Недокументированные (недекларированные) возможности системного и прикладного ПО - Форум по вопросам информационной безопасности

ВВП, во-первых, коммерческие организации ФСТЭК не проверяет, уж тем более по персональным данным, это обязанность Роскомнадзора (РКН).
Во-вторых, РКН не имеет права проверять техническую сторону защиты, в основном проверяет бумажки, документы и т.п.
В-третьих, в скором времени ожидается выход разъясняющих документов по ПП 1119, в том числе по составлению моделей угроз.

А пока что единственный вариант (если срочно надо) - признать НДВ неактуальными экспертным методом (т.е. в модели угроз).

Adelina | 42449
>ВВП, во-первых, коммерческие организации ФСТЭК не проверяет, уж тем более по персональным данным, это обязанность Роскомнадзора (РКН).

Вы представляете РКН или ФСТЭК России на форуме, или это ваше личное наблюдение, или личное мнение, или лично сделанный анализ регламентов этих ведомств?

Плановые проверки как правило "стыкуют" между различными ведомствами в соответствии с ФЗ_294. РКНу "не очень интересно" выполнять проверку без привлечения ФСТЭК России. Каждый рассматривает вопросы в части касающейся, но на выходе "вылетают" нарушения, позволяющие наказать даже коммерческую организацию.

Кроме того, ФСТЭК России в ходе своих проверок так или иначе уделяет внимание организации и защите информации ограниченного доступа. К примеру, порядку использования сертифицированных средств ТЗИ.
Никто не мешает ФСТЭК России не отражать вопросы защиты ПДн, с которыми выполнено ознакомление в ходе проверки, но в порядке взаимодействия сообщить недостатки в РКН и наоборот.

Adelina
Мы государственный орган.

Нефедьев С.Г.
Совместные проверки РКН и ФСТЭК могут конечно проводить, но как правило это КРАЙНЕ редко, по крайней мере на сегодняшний день.

<<<Вы представляете РКН или ФСТЭК России на форуме, или это ваше личное наблюдение, или личное мнение, или лично сделанный анализ регламентов этих ведомств?

Это моё личное наблюдение, причем не только моё.

Adelina | 42515
>Это моё личное наблюдение, причем не только моё.

Результат познания истины путем наблюдения за происходящими событиями не может носить утверждающий характер.

Предлагаю корректно выразить свою мысль, к примеру:

"По моим наблюдениям, ФСТЭК России, как правило, не проверяет коммерческие организации, а уж тем более по персональным данным, это - обязанность Роскомнадзора (РКН).
РКН, в свою очередь, старается глубоко не влезать в техническую сторону защиты ПДн, в основном уделяя внимание организационным мероприятиям.

Из такого то источника (ссылка) получены данные, что в ближайшее время положения ППРФ_1119 будут развиты в документах регуляторов".