Защита ИСПДН - Форум по вопросам информационной безопасности

Скажите пожалуйста!
Слышал, если ИСПДН в гос. учреждении классифицирована по К1, то ее уже надо защищать по классу 1Г, как служебная тайна с обязательной аттестацией. Правда ли это? Если да, то какими норм.док-ми регламентировано.
Спасибо.

Первый раз о таком слышу. Для ИСПДн аттестация не требуется независимо от класса и организации.

Да, с таким мнением иногда приходится сталкиваться, но подобное не регламентировано.

Требования К1 и 1Г в некоторых формулировках идентичны, но 1Г чуть серъезнее и больше обязывает. Однако, руководители госорганизаций, чтобы более надёжно защищить свои ОИ, иногда выбирают двойную классификацию, т.е. К1+1Г.

Кроме того, по СТР-К и РД АС больше определённости в плане организации защиты, чем по приказу трёх и Приказу №58.

Но, надо помнить, что чем больше на себя берёшь, тем больше придётся отстаивать. Блеснуть перед регуляторами отличной защищенностью своих ресурсов по классу 1Г конечно дело хорошее, но но лучше ограничиться только классом К1, если возможно, и отстаивать только те требовнаия и положения, которые относятся к классу.

Кроме того, как уже упомянули классификация по РД АС - это уже аттестация, а с ними уже и заключение и протоколы ПЭМИ, НСД и пр.

Если у Вас К1 лучше забыть про него и аттестоваться под 1Г, т.к. деньги те же, но 1Г позволяет обрабатывать ЛЮБУЮ КОНФИДЕНЦИАЛЬНУЮ ИНФОРМАЦИЮ в отличии от ИСПДн К1


И к стати ИСПДн класса К1 - подлежит аттестации.
мое мнение.

qwerty Ваше мнение несколько ошибочно, т.к. для того, что бы создать и аттестовать систему конфиденциальной информации надо как минимум разработать положение о такой информации, утвердить перечень конф. инф. и т.д. В итоге имеем на много больше требований чем в К1, со всеми вытекающими последствиями.


P.S. Из практики проведения проверок - чем больше хвастаешься достигнутыми результатами - тем больше замечаний!

по поводу
>>> И к стати ИСПДн класса К1 - подлежит аттестации.

Забылся
помню был тако документ:
"Порядок создания системы защиты персональных данных" от 15 февраля 2008, который требовал такую аттестацию.
с 15 марта 2010 года отменено применение двух методических документов ФСТЭК России:

Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утвержденные заместителем директором ФСТЭК России от 15 февраля 2008 года (далее - Основные мероприятия);
Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные заместителем директора ФСТЭК России от 15.02.2008.
Где об этом и говорилось собственно.


А сегодня лишь
Необходимость проведения контроля отсутствия недекларированных возможностей программного обеспечения средств защиты информации, применяемых в информационных системах 2 и 3 классов, определяется оператором (уполномоченным лицом).

Для информационных систем 1 класса применяется программное обеспечение средств защиты информации, соответствующее 4 уровню контроля отсутствия недекларированных возможностей.


Для sc63
Здесь речь насколько я понял идет о ГУ, пусть запросят у главного ведомства Перечень КИ, инструкции положения, утвердят их и аттестуют под 1Г, в любом ГУ можно найти не только ПДн, но и др. отличную от ПДн конфиденциальную информацию, а ИСПДн класса К1 может обрабатывать только ПДн. любая иная КИ например (трансплантация органов, регистры бух. учета, тайна усыновления, коммерческая тайна проверяемой организации и.т.п.) где ее хранить?

>>>P.S. Из практики проведения проверок - чем больше хвастаешься достигнутыми результатами - тем больше замечаний!

да это понятно, видел акты проверок, где ничего в ГУ не выполнено, так им ничего и не написали, за исключением что необходимо привести в соответствие требованиям в ...такой то срок.


На то они и замечания что бы совершенствовать систему, ведь так? За них то не посодють +_+ (обычные предписания)

как правило, если в вышестоящей организации установлен перечень конф. инф. то все эти работы давно выполнены, если нет - то сам, все сам, не помню случая, что бы головные хоть как то шевелились.

sc63
Да полностью согласен с Вами

Так надо их шевелить*


Да и сам перечень КИ создать не долго. Вообще всю нормативу внутреннюю - дело 5-6 месяцев дял 1 человека (ЗИ) и + юристы и т.п. (комиссия)

просто как правило либо не охота - либо некому.