аттестация ГИС - Форум по вопросам информационной безопасности

"Указано, во втором абзаце п. 2 :)"

3. Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении.

+ вспоминаем как классифицируются ГИС . Д+Ц+К

С другой стороны в п.2 установлена область применения документа

"В документе устанавливаются требования к обеспечению защиты
информации ограниченного доступа, не содержащей сведения,
составляющие государственную тайну (далее - информация), от утечки по
техническим каналам, несанкционированного доступа, специальных
воздействий на такую информацию (носители информации) в целях ее
добывания, уничтожения, искажения или блокирования доступа к ней (далее
- защита информации) при обработке указанной информации в
государственных информационных системах."

Всем хороши Трбования 17-го приказа! Все другие Регулятор вояет по образу и подобию.. Но вот 2-й абзац п.2 прямо ложка дёгтя! "..могут применяться.." касательно ГИС - это должны или на усмотрение обладателя (заказчика)?

to malotavr
Без обид, но опять вы, уважаемый, выборочно читаете. Про ГИС с общедоступной информацией уже говорил ранее. Весь вопрос в том, как трактовать фразу "могут применяться". imho, поскольку это не "рекомендательный характер", как в СТР-К указано, а "могут применяться", то как раз и выходит - либо применяются полностью (если решили применять), либо не применяются вообще. Для классических ГИС, разумеется, вопросов нет - там обязательны к применению. Только у топикстартера не классическая ГИС, ага...
И еще вопрос, как тогда коммерс решает, что конкретно из 17 Приказа ему выполнять? Т.е. нравятся мне, положим, пункты про моделирование угроз, разработку техпроекта, внедрение - их выполняю, а аттестация не нравится (да и половина моментов в финальной таблице тоже) - их игнорирую? Прикольная позиция, ага...

ЗЫ Раз "общедоступная информация", то это уже явно не ИОД. Значит, соблюдены не все условия зоны действия 17 Приказа (согласно п. 2). Значит, упираемся только в "могут применяться" и думаем, что имел в виду ФСТЭК под этим "могут" - лучше всего, через официальный запрос по своему региону, ага. Тов. Сергей, +1 к вашему троекратному посту...

Спасибо всем за ответы.
Согласен с oko, точку может поставить только запрос в ФСТЭК.
Что , видимо, я и сделаю.


PS: Прошу прощения за дублирования постов, видимо случайно нажал.

Уже чисто ради спора, раз уж топикстартер результатом удовлетворен :)

sekira,
п. 3 всего лишь говорит, что требования документа обязательны не для всех ГИС, обрабатывающих информацию ограниченного доступа, а только тех из них, которые находятся на территории РФ (что логично, потому что остальными занимается СВР). Иная трактовка недопустима, потому что п. 3 не может отменить п. 2 :)

oko,
фразу "могут применяться" никак не надо трактовать. Есть всего три типа норм: предписание, разрешение и запрет. Глаголы "может", "допускается" - это разрешение, оно означают всего лишь, что никто не вправе помешать вам руководствоваться этим документом, если вам это вдруг захотелось. Исполняете вы их или нет, полностью или частично, регулятора не интересует и интересовать не может. Это вам любой юрист скажет, и ничего другого ФСТЭК в виду не имеет, сто раз на совещаниях обсуждалось :)

> И еще вопрос, как тогда коммерс решает, что конкретно из 17 Приказа ему выполнять?

Как захочет, так и решает. Я, например,поступаю именно так как вы написали :)

"Уже чисто ради спора, раз уж топикстартер результатом удовлетворен :)"

Я очень благодарен всем ответившим, честно сказать удивлен столь отзывчивому сообществу.
Результатом не удовлетворен, просто вижу , что единства в проф. сообществе по этому вопросу нет, а значит мне, что бы обосновать свою точку зрения придется ее доказывать, а доказать можно только приложив письмо\разъяснение от ФСТЕК.

to Сергей
Все, что касается норм и правил надо узнавать у лиц, писавших эти нормы и правила. Форумные советы не отвечают на такие вопросы конструктивно. Есть только опыт из практики, но, зачастую, у каждого свой...

to malotavr
Не верю, чтобы ФСТЭК или другой регулятор когда-нибудь и кому-нибудь разрешал бы что-то частично и 'на свое усмотрение', если имеется четкий свод правил. В иной ситуации, пожалуй, да, решается по месту. Но раз уж...не буду повторяться, короче...
Мне, в целом, плевать и на решения совещаний, и на юр.аспект сего вопроса. Меня лишь одно волнует: сегодня требования начинают реализовывать частично, а завтра полиции морду бить с криками 'Нургалиев разрешил'! Ой, черт, опоздал - это ж уже было. Неопределенность решения порождает злоупотребление...

> доказать можно только приложив письмо\разъяснение от ФСТЕК

Это самый неправильный из возможных подходов :)

В ответ на запрос вы получите формальный ответ, 90% которого будет состоять из уже обсуждавшихся здесь фрагментов нормативных документов. Если вы надеетесь. что в ответе будет что-то дополнительное, то эта надежда напрасна: ни один чиновник ни одного ведомства не рискнет в письменном виде изложить свою личную трактовку нормативного документа. Запрос отправить стоит, но рассчитывать на пользу от ответа - нет.

Правильный подход - это сформировать свою собственную трактовку (разумеется, совместно с юристами, если не уверены в собственных силах). То есть "я считаю вот так, а если вы, уважаемый инспектор, с ней несогласны, то это ваша проблема, как вы будете свое несогласие обосновывать". Скепсис oko понятен:инспектор при проверке может не согласиться с вашей трактовкой, и это создаст вам определенные проблемы. Что с этим делать - вопрос личного опыта, навыков и уверенности. Говоря, что "может" - это разрешение, не обязывающее к чему-либо, я основываюсь на собственном опыте: в моей работе были прецеденты, когда инспекторы пытались заставить компанию отказаться от того, что мы считали правильным, но им это ни разу не удалось. Но не факт, что то же самое удастся сделать вам.

Поэтому оптимальный для вас вариант - не кидаться аттестовывать систему, но заранее озаботиться вопросам "что я буду делать, если от меня это потребуют". Если ваш лицензиат говорит вам, что может аттетстовать вашу систему за смешные деньги и смешные сроки - или аттестуйте ее сразу, или используйте это как резервный вариант, если при проверке вам выкатят замечание. Если система сложная и аттестация долгая, и денег на нее у вас нет - готовьтесь бодаться и оспаривать возможные претензии со стороны проверяющих. Даже если вдруг в вашем ТУ работают неадекваты, которые трактуют "может" как "обязан", то это лечится жалобой в центральный аппарат ( с указанием конкретных обстоятельств и аргументов, почему считаете их мнение неверным).