Акт о создании акта (про бюрократические моменты) - Форум по вопросам информационной безопасности

Мне кажется, Вы ошибаетесь насчет того, что К4 не надо классифицировать. Если мы не будем ее классифицировать, то как мы узнаем, что она К4? ;)

Гм... ну и вопросик, честно немного в ступор ушёл, как и мои коллеги, которым я озвучил данный вопрос )))

И вправду, если есть такой класс "К4", то и документы на него должны как-то оформляться.

Надо подумать...

А че думать?
Акт класификации и все :))
Остальное написано по решению оператора, ну типа не решил оператор :))

"Акт класификации и все :))"

Легко сказать "и всё"...
Я лично совсем запутался.

Если наша организация провела классификацию доверенной зоны, где не обрабатывается ПД, и оформила Акт классификации по К4, то придётся для этой АС К4 разрабатывать все ОРД, и техпаспорт и схемы электропитания и заземления к нему и прочее прочее... Это же с ума сойти сколько бумаги!

А если, организация просто промолчит и своей "доверенной зоне" ничего присваивать не будет, то на кой чёрт вообще ввели такой класс как "К4"?

Вот есть же РД АС, где чётко расписаны классы 1,2,3 (А,Б,В,Г,Д) для всех возможных АС.
Для каждой конкретной АС можно выбрать класс и оформить Акт классификации. Тут всё чётко ясно и понятно.

А классы К1...К4, да ещё класс "специальная"... тут всё как-то путанно.

"Если наша организация провела классификацию доверенной зоны, где не обрабатывается ПД, и оформила Акт классификации по К4"
К4 это класс ИСПДн. Если в ИС не обрабатываются ПДн, то ее не надо классифицировать по классам ИСПДн :)

А К4 это для открытых и обезличенных ПДн, а не для ИС, где ПДн не обрабатываются.

Мне кажется так...

Кошка, всё Вам правильно кажется.

У меня только вопрос остался. Если есть ИС, в которой открытые или обезличенные ПД, то надо такую ИС классифицировать по К4. Вопросов нет, тут всё понятно.

А вот, после присвоения класса "К4", нужно ли в аттестационном центре получать Аттестат соответствия, Заключение, проводить измерения ПЭМИН, и прочее, что сопровождает аттестацию?

Или же тупо оформляем только Акт классификации по К4, утверждаем его у своего руководителя организации и всё, никаких ОРД, никаких аттестационных заморочек?

Так аттестация же вроде только для К1 и К2? Для 3 декларирование соответствия, а для 4 вроде ничего... (ну, аттестация "по желанию" не в счет, наверное...)
Если я ничего нигде не попутала

Еще вопрос. Вот я сколько видела образцов этих актов в интернете, нигде не перечисляется, какие именно данные хранятся/обрабатываются. Это нормальное явление? Или надо все же указать? Или где-то в приложении?

"Для 3 декларирование соответствия, а для 4 вроде ничего..."

Тут моя очередь вопросами забрасывать )))
А что значит "декларирование соответствия"? Что это такое, какие документы под это понятие подкладываются?
Как быть если аттестация не чистой "К3", а "К3+1Д", тут ведь из-за "1Д" придётся кучу ОРД разрабатывать, никаким "декларированием соответствия" обойтись нельзя. Так ведь?
И если для "К4" ничего нет, то как это фиксируется в документах? Надо же указать официально, что ИСПДн является именно "К4"?

"Еще вопрос. Вот я сколько видела образцов этих актов в интернете, нигде не перечисляется, какие именно данные хранятся/обрабатываются."

Кошка, смотрите первоисточник Акта классификации - СТР-К. В Приложении №1 к нему чётко указывается форма Акта, где есть, в том числе, "характер обрабатываемой информации" (служебная тайна, коммерческая тайна, персональные данные и т.д.)
Если об этом, конечно, речь.