Новое Постановление правительства №1119 от 01.11.2012 по защите персональных данных - Форум по вопросам информационной безопасности

malotavr | 40842

Ссылка на ресурс - это уже плюс.
Малотавр, не желаете ли сформулировать организационные меры, позволяющие определить операторам тип угроз в соответствии с этой ссылкой?
Для "состава и содержания орг и тех мер..." пригодилось бы.
Или как...?
Я Вам про подход в ППРФ_1119, а Вы как обычно...

malotavr | 40842
Нефедьев С.Г. | 40843

Есть ещё просьба.
Целесообразно в формулировке пояснить как оператору из 1319 записей на 13.12.2012 выбрать свой тип ПО и СЗИ (как искать по такого рода "Базам" свои, акуальные угрозы)

Угорозы от ПО ...НДВ Вспомните как говаривал Шариков: А то пишут, пишут... Конгресс, немцы какие-то... голова пухнет! Взять все, да и поделить...
В качестве подтверждения (повторюсь):
Следственный комитет передал в суд материалы уголовного дела в отношении должностных лиц ФКУ «Единый расчетный центр Министерства обороны России» (ЕРЦ МО России) в Москве. По данным следствия, на протяжении нескольких ночей в марте и апреле текущего года один из финансистов-мошенников под чужими паролями входил в компьютерную базу ЕРЦ МО РФ. Злоумышленник занес в базу 127 «мертвых душ», якобы проходящих военную службу в Южном военном округе. Утром его подельник утверждал фиктивные документы, в соответствии с которыми на банковские карты «виртуальных» военных было перечислено в общей сложности свыше 6,3 млн рублей. В Ставрополье другой член «банды бухгалтеров» через банкомат обналичил более 4 млн рублей, якобы начисленных для выплаты денежного довольствия за январь, февраль и март, а также ежемесячных премий 49 военнослужащим по контракту».
И в качестве ответной меры - 1 угроза безопасности?

> Малотавр, не желаете ли сформулировать организационные меры, позволяющие определить операторам тип угроз в соответствии с этой ссылкой?

Если вы про методику определения актуальности угроз на основании сведений об уязвимостях программного обеспечения, то не только желаю, но и делаю. Сейчас в рамках ТК-362 идет разработка ряда общих и специальных стандартов на эту тему. Но если вы ждете от меня эту методику здесь и сейчас - то напрасно, это довольно длительная работа.

malotavr | 40846
Та же самая проблема, на "дружественном" форуме:
http://www.ispdn.ru/forum/index.php?PAGE_NAME=read&FID=1&TID=2942

Всё-таки "танцевать от печки" без определения типа актуальных угроз (уязвимостей) программного и прикладного программного обеспечения не получается.

Может быть всё-таки есть "изобретенный кем-нибудь велосипед" на этот случай?

malotavr | 40846
Нефедьев С.Г. | 40852

http://lukatsky.blogspot.ru/2012/09/blog-post_24.html

Следует видимо признать, что обсуждаемые по ссылке вопросы в блоге А. Лукацкого в подготовленном проекте "Состава и содержания..." проигнорированы.

Если принять в качестве отправного момента реальные угрозы то как показывает практика все проблемы на 99,999999999999 % исходят от персонала оператора. Оставшийся 0,00000000001% можно поделить наверное, в пропорции 80% в части уязвимости ПО интерес проявят инопланетяне, а в 20 % шпионы. Ну а теперь с такой раскладкой придите к начальнику и попросите денег на защиту персональных данных.
Вообще возникает такое ощущение, что идет с 2006 года какое-то бесплодное умствование

Максим, Максим | 40855

>возникает такое ощущение, что идет с 2006 года какое-то бесплодное умствование

Так в общем-то и я о том же. Возможно, что чем больше непонятного для большинства населения, изобилующего ссылками законодательства, изменяющегося раз в полгода, - тем "мутнее вода" в которой живёт так называемая "коррупция" не только средних, но и огромных размеров. Если уж 80% россиян вообще не читали Конституцию...

>все проблемы на 99,999999999999 % исходят от персонала оператора

По работе столкнулся именно с этим. Поэтому и считаю, что в первую очередь не "технические меры" влияют на обеспечение безопасности ПДн, и не организацию защиты информации ограниченного доступа нужно "подтягивать" к техническим мерам, а наоборот: техническими мерами дополнять то, что не закрыто организационными.

Можно бесконечно отмывать (нет-нет-нет, конечно же выделять) финансовые средства на технические проекты, но если у юридического лица руководство занимает пассивную позицию по отношению к ЗИ, то всё это нагромождение становится бездумной тратой денег и данью "моде" на внедрение "супер эффективных" СЗИ и телекоммуникационных технологий.

Максим | 40855

Если уж "зреть в корень", то источники угроз по степени опасности распределяются следующим образом:

1. Органы законодательной власти;
2. Органы исполнительной власти;
3. Персонал;
4. Злоумышленники;
5. "Софт";
6. "Железо"
7. Внешняя среда.

1 - самые опасные; 7 - наименее опасные.

Осталось только определиться в какую категорию источников угроз отнести судебную власть, Минобороны и олигархов со своими банками и финансово-промышленными группами? :))))