Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

virus,
спецальная ИСПД - эта любая ИСПД, в которой нужно обеспечить не только конфиденциальность - например, конфиденциальность и доступность (см. п. 8 приказа трех). Поэтому сейчас все ИСПД являются специальными.

Формулировка про медицинские ИСПД и системы автоматического принятия решения означает только то, что эти системы запрещено относить к типовым.

SAD,
класс типовой системы определяет меры по обеспечению конфиденциальности. В специальной ИСПД вам, кроме конфиденциальности, нужно обеспечить еще что-то. На мой взгляд, вам нужно выбрать класс типовой ИСПД (как если бы от вас требовалась только конфиденциальность) и добавить к требованиям этого класса самостоятельно сформулированные требования по обеспечению остальных характеристик.

malotavr, а кто по вашему решает что нужно обеспечить не только конфиденциальность? оператор. потому я и задал вопорс.:)

:)
Не знаю, как рассуждал SAD, но в случае потери персональных данных клиента (вариант для госорганов - гражданина с которым этот госорган работает) организация не сможет работать (госорган не сможетвыполнять свои обязанности). Соответствено, в ИСПД организации требуется обеспечивать доступность ПД (в терминах приказа = обеспечивать "защищенность от уничтожения, изменения, блокирования"). А это, в соответствии с п. 8 приказа, переводит ИСПД в класс специальных.

Для каждой ИСПД специальной в каждом конкретном случае разрабатывается модель угроз безопасности и модель нарушителя, на основе этих моделей принимается решение о дополнительных мерах по защите ИСПД.

Что-то я ни где не нашел, что надо делать модель нарушителя. Я думаю в модели угроз достаточно указать от кого может исходить угроза, но отдельный документ делать не обязательно.

Отдельный документ делать не обязательно, но если у Вас возникает необходимость использования СКЗИ , то для определения класса защиты спец. ИСПД необходимо знать модель нарушителя (документы ФСБ).

Уважаемые коллеги! Вы упоминаете о дополнительных мерах, а какие считать основными для специальных систем???

Еще раз - каждой специальной ИСПД соответствует типовая ИСПД. Основными мерами являются меры по обеспечению конфиденциальности соотвветствующей типовой ИСПД. Дополнительные меры - меры защиты, не связанные с обеспечением конфиденциальности, которые и отличают данную ИСПД от типовой и делают ее специальной.

Решение о необходимости принимать эти меры (и, соответственно, отнесении данной ИСПД к специальным) принимает оператор самостоятельно, хоть на основании модели нарушителя, хоть по собственной фантазии - нормативные документы это решение не регламентируют.

* каждой специальной ИСПД соответствует типовая ИСПД.

:)
Приведите, пожалуйта, РД либо иной НМД от регуляторов, в котором сие (отквоченное) утверждается.
Документ - в студию !

Федеральный закон N134-ФЗ от 2003 г.

Согласно которому, в отсутствие четких указаний как именно выбирать меры защиты для специальных систем, я имею право использовать любую методику, которая не противоречит действующему законодательству и методическим документам.

Поскольку сопоставление категорий персональных данных специальной ИСПД и типовой ИСПД не противоречит ни "приказу трех", ни другим документам, оператор имеет на это полное право.

А "видные теоретики", считающие, что это неправильно, либо приносят в клювике НПА, из которого следует, что это неправильно, либо приводят собственную, более правильную методику, либо тупо курят бамбук и не отсвечивают :)