Несправедливая система - Форум по вопросам информационной безопасности

Ник соответствует теме.

Мы маленькая подгосударственная конторка, которая нах никому не нужна, но у нас есть ПД.
И их нужно защищать по требованиям ФСТЭК.

Написал письмо в эту контору с просьбой разъяснить некоторые моменты. А так же проконсультировать по конфигурации сети и еще защите.
Почему именно к ним?
Да потому что они вроде бы как независимый госорган.
В итоге на эту просьбу получил ответ, что за подобными консультациями нужно обращаться к лицензиату.

Описал сеть лицензиату, а эта сеть состоит из 4 компов. Лицензиат насчитал сумму более 150 т.р.
уроды.

Т.е. получается, они же проводят анализ и они же реализуют систему защиты.
Какая тут нахрен независимость. Им бабло нужно.

Где получить консультацию не знаю.

Дебильная страна.

"Где получить консультацию не знаю"

У любого другого лицензиата.
А еще лучше разобраться самому 152 ФЗ ППр 1119 Приказ ФСТЭК 21 и ВСЕ!

>Описал сеть лицензиату, а эта сеть состоит из 4 компов. Лицензиат насчитал сумму более 150 т.р.
уроды.

Лицензиатов много, список есть на сайте ФСТЭК. О консультации можно договориться всегда и бесплатно, но надо понимать, что люди работают и хотят за это денег.

>Т.е. получается, они же проводят анализ и они же реализуют систему защиты.
Какая тут нахрен независимость. Им бабло нужно.

Они предлагают сделать всё за вас и хотят за это денег. Страное желание, правда?
Делайте сами, никто не запрещает. Заведите у себя специалиста, обучите его. Купите средства защиты, поставьте и настройте. Подготовьте около 25 документов, правильно их оформите, согласуйте. Вся нормативка в открытом доступе, даже образцы легко находятся.

>Где получить консультацию не знаю.

Можно попробовать здесь. Нужно подробно описать свой объект и вежливо попросить. Можно залезть даже на сайт Роскомнадзора или сходить-позвонить туда.

>Дебильная страна.

Со страной всё в порядке, вот с населением беда. Не разобравшись в вопросе, пишет на форумах всякую чушь.

Несовсем понятный вопрос. Вы же бесплатно не работаете, получаете зарплату, рассчитываете на премии за свою работу, а на других накидываетесь по причине, что люди хотят денег за свою работу. К тому же это не единственный лицензиат и вы можете вполне обратиться к другому и выбрать любого исполнителя из доступных лицензиатов.
А вместо этого пишете оскорбления на форуме.

2Крик души:

Вы ошибочно полагаете, что сложность работ по защите системы и приведению ее к соответствию зависит исключительно от количества компьютеров в ней. Это совершенно не так. Бывают простые случаи с сотней рабочих машин и серверами, бывают сложные с десятком рабочих станций.
В любом случае, для приведения системы в соответствие, придется разобраться в сути происходящих процессов - причем не только тех, которые вы сами посчитаете важными, а всего рабочего процесса. Определить все данные, которые там находятся, понять, как снизить классификацию. Определить круг лиц, которые работают с информацией, классифицировать и их тоже. Подготовить общие политики и частные регламенты и инструкции - пусть и на основе шаблонов, но их нужно привести к вашему случаю. И после этого понять, какие технические средства применять. Кстати, у вас там еще и СТР-К будет, как у госоргана, если правильно понял вашу принадлежность.
При этом, на текущий момент полной ясности с последним пунктом - что же применять для того, чтобы было заведомое соответствие, все еще нет.
Вот за все это с вас попросили 150т.р.
Можно сэкономить и сделать самостоятельно, в принципе это не квантовая физика. Консультации можно получить на форумах :)

"Кстати, у вас там еще и СТР-К будет, как у госоргана, если правильно понял вашу принадлежность"

Будет 17 приказ ФСТЭК !!

Всем.

1. Факт контора которая реализует систему защиты. По определению не может быть не независимой в своих оценках.
Т.е. конечно там могут быть честные люди, м/б там даже все честные люди. Но так дела не делаются.
А поскольку у нас в городе нет больше контор такого плана, то...
2) Никаких разработок документов, по крайней мере основного комплекта нам не нужно. Т.е. доработка там нужна. но это мелочи.
На самом деле они проводили у нас где-то чуть больше года назад весь комплекс работ.
С этого момента добавился 1 ПК и его же подключили к интернету (раньше не было инета в ИСПДн).
Я звоню лицензиату и прошу уточнить сколько будет стоить дополнительные исследования для того что бы привести ИСПДн к требованиям с учетом этого обновления железа.

Мне
присылаю прайс:
- Анализ и доработка представленных заказчиком документов - 17000
- Проведение контроля защищённости АС от НСД и от утечки информации по каналам ПЭМИН - 21000
- Проведение комплексных испытаний, оформление аттестационных документов (протоколы по результатам испытаний, заключение) - 47000
- СЗИ.... 9000 р
- Установка и настройка СЗИ... 3500
- Межсетевой экран ALTELL NEO 100 FW - 36500
- Установка и настройка Межсетевой экран ALTELL NEO 100 FW - 14000

А теперь далее.
Во-первых, цены высокие за год они процентов на 30-40%
Во-вторых, спрашиваю. а зачем железяку 100 FW?
Говорят что бы защита была (гениально).
Говорю у нас есть да программный, но тем не менее имеющие все сертификаты МЭ.
Ответ Вы можете не покупать, но тогда скорее всего у вас аттестация не пройдет.

Я и просил ФСТЭК уточнить нужен нам этот ALTELL. когда уже есть программные средства сертифицированные (ViPNet Клиент КС2 в составе ViPNet CUSTOM 3.2).

Они отослали к лицензиату.

Я думаю, что лицензиат просто хочет содрать бабло и все.
Да, никто за бесплатно не должен работать, но наглеть тоже ненужно в силу своего монополизма.
Ладно хрен с ними.
Но как я еще могу узнать нужна эта железяка или нет.
И в сложившихся условиях я не верю лицензиату, а госорган не хочет давать такие консультации.



ЗЫ.
Рассказывал мне один человек знакомый, что этот лицензиат выполнил весь комплекс работ их конторе, а когда приехали ФСТЭК, то все равно их чпокали. Вот так вот.

Значит это х.....ый лицензиат, обращайтесь в другие субъекты РФ, порой они заведомо падают в цене, что бы привлечь клиентов....нежели ваши местные., а на счет вашего знакомого, у них х...ые юристы, в договоре необходимо было обговорить все камни в случае проверки...

ошибочное мнение, что если лицензиат всё сделал, то вам как оператору ПДн ничего делать не надо. Ведь необходимо чтобы у вас велись соответствующие проверки, журналы, соблюдались прописанные процедуры безопасности и т.п. Часто у оператора ответственный за ПДн увольняется, а они даже приказ о назначении нового не выпускают, а потом удивляются почему их проверяющие "чпокали"

Автор: jeeet ,
безусловно Вы правы, но за качество той же самой МУ должен нести ответ ее автор, а нет тот кто ей руководствуется.