как работать по приказу ФСТЭК 17-2013 (о ГИС) - Форум по вопросам информационной безопасности

> Как отмечалось мной выше: даже у ФСТЭКа в настоящее время нет ГИСов...

"- Кто сам без греха, пусть первым кинет в нее камень.
Хрясь!
- Мама! Ну сколько раз я тебя просил: не мешай мне работать!"

> 1) Рассматривалась не информация, а сведения и документы.

Без разницы. Если я передам вам в электронном виде документ, составляющий коммерческую тайну, а вы его распечатаете, вы будете владельцем бумаги, будете иметь неисключительные права использование распечатанных сведений в объеме, предоставленном вам мной в лицензии, а я - полноценным обладателем этих сведений с исключительными правами на их использование. Вещные права на носитель и неимущественные права на информацию четко разграничены в ч. 4 статьи 9 ФЗ-149.

> 2) Нет, не бывает такого правомочия, как обладание! Есть только обладатель информации, т.е. субъект у которого могут быть различные правомочия в зависимости от законодательства.

Обладатель бывает, а обладания - нет? Cомневаюсь. что правоприменители разделяют ваше мнение :)

> 3) Распоряжение рассматривалось как правомочие вещного права.

Законодатель употребил словосочетание "в распоряжении" в отношении информации ("сведения и документы"). Согласен с вами, что формулировка неточна, но мне, например. очевидно, что под распоряжением подразумевается возможность распоряждаться информацией в объеме, присущем обладателю (для собственной информации госоргана) или установленном порядком предоставления такой информации.

> Правомочие распоряжения предполагает принятия решения о судьбе вещи, вплоть до её уничтожения.

А в отношении информации - о предоставлении доступа к ней, порядке такого доступа, установлении и исполнении требований информационной безопасности, а также о реализации иных неимущественных прав в сфере интеллектуальной собственности :)

Обсуждаемый приказ никак не затрагивает "вещную" составляющую.

> Если, например, налоговая или полиция изымает бухгалтерскую первичку для проведения проверки, то эта первичка становится ГИРом (следуя буквальному толкованию) или она по-прежнему принадлежит мне?

Таки налоговвая или полиция?

В терминах УПК/АПК изымаются предметы (вещественные доказательства). Полиция изымает не сведения. а стопку бумаги в количестве N листов. И в качестве доказательства в суде предъявляется стопка бумаги.

В терминах налоговой отчетности вы предоставляете сведения. Совокупность сведений, которые обрабатывает налоговая (и куда она включает предоставленные вами сведения) является ГИРом.

> Если во время проверки некоторая часть документов теряется, то можно ли это считать законно принятым решением о судьбе изъятых документов (уничтожение на праве распоряжения)?

В случае полиции это будет либо грубейшим нарушением процессуальных норм (если они были уничтожены до завершения судопроизводтства), либо законным распоряжением (вопросы уничтожения вещдоков после установленных законом сроков хранения и порядок их уничтожения установлены законодательством).

В случае налоговой уничтожение материального носителя после внесения сведений в ГИС будет законным распоряжением (поскольку делается в соответствии с установленным порядком предоставления сведений).

> А пока различные государственные, бюджетные, казенные, муниципальные учреждения исполняют функции, возложенные на них, без всяких договоров только на основании своих Уставов.

Причем здесь "исполняют функции"? Вы обсуждаете формулипрвку "лицо, обрабатывающее информацию, являющуюся ГИР, по поручению госоргана или предоставляющее ему вычислительные ресурсы по договору".

Порталы государственных услуг - ГИС. Сведения, обрабатываемые порталом - ГИР. Вычислительные ресурсы, грубо говоря, предоставляет Ростелеком. По договору. Поэтому Ростелеком в отношении порталов госуслуг обязан выполнять требования 17 приказа.

>> Таки да, ГИР - составная часть ГИС.
> Это из области "Прочёл, подумал и сказал"?

Конечно. Имеете что-то возразить по существу? :)

> А вот статьи 13 и 14 Федерального закона от 27 июля 2006 года № 149-ФЗ "Об информации, информационных технологиях и о защите информации" иного мнения в части определения признаков отнесения ИС к ГИСам...

С чего бы? :)

В моей реальности "государственные информационные системы - ... информационные системы, созданные на основании ... законов, на основании правовых актов государственных органов". И эта формулировка статьи 13 не делает изъятий в зависимости от назначения такой системы :)

> Без разницы.

Разница есть хотите Вы того или нет. Например, здесь же сами разделяете право на носитель и неимущественное право.

> Вещные права на носитель и неимущественные права на информацию четко разграничены в ч. 4 статьи 9 ФЗ-149.

Это просто отсылочная норма, которая ничего чётко (!) не разграничивает...

> Обладатель бывает, а обладания - нет? Cомневаюсь. что правоприменители разделяют ваше мнение :)

Увы, таков закон. Но мы всегда можем спросить у правоприменителей.

> Законодатель употребил словосочетание "в распоряжении" в отношении информации ("сведения и документы"). Согласен с вами, что формулировка неточна, но мне, например. очевидно, что под распоряжением подразумевается возможность распоряждаться информацией в объеме, присущем обладателю (для собственной информации госоргана) или установленном порядком предоставления такой информации.

Ну, что поделать, если правомочия владения и пользования уже не в чести...

> В терминах УПК/АПК изымаются предметы (вещественные доказательства). Полиция изымает не сведения. а стопку бумаги в количестве N листов. И в качестве доказательства в суде предъявляется стопка бумаги.

Под первичкой всегда и всеми понимались именно документы, а не сведения. В следующий раз буду специально акцентировать сей нюанс.

> В случае полиции это будет либо грубейшим нарушением процессуальных норм (если они были уничтожены до завершения судопроизводтства), либо законным распоряжением (вопросы уничтожения вещдоков после установленных законом сроков хранения и порядок их уничтожения установлены законодательством).
> В случае налоговой уничтожение материального носителя после внесения сведений в ГИС будет законным распоряжением (поскольку делается в соответствии с установленным порядком предоставления сведений).

Смысл моего высказывания был другом. Как моя первичка, моё заявление в госоргане перестают быть моими и становится их информационным ресурсом с правом распоряжения, а ответственность на остаётся со мной? А Вы мне про грубость нарушения процессуальных норм толкуете...

> Причем здесь "исполняют функции"? Вы обсуждаете формулипрвку "лицо, обрабатывающее информацию, являющуюся ГИР, по поручению госоргана или предоставляющее ему вычислительные ресурсы по договору".

Во время исполнения уставных функций таки да, обрабатывать информацию, являющуюся ГИР вне зависимости от наличия поручения от госоргана.

> В моей реальности "государственные информационные системы - ... информационные системы, созданные на основании ... законов, на основании правовых актов государственных органов". И эта формулировка статьи 13 не делает изъятий в зависимости от назначения такой системы :)

Не потому ли у ФСТЭКа нет ни одной ГИС, что на каждую ПЭВМку закон не написан?

Вот тема разрослась)) в общем malotavr все и объяснил уже вам.

И да, я прочел, подумал, и после провел работы по аттестации в нескольких крупных субъектах РФ где юристы также пытались мне доказать, что у них нет ГИС, но потом, почему-то все равно все мероприятия по 17 проводили. А также еще раньше я успел побывать во ФСТЭК и обсудить эти вопросы, также общался с грамотными юристами, и уже потом сказал, что грубо говоря, ГИР=ГИС (в плане защиты по 17 приказу).

Если есть у вас доводы в обратном, а не личные умозаключения, и интерпретация документов, есть ответы регуляторов, тогда сообщите, может мы тут темные…

М-м-м, да-а-а... Всегда можно "включить" Станиславского и заявить: "Не верю!", ссылаясь на свои совещания с наимудрейшими юристами... Что поделаешь, до сих пор страна Советов даёт свои плоды. Если Вам было бы что нам сообщить действительно стОящее о результатах Ваших совещаний с грамотными юристами, то сообщили бы.
Опытом продефилировать перед нами? А сказать ничего нового и интересного не получилось. Грустно: особенно имея опыт "в нескольких КРУПНЫХ регионах". Чем аттестация в крупных регионах отличает от аттестации в некрупных регионах? По другим документам аттестуют что ли?
В общем получилась очередная болтовня о том, что у нас в стране всё делается по понятиям! Это мы знаем не по наслышке и без Вас... Очередная скукота... Жаль!

> Разница есть хотите Вы того или нет. Например, здесь же сами разделяете право на носитель и неимущественное право.

Разница есть только в вашем понимании. Для вас документ - это материальный норситель, вещь. В законодательстве РФ документ - это сведения, которые могут при необходимости могут быть воспроизведены на материальном носителе в порядке, уватновдленном правилами дделопроизводства или договоренностью двух лиц.

Законодательства разделяет права на сведения и права на материальный носитель. Проблемы "а что будет если госорган уничтодит принадлежащий мне материальный носитель" не имеют отношения ни к ФЗ-149, ни к 17 приказу.

> Под первичкой всегда и всеми понимались именно документы, а не сведения.

Давайте спишем "всегда и всеми" на полемический задор и впредь от таких обобщений воздержимся.

Налоговый кодекс считает документами как бумагу, так и набор данных, отправленный по каналам связи с квалифицированной ЭП (см., например, определение налоговой декларации в статье 80 НК РФ. То, что вы называете "первичкой", а законодательствло - "регистрами бухгалтерского учета" и "бухгалтерской отчетностью" в соответствии с ФЗ "О бухгалтерском учете" может существовать как в бумаге, так и без оной. Ну и напоминать про такую банальность, как "оказание шлсужарстьвенных услуг в электронной форме" тоже забывать не стоит.

> Не потому ли у ФСТЭКа нет ни одной ГИС, что на каждую ПЭВМку закон не написан?

Если не натягивать презерватив на глобус, то версия "сотрудники ФСТЭК тоже люди и порой тоже забивают на исполнение бредовой нормативкир" представляется мне более правдоподобной.

Вопрос "что считать ГИС" обсуждался на совещаниях во ФСТЭК неоднократно. Если позиция регулятора была иной, я бы вам так и написал :)

Позиция регулятора мне известна и я о ней писал ещё в самом начале. Дело в том, что не только я, но несколько моих знакомых специалистов по защите информации и юристов считают аналогично: далеко не каждая ПЭВМка у госоргана, БУ, КУ, МП является ГИСом. У Вас, как и 12345, финансовая целесообразность поддержания Вашей позиции. Поэтому она имеет место быть. Особенно, если она "подогрета" позицией регулятора и позволяет Вам зарабатывать на жизнь...

Не требуется что-то натягивать на что-то, чтобы прикрывать "забивание на исполнение бредовой нормативки", особенно, когда эта самая нормативка ими же разработана!.. Тем более, ФСТЭК не единственный госорган, который не аттестовывает все свои ПЭВМки как ГИС. Таких органов "вагон и маленькая тележка"...

P.S. Пересмотрите законодательство ещё разок в части определений документа, электронного документа, первичного учётного документа, заявления, декларации.

Пересмотрю, если вы мне подскажете, где в российском законодательстве есть есть определения документа,электронного документа и заявления. Мне такие нормативные акты неизвестны :)

Ну как сказать крупный от не крупного региона отличается и довольно сильно, если сталкивались должны понимать...и дело не в документах, а подходе и квалификации спецов заказчика. Проверочные мероприятия ФСТЭК будет проводить по 17 приказу в ОГВ, доказывайте им свою точку зрения, и в любом случае ничего не докажете.

Ой, спасибаньки людя добрыя! Завтра обязательно скажу своему начальнику, что комп у секретарши министра, за которым она только исходящие регистрирует, а остальное время сидит в одноклассниках и вконтакте, надо аттестовывать по 17-му приказу. А заодно и реликт начала 2000-х у завгара, на котором печатаются путевые листы и служебки на оплату горючего и запчастей. У кладовщика вроде аналогичный комп был для учёта купленной канцелярии и списанного барахла. А для защиты пригласим профессионалов из крупных регионов, чтобы нам показали подход надобный и соответствующую квалификацию спецов. А то ведь так и помрём неумытыми и неразумными без энтову походу.

> Ну как сказать крупный от не крупного региона отличается и довольно сильно, если сталкивались должны понимать...и дело не в документах, а подходе и квалификации спецов заказчика.

Сталкивался - не сталкивался?! Должен понимать - не должен?!... По сути кроме конъюнктурных лозунгов вместо аргументов по обсуждаемому вопросу не было. Про наличие возможности у регуляторов "выкручивать руки", ну, этого мы и в жизни все насмотрелись, поэтому обсуждать это скучно. Абсурдность принятых ими документов (применялся термин "бредовая нормативка") выступает в качестве оправдания отказа от её применения самим же регулятором - "Princeps legibus solutus est".
В чём же заключается исключительность "подхода и квалификации спецов заказчика" - так и осталось тайной, покрытой мраком. Избранные они от природы, как Нео из Матрицы, что ли?
Конструктива не получилось. Дабы полемика не переросла во взаимные оскорбления или беспредметную болтовню, её лучше отложить на время.