Консультация по ИСПДн - Форум по вопросам информационной безопасности

6. По вопросу применения понятий «информационная система» и «автоматизированная система».

В Требованиях, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17, и Составе и содержании мер, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. N 21, используется понятие «информационная система», установленное Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации». При этом понятие «государственная информационная система», цели и порядок ее создания, а также порядок эксплуатации установлены статьями 13 и 14 указанного Федерального закона.

В иных методических документах и национальных стандартах в области защиты информации используется понятие «автоматизированная система», определенное национальным стандартом ГОСТ 34.003-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Термины и определения».

Учитывая, что Требования, утвержденные приказом ФСТЭК России от 11 февраля 2013 г. N 17, и Состав и содержание мер, утвержденные приказом ФСТЭК России от 18 февраля 2013 г. N 21, разрабатывались во исполнение федеральных законов от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации» и от 27 июля 2006 г. N 152-ФЗ «О персональных данных» соответственно, в которых используется понятие «информационная система», в нормативных правовых актах ФСТЭК России также использовано указанное понятие.

Исходя из родственных определений понятия «информационная система», установленного Федеральным законом от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации», и понятия «автоматизированная система», установленного национальным стандартом ГОСТ 34.003-90, а также из содержания Требований, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17, и Состава и содержания мер, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. N 21, использование в нормативных правовых актах ФСТЭК России понятия «информационная система» не влияет на конечную цель защиты информации.


ИНФОРМАЦИОННОЕ СООБЩЕНИЕ ФСТЭК от 15 июля 2013 г. N 240/22/2637

Да, видели сей документ. Когда он появился, то в спорах между понятиями АС и ИС часто обращали внимание, что этим информационным сообщением ФСТЭК России подтвердил свою позицию регулятора:
во-первых, данные понятия не являются тождественными, у них просто родственные определения (что это - не понятно?! родственное слово - это однокоренное слово, а вот что такое родственное определение у понятия - знает только регулятор. Как устанавливалось эта родственность, по каким признакам или словам?!);
во-вторых, использование понятия ИС не влияет на конечную цель защиты (ведь в отношении АС такого сомнения не было, а вот в отношении ИС - видимо да, что даже потребовалось на это дать специальное информационное сообщение).

to карапуз (не только и не столько для)
Ответ на вопрос про разность. В НМД и РД, определяющих вопросы ЗГТ и защиты конф.информации употребляется понятие "АС". В НМД, определяющих вопросы защиты ПДн и конф.информации-в-гос.-секторе - понятие "ИС". Это вы знаете прекрасно, ибо, судя по всему, читали и хорошо помните ГОСТы и проч. тексты в области защиты информации по стране. Вывод напрашивается сам собой: при работе с системами, обрабатывающими указанную выше информацию, необходимо оперировать соответствующими понятиями.
Ответ на вопрос про пользователей. Сложите и проанализируйте ГОСТы, РД и НМД в области "АС" и "ИС" с документами, определяющими "внутренних" и "внешних" нарушителей, а также понятия "контролируемая зона" относительно организации и "контролируемая зона" по отношению к системе (автоматизированной, информационной - не суть важно) - будет вам счастье. Злым языкам, буде таковые найдутся, сразу скажу, что главный принцип построения СИБ/СЗИ - это комплексность (как техническая и организационная, так и документальная в плане подхода и описания). Ссылки же на документы просьба искать самостоятельно, ибо уже от этого бессмысленного словоблудия устал.
Ответ на вопрос про эквивалентность. О законодательной взаимозаменяемости "АС" и "ИС" уже грамотные люди сказали все, что могли. Но если все-таки хочется называть вещи своими именами... То получится как у классиков: "А вот попробуйте найти глубокую внутреннюю связь между сверлящим свойством взгляда и филологическими характеристиками слова "бетон", попробуйте решить эту маленькую частную проблемку, известную под названием Великой проблемы Ауэрса!" (с) Хочется? Отталкивайтесь от ключа "автоматизация процесса обработки информации" для АС и от ключа "обработки и предоставления информации" для ИС. В частном случае локальных систем внутри одной организации - полный эквивалент. В случае глобальных или "открытых" систем - разница ощутима буквально "на языке". Если этого не чувствуете - называйте автоматизированную систему информационной (и наоборот) без зазрения совести. Все равно будете правы по букве закона (ибо нормотворцы "проблему Ауэрса" решать не стали, а попросту разрубили гордиев узел).

oko | 60585

Бредятина!!!!! Если не знаете - лучше не пишите. Не вводите людей в заблуждение!

Первое января... голова болит, в горле ком, ни одной серьезной мысли кроме "год какой?"... понимаю... в таком состоянии абсолютно естественно отсутствие какой-либо аргументации и членораздельной речи - проще лаять на всех подряд... из окна дома своего, анонимно на форуме ли - без разницы - все-равно удобная позиция...

Подскажите пожалуйста, являются ли составные части ЭВМ в отдельности, техническими средства обработки и передачи информации? Если можно, то ссылки на НПА.