Письма Лукацкого - Форум по вопросам информационной безопасности

"Как накажут 2 десятков компаний за нарушение 152-ФЗ, вот тогда и задумаются директора."

-За почти 5 лет, ни одного случая...Пугающая статистика :)
Тратить деньги на закупку и реализацию системы защиты сертифицированными средствами - тоже " противоречит стремлению РФ развивать малый и средний бизнес..."
А интеграторы врядли что-нибудь предпримут - они на этом деньги зарабатывают...

>>За почти 5 лет, ни одного случая...Пугающая статистика :)<<

Откуда такая уверенность, что ни одна организация не была наказана?

Я сам лично видел, года полтора назад, копию предписания ФСТЭК по одному предприятию, в котором руководителю давалось время на устранение замечаний, полученных им в ходе проверки.

Уверен, такие предписания получали очень многие руководители организаций, особенно, если учесть те пункты нарушений которые были указаны (а было много неприятного, вплоть до клавиатуры не на месте, либо неучтенного носителя). Проверяющие даже обращали внимание на соответствие нумерации помещений планов указанных в техпаспорте планам, указанным в документации БТИ.

Чтобы не было недоразумений, предписание - это факт нарушения.

я имел ввиду именно приостановление деятельности фирмы...

"клавиатуры не на месте", "нумерации помещений планов указанных в техпаспорте планам, указанным в документации БТИ"
А причём здесь информационная безопасность?
Обычный подход представителя ФСТЭК :)

>>А причём здесь информационная безопасность?<<

Как это при чём? Это ж нарушение требований руководящих документов.
Про "клаву не на месте" можно я и приврал, т.к. уже подзабыл точный текст предписания, но точно помню, что в предписании был указан конкретный нарушенный пункт СТР-К. Т.е. любое нарушение было взято не с потолка, а всегда было аргументировано и подкреплено пунктов из руководящего документа.

Насчёт нумерации помещений не приврал, но данное замечание было устранено сразу же "на месте" путем издания допприказа "О нумерации" )))

а в ответе то оЧепятка нашлась ))

User
Есть ответ на ответ.
Ссылку не дам (в Интернете через телефон).


если будит возможность кинь ссылку.

На Открытое письмо Сергея Викторовича Вихорева:
http://personal-data.livejournal.com/287966.html

Ну что тут сказать, в ответ на письмо Вихорева С.В.:
http://esstm.blogspot.com/2011/07/blog-post_539.html

Ну в комментариях блогов.

>> А каких Вы предложите ведущих интеграторов, которых знают в Правительстве и которых слушать будут + которые желают, чтобы не больше продать продукции и услуг своих, а ратуют за защиту прав граждан?
>> Каковы Ваши предложения?
Критиковать все мастера.

Какая разница, какие интеграторы?
Проблема заключается не в требованиях, а в концепции. А это уже совсем не интеграторов уровень. Мне намного лучше бы спалось (нет, на сон я не жалуюсь :) ), если б я знал, что могу пару миллионов стрясти с разгласившего информацию о моих счетах банка, чем если я знаю, что банк исполняет какие-то мифические требования. Что мне делать с этими требованиями, если я не проверить их выполнение не могу, не доказать потом, что они не выполнялись. И легче мне от возмещения вреда в 200 рублей совсем не станет, а с нашими судами на большее расчитывать бесполезно.
Поэтому не требования должны устанавливаться, а ответственность. И руководитель сам должен выбирать, что он будет делать: отвечать своим карманом, обеспечивать защиту или застраховаться на этот случай в страховой компании, чтобы она выплатила мне компенсацию в случае чего. А роль органов, ответственных за защиту персональных данных, должна сводиться к налаживанию этой работы: информационному обеспечению и выпуску рекомендаций.
А так, мы получили ещё 3 новых "ГИБДД" (Роскомнадзор, ФСТЭК, ФСБ), работу которых оценивают не за достигнутый низкий уровень аварий, а за количество собранных штрафов.

для Беркут:
+100, что-то типа договор оферта я бы предположил решил множество проблем и неоднозначностей, причем с четко закрепленной ответственностью. И вообще, имхо, вопрос правового обеспечения использования ПД больше лежит в юридической плоскости, а вопросы ТЗИ, при этом, могут выступать в роли дополнительных мер, для усиления общепринятых правил или удовлетворения требований субъекта (за его деньги).