Новое Постановление правительства №1119 от 01.11.2012 по защите персональных данных - Форум по вопросам информационной безопасности

<<<сейчас весь процесс определения угроз можно свести к "НДВ СПО\ППО\нет НДВ". а УЗ считать уже исходя из этого самого НДВ....

к этому (помимо категории/объёма) можно свести процесс определения не угроз, а уровня защищенности.
А с чего вы взяли, что не нужно стало определять остальные угрозы?

6. Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.
Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.
Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.
Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.


Т.е есть НДВ СПО - сразу 1-й тип и т.д. прошу прояснить эту ситуацию.

п.7 ПП1119
Определение типа угроз безопасности персональных данных, актуальных для информационной системы, производится оператором с учетом оценки возможного вреда, проведенной во исполнение пункта 5 части 1 статьи 18.1 Федерального закона «О персональных данных», и в соответствии с нормативными правовыми актами, принятыми во исполнение части 5 статьи 19 Федерального закона «О персональных данных».

Помимо угроз 1-3 типа, определенных в 1119, нужно определять другие акт.угрозы в соответствии с с нормативными правовыми актами, принятыми во исполнение части 5 статьи 19 Федерального закона «О персональных данных». (ещё не приняты, ждём).

для Adelina
Федеральный закон от 27.07.2006 N 152-ФЗ
(ред. от 25.07.2011)
"О персональных данных"
Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
2. Обеспечение безопасности персональных данных достигается, в частности:
1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

Постановление Правительства РФ от 17.11.2007 N 781
"Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных"
12. Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:
а) определение угроз безопасности персональных данных при их обработке, формирование на их основе модели угроз;
б) разработку на основе модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем;

Ну если Постановление Правительства РФ от 17.11.2007 N 781 отменено Постановлением Правительства РФ от 01.11.2012 N 1119, …. ответ очевиден.

098, к чему этот пост? Alcabar спрашивал про угрозы, кроме угроз НДВ.

<<<Ну если Постановление Правительства РФ от 17.11.2007 N 781 отменено Постановлением Правительства РФ от 01.11.2012 N 1119, …. ответ очевиден.

оно не "если отменено", оно ТОЧНО отменено)
ответ на что очевиден? вы ооочень странно выражаетесь, с первого раза понять крайне трудно вашу мысль, уж простите)

"кроме угроз НДВ"
А почему Вы так спокойно оперируете термином "НДВ" не зная его контекст принятый новой редакцией закона "О персональных данных"? Как выяснилось на форуме старые устоявшие понятия во многих случаях не применимы. Тем более даже подходы в устоявшихся моделях ФСБ и ФСТЭК разные! .

<<<А почему Вы так спокойно оперируете термином "НДВ" не зная его контекст принятый новой редакцией закона "О персональных данных"?

извините, я больше не собираюсь заниматься словоблудием) может кто другой ответит на ваши странные вопросы, с уважением.

<<<А почему Вы так спокойно оперируете термином "НДВ" не зная его контекст принятый новой редакцией закона "О персональных данных"?
Я дико извиняюсь, но попрощу привести пример отличия термина "НДВ" в ФЗ № 152 в редакции от 25.07.2011. По всей видимости у нас разные редакции.

Насколько я помню, что в ФЗ-152 термин "НДВ" вообще не определяется. Во-первых, у нас сейчас законы указывают не термины и определения, а на понятия, поэтому мы сейчас живём по понятиям. Во-вторых, специально отведённая статься 3 под понятия не раскрывает "НДВ".

<<<Насколько я помню, что в ФЗ-152 термин "НДВ" вообще не определяется.

всё верно, термин НДВ определяется только в:

- Руководящий документ. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей.

- ГОСТ Р 53114-2008 Защита информации. Обеспечение информационной информации в организации. Основные термины и определения.

больше вроде бы нигде не встречается.