Сертификация ПО на отсутствие НДВ - Форум по вопросам информационной безопасности

VSB,

Да, ваша формулировка про "юридически неграмотные действия" гораздо точнее отражает то, что я хотел сказать :)

Приношу извинения армии сотрудников ФСТЭк, которых своим высказыванием оскорбил.

и оффтопик про оскорбления - Вы и производные от Вы, пишутся с большой буквы, когда пишут конкретному человеку.
Вы всё время этим пренебрегаете и (надеюсь невольно) оскорбляете армию собеседников!

Всё думаю, шпаги или пистолет? :)))

«Положение о сертификации средств защиты информации по требованиям безопасности информации»
(утв. приказом председателя Государственной технической комиссии при Президенте РФ от 27 октября 1995 г. № 199)
http://www.fstec.ru/_docs/doc_2_2_011.htm

" 1.2. ........
Действие настоящего положения распространяется на технические, программные и другие средства защиты информации, предназначенные для защиты информации, содержащей сведения, составляющие государственную тайну, от утечки, несанкционированных и непреднамеренных воздействий, несанкционированного доступа и от технической разведки, а также средства контроля эффективности защиты информации.
.........
1.6. Обязательной сертификации подлежат средства защиты информации **, предназначенные для защиты сведений, составляющих государственную тайну, _а_ также_ другой_ информации_ с_ ограниченным доступом,_ подлежащей защите_ в_ соответствии_ с_ действующим законодательством, систем управления экологически опасными производствами, объектами, имеющими важное оборонное или экономическое значение и влияющими на безопасность государства, средства общего применения, предназначенные для противодействия техническим разведкам. Перечень средств защиты информации, подлежащей обязательной сертификации, приведен в Приложении № 1 к настоящему Положению. В остальных случаях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе заявителя (разработчика, изготовителя, поставщика или потребителя) средств защиты информации."
Во как бывает!

Да, это пример документа, при принятии которого сделаны те самые "юридически неграмотные действия".

1. Документ не прошел экспертизу в Минюсте, хотя это обязательное требование.
2. Документ противоречит постановлению правительства, которое определяет более узкий перечень средств, подлежащих обязательной сертификации.

Для лицензиатов этот документ обязателен (иначе это нарушение лицензионных требований, для которого в КоАП есть статья). А вот остальные при попытке предъявить им претензии, предложат обратиться в суд, ссылаясь _только_ на постановление правительства. Почти наверняка требования по п. 1.6 будет признаны не подлежащим иисполнению.

Налоговая в аналогичной ситуации проигрывает большинство судебных споров. Вопрос только в том, готова ли организация судиться.

Василь, логика Малотавра прозрачна и ясна. А вот ваша формальная логика не ясна совершена.
Правда складывается мнение, что документы выпускаемые ФСТЭК - это саботаж законотворческой деятельности правительства. Откуда может среднестатистическое предприятие например знать как защищать, например, ПД? Если оно и получило СТР-К - оно не аргумент, получить ЭТИ САМЫЕ 4 документа даже для уважаемых предприятий в области ИБ получить проблемно...а то что оно подписано не диреткором ФСТЭК вообще ставит под сомнение необходимость их получения.
Вот от сюда и появилось фраза про "юридическую безграмотность"....хотя тут больше другие определения подходят.

Да но ведь в п.5 ПП №781 говорится:
"5. Средства защиты информации, применяемые в информационных системах, в установленном порядке проходят процедуру оценки соответствия.", однако почему вы думаете, что порядок оценки соответствия СЗИ ИСПДн не может устанавлваться ФСТЭК?

Правительство - нужно установить процедуру оценки соответствия СЗИ.
ФСТЭК - установили - давайте сертифицируйте и все тут

Я не прав?

> почему вы думаете, что порядок оценки соответствия
> СЗИ ИСПДн не может устанавлваться ФСТЭК?

Почему не может, может. Только ФСТЭК этого не сдалала.

Порядок установлен постановлением правительсства. В компетенции ФСТЭК этот порядок уточнить.

Для того, чтобы уточнить процедуру, ФСТЭК должна:
1. Выпустить соответствующий нормативный правовой акт
2. Успешно пройти экспертизу этого НПА в Минюсте
3. Зарегистрировать НПА и (если он не содержит сведений, составляющих ГТ) опубликовать

НПА станет обязательным для граждан и неведомственных организаций только после выполнения всех трех шагов. Гостехкомиссия остановилась на первом шаге. Выполнят оставшиеся два - будет новый порядок, нет - извините.

Да в этом я согласен, но ведь речь идет об оценке соответствия, а в ПП №781 говорится о сертификации! То есть вы отождествили эти понятия, поэтому и получается то, что вы говорите.

А если не отождествлять? Правительство в положение по ИСПДн говорит о необходимости проведения оценки соответствия в установленном порядке. ФСТЭК в соответствии с этим требованием устанавливает такой порядок оценки соответствия. Порядок оценки соответствия - сертификация на НДВ и по показателям защищенности.

Предмет спора потерялся в ходе дискуссии...
Если оценить нелогичные (с нашей точки зрения - обывателей, пользователей этих НПА)
И несколько юридически скажем...некорректные по процедуре подписания-согласования-утверждения то ( и это лично мое мнение, которое я никому не навязываю) - из-за бессилия перед "Согласующими-Утверждающими" органами ФСТЭК сознательно (преследуя нам неведомые цели) выпускает документ (после длительного периода умолчания и сокрытия под незаконным "ПСЕВДО"-Недо-грифом ДСП (ранее это была ограничительная надпись (НЕ ГРИФ!!!)- сейчас юридическая нелепость, умышленно нарушая процедуру подписания для придания документу этакой МАХРОВОСТИ.
Я не знаю как иначе назвать вполне адекватный, но Незаконный документ СТР-К т.к. он так и не прошел полную процедуру согласования и юридической очистки и эти пресловутые 4 документа, которые по 781 пп должны были быть разработаны отдельно ФСТЭК, отдельно ФСБ и отдельно Мин. Связи.
Но проекты выпущены только ФСТЭК как (ДОР).
Остальные органы НЕ выпустили даже проекты.
Видать с мнением ФСТЭК остальные не согласились но своего не предлагают.
Это такие ТАНЦЫ - типа менуэт.
Налицо саботаж.
Наверное так и надо для полной отмены закона-банкрота о техническом регулировании, закона полностью разрушившего аборигенную систему стандартизации СССР.
В общий рынок нас не берут. И хорошо!
Значит нужна революция в стандартизации.
Но этого аборигенам уже не позволяют хозяева из-за кордона.
Будем разлагаться изнутри
незаконно и несмотря на законы и странные сокрытые НПА.

Кстати - любезные посетители - советую не вестись на разводки провокатора под ником вАСИЛЬ.
Убогая это личность - только все хает и стравливает остальных друг с другом!
Конструктива 0,00000.....

> А если не отождествлять?

Как это не отождествлять?

Согласно закону о техническом регуоировании есть три формы подтверждения соответствия:
- добровольная сертификация
- декларирование соответствия
- обязательная сертификация.

Поскольку мы говорим ою обязательном подтверждении соответствия, то остается только обязателбная сертификация.