Приказ ФСБ РФ и ФСТЭК РФ № 416/489 от 31 августа 2010 - Форум по вопросам информационной безопасности

Уважаемые коллеги!
Есть совместный Приказ ФСБ России и ФСТЭК РФ от 31 августа 2010 года № 416/489 «Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования» (рег. в Минюсте № 18704 от 13.10.2010). По текстовому содержанию этот Приказ жутко похож на Положение об обеспечении безопасности ПДн, утв. ПП от 17.11.2007 № 781. В п. 12 Требований приведён некий перечень мероприятий по обеспечению защиты информации, необходимый для этих систем. Кроме прочего указаны такие:
определение угроз безопасности информации, формирование на их основе модели угроз;
разработку на основе модели угроз системы защиты информации, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты информации, предусмотренных для соответствующего класса информационных систем общего пользования.
…
В связи с чем проблема:
Кто-нибудь пробовал работать по этим Требованиям?
Чем надо руководствоваться при определении угроз или их актуальности? (неужели ПДн’оской)
Где найти Модель угроз под эти системы и Методы и способы? (неужели тоже использовать ПДн’оские)

Собственно интересуют требования для ИС общего пользования II класса. Сам Приказ и его Требования не ссылаются на ПДн’овские документы. Других я не нашёл. Может кто в курсе этого?

Насколько я знаю, этот приказ еще не вступил в силу. Так что все самое интересное еще впереди.

Совершенно верно. Данный Приказ ещё не вступил в силу. Он был опубликован в "Российской газете" № 240 от 22.10.2010 и должен вступить в силу через 10 дней после официального опубликования, т.е. 02.11.2010.

Но меня интересует не его статус действия, а чем руководствоваться при определении мероприятий по п. 12 Требований применительно ко II классу ИС общего пользования. Может кому в госструктуре поступали разъяснения по этому поводу в виде каких-нибудь документов (типа, методических указаний, рекомендаций и т.п.)?

msergey
Не вижу проблем в использовании ПДн-вских доков.
А по всем остальным вопросам, боюсь, ответ будет такой - ни хрена нет! В системе работы наших регуляторов все меньше специалистов способных при разработке нормативного документа простроить систему его применения и либо дописать необходимое либо отослать к уже существующему.
Вообще мода отказа от универсальных руководств в пользу "затычки для каждой бочки" удручает.

Как я понял, приказ касается ИС создаваемых федеральными органами власти. Не так?

Для Некто:
> Не вижу проблем в использовании ПДн-вских доков.

Действительно использовать ПДн'овские документы не проблема. Проблема в том, что как я указывал ранее прямого указания на их использования - нет. Поэтому отсюда и со всеми вытекающими, как говорится... Можно потратить кучу времени, наделать комплект бумажек, наработаться о "одури", а в итоге всегда есть формальное основание сказать, что работа проведена не по тем документам или не в том объёме. В таком случае, уж лучше самому дождаться прямого указания сделать по этим документам, т.к. почему то я не сторонник "сизифова труда".

Для Андрея Волошина:
Приказ касается государственных (!) ИС общего пользования: I категория - это федеральные, II категория - иные.

2 msergey, ЛабТЗИ
Думаю эта проблема решается известным способом. В Вашем случае - письмом в Упр ФСТЭК по СФО с просьбой о разъяснении возможности применения ПДновских документов к ИС общего пользования .

В устной беседе было сказано, что им разъяснений по этому Приказу ничего из "головы" в округ не поступало. Если буду запрашивать бумагой, то ответ будет тот же. Может в скором времени им что-то да придёт, поэтому спасибо в любом случае.

Зная систему, советую - пишите! И как в том анекдоте - пусть теперь они мучаются :)

Я думаю по этому Приказу пока вобще не стоит заморачиваться, как с персональными данными будет, все будет дорабатываться, уточняться и т.п. еще годами. у нас же всегда так...Тем более как вы говорите ФСТЭК еще сам ничего не знает, так что и спрашивать не будет.