы сами сочтете целесообразным предоставить. У оператора нет обязанности предоставлять субъекту какие либо сведения о системе защиты персональных даных (см. статью 15 ФЗ).

Для msergey

Согласен с Вами. Однако отвечал на поставленный вопрос - как сделать так чтоб и рыбку съесть и не обидно было :)

Ответьте ему простым письмом с перечислением мероприятий, указанных в 58 приказе, без детализации, можно указать номера сертификатов на СЗИ.

Присоединяюсь к SC63.
Думаю больше и посоветовать нечего.

Вопрос был задан совсем не праздный и человек его задавший очень даже в теме.
Однако у т.н. РЕГУЛЯТОРОВ и в первую голову РКН, который должен нас всех (как субьектов ПДН) завалить методиками и методологическими разработками по этой теме (мне кажется) слишком низок образовательный ценз по этому вопросу и НЕТ толковых ПИСАРЕЙ НПА.
Поэтому и не разработан до сих пор ни один (технический) регламент по организации работ по защите ИСПДН и организации документооборота с ПД.
И нет органа контролирующего контролеров...УВЫ нам всем!

Раскрывать систему защиты - это явно идиотизм. Упоминать номера сертификатов на СЗИ я считаю почти тоже, что и раскрыть систему защиты.

Если, злоумышленник знает, что на объекте применяется какой-нибудь "Панцирь-С", то для него несанкционированное проникновение облегчится во много раз, т.к. он уже может подготовиться ко взлому конкретного СЗИ.

Выдавать аттестат я бы тоже не стал.
В итоге, я бы ограничился официальным письмом от организации, в котором просто указал класс защищённости ПДн и дописал "обработка Ваших ПД надёжно обеспечена".