Аттестация ИСПн - Форум по вопросам информационной безопасности

Добрый вечер.

Возможно, эта тема обсуждалась. Если да- то дайте пожалуйста ссылку.

Проводя аттестацию АС или ЗП, мы руководствуемся требованиям СТР-к. По слухам, требования для аттестации ИСПДн будут описаны в ГОСТе РО 0043-003-2012. Но пока он не издан, можете ли указать, какими требованиями руководствоваться?

Ждем в декабре новых документов ФСТЭК и ФСБ в дополнение ППр 1119.

для sekira: Так вроде ж в декабре только проекты обещают?

Проводя аттестацию АС или ЗП, мы руководствуемся требованиям СТР-к. По слухам, требования для аттестации ИСПДн будут описаны в ГОСТе РО 0043-003-2012. Но пока он не издан, можете ли указать, какими требованиями руководствоваться?

Руководствуемся СТР-К.
Аттестация ИСПДн вообще "непонятное понятие")
Аттестуйте АС и обрабатывайте там себе ПДн спокойно.

Доброго времени суток! Столкнулся с одной проблемой при аттестации ПДн у регуляторов ПДн. При составлении документов я указал, что мы проводим у них периодический контроль 1 раз в два года, на что была реакция неадекватная "нас проверять" и чуть ли документы не в морду лица, показываю СТР-К п. 3.24. а они - это ФСТЭК придумал, и вообще это рекомендации. ВОПРОС Каким еще документом подтверждаются мои слова о необходимости проведения периодического контроля, который носит не рекомендательный характер и как вообще в такой ситуации поступить. Они регуляторы.

Если говорить о внутреннем контроле соответствия требованиям по безопасности ПДн, то ПП-1119:
17. Контроль за выполнением настоящих требований организуется и проводится оператором (уполномоченным лицом) самостоятельно и (или) с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанный контроль проводится не реже 1 раза в 3 года в сроки, определяемые оператором (уполномоченным лицом).

А если про периодический контроль после проведения аттестации ИСПДн, то в Аттестате должно быть указано, когда проходить контроль и с какой периодичностью.

"А если про периодический контроль после проведения аттестации ИСПДн, то в Аттестате должно быть указано, когда проходить контроль и с какой периодичностью"

Можно ссылку на пункт документа где такое написано!?

"Каким еще документом подтверждаются мои слова о необходимости проведения периодического контроля, который носит не рекомендательный характер и как вообще в такой ситуации поступить."

В НМД нет обязательного контроля для объектов по КИ.
Поступать ... забить! Обязать вы не в силах, наказать вас регулятор за не проведение тоже не в силах.
Можете попробовать через год отобрать аттестат...: ))
А так очередное "белое пятно НМД" на форуме неоднократно обсуждалось!

<<<В НМД нет обязательного контроля для объектов по КИ.

да, действительно, обязательный контроль нигде не прописан, вот только что про это сказано в Положении по аттестации:
"Государственный контроль и надзор, инспекционный контроль за проведением аттестации объектов информатизации проводится Гостехкомиссией России как в процессе, так и по завершении аттестации, а за эксплуатацией аттестованных объектов информатизации - периодически в соответствии с планами работы по контролю и надзору"

т.е. попадёте в план проверок - проверят, не попадёте - нет

А кто сказал что положение по аттестации является обязательным для объектов КИ?

Для объектов по КИ аттестация вообще необязательна)