Техническая защита коммерческой тайны - Форум по вопросам информационной безопасности

"Видимо использование именно сертифицированных средств защиты значительно упростит получение отдельных фактов, а вот использование объём и возможности "функционала" несертифицированных средств объяснить будет сложнее (что в свою очередь будет "размывать" факты следствия). Наверно это имели в виду преподаватели..."

Да, только на чем основано данное суждение? или это лишь предположение и никакого отношения к реальности не имеет

> Да, только на чем основано данное суждение?
Можно было сказать короче: покажи норму!
А без нормативных методик регуляторов рассуждать уже никак? Если это предположение, то неужели оно не может иметь отношения к реальности?

"А без нормативных методик регуляторов рассуждать уже никак? Если это предположение, то неужели оно не может иметь отношения к реальности?"

Рассуждать ведь можно о чем угодно, но правилами эти рассуждения делают именно нормативно-правовые акты, либо реальные примеры из судебной практики. Есть ли реальные примеры?

На мой взгляд, рассуждать не только можно, но и нужно. Хотя бы для того, чтобы попытаться понять точку зрения, в частности, тех преподавателей, которые не смогли аргументировать свои "наставления". Можно подумать, что Вы всегда и во всём можете или желаете аргументировать свои "рекомендации" тем, кто Вас не понимает или не хочет понимать?!

> но правилами эти рассуждения делают именно нормативно-правовые акты, либо реальные примеры из судебной практики.

Неужели Вы это всерьёз ????? Т.е. по Вашему получается, что нормативно-правовые акты (а точнее те кто их пишет) знают, что есть правильно, а что нет?!
От чего тогда в регионах столь противоречивая "практика применения" одних и тех же нормативно-правовых актов? Почему принимаемые нормативно-правовые акты порождают больше споров и разногласий, чем единого понимания? И почему такое большое количество судебных решений опротестовываются в вышестоящих инстанциях?

Подключусь к дискуссии.
Если сотрудник ДПС Вас останавливает и говорит, что Вы превысили скорость, показывая Вам показания несертифицированного радара, Вы будете оспаривать лишение прав в суде?

Если сотрудник ДПС Вас останавливает и просит пройти тест на содержание алкоголя, при этом подсовывает несертифицированный китайский алкотестр. В этом случае Вы будете оспаривать лишение прав в суде?

Как Вы думаете, какое решение примет суд, если Вы воспользуетесь в обоих случаях услугами адвакатов?

Смоделируйте ситуацию, когда несертифицированными средствами зарегистрирован факт НСД конкретным работником. Организационная составляющая защиты позволяет его привлечь к всем видам ответственности в зависимости от причинённого ущерба. То есть стоимость ущерба сопоставима с тем, чтобы защищать всеми возможными и невозможными способами возможность уйти от наказания.

И вот тут-то и вознкнет вопрос о том, что программное средство "левое" и его показания в расчёт не будут браться.

В зависимости от стоимости защиты Вас в этом случае с большой вероятностью освободят от ответственности.

Как там во время выборов-то говорили про ролики? Фальсификация? Приплетут что-нибудь в этом роде.

Я бы лично включил эту угрозу в модель безопасности.

"Организационная составляющая защиты позволяет его привлечь к всем видам ответственности в зависимости от причинённого ущерба"
"что программное средство "левое""
"В зависимости от стоимости защиты Вас в этом случае с большой вероятностью освободят от ответственности"

Давайте не по "понятиям".
Где ссылки в НМД, в судебной практике где либо.. на все выше сказанное.
Где обязанность, ответственность и т.д. Давайте говорить юридическим языком... Вопрос то в официозе происходящего...

Примеры с ГИБДД и алкотестером некатят, другие нормы.. другое законодательство!

Разговор еще раз повторяю на данную тему должен вестись со ссылками на законодательные документы...

Почему же, пример с ГИБДД показателен, ибо есть четкие инструкции (правила) обязательные! для выполнения, сотруднику запрещено использовать не сертифицированные средства.
Тоже самое и с обеспечением защиты гостайны, ПД и т.д. - есть четкие и однозначные документы обязательные для исполнения.
С КТ же ситуация иная, на обладателя накладываются только те обязанности, которые есть в ФЗ 98 и других документах. К примеру, есть СТР-К по технической ЗИ, ч 2 п. 2.3:
"Для защиты конфиденциальной информации, содержащейся в негосударственных информационных ресурсах, режим защиты которой определяет собственник этих ресурсов (например, информации, составляющей коммерческую, банковскую тайну и т.д.) (далее - коммерческая тайна), данный документ носит рекомендательный характер"

> Давайте не по "понятиям".
А как же без них родимых то? Если в законах сейчас пишут названия статей "Основные ПОНЯТИЯ, используемые в настоящем Федеральном законе". Поэтому нас как раз именно юридически и вынуждают жить "по понятиям" :)))

> Где ссылки в НМД, в судебной практике где либо.. на все выше сказанное.
Ну, разложите мне всё по тарелочкам, дайте ложечку и покажите как кушать и разжуйте. Моё дело глотать и переваривать, но никак не думать и рассуждать!
Может лучше сначала интересующийся проявит ХОТЬ КАКАУЮ-ТО самостоятельность и инициативу? Например, хотя бы поищет в открытых источниках судебную практику, статьи, "нормативку" по интересуемым его вопросам? Про анализ найденного и формулирование своей точки зрения я, вообще, молчу.

> Примеры с ГИБДД и алкотестером некатят, другие нормы.. другое законодательство!
Очень даже катят. Вопрос обязанности или права использования использования сертифицированных средств в том или ином случае, и влияние этого на возможные последствия. В том то и проблема, что законодательство у нас одно...

Пожалуй в отечественной практике я не видел таких разбирательств.
Это лишний раз доказывает, что "режим коммерческой тайны" Д Е К Л А Р И Р У Е Т С Я, но не работает.

Если бы он работал, то не было бы вопросов о том, как разрешить/запретить использование съёмных носителей информации, какое использовать ПО, как вообще организовать режим и т.д.

Всё находится в ЗАЧАТОЧНОМ состоянии. И этим многие работники пользуются, к сожалению.

НМД?
Рассмешили честно говоря. НМД по КТ (информации ограниченнго доступа) реально разрабатывается каждым ведомством отдельно. А вот будут ли они юридическим основанием, не имеючи за исключением Банка, Пенсионнго фонда регистрационных номеров Минюста - это наверное ещё тот вопрос.

С точки зрения права в РФии из информации ограниченного доступа на законном основании подлежит защите только КТ и ПДн. Развивающих ФЗ о КТ документов нет. А защита информации КТ приравнена к защите носителей с грифом "КТ".

Юристы вообще не понимают, что информация в электронном виде (к примеру в БД) может быть без грифа, но иметь коммерческую ценность.

И пожалуйста ничего не говорите про ЮРИСТОВ, занимающихся рассмотрением вопросов ИБ. Плююсь уже 10 лет. Кстати, не один)))

> Тоже самое и с обеспечением защиты гостайны, ПД и т.д. - есть четкие и однозначные документы обязательные для исполнения.
Вот пример ПРАВИЛЬНОГО толкования НМД из практики, который обязателен для исполнения: проверяя оператора местный Роскомнадзор с целью выполнения п. 6 "Положения...", утверждённого постановлениям Правительства РФ № 687, требует наличие отдельного Журнала информирования лиц о факте обработки ими персональных данных. Ну, где там сказано, что результаты информирования должны быть отражены в отдельном журнале? Проведения устного инструктажа не достаточно что ли? Или записи в должностной инструкции, что кадровик будет обрабатывать ПДн?

В коммерческой тайне на данный момент НЕТ нормы обязывающей собственника использовать для защиты именно сертифицированные СЗИ. Зато для такого утверждения не придётся искать ссылку в НМД или на судебную практику.