Приказ ФСТЭК России 21 - Форум по вопросам информационной безопасности

Как представитель муниципального заказчика я буду защищать бюджет (не во вред безопасности) и должен докопаться до истины и чётко понимать где я должен обратиться к лицензиату за услугами или получить лицензию, а где совсем не обязан. Не претендую на грмотность в этих вопросах, но не хочу идти на поводу у потетнциального участника размещения заказа (безусловно более грамотного в своей предметной области). Конкуренция то на рынке информационной безопасности не очень то развита и стоимость услуг не слишком то мала.

и по п.7 вопрос: на гос. информационные системы распространяются некие требования ФСТЭК...в соответствии с частью 5 статьи 16 149-ФЗ. В то же время требования к муниципальным такие же как к государственным. Что за таинственные требования? СТР-К? К каким "муниципальным информационным системам"? 1с бухгалтерия является муниципальной ИС? БД по аренде земли? Они решением органа не вводились в эксплуатацию....

ШЗ крепчает:)

Существует ли возможность проведения независимой экспертизы проекта системы защиты пенрсональных данных на предмет достаточности - необходимости мер? как размещать муниципальный заказ, если нужно быть экспертом в этих вопросах? Можно ли при поручать некому "техническому заказчику" (как в градостроительстве)? Который может составить ТЗ так, чтобы требования и меры не были завышены? (впрочем и занижены)

у вас должен быть спец в этих делах либо обратитесь к лицензиату который прикинет что к чему и сколько это будет стоить (а лучше к 3 вроде), заманите их к участию в конкурсе если они позарятся и всего делов

Я хочу защищать свою сеть силами своего отдела ИТ. Но естесственно не нарушив закон о лицензировании на в плане ТЗИ, ни в плане криптозащиты. Если бы лицензиат не был коммерческой организацией, заинтересованной в прибыли - может я бы ему и доверился. Но практика показывает, что такой подход закончится выкачиванием бюджета. Кроме того лицензиат ещё и лезет с аутсорсингом. Кроме того лицензиаты - это 2500 фирм на всю страну. конкуренции и конкурентных цен нет. Тут для ФАса работы немеряно. А вот чтобы грамотно составить ТЗ и конкурсную документацию, чтобы не нарушить НПА по защите информации и в то же врем "без штанов" не остаться - действительно нужно быть спецом. Предлагаю операторам всех муниципальных и иных информационных систем объединиться и разобраться - чем мы брату лицензиату обязаны, а чем нет. Начиная с вопроса - актуальны ли угрозы 1-го типа для бухгалтерской программы (если она на виндоусе 7 с недекларироанными возможностями, хотя зачем майкрософт оставлять дыры в системе безопасности своих продуктов... А то получается на виндах 1 уровень защищённости для всего буквально), нужна ли лицензия фстэк и фсб для для эксплуатации системы защиты информации в своей локальной сети? Или я обязан отдать сеть на аутсорсинг? Или я (и мои сисадмины) всё же можем изучить технологии випнет и даллас лок и беспокоиться о безопасности самостоятельно и только 1 раз в 3 года приглашать брата лицензиата провести контроль? Или я могу даже сам купить иксспайдер (или аналог), да и контролировать дыры в системе безопасности сам? Оперативно реагируя на их появление? Или я должен сказать руководству - я увольняюсь, т.к. мне без лицнзий делать тут нечего? Но я посмотрю как нашу работу и по чём будет делать лицензиат, если с ним заключат договор об аутсорсинге. Сейчас-то эксперт-лицензиат пытается применить к моей сети меры защиты, характерные для гостайны. Понятно дело - ему деньги нужны. и вот если тут не разобраться детально что к чему и почём - то на бежных бюджетах муниципальных районов и сельских поселений "попилят" хорошо - ибо там как правило в нормативке по ИБ глубоко никто не разбирается. Да и нормативка такова, что её трактовать надвое можно - кому как выгодно.

Прошу поправить где я неправ:
1. Оператору нужно хорошо разобраться, на какие виды работ нужна лицензия ФСТЭ либо ФСБ.
2. Принять решение по какому пути идти: по пути получения лицензии или по пути пользования услугами лицензиатов. (что выгоднее в долгосрочной перспективе). ЛИБО как-то разумно распределить между 1-м и 2-м вариантом.
3. Существует порядок создания информационных систем в защищённом исполнеии. Т.е. если проектировать систему защиты может только лицензиат, то в любом случае всё начинается с ТЗ (вероятно разработанного на основании проекта лицензиата -ибо тот лучше знает (хотя не факт - бумажка - это ещё не всё)). Но в любом случае на стадии подготовки, согласования и утверждения ТЗ и проекта должен присутствовать немаловажный момент - технико-экономическое обоснование.

Вопрос больше по 1119...но любопытно: если прграмма пишется, например, на платформе .NET и развёртывается на windows7, то поскольку код закрытый (включая все используемые классы FCL и т.п.), то актуальны угрозв 2-го типа и поскольку на саму винду майкросовт исходники на НДВ не предъявила, то актуальны угрозы 1-го типа. Т.е.1-уровень защищённости неизбежен? Тотально?......И эти люди называют меня шизофреником?:) Да тут паранойя....это же не гостайна!!! Или как-то всё-таки можно доверять майкрософт и посчитать угрозы 1-го и 2-го типа неактуальными? Или ВНИМАНИЕ!!! Разработчики ПО - бросайте платформу .NET и выкидывайте Visual Studio!!! Переходите срочно на СПО -ну или что там придумают ради технологической независимости РФ. Ибо с .NET будут проблемы у клиентов с уровнем защищённости....наверно это можно понять для гостайны...возможно для крупных ИС с количеством записей больше 100000 (всякие региональные и большие муниципальные БД)...но не для каждой же 1С бухгалтерии, в которой считаются ООООГРомные зРЯплаты 10 внутренних сотрудников..:)

Евген, Вы нашли ответы на свои вопросы? :)

хотелось бы чтобы мои догадки кто-то прокомментировал -опроверг или подтвердил....действительно муниципалдьному заказчику довольно сложно - ну нельзя у продавца спрашивать что я хочу купить:)....Информация к размыщлению - бюджет сельского поселения 600000 на год. Один защищённый и аттестованный ПК для межведа и электронных услуг уже обошёлся в....существенную часть бюджета на год. При этом с подачей воды не во всех населённых пунктах "айс":)
Хотелось бы типовое бюджетное решение задачи - либо независимого проектировщика системы защиты. Вот люблю вспоминать ГАС "Правосудие" - там есть такое понятие как техническая документация на КСА, например, районного суда. Что-то подобное не помешало бы для ОМСУ -типовое решение, которое помимо экономической обоснованности сразу закладывало бы в себе технологическую совместимость при МВ. Хотя тут тоже ограничение конкуренции....Короче ОЙ!!! В идеале випнет по всей стране и в ГКС инфотекс - как субъект естесственных монополий:)))) Ну либо "эквивалент" :)))) Я не могу составить аукционную документацию пока не получу ответы на свои вопросы.

по существу: что вам нужно защитить?