Лицензия ФСТЭК по ТЗКИ для сообственных нужд больше не нужна. - Форум по вопросам информационной безопасности

Для полноты картины Вашего мнения Давайте еще определимся а что же такое конфиденциальная информация? Желательно со ссылками на ФЗ. Уточнение ПП №79 от 03 февраля 2012 противоречит п.2 Статьи 4 99-ФЗ

> Вас ОБЯЗАЛИ обрабатывать ПДн на компьютере?
А расскажите мне тогда плз, как я могу не нарушая закон обрабатывать ПДн (работодатель) не на компе? (лично Я считаю, нет Я серьёзно так считаю, что компьютеры это зло, и от них удобств меньше, чем проблем).

Вообще то законы нужны для регулирования сложившейся действительности. А не для её создания.

Безусловно Ваша логика стройна. Но речь не о том кто кого троллит. А о том как спокойно жить. Не ВАМ и Вашим конкурентам. А извините простым юр. лицам.

ВЫ готовы утверждать, что потратившись на лицензию ТЗКИ (со всеми издержками)+аттестацию ОИ Я обеспечиваю себе реальную защищенность?

Не хочу заочно никого судить, но в сфере ТЗКИ, да и ТЗИ, да и ПДИТР желающих состричь поляну в последнее время дофига стало. Только Вот толку то блин нет.

>Судя по письму ФСТЭК - это не совсем неофициальное мнение. Но это как читать.
Давайте мож. опрос проведем на тему кто как прочитал и понял письмо Куца
Я имел в виду, что письмо Куца не является официальным легальным толкованием. У ФСТЭК нет права толковать ПП РФ и ФЗ-99 тем более

>...Но читал я его с ГК, а не просто так..

поясните плз. конкретнее. что Вы имели ввиду.

И наверное, для конструктивизма дисскусии надо сразу определиться говорим ли мы о противоречии в самом законодательстве (толковании законодательства, неправильном применении), либо о системных проблемах вызванных несоответствием реальных отношений действующим нормам права.

Я говорю о втором. Иными словами в сложившейся действительности получать лицензию ТЗКИ для собственных нужд просто глупо. А куц, утрирую конечно, написал: "...отстаньте от нас..."

>Стоп. Вот тут осторожнее. Каким нормативным документом Вас ОБЯЗАЛИ обрабатывать ПДн на компьютере? Так, наверное, Вам удобнее? Защита - это плата за удобство. Вот когда Вас заставят нормативно обрабатывать зарплату и кадры ТОЛЬКО на компе - тогда это и перестанет относиться к лицензируемому виду деятельности. А пока никто Вас не заставляет обрабатывать ПДн на компьютере, так же как никого не заставляют заниматься космической деятельностью.

http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=117587
Статья 19
1. Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
2. Обеспечение безопасности персональных данных достигается, в частности: ...
2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;
3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
5) учетом машинных носителей персональных данных;
6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
9) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

(ст. 19, Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) "О персональных данных")

Да, действительно, законом 152-ФЗ не предписывается использовать автоматизированную обработку ПДн

ЗАКОНОМ предписывается принимать меры защиты, в т.ч. Технические при обработке ПДн

З.Ы. (А вы точно не тролль?)

>А расскажите мне тогда плз, как я могу не нарушая закон обрабатывать ПДн (работодатель) не на компе?

По ТК - ведете все в бумаге, по бухгалтерии у меня есть замечательный пример - одна бабушка ДО СИХ пор ведет ВСЮ бухгалтерию на бумаге! Одна! А три молодых бухгалтерши проверяют ее расчеты на 1с и ВСЕ совпадает!
Надо ли говорить, что ПП687 ни есть подзаконный акт ФЗ152, а всего лишь "законодательство в области, ПДн, состоит из ..., которые не должны противоречить и учитывать настоящий ФЗ"? Ну а ПП687 выполняйте как душе угодно ("самостоятельно определяет").

>ВЫ готовы утверждать, что потратившись на лицензию ТЗКИ (со всеми издержками)+аттестацию ОИ Я обеспечиваю себе реальную защищенность?

Мой опыт говорит, что организация начинающая работу по ПДн очень начинает ВООБЩЕ понимать что она делает (касается госов и муниципалов). Начинает думать об автоматизации системно, а не как о чайнике для утреннего кофе. И через 2-3 аттестацию в организации появляются предпосылки к менеджменту качества в лучшей его ипостаси - с потоками, регламентами оказания услуг и т.д.
Опять же скажу - для многих шоком является отсутствие в их организации документов о праве собственности/аренде, видах деятельности в уставе и т.п.

>Не хочу заочно никого судить, но в сфере ТЗКИ, да и ТЗИ, да и ПДИТР желающих состричь поляну в последнее время дофига стало. Только Вот толку то блин нет.

Это да. Я приводил пример с организацией из Тулы, которая делает у нас СЗПДн в организации с аттестацией за 3000 за машину. Для примера час работы 1с-ника без знания бухгалтерии 1500р, механика на Форде - 1000.

>...Но читал я его с ГК, а не просто так..
>>поясните плз. конкретнее. что Вы имели ввиду.

Тут, чтобы не повторяться: http://bankir.ru/dom/threads/112006-О-необходимости-аттестации
Ник тот же.

>И наверное, для конструктивизма дисскусии надо сразу определиться говорим ли мы о противоречии в самом законодательстве (толковании законодательства, неправильном применении), либо о системных проблемах вызванных несоответствием реальных отношений действующим нормам права.

Вот тут Вы в точку! Я именно про первое. Второе - не имеет смысла (на мой взгляд). Хотите изменить - все в Ваших руках, но процедура сложна и меняет взгляды человека на противоположные чаще всего.

>Я говорю о втором. Иными словами в сложившейся действительности получать лицензию ТЗКИ для собственных нужд просто глупо. А куц, утрирую конечно, написал: "...отстаньте от нас..."

В сложившейся ситуации ее никто и не получает.

>Да, действительно, законом 152-ФЗ не предписывается использовать автоматизированную обработку ПДн
ЗАКОНОМ предписывается принимать меры защиты, в т.ч. Технические при обработке ПДн

ЕСЛИ Вы решили автоматизировать обработку ПДн - исполняйте требования ФЗ152. Если нет - ПП687. Не уловил в чем суть возражения.
Да для примера вспомнил еще биржу труда, которая ведет всю работу с безработными ТОЛЬКО на бумаге (чесслово).

>З.Ы. (А вы точно не тролль?)

Представимся? :)
Я сегодня выслушивал в налоговой, что данные о моей прописке в БД налоговой являются налоговой тайной! Что работодатель НЕ передает 2НДФЛ в налоговую! Что в налоговой на каждого человека МНОГО баз! Что данные о прописке в 2НДФЛ налоговой ВООБЩЕ не нужны, они их сразу стирают! Что миграционная передавала базу налоговой последний раз до декабря 2007 года!
При этом ФНС классифицировала свои ИСПДн как К3! И ничего больше не сделала.

Пару месяцев назад я добивался чтобы ПФР не собирал заявления на СНИЛС у несовершеннолетних детей в школах. Астахову пофиг, прокуратуре - без заявления пофиг (их же дети страдают, я спрашивал), защитнице прав детей - пофиг, местный роскомнадзор - который месяц "разбирается". Единственное чего добился - прекратили (наверное, пока) сбор данных (это делали учителя информатике в специальной программке из ПФР) на уровне приказа комитета образования области.
А ведь в ПФР вообще нет автоматизированной обработки ПДн (было решение суда такое)!

В 2005 кажись году я плюнул на защиту информации, потому, что в нормативке по ЗИ был полнейший швах. Но судьба опять кинула в омут. Я бы и рад закрыть глаза, да не получается.

Но так я "тролль" конечно :). И так "троллить" буду каждого кто открыто плюет на законы. Пока могу.

Пасибо за быстрый и конструктивный ответ.
>ЕСЛИ Вы решили автоматизировать обработку ПДн - исполняйте требования >ФЗ152. Если нет - ПП687. Не уловил в чем суть возражения.

Еще раз, плз.

Я говорю о том, что оператор согласно ст. 19 152 ФЗ Обязан защищать ИСПДн. Либо по ПП687 - для "бумажной обработки", либо по 781 ПП - для автоматизированной (техническими мерами в т.ч.). Оба эти ПП являются подзаконными актами 152-ФЗ, о чем прямо говорится в преамбуле этих НПА.

>Мой опыт говорит, что организация начинающая работу по ПДн очень >начинает ВООБЩЕ понимать что она делает (касается госов и >муниципалов). Начинает думать об автоматизации системно, а не как о >чайнике для утреннего кофе. И через 2-3 аттестацию в организации >появляются предпосылки к менеджменту качества в лучшей его ипостаси - с >потоками, регламентами оказания услуг и т.д.


Ух ты (это не сарказм, а зависть)! А мой опыт говорит о прямо противоположном. Здесь мы с вами, наверное о разных мирах говорим.

>Но так я "тролль" конечно :). И так "троллить" буду каждого кто открыто плюет >на законы. Пока могу.

Это хорошо очень. Напрягает "напряженная тишина" в этой сфере. А так, хоть поговорить по делу можно.

Представляться не буду. Я ПДшник - ТЗИ"шник больше. Не принято это, уж простите, поймите.

>...кто открыто плюет на законы
И еще просьба, у Вас своё мнение, опыт. Но не стоит так бросаться громкими упреками, не смотря на Вашу уверенность в правоте.

А вообще, по здравому смыслу, Надо не только лицензии трясти, но еще и сертифицировать специалистов. Точно так же как и у врачей, учителей.

http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=112747;fld=134;dst=100144;rnd=0.6595551090718725

Статья 2. Основные понятия, используемые в настоящем Федеральном законе
В настоящем Федеральном законе используются следующие основные понятия:
1) информация - сведения (сообщения, данные) независимо от формы их представления;
...

Статья 16. Защита информации
1. Защита информации представляет собой принятие правовых, организационных и ТЕХНИЧЕСКИХ мер, направленных на:
...
2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации, а также ответственности за нарушение законодательства Российской Федерации об информации, информационных технологиях и о защите информации.
...
4. Обладатель информации, ОПЕРАТОР информационной системы в случаях, установленных законодательством Российской Федерации, ОБЯЗАНЫ обеспечить:
...

Я вот опять читаю, что "...В установленных законом случаях Я ОБЯЗАН защищать информацию, в т.ч. и техническимим мерами - в зависимости от видов, способов, технологий ЕЁ обработки и хранения..."

>Я говорю о том, что оператор согласно ст. 19 152 ФЗ Обязан защищать ИСПДн. Либо по ПП687 - для "бумажной обработки", либо по 781 ПП - для автоматизированной (техническими мерами в т.ч.). Оба эти ПП являются подзаконными актами 152-ФЗ, о чем прямо говорится в преамбуле этих НПА.

Я считаю :) , что ФЗ №160-ФЗ главнее преамбулы ПП687.

> Ух ты (это не сарказм, а зависть)! А мой опыт говорит о прямо противоположном. Здесь мы с вами, наверное о разных мирах говорим.

Нужно время. Реально лучше становится. Отделы открывают, нормальные документы писать начинают. На душе приятно.

>...кто открыто плюет на законы
И еще просьба, у Вас своё мнение, опыт. Но не стоит так бросаться громкими упреками, не смотря на Вашу уверенность в правоте.

Я про эти два случая говорю. ПФР был уверен, что его не тронут и оказался прав. Хотите тут почитайте: https://v168uw.sn2.livefilestore.com/y1p4AqOLBNpUJmFWfk-lXH2E41584QoOKASPicfMjN0Q4HCHvlBHmYL1HegSPUHROQylUMLmUzI39UFPOCEFE9rWA/%D0%A1%D0%9D%D0%98%D0%9B%D0%A1%20%D1%88%D0%BA%D0%BE%D0%BB%D1%8C%D0%BD%D0%B8%D0%BA%D1%83.%20%D0%9F%D1%80%D0%B0%D0%B2%D0%B0%20%D1%80%D0%B5%D0%B1%D0%B5%D0%BD%D0%BA%D0%B0.docx?download&psid=1

>А вообще, по здравому смыслу, Надо не только лицензии трясти, но еще и сертифицировать специалистов. Точно так же как и у врачей, учителей.

А учителей не сертифицируют. Они сами категории для зарплаты получают. Да и врачи. Кому это надо-то, сертифицировать...

ФЗ №160-ФЗ????
http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=115624
этот?

>Нужно время. Реально лучше становится. Отделы открывают, нормальные />документы писать начинают. На душе приятно.

Да ни*рена не меняется. Кадров просто нет. Всем пофиг - никто не хочет вгрызаться в суть. Проще сидеть тихонько как все.

Даже если
>Я считаю :) , что ФЗ №160-ФЗ главнее преамбулы ПП687.
так, то:
ФЗ-149 и ФЗ-152 прямо говорят
>Я ОБЯЗАН защищать информацию, в т.ч. и техническимим мерами - в зависимости от видов, способов, технологий ЕЁ обработки и хранения..."

> Да и врачи. Кому это надо-то, сертифицировать...
http://uk-cpr.ru/medic.html
Список необходимых документов для оформления лицензии на медицинскую деятельность :
...
9.Документы, подтверждающие образование, сертификацию специалистов по заявляемым видам медицинской деятельности, а также данные трудовой книжки руководителя по медицинской деятельности, подтверждающие не менее пятилетний стаж работы по одному из заявляемых видов медицинской деятельности, ксерокопия приказа и трудового договора (контракта) на руководителя по медицинской деятельности, заверенные подписью руководителя фирма и печатью фирмы,
...

>Я вот опять читаю, что "...В установленных законом случаях Я ОБЯЗАН защищать информацию, в т.ч. и техническимим мерами - в зависимости от видов, способов, технологий ЕЁ обработки и хранения..."

Я с этим и не спорю. Закон сказал "надо" - значит надо. А кто это выполнил? Минобр, который своим решением отложил выполнение требований по персоналке при приме в ВУЗы и СУЗЫ до ноября? Официально так. Подумаешь закон какой-то федеральный. Наш приказ сильнее! Его, между прочим, ВУЗы и СУзы выполняют, в отличие от ФЗ.
Или как они же запретили ВУЗам передавать по защищенному каналу информацию о поступающих в пакетном режиме с одной защищенной ПЭВМ - т.к. ВНИМАНИЕ! ViPNet работает в пакетном режиме и не позволит передавать много информации! При передаче инфы более чем о 50тыщ такой комп будет забанен! Передавайте без защиты, мы вам мол время до ноября дали.
Эх...