Соблюдение требований ФСТЭК по защите ИСПДн 1-го класса - Форум по вопросам информационной безопасности

Уважаемые товарищи!
Нужна ваша помощь.
Честно говоря уже голова идет кругом.

Если вкратце то просьба о помощи разобраться в документационном обеспечении по требованию ФСТЭК.
---------
Мы являемся отделом ЗАГС - муниципальным органом.
ИСПДн нашей организацией можно отнести к классу К1.

И вот возникает непонимание, что какие документы готовить и мероприятия проводить. Вообще с чего начинать.
Конечно кое что я знаю, но, честно говоря, в голове "каша" поэтому просьба, пожалуйста помочь все разложить по полочкам.

1) До недавнего времени действовало постановление Правительств 781, исходя из которого были разработаны 58 Приказ ФСТЭК и 55/86/20. Сейчас его отменили и не понятно данные приказы действуют или нет? В частности согласно 55/86/20 необходимо было в обязательном порядке проводить классификацию ИСПДн. А после отмены?
2) Новое ПП 1119 устанавливает новые варианты классификации. Разработана ли методика или нет? И возвращаясь к первому вопросу эта новая классификация дополняет 55/86/20 или заменяет?
3) Что-то еще всплывает из памяти про некую аттестацию объектов автоматизации, где осуществляется обработка ПД.
4) Есть какие-то классификации защищенности АС от НСД
5) И вообще есть документ СТР-К, который хрен получишь, но требования его исполнять необходимо.

Товарищи помогите, пожалуйста, разобраться что к чему:
Какую-то последовательность действий выстроить.
Скажем:
1) Подготовить такой-то перечень документов...
2) Провести классификацию по такой-то методике...
3) Провести аттестацию на соответствие таким-то требованиям...

Может быть этих пакетов документов и всякого рода аттестаций будет несколько. Просто дурдом какой-то.

Антон. постараюсь ответить на Ваши вопросы.

1) Постановление Правительства № 781 отменили, в связи с выходом ПП 1119, следовательно проводить классификаци не требуется, Приказ №58 так же утратил смысл, хотя формально еще действует.
2) Пока официально опубликовано только ПП 1119, документы ФСБ и ФСТЭК есть только в виде проектов. Окончательный вариант их должен появиться в 1-2 квартале 2013 г.
3) Требования обязательной аттестации ИСПДн нет, только добровольно
4) Посмотрите эти документы:
- РД ГТК «Средства вычислительной техники. Защита от НСД к информации. Показатели защищенности от НСД к информации»
- РД ГТК «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация АС и требования к защите информации»
5) СТР-К есть.... получить можно, написав письмо во ФСТЭК и заплатив денюшку :) При условиии что у Вас организовано конфиденциальное делопроизводство

Поэтому пока предлогаю Вам дождаться выхода документов ФСТЭК, а в это время выполнить требования ПП 211 от 21 марта 2012 г.

TIP
1) Постановление 781 действительно отменили, а вот приказ ФСТЭК 58 и трехглавый приказ 55/86/20 никто не отменял и ничем не заменял соответственно понятие классификации ИСПДн существует до сих пор, к классификации надо добавить пункт уровни защищенности и в соответствии с этими уровнями защищенности вы должны выполнить требования ПП 1119 и приказа 58
2) действительно так
3) понятие аттестация употребляется только для конфи и ГТ для ИСПДн аттестации как таковой нет ее проводят в соответствии с требованиями для конфиденциальной информации
4) действительно так
5) действительно так

Да ладно, трехглавый приказ действует? А давайте почитаем приказ тот? Открывае трехглавую бумажку и для интересу читаем буковки прям с самого начала:

Федеральная служба по техническому и экспортному контролю № 55, Федеральная служба безопасности РФ № 86, Министерство информационных технологий и связи РФ № 20, В соответствии с пунктом 6 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденного Постановлением Правительства Российской Федерации от 17 ноября 2007 г. N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных",

- ухты, а что там про пунк 6, какого постановления.. 781.. а не тот ли это, который отменили..

58 приказ действительно при этом жив, но вот незадача - классов больше нет, и в результате то, что в нем осталось, превратилось в брошюрку ликбеза "а вот какие есть угрозы, а вот как можно защититься", с необязательными рекомендациями. Потому как все обязательное там по классам, а они у нас теперь отстутвуют.

По теме топика - у вас сейчас система, обрабатывающая "иные" категории ПДн, для вас актуальны угрозы 3 типа, отсюда ваш требуемый уровень защищенности 3 или 4, в зависимости от того, есть ли у вас 100000 записей (если нет - то 4). Это можете и отобразиться в акте классификации.
На этом, собственно, все (возможно как муниципалам еще разве в роскомнадзор уведомление выслать с этой классификацией.. сходу не помню, в закон лезть лень :) ). Ничего аттестовывать вам не надо, требований таких нет пока. Вам нужно на 4 уровень:

а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
- причем нет требований, как вы это сделаете. Пока что - на ваш свободный выбор (например, двери запираются на ключ в нерабочее время).
б) обеспечение сохранности носителей персональных данных;
- опять таки, требований нет. До их появления как хотите, так и обеспечивайте (например, иконка Богородицы на стене комнаты - а почему нет).

в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

- вот этот документ всяко придется делать, следовательно его нужно сделать.

г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
- если вы не считаете, что применение таких средств необходимо, можете не использовать. На всякий случай, стоит написать об этом краткую бумажку, вместе с актом классификации.

Собственно, на 4 уровень - все. Также полезным было бы назначить приказом ответственного за обеспечение безопасности ИСПДн, этим вы выполните требования сразу для 3 уровня (вместе с вышенаписанным).

И далее - ждать выхода нормативки от ФСТЭК сотоварищи.

1. Строго говоря, отмена нормативного акта означает отмену всех нормативных актов, принятых в соответствии с ним. Поэтому эти два документа не подлежат применению.

Насколько я знаю, сейчас идет его утверждение и регистрация в Минюсте новых требований по ПД. С их выходом старый докуемнт будет официально признан утратившим силу.

5. Аналогично с СТР-К. В данный момент на утверждении и регистрации находится финальная редакция требований к государственным информационным системам. После регистрации выйдет информационное письмо по поводу СТР-К.

2. Заменяет
4. В проекте есть отсылки РД СВТ и РД МЭ.(6-4 классы). РД АС неактуален и к ИСПД не применяется.

AIB
а где вы видели то что отменили трех главый приказ? вы видели какой то документ который заменяет его или приказ об отмене? если нет то и суда нет если вы прочитаете в добавок начало приказа фстэк 58 то у видите что в нем написано:
В соответствии с пунктом 3 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 г. N 781 (Собрание законодательства Российской Федерации, 2007, N 48, ст. 6001),

практически тоже самое что и в трехглавом они опираются на ПП 781 однако документа который бы отменял действие этих двух приказов нет отсюда причинно следственная связь о том что документы действуют и пока документа нет который бы их отменял мы руководствуемся в работе ими.

> нет отсюда причинно следственная

Зря спорите. Причинно-следственная связь есть.

Приказ 58 и "приказ трех" приняты в соответствии с ПП-781. Отсутствие обязанности в исполнении в исполнении ПП-781 означает отсутствие обязанности исполнять и эти документы тоже. Нормативные документы не могут "висеть в воздухе".

Но это - теоретический спор. На практике нужно быть больным на всю голову, чтобы исполнять устаревший нормативный документ, зная о существовании кардинально отличающегося проекта нового документа. Даже если вдруг придет проверка и оштрафует организацию за неисполнение приказа 58, ущерб для организации - тысячи рублей, и он произойдет с ведома и одобрения руководства компании. Если вы выбьете средства на выполнения требования приказа 58 и их отменят в течение года - ущерб организации составит от нескольких десятков тысяч до нескольких миллионов рублей, и он произойдет из-за дурости вполне конкретного исполнителя.

Иван, ФТЭК не может приказывать "кому угодно и что угодно". Для того, чтобы что-то приказать, ФСТЭК должен мочь юридически обосновать, на основании чего он вообще это приказывает. Это может быть отдельный федеральный закон, который дает ФСТЭК такие полномочия. Например, именно поэтому могут вас задержать вопределенных случаях сотрудники полиции, а не потому, что у них пистолет, а у вас его нет. Тогда приказы ФСТЭК в области, _указанной_в_законе_, будут распространятся _на_тех_кто_указан_в_законе_ - также до тех пор, пока закон не отменят.
Но в данном конкретном случае, обоснование приказа находится в его тексте и апеллирует к 781. Таким образом, после отмены 781, ни у кого не остается оснований требовать исполнять данные требования. То есть, другими словами, нет ответа на вопрос "а на основании чего вообще нужно исполнять 58 и трехглавый?" - ФСТЭК не госдума, и что в голову взбредет написать не может (верене, может :) но это в таком случае не будет обязательным к исполнению).
То есть вопрос вывернут наизнанку - для того, чтобы данные приказы продолжали действовать, именно ФСТЭК должен озаботиться выпуском соответствующих дополнительных приказов.

Уважаемый malotavr, не сомневаюсь в Вашем профессиональном знании дела, но глупо верить что изменятся требования по защите ИСПДн и придется заново тратить миллионы, я лично по тле-ну беседовал с представит. управления ФСТЭК, правда это еще было осенью и не было нового ПП, он мне ответил что если какие-то изменения и будут, то на колени никого ставить не будут , примерно в 3-х словах о чем была речь: меняете 2 бумажики и готово. На сегодняшний момент так оно и есть меняем акт классификации и частично МУ, внедренные СЗИ менять не придется.