использование сертифицированных СЗИ для защиты ПДн - Форум по вопросам информационной безопасности

Алексей, русский язык могуч и иногда смысл предложения может трактоваться по-разному, но в скобках именно раскрытие понятие того, что есть процедура оценки соответствия.

При этом, я немного ошибся. Допускается аттестация СЗИ, либо сертификация СЗИ, либо и то и другое одновременно.

Но, это всё в рамках только Проекта Положения. В других нормативных документах, я полагаю, можно отыскать иные определения процедуры оценки соответствия.

2 Комрад
спасибо, что обратили мое внимание по поводу постановления о регистрации в Госстандарте (этот номер есть на любом сертификате СЗИ).
НО Вам известно о регистрации положения о сертификации СЗИ в Минюсте? Между тем, ВСЕ НПА ФОИВ должны пройти гос.экспертизу и регистрацию в МИНЮСТИции, затем они официально публикуются и вступают в силу. (http://base.garant.ru/166045/)
Так вот. Согласно сведениям открытых ИПС (Гарант, Консультант): Положение о сертификации средств защиты информации по требованиям безопасности информации (утв. приказом Государственной технической комиссии при Президенте РФ от 27 октября 1995 г. N 199) не было официально опубликованно и не имеет регистрационного номера в Минюсте ( http://www.consultant.ru/online/base/?req=doc;base=LAW;n=103248;page=esse ). Да и само название утверждающего документа "Приказ" как-то не свойственно, с точки зрения юридической практики, для источников норм права, расчитанных на многократное применение "всеми" и "везде". Отсюда вывод Положение о сертификации СЗИ в системе ФСТЭК - не НПА (такое бывает у них, как например, с СТР-К).
Это все не считая того, что ВСЕ положения о сертификации СЗИ: и ФСБ, и ФСТЭК, и Постановление Правительства РФ от 26 июня 1995 г. N 608 - все они созданы в соответствии с НЕДЕЙСТВУЮЩИМ законом О сертификации продуктов и услуг.
Вопрос, я считаю серьёзный. Ведь в чем отличие сертифицированного СЗИ от несертифицированного? Это все тоже самое, только в стоимость продукта включены затраты на сертификационные испытания. А стоимость применения сертифицированных СЗИ -как того ,вроде бы требует ПОЛОЖЕНИЕ, увеличивает цену владения ИСПДН в разы.
А вспомнив "финт ушами" внесенный Федеральным законом от 25.07.2011 N 261-ФЗ в наш любимый 152-ФЗ сто раз подумаешь, прежде чем вкладываться в выполнение "обязательных требований".
Так зачем создавать трудновыполнимые требования, и сетовать на то, что никто их не выполняет. Лично Я, в моей зоне ответственности, обеспечу выполнение всех правил, как только пойму, что же от меня требуется и увижу внятные правила игры. Пока всего этого нет и не предвидится...

PS:сорри за оффтоп. наболело...

2Комрад
а что вы думаете по поводу п.2 постановляющей части Постановление Госстандарта РФ от 16.10.2000 N 69 "О перерегистрации Системы сертификации средств защиты информации по требованиям безопасности информации"?
2. Выдать Государственной технической комиссии при Президенте
Российской Федерации (Гостехкомиссии России) после регистрации в
Минюсте России порядка сертификации, установленного в указанной
системе, свидетельство о государственной регистрации Системы
сертификации средств защиты информации по требованиям безопасности
информации и знака соответствия системы.
То бишь опять все в регистрацию в минюсте упирается. МОжет. кто-нить уже скажет мне номер и дату регистрации положения о сертификации СЗИ по требовниям безопасности информации, чтобы я не вводил себя и других в заблуждение?

http://zakon.scli.ru/ru/legal_texts/all/extended/index.php?do4=search&query4=&fulltext_query4=&adoptionNumber_type4=1&adoptionNumber4=564&DOC_VIEW4=&DOC_VIEW_DECODE4=&dateAdoption_type4=1&startAdoption4=13.11.1999&endAdoption4=&IS_NORM4=0&DOC_TYPE4=0&DOC_STATUS4=&DOC_STATUS_DECODE4=&RUBRICS4=&RUBRICS_DECODE4=&x=49&y=13

http://zakon.scli.ru/ru/legal_texts/all/extended/index.php?do4=search&query4=%CF%F0%E8%EA%E0%E7+%EF%F0%E5%E4%F1%E5%E4%E0%F2%E5%EB%FF+%C3%EE%F1%F3%E4%E0%F0%F1%F2%E2%E5%ED%ED%EE%E9+%F2%E5%F5%ED%E8%F7%E5%F1%EA%EE%E9+%EA%EE%EC%E8%F1%F1%E8%E8+%EF%F0%E8+%CF%F0%E5%E7%E8%E4%E5%ED%F2%E5+%D0%EE%F1%F1%E8%E9%F1%EA%EE%E9+%D4%E5%E4%E5%F0%E0%F6%E8%E8&fulltext_query4=&adoptionNumber_type4=1&adoptionNumber4=199&DOC_VIEW4=&DOC_VIEW_DECODE4=&dateAdoption_type4=1&startAdoption4=27.10.1995&endAdoption4=&IS_NORM4=0&DOC_TYPE4=0&DOC_STATUS4=&DOC_STATUS_DECODE4=&RUBRICS4=&RUBRICS_DECODE4=&x=49&y=8

Ссылки говорят сами за себя....

Добрый день!
Простите, я не специалист в этой области, но подскажите, пожалуйста:
Надо ли аттестовывать ИСПДН 1 класса (в положении о методах и способах говориться только о)
2.12. Программное обеспечение средств защиты информации, применяемых в информационных системах 1 класса, проходит контроль отсутствия недекларированных возможностей. Необходимость проведения контроля отсутствия недекларированных возможностей программного обеспечения средств защиты информации, применяемых в информационных системах 2 и 3 классов, определяется оператором (уполномоченным лицом).
О самих АРМах там речи не идет, насколько я понимаю, аттестация отменена, верно?
И насколько правильно будит не обращать внимания на СТР-К (для ГУ), и не проводить аттестацию? (если помимо ПДН на этом АРМе обрабатывается другая конфиденциальная информация).

Спасибо.

Вообще аттестацию проводить для ПДн не надо, никаким организациям, если конечно "сверху" не требуют....

А для ГУ если обрабатывается ДСП, то надо аттестовать, вне зависимости от того есть там Пдн или нет.

TIP | 31225

спасибо Вам большое что внесли ясность

Задавали вопрос, господам из ФСТЭК, по поводу сертификации СЗИ. Ответили- "конечно нужны сертификаты, читайте документы". То есть, при проверке господа из ФСТЭК будут требовать сертификат.

То же самое и мне отвечали...
Мы же понимаем, что господа из ФСТЭК никогда не скажут, что сертификаты не нужны...
Вопрос в том, что при проверках Господа надзирают за соблюдением ЗАКОННОСТИ. (даже в актах пишут: "....нарушают п.*, ст.*, закона *"), а Это треклятое положение, получается, не является ЗАКОНОМ (нормативно-правовым актом): его нет в реестре минюста и не известно было ли оно опубликовано в официальном печатном издании ФСТЭК).
С гостайно понятно... ТАм деваться некуда - нет сертифицированных СЗИ на ОИ - нет лицензии...
Но с ИСПДН, Надо тогда лицензировать защиту персональных данных, либо....
Вообще это тупо - ставить на АРМ непонятно что, от чего она "еле дышит", и надеяться, что "это" защитит. Ну вот, сколько уязвимостей было обнаруженно, например, в SecretNEt? Или его совершенные программисты пишут?