Разработка политики безопасности в ГосУчреждении - Форум по вопросам информационной безопасности

При разработке политики безопасности для нашего учреждения (Орган исполнительной власти субъекта РФ) столкнулся с проблемой. Суть проблемы:
Закон от 27 июля 2006 года N 149-ФЗ «Об информации, информационных технологиях и о защите информации»
Статья 14. п.1.
«Государственные информационные системы создаются в целях реализации полномочий государственных органов и обеспечения обмена информацией между этими органами, а также в иных установленных федеральными законами целях».
- Хорошо, т.е. наше учреждение попадает под учреждение, использующее Государственные информационные системы, в соответствии с реализацией полномочий.

Статья 16. п.5.
«Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в области обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. При создании и эксплуатации государственных информационных систем используемые в целях защиты информации методы и способы ее защиты должны соответствовать указанным требованиям».
- То есть требованиям ФСТЭК.

Банальный вопрос: Где можно ознакомиться с упомянутыми требованиями? Это СТР-К?

Банальный ответ: А обратиться сначала в региональной управление ФСТЭК на пробовали? Есть вариант ещё с вышестоящим ведомством (если оно у Вас есть). По идее сначала к ним надо обращаться с таким вопросом, а сюда за разъяснениями того, что Вам те скажут... :-)

2финмин
Фстэк издает документы третьего уровня значимости вслед за ФЗ и пп РФ (плюс сюда-же указы президента) у них отдельный юридический статус.
Поэтому Вам необходимо для себя составить список действующих на н.в. норм в т.ч. и стандартов (ГОСТ) отечественных и международных.
Если нет актуального можно банально содрать из свежего ТЗ на СЗИ любого ОГВ.
Из этого перечня СТР_К будет в разделе примечания и казусы (неизвестной юридической значимости).
Ну или творчески переработать аналоги (политики ИБ) из поиска Консультанта-Гаранта плюс и-нет.
Все очень просто!
Это только в первый раз кажется сложным.
Успехов!

finmin,
По СТР-К.

Вы представитель органа исполнительной власти субъекта Федерации. СТР-К находится в подразделении по ЗИ в администрации (министерстве) Вашего региона.
Если Вы имеете отоношение к территориальному органу федерального органа исполнительной власти, то Вам СТР-К давным давно должны были выслать из Вашего министерства (федеральной службы, ФГУП).

СТР-К - если мне не изменяет склероз это неутвержденный до сего времени проект не зарегистрированный в минюсте и не имеющий юридическоого значения - так...
методичка.

потом есть еще такая тонкость
1. политика безопасности и
2. политика информационной безопасности
- суть разные документы - первый методичка ВОХР.

В первом отделе ФИОВ должен быть грифованный СТР

а - соответствовать указанным требованиям имеется в виду весь обьем норм о чем я и писал выше есть еще и ПД ИТР и РЭБ и нормы по размещению электропитанию, заземлению, экранированию расположении кабельной и беспроводной информационной разводки ...да много чего можно сюда за уши притянуть - если сильно хочется можно еще мобилы запретить в ....помещениях и поснимать все разъемы и винчестеры и работать как на облачном МЭЙНФРЕЙМЕ

Прохожий,
очень МАЛО где реализуют мероприятия по защите по утечке по батареям, и т.д. В основном, по электромагнитной составляющей.

По СТР-К
Вот придет УФСТЭК в организации, указанные в топике 24279, и вынесет предписания. Вы что судиться с ними будете ?

Сергею2
Ну не надо жупела делать из ФСТЭК - там работают грамотные ребята которые сами знают свои промахи и никогда их (промахи) не рекламируют.
Речь идет о правилах разработки документа второго уровня - Политики ИБ
На эту тему есть книги Гайковича и прочих.
Можно их почитать.
Есть такой инструмент самообразования ИНТУИТ - там куча пособий... и неглупых.
Неохота читать - берешь чужой аналог и подгоняешь под себя.
Если у Вас "Облачная технология" - её пока нигде не запрещали то пишите себе про неё.
Идут утечки с мобил - пишите свой раздел о допустимости использования их и условия применения
Ну а если у Вас Билдинг выше всех в районе - стоит подумать о заземлении и прочих ГРОЗОУЛАВЛИВАТЕЛЯХ - это тоже может повлиять на ИБ.
СТР-К это методичка для восполнения пробелов в образовании вроде букваря для неграмотного.
Я не говорил что её не стоит исполнять или применять.
Но стоит помнить что документ этот с ограниченным статусом применения из-за того что до н.в. он НЕ утвержден и не зарегистрирован в МинЮсте.
А судиться Вам просто не позволят - Не примут у ВАС иска под любым предлогом типа "неправильный сорт бумаги вызывающий жуткие болезни у сотрудников суда" не верите попробуйте...
Вопрос оригинально звучал -
Где можно ознакомиться с упомянутыми требованиями?
Мой ответ - требования рассыпаны веером в нормах разного уровня - надо из них для себя выбрать актуальные угрозы и защищаться от них - политика не говорит как? а говорит зачем?
А как - это в документах более низкого уровня.
Кругом народ живет и народ не глупый и этих политик написано прорва...стоит покопаться и выбрать для себя нужное, не зацикливаясь на одном букваре

Прохожий, уважаю Вас за знания, позицию и толковые советы интересующимся, но Вы таки не правы по поводу СТР-К.
Я это уже писал недавно:


Указ Президента Российской Федерации от 16 августа 2004 г. № 1085 "Положение о Федеральной Службе
по Техническому и Экспортному Контролю":
ФСТЭК России является федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации...
4. Основными задачами ФСТЭК России являются:
1) реализация в пределах своей компетенции государственной политики в области обеспечения безопасности информации в ключевых системах информационной инфраструктуры, противодействия техническим разведкам и технической защиты информации;
3) организация деятельности государственной системы противодействия техническим разведкам и технической защиты информации на федеральном, межрегиональном, региональном, отраслевом и объектовом уровнях, а также руководство указанной государственной системой;
4) осуществление самостоятельного нормативно-правового регулирования вопросов:
...
- технической защиты информации;
8. ФСТЭК России осуществляет следующие полномочия:
...
2) разрабатывает и вносит в установленном порядке Президенту Российской Федерации и в Правительство Российской Федерации проекты законодательных и иных нормативных правовых актов Российской Федерации по вопросам своей деятельности;
3) издает нормативные правовые акты по вопросам своей деятельности;
4) разрабатывает и утверждает в пределах своей компетенции методические документы...

СТР-К:
2.3. Требования и рекомендации настоящего документа распространяются на защиту государственных информационных ресурсов ....
При проведении работ по защите негосударственных информационных ресурсов, составляющих коммерческую тайну, банковскую тайну и т.д., требования настоящего документа носят рекомендательный характер.

Это к вопросу кому ФСТЭК (разработанные и утвержденные ей документы) указ, а кому не указ :)

Относительно регистрации СТР-К в Минюсте: имеется письменное заключение Минюста о том, что данный документ не требует регистрации.

Не пугайте народ и не сбивайте с толку! Ваша критическая позиция иногда зашкаливает, а далеко не все в курсе и могут повестись на Ваш авторитет.

к Некто
То что СТР-К методический документ - это факт.
То что он не согласован с кучей ведомств это тоже факт.
Сам видел полу-пустой лист согласования пару лет назад.
Насчет письменного заключения МинЮста я не в курсе - приведите номер или текст.
Насчет того что СТР_К это букварь для начального образования в области ИБ это тоже факт.
Документ был вторичным еще в первой его редакции - ребята просто в прямую процитировали с сокращениями старые документы из ГТ это тоже факт.
И в чем моя ошибка?
Перечитайте внимательно 24307 и если критикуете - будьте любезны не огульно а с фактами.
А насчет ...Ваша критическая позиция иногда зашкаливает, а далеко не все в курсе и могут повестись на Ваш авторитет.
Цит. проекты законодательных и иных нормативных правовых актов Российской Федерации по вопросам своей деятельности - тут как-раз и есть недоработанный проект утвержденный лицом не имеющим права утверждения подобного рода документы - документ был утвержден замом. - приведите норму где заместителю ФСТЭК предоставлено право утверждения НПА (не внутренних а для всей страны)
С уважением к Вашему праву на заблуждение

Надо бы извиниться по хорошему-то.
Сами не путайте конструктивную позицию и огульное критиканство, как в этой цитате

Прохожий,
пожалуй что погорячился, а потому - извините.
Но:
1. Вы всегда даете очень толковые и нужные советы и разъяснения. При этом весьма критично относитесь к документам ФТСЭК. Те, кто сюда приходит за разъяснениями, далеко не всегда в курсе всех тонкостей и нюансов как в области нормативно-методического обеспечения вопросов защиты информации, так и наших местных нравов :) Видя перед собой человека, который только что оч грамотно по полочкам все разложил, и при этом пренебрежительно отозвался о каком-то документе, так и поймут - не нужен он, ентот документ. А завтра придет контролер и насадит на кукан.
Вот именно это я и имел в виду...
2. По поводу правомочности утверждения замом нормативного документа для всех (СТР-К) судить не берусь. Знаю, что существует процедура делегирования полномочий. Например приказом, подписанным руководителем ведомства.
Не нравится СТР-К, порекомендуйте другой документ, уместный к применению в подобных ситуациях.
3. К сожалению подтвердить ссылкой на номер письма Минюста или сканом письма факт заключения Минюста по СТР-К не могу - не доступны мне эти ресурсы... Но можно запросить ЦА ФСТЭК если сильно надо - факт достоверный, он подтвердят. А вот по поводу полупустого листа согласования мало-мало сомневаюсь. Дело давнее. Хранить его кто б стал? А дело, куда могли подшить давно в архиве... А с кем он должен был бы быть согласован в полном объеме?