Итоговые документы на ИСПДн при декларировании соответствия? - Форум по вопросам информационной безопасности

1. Андрея Волошина я процитировал потому, что самому было лениво лезть в СТР-К и потом тыкать пальцем в буковки.
2. Не нравиться вам какой-то там ведомственный документ регулятора СТР-К - насильно мил не будешь :) Не подскажете часом, по какому ведомству имеет силу данный док?
3. Дискуссия свернула на хорошо знакомую, утоптанную, сто раз хоженую тропинку... Предлагаю вернуться к началу.
bobrdobr собирался неизвестно каким способом декларировать соответствие своей ИСПДн. Не имея лицензии на ТЗКИ судя по всему. Видимо он полагает, что декларирование (и процедуры, которые необходимо выполнить при декларировании) не относится с области технической защиты информации... Но он заблуждается и оч сильно... Если же он так не думает, то в соответствии с тем, что он написал в посте 24661, ему таки придется получить лицензию по ТЗКИ. А нахрена тогда козе баян, а bobrdobrу декларирование соответствия, когда он будет иметь право аттестовать свою ИСПДн сам?

Я пойду покурю пока...

Зажигалку забыл...

Кстате, хто не знаить, в ФСТЭК региональные управления не являются истиной в последней инстанции и не они определяют политику. Руководящей силой является центральный аппарат (в данном случае - 2 управление). Потому, если спрашивать, то там, а не устраивать клоунаду - давайте спросим всех, а птом сравним... Более того, их (регионалов) и поправить могут, ежели дурить начнут...

Если уж любите так копаться в документах, то почитайте 58й приказ еще раз.

"Для выбора и реализации методов и способов защиты информации в информационной системе оператором или уполномоченным лицом может назначаться структурное подразделение или должностное лицо (работник), ответственные за обеспечение безопасности персональных данных.
Для выбора и реализации методов и способов защиты информации в информационной системе может привлекаться организация, имеющая оформленную в установленном порядке лицензию на осуществление деятельности по технической защите конфиденциальной информации."
Таким образом, либо назначаем свое подразделение, либо привлекаем лицензиата, ОКАЗЫВАЮЩЕГО УСЛУГИ по ТЗКИ!

СЛОНу:

Уф! Просто камень (величиною с Эверест) с плеч долой. Действительно, ведь всё так просто, как на ладони. Назначаем должностное лицо к примеру меня с моим филологическим образованием на должность по защите ПДн (если надо то и людей ему в помощь дадим, дабы подразделение было). Главное в этом деле Приказ о назначении на должность (или о создании подразделения) и Инструкция (как без неё родимой?). И вуаля: требование Приказа № 58 ФСТЭК, зарегистрированного в Минюсте (!) выполнены. Уверяю Вас - я человек хороший, а хороший человек это в любой стране мира лучший специалист. Не будите же Вы возражать, что мне необходима какая-то квалификация в области ТЗИ?! Нет, т.к. в приведённых Вами пунктах о квалификации ничего не сказано :-(
А вот если у организации есть лицензия ФСТЕКа на деятельность по ТЗКИ (о чём нам постоянно твердят, указывая на действующее законодательство), то логика и смысл начинает просвечиваться.

философ
Если вас назначить ответственным по этому вопросу, то следовательно и все шишки и подзатыльники в случае чего достанутся вам, а так как у вас нет необходимой квалификации и вы не сможете нормально организовать защиту, они вам обязательно достанутся. Вам работа надоела? Я думаю в случае серьезных проблем самая мягкая реакция со стороны руководства это увольнение.

Для Некто: коллега, я есть лицензиат.
и "bobrdobr собирался неизвестно каким способом декларировать соответствие ИСПДн КЛИЕНТОВ"
Дело в том что к нам обращаются клиенты с целью "минимизации затрат", стоимость аттестации на порядок дороже чем "неизвестное декларирование". Я знаю что многие компании лицензиаты именно ДЕКЛАРИРУЮТ СООТВЕТСТВИЕ ИСПДн клиентов, так вот я и хотел узнать КАКИМ ОБРАЗОМ, какие документы получаются на выходе? и пилювать я хотел на то что декларирование ничем не регламентировано, но всем думаю ясно что есть возможность "оценки соответствия ИСПДн" в форме декларирования соответствия.

Некто, Вы изначально не ответили на поставленный мною вопрос (понятно что вы не знаете ответа, и считаете декларирование выдумкой "творческих узбеков"), наша дискуссия перешла немного в другую плоскость "а нужна ли лицензия ФСТЭК на ТЗКИ и можно ли аттестовать САМИХ СЕБЯ?" Дело в том что неясность самой процедуры ДЕКЛАРИРОВАНИЯ СООТВЕТСТВИЯ АНАЛОГИЧНА ситуации с "необходимостью получения лицензии ФСТЭК на ТЗКИ для собственных нужд и возможностью аттестации САМИХ СЕБЯ без таковой лицензии!!!
Вот такая вот информация к размышленияю.

"декларирование ничем не регламентировано, но всем думаю ясно что есть возможность "оценки соответствия ИСПДн" в форме декларирования соответствия"
С этого места поподробнее пжлста....
Что есть декларирование, как его от аттестации отличить, как оно сделать и, главное (!), как убедить заказчика, что его не будут любить в извращенной форме госконтролеры и всякие друге разные-прочие... ? И еще, что его не на... (обманывает вобщем) столь резвый и продвинутый лицензиат?!

Помню в 90х была такая изумительная реклама: бородатый, кажись, мужик держал в руках ботинки и заявлял - "Мы ОБУЕМ всю страну" :)
Вы, bobrdobr, не из правопреемников часом?

Помню в 90х была такая изумительная реклама: бородатый, кажись, мужик держал в руках ботинки и заявлял - "Мы ОБУЕМ всю страну" :)
Вы, bobrdobr, не из правопреемников часом?

Некто, я не собираюсь никого обувать, ни всю страну, ни регион, ни отдельно взятую компанию: я здесь для того чтобы разобраться.
Есть очень содержательная статья, все ответы можно найти здесь: http://www.itsec.ru/articles2/Inf_security/ocenka-sootvetstvija-ispdn-trebovaniyam
Я если полностью согласен с автором.
Ваши комментарии?