Классификация ИСПДн - Форум по вопросам информационной безопасности

virus | 11492 07-07-2009 04:46
Василь, как так не может.

Было: Есть распределенная система, в которой обрабатываются данные 1 и 2 классов

Данные могут быть КАТЕГОРИИ, но не класса.

sekira, НТЦ в ИСПДн обрабатывается информация 1 и 2 КАТЕГОРИИ а не класса. (ну просто описка ).

Имхо. этап постановки задачи - слишком важен. если чел не отличает категорию от класса - какова вероятность правильного понимания задачи и решения в виде ответа на вопрос ?
Не исключаю, что нудю.

SMak | 11499 07-07-2009 11:22
1 и 2 категории эт уже ГТ, ОВ и СС соответственно...

Это уже не смешно. Ну скока можно ?
ГТ - это лицензия ФСБ.
Где Вы видели требование для защиты конфиденциалки получать лицензию СЗГТ ?

2 sekira, НТЦ
>"Смотрим приказ ФСБ, ФСТЭК и Минсвязи ОБ УТВЕРЖДЕНИИ ПОРЯДКА
ПРОВЕДЕНИЯ КЛАССИФИКАЦИИ ИНФОРМАЦИОННЫХ СИСТЕМ
ПЕРСОНАЛЬНЫХ ДАННЫХ"

В правильном направлении смотрите и главное слово - "КЛАССИФИКАЦИИ"
которая так скажем вытекает из неких исходных данных, в т.ч. категории ;-)
2 Чеботарев Алексей, СофтИнКом
>Можно ли при классификации разбить её на 2 или более ИСПДн
Можно! И 10 шапок сможем сделать... :-)
>защищать их разными средствами?
разделяй и властвуй, Тоже можно, дабы снизить (возможно) стоимость СЗИ и настройку,монтаж, установку.. СЗИ
> Каким образом еще можно уменьшить класс системы?
Изменять исходные данные:
-категория..;
-объем...;
-заданные оператором характеристики безопасности персональных данных, обрабатываемых в информационной системе;
- структура информационной системы;
- наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена;
-режим обработки персональных данных;
-режим разграничения прав доступа пользователей информационной системы;
-местонахождение технических средств информационной системы.
Ну прямо по выше приведенному приказу Трех :-)
и др.))
Можной уйти на обработку персональных данных, осуществляемой без использования средств автоматизации ПП № 687 )))

С категориями загнался (туплю)...
Столько с этими ПДн наворотили.

Насчет класса - да, опечатка. Конечно, категория.

Постараюсь описать более понятно:

Головной офис. Около 70 компов и 2 сервака. На серваках хранятся и обрабатываются данные как от бухгалтерии, юристов и т.д. (2 категория), так и от медперсонала (1 категория). Выход в Интернет через шлюз (у всех компов офиса).

40 мини-офисов (1-2 компа) в других городах и селах. Данные 2 категории. Все это отправляется в другую организацию через Интернет.

3 более крупных офиса. 4-5 машин, 1 сервер, данные 1 и 2 категории. Обмениваются данными с головным офисом и другими организациями через Интернет.

Соответственно, задачи:
1) как все это добро классифицировать?
2) как сделать так, чтобы все это защищать не по 1 классу?
3) что делать с машинами, на которых не обрабатываются ПДн? Тоже защищать по 1 классу, потому что они в сети?

Очень надеюсь на помощь экспертов. И спасибо за указанные мне неточности в постановке задачи и терминах. В этом деле важно каждое слово.

И еще момент: подразумевает ли разделение на несколько ИСПДн их ФИЗИЧЕСКОЕ разделение?

Физическое разделение возможно только если будет организовано несколько операторов (юр лиц). В противном случае единая система. Если юр лиц несколько то между ними должен существовать договор о порядке и правилах передачи данных, а с субъектов ПД - получить разрешение на такую передачу (письменное).

физическое разделение реализуется через сегментирование МЭ.

Здесь физическое надо рассматривать с законодательной точки зрения. Через сегментирование МЭ - попадаете на единого оператора и тогда классификация всей системы как единого целого. Увы - это РД.

Автор: sc63 | 11567 09-07-2009 09:18
Здесь физическое надо рассматривать с законодательной точки зрения. Через сегментирование МЭ - попадаете на единого оператора и тогда классификация всей системы как единого целого. Увы - это РД.

Здесь Вы не правы. У одного оператора может быть несколько ИСПДн/АСЗИ сегментированных МЭ. По СТР-К это будут отдельные объекты, каждый со своим классом.

Позволю не согласиться. По приказу "трех" мы имеем распределенную систему, классифицирующуюся как единое целое.