Самостоятельное создание системы защиты ПДн - Форум по вопросам информационной безопасности

Сергей, респект :)

Но на всякий случай напоминаю: устный ответ по телефону - это мнение сотрудника (даже высокопоставленного), за которое "он лично никакой ответственности не несет".

Для того, чтобы вы получили право воспользоваться подобным ответом, он должен быть направлен письменно в ответ на ваш письменный запрос на имя руководителя вашего территориального органа.

Вопрос по классификации.
Хпнд=2. Обрабатывается менее 1000 субъектов ПД, НО учреждение относится к органу гос.власти, это автоматически К2?

Точнее эти самые субъекты ПД работают в органе гос.власти...
И второй вопрос ПЭМИН в К2 требуется ли измерять?

Про ПЭМИН
Все зависит от вашей составленной модели угроз, которая получилась исходя из ваших же условий.
ПЭМИН мерять это значит оценивать защищенность от утечки инструментально, на объекте!
Это можно иногда не делать для любого класса (все зависит от условий). Рассматривать каналы ПЭМИН пр аттестации и создании системы защиты нужно все равно !

Автор: Степашка | 12994
>Посмотрите
>http://www.z-it.spb.ru/img/ispdn111.jpg

все-таки я не пойму, откуда взялось это "МЭ не ниже 5го класса"? Смотрела по Основным мероприятиям - для 3го распределенного вообще 1й класс получается :(
Кстати про 3й локальный с наличием подключениея к внешним сетям и интернет ничего не пишут - какой там МЭ должен быть? Или это еще где-то описано? Может, я проглядела?

Еще вопрос

Вот такое требование
"Технические и программные средства, используемые для обработ-
ки ПДн в ИСПДн, должны удовлетворять установленным в соответствии с
законодательством Российской Федерации требованиям, обеспечивающим
защиту информации."

Означает ли оно что Windows должен быть сертифицированным (я не про лицензионность, а про сертифицированность)? Мне кажется, что не обязательно.

(класс 3 локальный, с наличием подключения к сетям связи общего пользования)

Кошке.
Windows не должен быть сертифицированым, если вы применяете сертифицированые СЗИ (SecretNet, SecretDisk и т.п.). Он должен быть сертифицированым, если вы хотите использовать только ключ защиты, скажем, eToken и всё.

Я вот про портал уже спрашивала...
Ну ладно, информацию на портале объявим общедоступной (с согласия сотрудников).
Но вот предположим, эта информация формируется некоей программой на основе данных из БД, которая "по-совместительству" используется бухгалтерией, т.е. у них есть своя программа, которая тоже из этой единой БД берет информацию для своих нужд, зарплату посчитать и тп. Естественно, эта информация уже не является открытой.
Получаем 2 ИС (4го и 3го класса), которые являются частями единой большой ИС, которая соответственно будет тоже 3го класса. Верно?

А если организация разнесена в два здания и между ними имеется неконтролируемая зона (используется VPN), бух-я в одном здании, а портал на всю организацию, те. ИС 4го класса распределенная, а 3го - локальная, но ньюанс в том, что они используют одну БД (которая физически находится там, где бухгалтерия).
Вопрос - нужна ли аттестация системы 3го класса, тк. она использует БД, к которой имеется "доступ извне"?
Второй вопрос - итоговая система является ИС 3го уровня распределенной?
Нужна ли аттестация на все это дело и нужна ли лицензия на ТЗКИ?

Логика говорит мне, что чисто теоретически достаточно "просто хорошо защитить БД", чтобы не было постороннего доступа. Но никаких законных обоснований я не могу придумать.

Здравствуйте, у меня такая просьба ко всем участникам форума. Мне нужно какая-то актуальная тема на дипломный проект, но чтобы был связан с защитой от несанкционированного доступа к информации и автоматизацией банковской системы (дольше уклон в радиотехнику (прослушка, закладки, выдео наблюдения и т.д.)). За ранее большое спасибо. Будут предложения, пишите на мыло cleric4q@rambler.ru

Кошке
Да, вся система 3 класса. (как вариант можно отделить ис 3 класса от ис 4 класса межсетевым экраном-получится сегмент ЛВС с ИСПДн).
Ваша ИСПДн распределенная.
3 класс лучше аттестовать-всё равно придется проводить измерения, разрабатывать документацию и т.п., короче, платить фирме-лицензиату. разница будет лишь в одной бумажке-аттестате, а она сама стоит недорого по сравнению с остальнымизатратами (1500 руб.)
вам лицензия ТКЗИ не нужна-фирма-лицензиат, котороя будет проводить испытания да измерения вашей системы на соответствие ее имеет, и она с вами заключает договор.