Проект нового СТР-К - Форум по вопросам информационной безопасности

На сайте ФСТЭК выложен проект нового СТР-К:
http://www.fstec.ru/_licen/PrPrikTreb.doc

В информационном сообщении предлагается направить предложения по электронной почте.

http://www.fstec.ru/_docs/InfSoob_12.10.12.doc

На СТР-К старый вообще не похоже.

это 100% не СТР-К, если Вы так считаете - мне жаль, видимо с СТР-К Вы не знакомы

Для маи | 39600
Как знать... Обещали "Положение-К", а что будет - ???

У Лукацкого в блоге проходила информация с ссылкой на Лютикова
что это новый документ который заменит СТР-К и РД , написан на основе стандартов 800 серии NIST.

Сам документ весьма красноречив о своем назначении:
"2.В документе устанавливаются требования к обеспечению защиты (некриптографическими методами) информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней (далее – защита информации) при обработке указанной информации в государственных информационных системах.

3. Настоящие Требования являются обязательными при защите информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну (далее – информация конфиденциального характера), содержащейся в государственных информационных системах, создаваемых и эксплуатируемых на территории Российской Федерации, а также в муниципальных информационных системах, если иное не предусмотрено законодательством Российской Федерации о местном самоуправлении."

Т.е. можно сделать вывод, что это замена СТР-К в части информационных систем без акустики.

Напрягает использование термина конфиденциальная информация который напрямую в документе не определен и ссылка на внешний документ отсутствует.

Из приложения № 1 к документу:
"конфиденциального характера (служебная тайна, налоговая тайна и иные установленные законодательством Российской Федерации виды информации ограниченного доступа) "

Спорите потому, что в приказе о вводе Требований нет указания типа "требования СТР-К утратили силу". Пока не будет какого-то решения от отмене СТР-К (отдельного или в оном приказе), формально они будут действовать вместе что-то на подобии "в части не противоречащей друг другу". А это вполне может касаться акустики и вообще ТКУИ, т.к. ссылок на Временные методики или на иные "новые Временные методики" ФСТЭКа в вводимых Требованиях нет. Если, конечно, не рассматривать "всеобъемлющей" фразы "методические документы ФСТЭК России, разработанные и утвержденные в пределах ее полномочий".

Сказанное аналогично относится и к классам защищённости. РД АС не отменяли, значит его классификация защищённости от НСД действует с вновь введённой "от уровня значимости информации (УЗ) конфиденциального характера, обрабатываемой в этой информационной системе, и масштаба информационной системы (федеральный, региональный, объектовый)".

Жаль что негосударственные информационные системы опять остались в стороне. Для них, наверное, "рассекретят" СТР-К или же придётся ждать отдельной бумаги. Ну, почему так сложно сделать один нормальный открытый документ для всех ИС или АС, работающих не с гостайной?! А то складывается впечатление, они искренне, как дети, верят, что их количество отдельных документов когда-нибудь перейдёт в качество...

Тем не менее документ интересен тем, что ФСТЭК попытался приравнять автоматизированные системы и информационные. Получилось "забавно", особенно, когда намешаны термины и некоторые требования противоречат друг другу. Например, как выполнить одновременно п. 17 и 17.2 или вот жесть ещё больше - 17 и 18. Такое ощущение, что под аттестацией понимаются сертификационные испытания СЗИ.

Прошу не судить строго мои высказывания - это был результат первого впечатления от прочитанного. Обычно после повторного прочтения ряд претензий уходит :-)

Остается очень много вопросов. Радует что лед тронулся.

Я так понимаю документ было бы неплохо согласовать с ФСБ в части распространения на госоргоны и использование криптографии.

Без согласования ФСБ не понятно как они собираются это распространять на государственные информационные системы.

Без использования криптографии не понятно о какой вообще современной защите идет речь.

Нигде не могу найти утвержденный приказ № 17 от 12.02.2013. Он вообще существует или так и остался проектом?

Дмитрий, насколько знаю, 17-ый приказ проходит регистрацию в Минюсте.

Уважаемый Комрад!
А откуда следует что это СТР_К -?
Во первых ссылка не рабочая.
Во вторых мне кажется это совсем другой документ
Вот из него выдержка:
12 февраля 2013г. приказом ФСТЭК России №17 утверждены требования о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (ГИС).

Данный документ установил требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) при обработке в государственных информационных системах. Кроме того при обработке в государственной информационной системе информации, содержащей персональные данные, требования Приказа №17 должны применятся наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства РФ от 1.11.12г. №1119.

Это оно или нет?
Вот ссылка http://soft.lissi.ru/articles/1/
Только это не СТР_к