Правовое основание принятия Положения о защите ПД и т.д. - Форум по вопросам информационной безопасности

Timon, да Вы я вижу специалист! Вы знаете какие аттестаты выдаются на ИСПДн (на соответствие чему)? Цитирую: "...по классу 1Г (соответствует требованиям К1)" и так по всей России!
Далее приведенный текст sc63, -это почти слово в слово цитата СТР-К, почитайте, только вместо слов "ИСПДн" используется "конф. инф." А Вы вообще СТР-К читали?
стр-к П.3.5. "Организация работ по созданию и эксплуатации объектов информатизации и их СЗИ определяется в разрабатываемом «Положении о порядке организации и проведения работ по защите конфиденциальной информации» или в приложении к «Руководству по защите информации от утечки по техническим каналам на объекте» и должна предусмат-ривать...." и это только малая часть переписанного СТР-К. Местами слово в слово передрано!

Рекомендую сначала читать СТР-К. База понятий начинается с этого НПД и ктому же там все гораздо понятнее объяснено по этапам создания СЗИ

* А применимо ли вообще СТР-К к защите ПД?

В части подготовки ИСПДн к аттестации - это документ, которым руководствуется лицензиат.
Перечень требуемых документов, отражённый в СТР-К, не противоречит РД по ПДн, но выражен ясно и содержательно.

Сергей,
извините - не заметил Вашего соообщения, поэтому опубликовал по сути дубль.

sc63,
Документ как называется? "Рекомендации по обеспечению...".. Рекомендации - это рекомендации, пожелания, они не могут быть обязательными.

Обязательными являются только требования "Основных мероприятий...".

Спросить документы при проверке - могут. Но нарушением является только невыполнение обязательных требований.

Сергей,
изучив документы с 1992 года вы получите невкусный винегрет. Достаточно того, что с 2003 г. в законодательстве отсутствует понятие "конфиденциальная информация".

Оператор же обязан руководствоваться ФЗ 152 и принятыми в соответствие с ними НПА. Если в принятых до этого закона указах написано что-то, расходящееся с ними, его это волновать не должно.

Имхо.
Первичный вопрос - какие документы на какую (по классу) ИСПДн должны быть.
Рассуждения о статусе РД - контрпродуктивны и являются своего рода ковырянием в носу.

malotavr, "Документ как называется? "Рекомендации по обеспечению...".. Рекомендации - это рекомендации, пожелания, они не могут быть обязательными."

Это Вы потом, представителям ФСТЭК расскажите, когда Вам протокол выпишут.

Сергей, что же Вы так легко возбуждаетесь... Отвечаю на Ваши вопросы:
знаю
читал
Ваши рекомендации внимательно рассмотрю и учту в своих будущих действиях :)
malotavr, док-т хоть и называется "Рекомендации..", но в них фраза: "...обязательно разрабатываются..."
Думаю, Вы не будете утверждать то, что "Положение..." НЕ надо разрабатывать.
А то, что СТРК носит рекомендательный характер, а "РД по ПДн" обязательный - Вы абсолютно правы! Сергей, кстати, в этом вот истина.

Возвращаясь к вопросу:
"Положение об обработке персональных данных",

Исторически так сложилось, что первым документом, обязующим организацию иметь утверждённый документ, устанавливающий порядок обработки персональных данных, является Трудовой кодекс.

Timon: "СТРК ну вообще рядом не валялся с ПДн...." - вот что возмущает.

Человек просит помощи и СТР-К - основа, азы понимания ТЗКИ. Не забывайте, СТР-К это Специальные ТРЕБОВАНИЯ и Рекомендации по технической защите Конфиденциальной информации. РД по ПДн - продолжение СТР-К. Своими скоропалительными выводами Вы ему предлагаете строить дом с крыши.

>Это Вы потом, представителям ФСТЭК расскажите, когда Вам протокол выпишут.

Я не буду никому ничего рассказывать.

Если мне не напряжно будет выполнить предписание, я его выполню.

Если напряжно - алгоритм стандартный.

1а. (мягкий вариант). Письмо на имя руководителя контролирующего органа с требованием устранить нарушение, допущенное при проведении проверки и отменить не соответствующий законодательству ненормативный акт органа исполнительной власти (то самое предписание).
1б (жесткий вариант). Заявление в прокуратуру о возбуждении уголовного дела по факту превышения полномочий должностным лицом органа исполнительной власти. Видите ли, у проверяющего есть определенные полномочия, и эти полномочия запрещают ему требовать от меня действий, не предусмотренных законодательством.

Если через 30 дней не получаем положительного ответа или получаем отказ в возбуждении уголовного дела, то
2. Исковое заявление в арбитраж о признании недействительным ненормативного акта органа исполнительной власти (плюс компенсация расходов на госпошлину и адвоката).