Новое Постановление правительства №1119 от 01.11.2012 по защите персональных данных - Форум по вопросам информационной безопасности

Для Adelina
Читаем внимательно:

сертификаты соответствия, выданные ФСТЭК России .... на состав и содержание организационных … мер


Есть "Руководящий документ Автоматизированные системы. Защита от несанкционированного доступа к информации Классификация автоматизированных систем и требования по защите информации", в нем установлены требования. На соответствие требованиям проводится сертификация. (Сертификат на соответствие СЗИ требованиям класса !Б)- все понятно!
Если Постановлением Правительства «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» установлен следующий исчерпывающий перечень мер для обеспечения ПД - По аналогии если требования к техническим СЗИ не установлены - на соответствии чему сертифицируем? А если нормы будут установлены другим актом - где это требование установлено?

Для 7675, 7675 | 40394:
> сертификаты соответствия, выданные ФСТЭК России .... на состав и содержание организационных … мер

Не занимайтесь словоблудием. Состав и содержание орг мер относятся к словам "нормативного правового акта ФСТЭК России".

Хоть мы говорим на каком-то определенном языке и используем определенные концепции, отсюда вовсе не обязательно следует, что в реальном мире имеется что-то этим вещам соответствующее. Если бы все нормативные акты по Пд однозначно читались, то дискуссии на форуме не было. А если дискуссия ведется, значит не всем все понятно. И хорошо когда есть специалисты все понятно.

Вопрос для Атаманова Г.А.
Расшифруйте, если не трудно, - РКН

Вопрос для Атаманова Г.А.
Расшифруйте, если не трудно, значение РКН в предложении "РКН ввел институт добровольных безвозмездных экспертов...."
Свасибо!

романов | 40400

=>Расшифруйте, если не трудно, значение РКН

Вы в Теме? издеваетесь? или так, "зашли потусить", обратить на себя внимание?
РКН - Рос Ком Надзор.

Будучи первым вице-премьером, Д.А. Медведев на Гражданском форуме назвал Россию страной правового нигилизма и предложил один из вариантов борьбы с этой проблемой: «Главное в правовом государстве - это уровень правовой культуры граждан, их готовность следовать закону и видеть в этом свой непосредственный интерес». Почему каждый российский закон требует десятка, а то и сотни, подзаконных актов, которые его уточняют? Кто имеет право менять их? Почему они применяются по-разному? Главное - правило для всех, пусть оно будет одно.
Поясню на примерах.
1. По поводу ИНФОРМАЦИОННОГО СООБЩЕНИЯ «Об особенностях защиты персональных данных при их обработке в информационных системах персональных данных и сертификации средств защиты информации, предназначенных для защиты персональных данных» от 20 ноября 2012 г. № 240/24/4669
Нормативные правовые акты федеральных органов исполнительной власти издаются на основе и во исполнение федеральных конституционных законов, федеральных законов, указов и распоряжений Президента Российской Федерации, постановлений и распоряжений Правительства Российской Федерации, а также по инициативе федеральных органов исполнительной власти в пределах их компетенции. П.2 Постановления Правительства РФ от 13.08.1997 N 1009 (ред. от 25.04.2012) «Об утверждении Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации» установил, что «Нормативные правовые акты издаются федеральными органами исполнительной власти в виде постановлений, приказов, распоряжений, правил, инструкций и положений».
КАК СЛЕДСТВИЕ: «Издание нормативных правовых актов в виде писем и телеграмм не допускается. Структурные подразделения и территориальные органы федеральных органов исполнительной власти не вправе издавать нормативные правовые акты».
В КАЧЕСТВЕ ВЫВОДА: В связи с этим зададимся естественным вопросом: Как относится к информационным письмам, рассылаемым от имени федерального органа исполнительной власти за подписью начальника одного из структурных подразделений? Если следовать логике Постановления Правительства РФ от 13.08.1997 N 1009 – то, как личному мнению уважаемого начальника одного из структурных подразделений федерального органа исполнительной власти.

2. По поводу сертификации, применения «прошедших в установленном порядке процедуру оценки соответствия средств защиты информации» «для каждого из уровней защищенности» «персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных».
Система сдержек и противовесов, установленная в Конституции РФ, законах, представляет собой совокупность правовых ограничений (запретов, обязанностей, наказаний и т.п.) в отношении конкретной государственной власти: законодательной, исполнительной, судебной. Так, применительно к законодательной власти используется довольно жесткая юридическая процедура законотворческого процесса, которая регламентирует основные его стадии, порядок осуществления. В отношении исполнительной власти используются ограничения ведомственного нормотворчества и делегированного законодательства, запреты на принятие ею ведомственных актов, затрагивающие такие отношения, которые должны быть урегулированы только законом. Так, например: Закон «О государственной тайне» установил, что «средства защиты информации должны иметь сертификат, удостоверяющий их соответствие требованиям по защите сведений соответствующей степени секретности. Организация сертификации средств защиты информации возлагается на федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области обороны, в соответствии с функциями, возложенными на них законодательством Российской Федерации. Сертификация осуществляется в соответствии с настоящим Законом в порядке, установленном Правительством Российской Федерации». ВСЕ ЛОГИЧНО. Порядок сертификации за Правительством Российской Федерации, организация сертификации за ФСТЭК и ФСБ.
Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) «О персональных данных» установил, что «обеспечение безопасности персональных данных достигается, применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации». При этом «состав и содержание необходимых для выполнения установленных Правительством Российской Федерации для каждого из уровней защищенности, организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются ФСБ и ФСТЭК, в пределах их полномочий». Т.Е ФСТЭК и ФСБ устанавливают требования в пределах исчерпывающего перечня установленного Постановлением правительства №1119.
ВЫВОД: Исходя из предложенного перечня, трудно ожидать новых нормативных актов от регуляторов для информационных систем персональных данных.

Антон, а Вы ведь дважды правы. Ну пусть они прислушаются!

Для Антон, Антон | 40406:
По поводу п. 1: Не надо наделять Информационной письмо статусом НПА!!! Это просто информационное письмо, которым извещают о грядущих переменах в связи новым постановлением Правительства. И ничего более!!! НПА от ФСТЭКа сразу не получим это факт, им тоже надо время, чтобы "переварить" новые требования. подготовить изменения к действующим документам и новые документы, выложить проекты на всеобщее обсуждение, внести коррективы с связи пожеланиями людей, утвердить их, отдать на регистрацию в Минюст. Вы предлагаете им всё это время молчать и смотреть как "народ" беснуется? Предложите свою форму уведомления граждан и специалистов по защите что делать, когда введено новое постановление, а ведомственные работы по переходу не завершены?
Новое постановление вступило в силу, получился так называемый "переходный период". Что делать в данный период и к чему готовиться указано в информационном письме. Согласитесь, что глупо разбирать данное письмо как НПА. Пока нет действующего документа от ФСТЭКа, они в указанном письме признают преемственность выполнения "старых". Зачем "сгущать краски" и искать чёрную кошку с тёмной комнате?
По поводу п. 2: Имейте терпение дождаться выхода документа. Как показала практика, выставленный "на обозрение" проект документа не всегда "выходит" в той же редакции. Поэтому ждём. И о каких новых документах в защите персональных данных Вы грезите? Всё, что связано с защитой ПДн начиная с ФЗ-152 - сплошное недоразумение. На месте ФСТЭКа я бы поступил аналогично - откорректировал старые глупости, чтобы не тратить сил на порождение ещё больших.