Взаимодействие с органами госвласти - Форум по вопросам информационной безопасности

2 oko
Вам волю дай, вы все компьютеры на всех гос- и полугоспредприятиях по 17-му аттестуете. Что, в Газпроме, в РЖД и в обронке сплошные ГИСы?
То, что Вам говорят отдельные сотрудники ФСТЭК - это просто слова. А попробуйте-ка направить им официальный запрос типа "считать ли ИС такую-то ГИС?" - вряд ли получите конкретный ответ: переведут стрелки на Минкомсвязи.
Есть постановление 676, где довольно внятно прописаны основания для создавания ГИС. Никакие Газпромы туда не лезут, ибо нет у них властных полномочий.

2 Константин
ПДн это конфиденциальная информация. Более того, согласно Постановлению 1233, для госорганов это одновременно еще и ДСП. Вы предлагаете госорганам защищать ПДн по СТР-К?
Проблема в следующем: СТР-К устанавливает некие требования (перемешанные с рекомендациями). Но нет федерального закона, обязывающего эти требования выполнять.

Константин,
можете указать критерии, по которым вы относите информацию к служебной тайне? Каким федеральным законом вы руководствуетесь?

2 WORM

Спасибо, я понял. Был не прав.

Тогда получается любая ДСП, кроме ребят подпадающих под 1233 вне закона? Во многих гос. органах до сих пор ходит ДСП, получается на данный момент этой всё блеф?

Ну, не то, чтобы "вне закона". Просто закон пока не определил, что есть "служебная тайна". Законодатель наш пока не курсе дела))

А то, что в госорганах ходит ДСП - так это как раз верно. Другое дело, каковы требования по ее технической защите - опять же в нормативных документах не определено.

2 WORM

Так почему же верно, что ходит ДСП, если гос органы должны работать по системе - запрещено всё, что прямо не разрешено законом, а получается наоборот.

Они просто выполняют Постановление Прав-ва 1233, которое их непосредственно касается.

Переливание из пустого в порожнее... Про отсутствие юр.смысла пометки "ДСП" уже несколькими постами ранее сказал (да и на форуме это обсуждается постоянно с завидной периодичностью - стоит только поиск заюзать). Про обязательство (вернее, его отсутствие) приемной стороны в данной конкретной ситуации - тоже.
Вывод: не хотите в данной ситуации защищать информацию с пометкой "ДСП" - не защищайте. Не установили норм и правил - ничего не делайте. А лучше сразу все это сливайте в общий доступ - вот потеха-то будет...
То, что существует ПП 676 я в курсе. Но, тов. WORM, вы правы - дай мне волю, всех бы обязал аттестоваться под 17 Приказ, если идет речь о конф. ИОД государственного уровня. Хотя бы, исходя из двух принципов: "чтобы не прое*ли" и "чтобы не подменили". А также поскольку по СТР-К и РД АС НСД, что защищать, что аттестовать современные ИС - еще больший бред...
Считайте меня кем угодно, но мне всегда казалось, что защищенность ИОД, пусть даже возведенная в некоторых моментах в абсолют, куда лучше незащищенности и открытости. Во всяком случае, на текущем этапе развития информационного общества...

ЗЫ А про Газпром, РЖД и иже с ними... Один вопрос, когда есть концерн, принявший свою политику безопасности, пусть и отличающуюся от общеутвержденных той же ФСТЭК. Другой - когда есть "организации промышленности", в которых нет никаких правил, регулирующих обращение с государственной ИОД. Тогда следует применять любой адекватный документ - хуже точно не будет. На безрыбье, как говорится, и лошадь становится раком...

А те которых не касается?

oko | 65559

ЗЫ А у вас позиция по сути вопроса топикстартера какая? А то второй раз уже исключительно разбор моих ошибок без конкретики по теме...

Топикстартер, к сожалению не уточнил про это самое взаимодействие: будет оно осуществляться на равных условиях (госконтракт) или это реализация властных полномочий органа госвласти. В первом случае все требования должны быть оговорены в договоре, во втором - порядок передачи определяет сам госорган в ведомственной инструкции, составленной на основе ПП 1233.

тов. oko, я ведь не призываю не защищать ИОД. Я говорю, что аттестовать все ИС во всех гос- и полугос- конторах весьма разорительно. Поэтому и нужно отделить мух от котлет, и аттестовать только котлеты.