Консультация по ИСПДн - Форум по вопросам информационной безопасности

> В нормотворчестве термин "автоматизированная система" неофициально признан анахронизмом, и вместо него используется термин "информационная система".

Ну, ведь целая серия ГОСТ 34.х достаточно активно используется и айтишниками и безопасниками. И, на сколько знаю, в НМД по защите гостайны также используется именно термин "автоматизированной системы". Тогда весь этот "пласт" деятельности тоже следует негласно признать анархаизмом?!

> серия ГОСТ 34.х... НМД по защите гостайны...

Если быть совсем точным: "Термин «автоматизированная система», установленный ГОСТ 34.003, следует считать эквивалентным термину «информационная система», установленному Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и используемому в нормативных правовых актах и методических документах уполномоченных федеральных органов исполнительной власти." (примечание, которое появится в новой версии ГОСТ Р 51624)

В нормативных документах (которые проходят регистрацию в Минюсте) используется только словосочетание "информационная система", потому что оно каноническое, определенное законом. В методических документах, принимаемых после 2006 года - тоже, для единообразия. "Автоматизированная система" остается только в упомянутых вами древних манускриптах плюс в новых стандартах, которые разрабатываются как связанные с серией 34 (тот же ГОСТ Р 51624, который в ноябре приняли в окончательной редакции).

Не согласен с тем, что термины "автоматизированной системы" и "информационной системы" следует считать эквивалентными:
- автоматизированная система; АС: Система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.
- информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств.
Разве они эквиваленты?
В первом термине ясно указано, что АС - это прежде всего персонал и средства автоматизации его деятельности. Кроме того, информационная технология направлена на выполнение установленных функций.
Во втором термине мы видим, что ИС - это некая совокупность информации и информационных технологий и технических средств, обеспечивающих её обработку.
На мой взгляд, автоматизация целенаправленной деятельности должностных лиц (персонала) совсем не тоже самое, что совокупность информации и её "инструментария". Инструментарий без цели больше "смахивает" на набор возможностей. Например, в жизни не встречал человека, который на 100% использовал инструментарий того же MS Word. Т.е. возможностей заложено много, а на практике пользователи используют только то, что им надо.

Главное: ни коем образом не берусь утверждать, что одно определения лучше другого. Нет. Просто на мой взгляд они разные. Поэтому и использовать документы, оперирующими данными терминами, наверное, тоже следует по разному. И относить к древним манускриптам активно используемые "в народе" документы пока ещё всё-таки рано.

Расширение понятия для конкретного описания сути, не более. Шаг от НМД 90х гг. к современным реалиям. Информационная система - система, зачастую предоставляющая доступ к информации бОльшему кругу пользователей, включая анонимных (к примеру, web-портал) - не только и не столько персоналу-организации, обслуживающей, управляющей и эксплуатирующей ИС. Недаром в 21 и 17 приказах появились пункты про ИАФ, РПД и т.д. для "внешних пользователей" ИС. Автоматизированная система - система и жестко определенный для нее состав пользователей (управленцев, эксплуатантов и т.д.). Семантическая корреляция терминов проста: если в ИС перечень пользователей явно определен и состоит из персонала организации-владельца ИС - эквивалентно "автоматизированной системе". Иначе - употребляется "информационная система" в полном понимании каждого слова и приведенной выше гостированной терминологии. Вы же систему класса "ЦОД + удаленные рабочие места абонентов" под понятие АС не подгоните, не так ли?
С другой стороны, разность АС и ИС очевидна по НМД. АС - для гос.тайны и конфы, ИС - для перс.данных и "конфы-в-гос-секторе". Для всего остального есть АСУ ТП (перефраз рекламы про MasterCard, извините, не удержался). Так что никакой путаницы или подмены понятий нет. Оперируйте чем хотите, называйте "розу" "лопатой", но, только, не пытайтесь ею копать...

oko, почему Вы решили, что в определении АС речь идёт только о персонале организации? Так запросто взяли и ограничили понятие персонала АС только рамками организации. Во всей серии ГОСТов 34.х и других НМД использующих понятие АС нет ограничения по кругу персонала АС. Более того в используемых на производствах "старых" инструкциях неоднократно видел, как к числу персонала относили в том числе обслуживающий персонал, который непосредственно не относился к работе с защищаемой информацией на АС, т.е. не был связан с непосредственной её обработкой (например, уборщицы, ремонтники, работники, проводящие регламентные работы с оборудованием и ПО АС).
В определении ИС, вообще, нет "привязки" ни к персоналу ни к пользователям.
В жизни чаще видел, что для "отделения" одной ИС от другой дают ей название: ИС такая-то или такая-то ИС (например, ИСПДн или ГИС), т.е. дать ей какое-то качественную характеристику в названии. В то время как по отношении к АС всегда использовалась "привязка" - чего, какого процесса либо просто ей давалось наименование (например, АСУ, АСУ ТП, АС "РСП"). Правда, справедливости ради, стоит упомянуть про такую систему, как ГАС Выборы.

Да. И ещё. Относить вид системы к определённому виду обрабатываемой информации (АС - для гос.тайны и конфы, ИС - для перс.данных и "конфы-в-гос-секторе"), вообще, не поддаётся здравому смыслу.

1. Суть приведенной мною разницы между ИС и АС по персоналу - во "внешних пользователях". Чтобы не растекаться мыслию по древу в АС, не стал указывать обслуживающий персонал, уборщиц, лиц-для-монтажа-привлекаемых и проч. В сущности, они не имеют и не должны иметь штатных прав доступа какого-либо уровня к защищаемой информации, обрабатываемой в АС. А в ИС такие пользователи (заранее не установленные, сторонние, внешние, как хотите) быть могут (выше уже приводил пример с web-порталом).
2. О понятиях и определениях, зафиксированных в ГОСТ вообще речь не идет. Если оперировать только ими, то последующие методики и проч. нормативные документы зачастую противоречат сами себе и своей предтече. Яркий пример: АС из нескольких сетевых АРМ в организации, предназначенная для набора, хранения и печати документов с ГТ-грифом. Как по ГОСТ с точки зрения вида деятельности ее обозвать? АСУ? Нет. САПР? Нет. АСНИ? Нет. Даже АСЗИ не подходит, поскольку (ведомство не то) изначально такая АС защищенной не создавалась. Вывод - просто АС "такого-то отдела такой-то организации". Если же вместо АС употребить нечто иное, неясно будет по каким НМД такую систему защищать.
3. Очевидно, следует употребить не "дают ей название", а "разделяют по принадлежности и функционалу". ИСПДн - ИС, предназначенная для обработки перс.данных. ГИС - ИС государственной организации. Термин "название" больше подходит для случая, к примеру, "ИСПДн "Кадры" в какой-нибудь организации.
4. Любопытно говорить о здравом смысле, не увидев: ".... разность... очевидна по НМД", что писал я выше. На всякий случай поясняю. Попробуйте найти в РД ГТК, на которых базируется защита от НСД в ГТ и в КОНФИ секторах, упоминание термина "информационная система". И напротив, поищите упоминание термина "автоматизированная система" в 21 и 17 приказах ФСТЭК, ПП 1119 и т.д. А, э, так-то, дружок, в этом-то все и дело (с) В.Высоцкий

Ваш спор столь же увлекателен, сколь и бессмысленнен. Тем более, что вы с ним опоздали года эдак на два.

Последний раз вопрос эквивалентности этих понятий обсуждался в комитете по стандартизации летом прошлого года. Разница между понятиями есть, но даже самые... скажем так, консервативные ревнители терминологии согласились, что "скажем дружно, нахер нужно". Обеспечить преемственнность стандартов и методических документов в связи с тем, что законодатель решил всместо "автоматизированная" написать в законе "информационная", оказалось намного впжнее.

Потому привыкайте, что информационная система, по определению, - это так же самая автоматизированная система (с персоналом и пользователями).

Про взаимозаменяемость понятий никто и не спорит. Хочется только внести ясность по употреблению терминов АС и ИС в тех или иных случаях. Чтобы принципиально не было несуразицы вроде "автоматизированная система обработки персональных данных", "информационная система обработки сведений, составляющих государственную тайну" и т.п. А то встречал документы, в которых "коллеги" вообще писали "информационная автоматизированная система". Так сказать, не вашим, не нашим...

И всё таки вопрос почему г-ном Oko персонал в определении АС ограничен делением на внешних и внутренних пользователей остался без ответа. Ни ГОСТы ни НМД не используют такого разделения, ни привязки к технологии доступа пользователей системы. Тот же ГОСТ 34.003-90 под понятием пользователя АС понимается лицо, участвующее в функционировании АС или использующее результаты её функционирования. При этом термин ИС вообще не содержит признаков ни персонала, ни пользователя, как неотъемлемая часть этой самой ИС.
За АС стояло большое количество отечественных документов, позволяющих решать различные задачи от создания АС до её эксплуатации. За ИС такого нет. До 2006 года хоть и действовал Федеральный закон 24-ФЗ 1995 года, использующий понятие ИС, но на практике активно использовалось понятие АС. С 2006 года законодатель одарил нас новыми законами 149-ФЗ и 152-ФЗ, обязал регуляторов генерировать под них соответствующую нормативку. И понятно, что на базе новой нормативки безопасниками была наработана своя практика. Данная практика, как следствие, была связана в большей своей части с ИСПДн и ИС в государственном секторе. Вот нас oko и убеждает, что "разность АС и ИС очевидна по НМД. АС - для гос.тайны и конфы, ИС - для перс.данных и "конфы-в-гос-секторе". Без ответа почему, на мой взгляд, такой подход не больше, чем действительное выдавать за желаемое.
В науке введение новых терминов (слов и словосочетаний) допустимо только в крайних случаях, когда ни один из имеющихся терминов не может описать соответствующее явление, процесс. В законодательстве и политической конъюнктуре на этом не заморачиваются.