Нужно ли сертифицировать ПО, работающее с ПД, и как? - Форум по вопросам информационной безопасности

вот здесь http://ispdn.ru/basis/523/#text

Это доисторические данные.

подскажите, где подробнее посмотреть актуальные? валяется куча всего в Сети и не знаю, где точная информация

Илья,
то, что вы цитировали - основные мероприятия... из "четверокнижья", были отменены решением (зам.) директором ФСТЭК в феврале-апреле 2011 г.
указанный документ заменил (но, возможно, и он скоро будет заменен) - приказ ФСТЭК №58 2011 г.
Кроме того, для вникания в тему, имеет смысл посмотреть (также готовится замена) - Постановление Правительства РФ № 781 от 2007(6) г. - защита информации в ИСПДн.
И самое главное - 152-ФЗ от 27.07.2006 г. "О персональных данных".

А по теме лицензирования - 99-ФЗ 2012 г. и Постановление Правительства РФ от 03.02.2012 N 79 "О лицензировании деятельности по технической защите конфиденциальной информации" - в части основания для наличия лицензии.

Илья, по поводу сертификации ПО по безопасности информации .
Всё зависит оттого, выгодно ли вам это или нет. Если затраты на сертификацию (а это ооочень немалые деньги) окупятся продаваемостью и нужностью вашего ПО, тогда можно (как например 1С защищенная версия).

Для заказчиков будет плюс в том, что если вы в своем ПО предусмотрите защиту для определенного класса (кстати, про классы ниже), то тогда ему не надо будет докупать навесные (дополнительные) средства защиты. А это замечательно)

Теперь о классах. Сейчас вышло новое ПП 1119, (http://www.itsec.ru/forum.php?sub=7355&from=0), которое отменяет 781 ПП и классов нет больше, а есть уровни защищенности. Требований по защите ещё нет. Сейчас ожидается выход подзаконных актов от регуляторов, заменяющих 58 приказ, трёхглавый приказ, ряд постановлений и т.д.

По поводу вот этого:

• обязательная аттестация по требованиям безопасности информации
• должны быть реализованы мероприятия по защите персональных данных от ПЭМИН
• получение лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации для распределенных систем

1. Аттестация не обязательна ни для какого класса.
2. Защита от ПЭМИН аналогично.
3. Лицензия аналогично (она нужна, только если вы оказываете услуги по защите информации)

спасибо большое, Adelina! ждем новых регулятивных актов

Adelina, а про наличие лицензии только для оказания услуг - это где такое написано?

Владислав, совершенно верно.
Хотя некоторые упорно не могут увидеть этого (что не надо лицензию для собств.нужд) в этом информационном сообщении ФСТЭК.
Получение лицензии для обработки ПДн сотрудников каким-нибудь ИП, состоящим из 2-х человек, когда для неё требуется минимум 2 спеца по ЗИ, согласитесь, абсурд))

Adelina, отдел лицензирования последние несколько лет так же придерживался этой точки зрения и всегда её разъяснял. Что б там ни фантазировали некоторые.

Владислав, Лукацкий конечно авторитет, но, случается, несёт пургу. Особенно когда речь заходит о лицензировании.