как работать по приказу ФСТЭК 17-2013 (о ГИС) - Форум по вопросам информационной безопасности

"14.3 и 21 Требований, утвержденных приказом ФСТЭК России от 11 февраля
2013 г. № 17, в настоящее время в ФСТЭК России завершается разработка
методических документов по
описанию содержания мер защиты информации в
информационных системах и
порядку моделирования угроз безопасности
информации в информационных системах.
Ориентировочный срок утверждения
документов – IV квартал 2013 г."
(ИНФОРМАЦИОННОЕ СООБЩЕНИЕ ФСТЭК от 15 июля 2013 г. № 240/22/2637 )

С 1 сентября 2013 г. владельцы (пользователи) ГИС всех уровней (а это формально начиная с сельских бухгалтерий) обязаны привести АС к требованиям Приказа. При этом методический документ "Меры защиты в ГИС" опубликован на сайте ФСТЭК только в проекте и в лучшем случае выйдет в первом квартале 2014, моделирование угроз (кроме ПДн) вообще ничем не разъяснено.
Кто может подсказать грамотную позицию при планировании работ и финансирования, а также "прикрытии спины", поскольку уже 3 месяца как "нарушаем".

> поскольку уже 3 месяца как "нарушаем"
А разве можно нарушать то чего нет? Вот меры появятся, тогда и будет "пища для ума"... Может Вас интересует что-то конкретное?!

Есть смысл посмотреть РД еще Гостехкомиссии России. Новых требований все равно не придумали.

> Есть смысл посмотреть РД еще Гостехкомиссии России. Новых требований все равно не придумали.

Имеет смысл посмотреть недавно опубликованный проект методического документа и не писать подобной чуши.

Malotavr, ну хочет человек посмотреть РД Гостехкомиссии. Ну, пусть посмотрит... Вызывает удивление тот факт, что для него "Новых требований все равно не придумали". Вот это странно...

Под чушью подразумевалось "не придумали", заявленное через неделю после опубликования документа :)

Для начала разберитесь, что такое ГИС и есть ли они у вас. Последнее время сталкиваюсь с тем, что многие считают, что в госоргане любую ИСПДн нужно по 17му приказу защищать. Не любая ИСПДн в госорганах по определению является государственной. Понятие ГИС четко указано в 149-ФЗ (пункт 1 части 1 статьи 13)

В том то и дело, что наразбирались вдоволь. И с юристами и специалистами. И даже более того, "тыкали носом" в положения 149-ФЗ разных представителей ФСТЭКа с просьбой объяснить нашу обязанность всё защищать и аттестовывать в госоргане по 17-му приказу. У этих ответ был один: если компьютер куплен за государственные деньги, значит он является частью государственной информационной системы (иначе не целевое использование со всеми вытекающими). Видимо у них на этот счёт пришли "сверху" единые для всех методические разъяснения. И посему наши аргументы не воспринимались. А частенько и собственное руководство давало ясно понять, что не желает вступать в прения ни с ФСТЭКом, ни с кем-нибудь ещё по этому вопросу. Так что вот так.

поддержу предыдущего оратора:
"если компьютер куплен за государственные деньги, значит он является частью государственной информационной системы" - такова позиция ФСТЭК в СФО, а она в свою очередь продиктована "центром"...
И ссылками на ЗАКОН (149-ФЗ пункт 1 части 1 статьи 13+статья 14) их вообще не убедить - им на на него в определенные моменты плевать - "закон, что дышло - куда повернешь, то и вышло"...

Если "центр" диктует регионалам "натягивать" вещные права на обязательственные, то тут хоть затыкайся в законодательные ссылки. В таких случаях наука и медицина попросту бессильны...