Аттестация по СТР-К - Форум по вопросам информационной безопасности

Smak, если вы лицензиат ФСТЭК, то требования СТР-К на вас распостраняются, если нет, то - нет :)
malotavr:
"Юридически данное положение распространяется и на гостайну, и на конфиденциальную информацию. Отличие только в том, что объект автоматизации для гостайны аттестуется в обязательном порядке, а для конфиденциальной информации - по желанию владельца. Процедура при этом одинаковая, и наличие аккредитации обязательно."

Положение по аттестации распосранятеся только на гос. тайну. Это видно из перечня законов на которых оно базируется. Про конфиденциалку там ни слова. Такое же мнение во ФСТЭК имеют.

Smak, если вы лицензиат ФСТЭК, то требования СТР-К на вас распостраняются, если нет, то - нет :)
malotavr:
"Юридически данное положение распространяется и на гостайну, и на конфиденциальную информацию. Отличие только в том, что объект автоматизации для гостайны аттестуется в обязательном порядке, а для конфиденциальной информации - по желанию владельца. Процедура при этом одинаковая, и наличие аккредитации обязательно."

Положение по аттестации распосранятеся только на гос. тайну. Это видно из перечня законов на которых оно базируется. Про конфиденциалку там ни слова. Такое же мнение во ФСТЭК имеют.

В соответствии с "Основными мероприятиями по организации и техническому обеспечению безопасности ПД.... " операторы ИСПДн 1 и 2 классов должны получить лицензию на осуществление деятельности по техзащите конф.информации. Означает ли это, что его должны будут получить все операторы, обрабатывающие ПД? (поликлиники, школы, ТСЖ, туроператоры и т.д.)

Это хорошо, что ФСТЭК разумно трактует собственные документы, потому что из самого положения это не следует. :)

Виталий, ну школы наверняка не К1 обрабатывают. А так, во ФСТЭК особо указывали что должны получить.
Но это спорно на самом деле.
Например: поликлиники скорее всего будут защищаться централизовано каким-нибудь департаментом Здравоохранения, учебные заведения - аналогично, ТСЖ и туроператоры тянут на К3 всего лишь. Так что, не так все страшно.

Вообще достаточно (возможно) заключить договор с конторой которая имеет соответсвтубющую лицензию

Требуется ли защищать персональные данные (ПД) в ООО ведь это конфиденциальная информация (постановление правительства №781 от 17.09.2007) или это по желанию? Зависит или нет защищать или нет ПД от форм собственности и принадлежности предприятия?

Требуется - в соответствии с федеральным законом :)
От форм собственности это никак не зависит (ото обязанность любого субъекта права, включая физическое лицо, не занимающееся предпринимательской деятельностью)

На счёт надо или нет теперь понятно. Но... либо осуществить организационно-технические мероприятия и на этом всё, либо аттестовать на полную катушку вплоть до аттестации помещений где циркулирует речевая "конфи инфа"??? Это означает, что попадаем под контроль ФСТЭК. Наше предприятие не имеет лицензий и аттестата аккредитации ФСТЭК. Будем приглашать лицензиатов это тоже понятно. Я сам (в недавнем прошлом) из них...

Smak, для начала определите класс системы вашей. От этого будет зависить технические мероприятия.

Если ваша система не имеет функций голосового ввода или вывода - то помещения защищать от утечки речевой информации не надо.

Так как вопрос о возможности предоставления услуг по технической защите конфиденциальной информации при наличии лицензии на данный вид деятельности с правом выдачи аттестата соответствия меня тоже очень волнует, я решил позвонить непосредственно во ФСТЭК. Позвонил во ФСТЭК по уральскому ФО. Получил ответ, что организация которая имеет лицензию на деятельность по ТЗКИ без каких либо ограничений (напр. только в части НСД) и которая обладает набором необходимого оборудования и ПО имеет право выдавать аттестат соответствия по требованиям безопасности информации. Остается вопрос, что такое аккредитация и для чего она нужна в рамках конфиденциалки.