Класс ИСПДн и класс защищенности АС от НСД - а если АС и есть ИСПДн - Форум по вопросам информационной безопасности

Уважаемые, если АС содержит не только конфиденциальные данные, но и ПД - для нее проводится категорирование объекта информатизации, определяется класс защищенности от НСД и + к этому класс ИСПДн? Или достаточно провести классификацию ИСПДн?
Т.е ИСПДн - как матрешка - требования для АС уже в ней?

и еще: какие типы объектов информатизации бывают?

Объект информатизации – совокупность информационных ресурсов, средств и систем обработки информации, используемых в соответствии с заданной информационной технологией, средств обеспечения объекта информатизации, помещений или объектов (зданий, сооружений, технических средств), в которых они установлены, или помещения и объекты, предназначенные для ведения конфиденциальных переговоров (см. ГОСТ Р 51275-2006; ГОСТ Р 53114-2008; СТР-К).
Более простыми словами это либо АС/ИС, либо ВП/ЗП.

Что касается содержания различных видов информации ограниченного доступа (конфиденциального характера) в одной системе, например, ПДн и коммерческая тайна, то целесообразно сделать 2 акта классификации как АС (по РД Гостехкомиссии России на АС) и как ИСПДн (по Порядку классификации, утв. ФСТЭК/ФСБ/ Мининформсвязи России).

Да, можно сказать, что требования к ИСПДн (по Положению, утв. приказом №58) в отношении следующих подсистем:
- управление доступом;
- регистрация и учет;
- обеспечение целостности,
совпадает с требованиями к данным подсистемам у АС (по РД Гостехкомиссии России на АС).

Правда надо отметить, что для ИСПДн 1 класса (многопользовательской с равными правами доступа) соответствует АС, имеющая класс защищенности 2А по РД Гостехкомиссии России на АС, без криптографической подсистемы.

Правда надо отметить, что для ИСПДн 1 класса (многопользовательской с равными правами доступа) соответствует АС, имеющая класс защищенности 2А по РД Гостехкомиссии России на АС, без криптографической подсистемы.

Напомните пожалуйста, каким это документом установлено?

Никакими! Это параллельные классификации.

sekira

Насколько я помню класс защищенности 2А всегда устанавливался для секретной информации, а 2Б для конфи.

> Насколько я помню класс защищенности 2А всегда устанавливался для секретной информации, а 2Б для конфи.

Не совсем так. Относительно секретной информации - минимально достаточное определено специальным нормативным документом уполномоченного органа (у гостайны собственник - государство, вот специальный орган государства и определяет требования). Похожая ситуация с персональными данными - минимально требования определены ведомственными бумажонками (раз уж законом ФЗ-152 государство взяло под свою доблестную опеку персональные данные своего населения). Но вот что касается "чистой конфы", то тут всё определяет сам собственник этой самой "конфы" - он волен выбрать не только 2А, но и "накрутить" дополнительно "кучу" собственных требований, чтобы супостат прослезился.

Но вот что касается "чистой конфы"

А что это за чистая конфа?

Всегда приятно спорить с собеседником говорящим на другом не понятном тебе языке. Поясню почему.
1. Проблема классификации чего?
«автоматизированная система» (АС: en automated system; AS система), состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций - "ГОСТ 34.003-90. Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения"
«информационная система» - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств - Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 21.07.2011) «Об информации, информационных технологиях и о защите информации»
«информационная система персональных данных» - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств - Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) «"О персональных данных»
Понимаете мы говорим с Вами о разных объектах!
2. Где начинается класс и кончается категория?
Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) «"О персональных данных» предписал Правительству Российской Федерации с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных установить:
1) уровни защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных;
2) требования к защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных;
Вывод: Для «информационной системы персональных данных» применяется термин «уровни защищенности»!
3. В контексте общего образования!
Федеральный закон от 11.07.2011 N 200-ФЗ (ред. от 02.05.2012) «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона "Об информации, информационных технологиях и о защите информации» осуществил следующую замену терминов:
слово «конфиденциальной информации» заменить словами «информации, в отношении которой установлено требование об обеспечении ее конфиденциальности»;
слова «категории конфиденциальной информации в соответствии с законодательством Российской Федерации» заменить словами «информации, в отношении которой установлено требование об обеспечении ее конфиденциальности»;
слово «Интернет» заменить словами «информационно-телекоммуникационная сеть «Интернет»;
слово «телекоммуникационные» заменить словом «информационно-телекоммуникационные».
слово "информатизации" заменить словами "информационных технологий"
слова "общего пользования (включая сеть "Интернет")" заменить словами ", доступ к которым не ограничен определенным кругом лиц,"
слова «конфиденциальность информации, составляющей государственную, коммерческую и другую охраняемую законом тайну," заменить словами "защиту информации, составляющей государственную, коммерческую, иную охраняемую законом тайну, а также другой информации ограниченного доступа";
В связи с этим термин «конфиденциальная информация» можно отнести к вульгаризмам!

> В связи с этим термин «конфиденциальная информация» можно отнести к вульгаризмам!

+1

Антон, информ

Приятно общаться с людьми знающими действующее законодательство.
Насколько мне известно требования по уровням защищенности ПДн еще в проектах и не утверждены. А с утверждением их должно "кануть в лету" (не путать с Leta) ПП781.