Итоговые документы на ИСПДн при декларировании соответствия? - Форум по вопросам информационной безопасности

Друзья, привет!
Подскажите, а нужен ли техпаспорт на ИСПДн при декларировании соответствия ИСПДн установленному классу по безопасности информации?
Ну понятно что нужен, скажут все, а меня юридическое обоснование интересует: в каком документе (со ссылочкой) прописано что нужен тех паспорт. В данном случае на СТР-К не ссылаться.
Также интересует кто как проводит декларирование соответствия, какие документы в ходе декларирования разрабатываются: программа-методика проведения оценки соответствия в форме декларирования соответствия, заключение по результатам оценки соответствия, предписание на эксплуатацию, декларация о соответствии ИСПДн установленному классу по безопасности информации?
В общем, делитесь опытом, кто как делает: по аналогии с аттестацией тупо меняя слова в отчетных документах с "АТТЕСТАТ СООТВЕТСТВИЯ, АТТЕСТАЦИЯ, В ХОДЕ ПРОВЕДЕНИЯ АТТЕСТАЦИОННЫХ" на "ДЕКЛАРАЦИЯ, ОЦЕНКА СООТВЕТСТВИЯ, В ХОДЕ ПРОВЕДЕНИЯ ОЦЕНКИ СООТВЕТСТВИЯ" чтобы по башке от Большого Брата не получить или "так, на глазок"?
Я например не разрабатываю программу-методику, делаю только протокол оценки соответствия, заключение по результатам оценки соответствия, и выдаю декларацию (в виде акта, сроком на три года при неизменности программной и аппаратной среду и технологии обработки информации). Во как!!!
А вы на какой срок выдаете "декларат соответствия"?

>>>в каком документе (со ссылочкой) прописано что нужен тех паспорт. В данном случае на СТР-К не ссылаться.
<<<

СТР-К регулирует защиту конфиденциальной информации. Персональные данные - это конфиденциальная информация.

СТР-К для госструктур - обязаловка, для остальных рекомендательный характер (если включить военную логику, то можно СТР-К не читать вообще: мол мы не госструктуры, поэтому нам пофик) . О том что ПДн - конфиденциальная информация, тоже можно поспорить, но рамках данной темы.

"но рамках данной темы" читать как "но не в рамках данной темы"

Декларировать на соотвествие на сегоднишний день не представляется возможным! Нет нормативной базы.

Да ежу понятно что нет нормативной базы, но декларировать возможно, и большинство декларирует, законом разрешено!

И даже несмотря на отсутствие нормативной базы, я все равно хочу узнать: как декларирует соответствие БОЛЬШИНСТВО организаций? Какие документы на выходе, как отличия от аттестации?

Коллеги, вы чего, ответьте пожалуйста!!!

bobrdobr,
Вам уже сказали один раз - кроме этого пункта в постановлении ничего больше по декларированию не существует. Нет механизма декларирования!
Вы тут хоть в лепешку свой люб расшибёте, три вагона бумаги израсходуете, родите свою внутреннюю суперсложную или элементарно простую систему декларирования, но все это будет вашими фантазиями. Сегодня существует только один механизм подтверждения соответствия - аттестация. Остальное от лукавого - творческие узбеки!

Некто, По вашему Выходит нет иного пути кроме аттестации, а значит нужно приглашать лицензиата ФСТЭК, либо получить лицензию на ТЗКИ самостоятельно. Что за бред, как всем жить и одновременно соответствовать требованиям Законодательства ПДн, ведь аттестовывать самих себя низя!