Нужна ли обязательная аттестация ИСПДн в гос. учреждениях? - Форум по вопросам информационной безопасности

"и т.п устанавливались "глушилки" ПЭМИН"
Согласно СТР-К и приказа 58 "глушилки" (САЗ) устанавливатся на объектах немогут, (их нет в перечне мер и средств защиты), методик оценки их эффективности тоже нет, и требований их ставить тоже нет, поэтому кто их ставит поступает неправильно.
"вот вопрос и встал - ПЭМИН или оказание помощи больному- вот такое решение ФСТЭК и принял в результате жалоб"
...и по всем правилам НМД такой вопрос вообще не мог встать!
Дорабатывайте ПЭВМ, увеличивайте зону, экранируйте, развязывайте - все что говорит приказ 58. п 3.2.

это мы понимаем, а большинство решает просто - "глушилка" и вроде как ПЭМИН больше не участвует - грубо - но действенно, да и 58 не противоречит

2.17. Объекты информатизации должны быть аттестованы на соответствие требованиям по защите информации ( Здесь и далее под аттестацией понимается комиссионная приемка объекта информатизации силами предприятия с обязательным участием специалиста по защите информации.)
http://afa.biz.ua/doc/drg/STR-K.zip

Наверное это хулиганы в интернеты выложили, чтобы смущать всех. )))))
Вот так вот и исполняем ЗАКОНЫ: кто чего где нашел, услышал, увидел.

http://www.ispdn.narod.ru/str_k.pdf
то же самое....

"грубо - но действенно" - не действенно (даже если ставить!) не проведена оценка эффективности!

"да и 58 не противоречит"
Противоречит! Нет такой меры защиты в 58 и в стр-к (в четырехкнижии когда то было)!

lp, только подписывает, в самом низу, представитель регулятора.
sekira, соглаен, нету, но не забывайте, что те кто проводит аттестацию, за частую пользуются еще (по привычке) СТР (без К)

sc63, текст письма ФСТЭк можно и на evgenyhome@yandex.ru ?

НЕ, это Вы о практике говорите, или таково требование СТР-К (простите не нашел там).
По поводу письма. Рекомендую потратить время и для общего развития ознакомиться с

http://www.be5.biz/pravo/tzsg/63.htm

http://ifldgpu.narod.ru/tgp58.htm

Вкратце, ФОИВ вправе давать общеобязательные разъясения НПА, которые оно выпустило.
ФОИВ имеет право давать общеобязательные разъясения других НПА, если ему делегированы такие полномочия.

Я не читал письма, о котором шла здесь речь но:

1. ВЫ уверенны, что с юридической точки зрения это Письмо не является казуальным толкованием?

2. Письмо разъясняет АКт ФОИВ, который не имеет нормативно-правового статуса, поскольку, как мне известно, не зарегистрирован в Минюсте. А значит Письмо, при всем желании, не может считаться официальным легальным толкованием.

Вот такие вот дела...
Внимательно выслушаю мотивированные возражения.

lp, Вы возвращаетесь к теме " что было раньше - курица или яйцо?" Еще раз повторю:
1. СТР-К является обязательным для органов, представляющих государство, и является рекомендательным для всех остальных, т.к. издано федеральным органом, который по закону устанавливает требования (для чего и создавался).
2. В письме четко говорится, что если Вы являетесь государственным предприятием то Ваши информационные ресурсы (как и все остальное) принадлежат государству, а потому для Вас СТР-К "библия".

3. Инерцию еще ни кто не отменял - и как показывает практика при проведении аттестации объектов многие аттестационные органы требуют установки защиты от ПЭМИН (не смотря на неактуальность данной угрозы) - ну вот так они привыкли, увы.

Интересно, почему тогда представители ФСТЭК уже несколько лет практически на каждой встрече кричат, что "новый" СТР-К мы обязательно зарегистрируем в Минюсте? Из жалости к гражданам или сочувствия к юристам?

Что касается инерции у ПЭМИНа, то тут показателен случай определения актуальности этого канала утечки самим представителем ФСТЭК (посты 37446, 37470):
http://www.itsec.ru/forum.php?sub=7027&from=10
Если средства активной защиты мешают работать медаппаратуре - это объективный и самый разумный вывод признать в Модели угроз утечку по каналам ПЭМИН неактуальными!!! Бумага же всё стерпит...