Приказ ФСТЭК России 21 - Форум по вопросам информационной безопасности

Для Sen: ответ на ваш вопрос в руководящем документе Средства вычислительной техники Защита от несанкционированного доступа к информации.Показатели защищенности от несанкционированного доступа к
информации Утверждено решением председателя Государственной технической комиссии при Президенте Российской Федерации
от 30 марта 1992 г.

Для выполнения работ по обеспечению безопасности персональных данных при их обработке в информационной системе в соответствии с законодательством Российской Федерации могут привлекаться на договорной основе юридическое лицо или индивидуальный предприниматель, имеющие лицензию на деятельность по технической защите конфиденциальной информации.

А для чего я обязан привлечь лицензиата если не имею лицензии на техническую защиту информации? (проектирование системы защиы? установка и настройка СЗИ? контроль раз в 3 года?) А для чего могу но необязан? (эксплуатация системы защиты?)

Каов порядок определения уровня защищённости? Каким актом этот уроень оформлять (аналог акта классификации?)

Существует ли обязанность проводить аттестацию? Что является объектом аттестации? (ИСПДн? АС?) Каждая отдельная "1С бухгалтерия" или вся сеть?
Каков порядок создания системы защиты информации и на каких стадиях нужно взаимодействовать с лицензиатами ФСТЭК и ФСБ? Есть ли право не использовать криптозащиту?

перечень ИСПДн-определение уровня защищённости-ТЗ на систему защиты-проект-поствка СЗИ-установка настройка-опытная эксплуатация-акт ввода-оценка эффективности (аттестация?)

На каких стадиях оператор ИСПДн (не имеющий лицензий) обязан (а не может) на платной основе привлекать лицензиатов?

Использование несертифицированных средств (от майкрософт) исключено однозначно? Для всех угроз и уровней защищённости? Актуальны ли угрозы 1-го типа?(это определяется отсутствием исходников на windows7?) При каких условиях можно считать данные угрозы неактуальными?

в проекте 21 приказа не было фразы "в том числе" (п.5 в проекте и п. 4 в утверждённом документе). Что это означает? можно использовать несертифицированные средства? Как определить случаи, в которых применение таких средств НЕОБХОДИМО?

На практике - я защищу бухгалтерскую программу с данными 10 внутренних сотрудников и средствами технологий майкрософт (несертифицированными). При этом считаю, что этого предостаточно (ну не гостайна же). или я должен покупать и ставить даллас лок и аналоги? но оправдано ли будет расходование средств?

Зачем добавлена фраза "в том числе"?...осетрина должна быть либо свежей либо тухлой..ну не может быть осетрина 2-й свежести:)

По.п.6: "Оценка эффективности ..проводится оператором самостоятельно или с привлечением лицензиатов"..Это самостоятельно в случае наличия лицензии или, например, достаточно наличия сртифицированных средств проверки такой эффективности...или вообще комиссионно..?

Есть сеть из 150 ПК. З0 ПК участвуют в предоставление электронных услуг и межведе. Т.е. на 30 вероятно ИСПДн. которую в терминах 149 го закона можно притянуть к государственной. А тогда СТР-К и взвод автоматчиков....
Как-то можно сегментировать сеть на 30 и 120 так, чтобы требования к 30 не распространялись на остальное? В противном случае весь местный бюджет уйдёт на защиту информации, но безобидные данные будут надёжно защищены (только они никому не нужны).

(b)Евген(b) У вас быстро развивается шизофрения....

Лицензия доктора есть?:)