Вопрос по выполнению требований 152-ФЗ ИСПДН - Форум по вопросам информационной безопасности

мое мнение, как и многих других совпадает, мнением с А. Лукацкого типовых ИСПДн нет, есть только специальные. А то, что специальные классифицируются по ЧМУ только слова неподтвержденные никаким документом (методикой), ну написано это в приказе трех а как это сделать ххххто его знает.
http://bankir.ru/dom/showthread.php?t=78706&page=128

Коллеги, спасибо за советы, после плотного изучения форумов и документов, остались вопросы (мат по поводу самого 152 опускаю):

1. Я верно понимаю, что нет единого решения в вопросе о том, нужна ли лицензия на ТЗКИ при осуществлении мер по защите ИСПДн для себя?
Есть доводы как за, так и против, каждый действует на свой страх и риск, так?

2. Я верно понимаю, что для малых организаций лучше уходить под действие ПП687, поскольку здесь все гораздо проще в исполнении и можно ограничиться только комплектом документов, без программ, экранов и тп?
Считаем, что в нашей рядовой организации есть следующие ИСПДН:
а) зарплата и кадры в бухгалтерии
б) база клиентов и потенциальных клиентов в отделе продаж
в) Программа сдачи отчетности по интернету (в ней передаются персданный в ПФР и др офорганы)
г) банк-клиент
СпецПНД отсутствуют.

Мне непонятны различия в терминах автоматизированная и неавтоматизированная обработка.
Согласно 687:
\\\\\\\\1. Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее - персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.\\\\\\\\\\
Но ведь практически все из перечисленных выше ИСПДН, да и многие другие предусматривают непосредственное участие человека (я даже не придумаю какие не предусматривают его участие)? И значит автоматом не попадают под 781? Как-то слишком просто имхо, ведь практически везде пишут только о выполнении 781, почему? Где ошибка?

1. Да, примерно так.
Имхо "для себя" лицензия не нужна. Но при этом "для себя" в чистом виде имхо означает, что эти анные не используются для оказания услуг клиентам и т.п., иначе уже будут сложности.
2. В зависимости от программ, но с переводом "зарплаты и кадров", если они в 1С, под 687 могут возникнуть сложности в плане согласования с регулятором. Непосредсвенное участие вполне может им пониматься (и нередко понимается) так, что абсолютно любая атомарная операция с данными должна инициироваться непосредственно человеком.
Различия в этих постановлениях и перекрытие ими друг друга имеют внутренние причины, связанные с историей появления этих документов.

AIB - спасибо за ответ!

1. Не совсем понятно какая связь между тем, что в БД отдела продаж есть данные о физлицах клиента и обязанностью лицензирования? Непосредственно для услуг они не используются, но в бд присутствуют и по ним ведутся все контакты.
??

2. Не нашел сейчас цитаты, но насколько я помню текст нормативки, под автоматизированной обработкой понимается такая, в которой решения и последствия принимаются без участия человека. Ясно, что весь расчет зарплаты и тп в ЗиП ведется только с участием человека и решения автоматом не принимаются. то есть регулятор просто грубо нарушает требования вводя свои трактовки? Тогда с ним можно спорить, Или у него есть веские аргументы?

1. Я бы утверждал, что в данном случае данные используются для собственныхнужд и лицензия не требуется. Но при этом готовился бы это подкрепить политиками и тп.
2. Существуют различные точки зрения по поводу того, что есть "непосредственное участие". Также, например, действие оператора может привести к совершению набора операций над данными, причем результат последующей операции зависит от того, была ли без ошибки выполнена предыдущая - тогда у регулятора также может появиться дополнительный аргумент.

Кроме всего прочего, регулятор в лице своих представителей не всегда отличается стройной и безупречной с юридической точки зрени позицией. Спорить с ним, естественно, можно, более того - можно это делать даже в суде, если Вы готовы защищать свою точку зрения.

1. Согласен, ок
2. Я думаю, что какой бы набор действий и последовательность не выполняли человек и машина, ключевой критерий различения автоматизированной обработки и неавтоматизированной (да где же это было написано, не найду?) : окончательное решение принимается с участием человека или без.
То есть (грубо) если будет приказ о том, все что насчитала машина, должен перепроверить человек (любым способом, хоть в столбик пусть считает) - то имем неавтообработку, и соответственно никакого 781, а только 687.
ошибаюсь, нет?
То, что сотрудники регуляторов зачастую превышают свои полномочия, это ясно, вопрос в обоснованности такой позиции.

2. В области ПДн однозначных ответов нет ) все завязано в конечном итоге на человеческий фактор и интерпретацию кривейших формулировок с помощью богатейшего русского языка. В данном случае в постановлении сказано лишь следующее:
"если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека."
В этой формулировке ничего не сказано про "окончательно решение" и "дополнительную ручную проверку", и абсолютно неясно, что есть "непосредственное участие". Регулятор при должной мотивации может прицепиться, например, к "использованию" и "уничтожению". Кроме того, "непосредственне участие" можно интерпретировать как "без дополнительных средств (автоматизации)". В общем, очень многое зависит от того, кто именно будет проверять, а в случае оспаривания в суде - от юридической грамотности сторон.

А я вот оч хотел бы знать автора 687! Чтоб спросить, что они там нюхали или курили (хочу такое же!), когда писали этот опус! Вот уж точно ни с кем не согласованный документ! Сколько народу, который в теме, удивить смели!

Ходят слухи ) что писался документ в перод дележа большого пирога с намерением определенных лиц по-тихому подтянуть к себе его кусок.
По поводу смого документа - я бы сильно-сильно подумал, стоит ли вообще 1С или нечто подобное уводить под него. Вполне может оказаться, что "честный 3 класс" обойдется дешевле, чем разборки с возможной несовместимостью хранящихся вместе данных и необходимостью их разделения по разным физическим носителям, обособлением от "иной информации", изменением "типовых форм" и тп.