Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

2Гость:
практически все системы оказываются специальными:
1. из-за того что законодатель не различает понятия "автоматической" и "автоматизированной" обработки. (К специальным информационным системам должны быть отнесены: -информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.)
2. 152-ФЗ требует кроме обеспечения конфиденциальности требует обеспечения достоверности ПДн, т.е. целостности (ст.5)

Да, все ИСПД (кадровые службы и бух.) на данный момент являются специальными, т.к. субъект в любой момент может потребовать подтвердить свои Пд.

Но сейчас ФСТЭК разрабатывает дополнения (правки), чтобы были реальные (нрмальные) типовые системы. будем ждать...
на деле же, типовая или спец. не важно, разница лишь на бумаге и модели угроз (которую желательно делать в любом случае), а СрЗи от этого не меняются.

Я тоже соглашусь с "malotavr" в информ защите не совсем правильно трактуют, например:
1. "К какому классу, согласно действующей классификации ФСТЭК, будет отнесена ИС "Корпоративный телефонный справочник", содержащая следующую контактную информацию: ФИО, должность, номер телефона (городской рабочий) и адрес электронной почты?"

Эти данные можно сделать общедоступными, а также для выполнения трудового договора.

2. "Нужно ли согласие субъектов персональных данных при обработке ПДн в обычной системе учета кадров и расчета ЗП в целях выполнения требований трудового законодательства (ТК РФ - то есть федерального закона)? (при этом персданные могут передаваться в пенсионный фонд, налоговую и банк)."
Не согласен, согласие нужно, т.к. при передачи Пд третьему лицу уже нужно согласие, а это когда данные покидают Организацию.
Передавать в налоговую, может и сам субъект (зависит от формы - упращенная или нет). А также передача данных в поликлиники, больницы.
Поэтому лучше в договоре сразу прописывать все возможные варианты, и проблем не будет.

Уважаемые!
Не забывайте, что Информзащита НЕ регулятор а коммерческая фирма, у которой есть свои финансовые интересы.
Ресурс их ,естественно, преследует по большей части рекламные цели, но Всем полезно знать мнение соседа, да еще с ярко выраженным СВОИМ мнением.
Я например с интересом проглядываю их ресурс раза два в неделю с момента его появления.
Кстати в ОГВ тоже появляются интересные ресурсы по ИСПДН - например в Северной Осетии - там специалист ИБ на своем месте, даже методички пишет!

Кстати местный держатель ресурса обещал попихать ФСТЭК, чтобы они проснулись наконец и начали давать здесь свои комментарии....
Но наверное не дождемся - пока в МО "Табуреткин" функционалы прячутся и не хотят лишний раз светиться.

Уважаемый Игорь!
Удостоверяющими центрами и идеологией их создания руководит г. Матюхин (экс-ФАПСИ) из ведомства г. Щеголева (Минсвязязи)
У названных господ может быть отдельное мнение по этому вопросу не совпадающее с нормами ФЗ 152 и пп 781 - пример пп "по обработке без ср-в автоматизации" ( оттуда вывалилось!)
Ждите выхода новых норм или путем личных контактов.
Боюсь мнение частных лиц с форума для Вас не сделает погоды

Госпда! Вопрос такой:
Представляется ли возможным осуществить классификацию специальной ИСПДн и как это сделать если уже разработана модельугроз?! либо ждать новой редакции четырёхкнижия?!

Приказ 3х: п16. По результатам анализа исходных данных класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных в соответствии с "четырехкнижием".
Что Вам мешает отклассифицировать ПОСЛЕ разработки модели угроз?

Timon, Что Вам мешает отклассифицировать ПОСЛЕ разработки модели угроз?

Рассмотрите тему о классификации ИСПДн после чернокнижного (С) разрабатывания моделей угроз.
Вопрос: будет ли аттестат и, если будет, то что там будет написано.
(Ответ на этот вопрос есть).

Timon, Как определить класс специальной ИСПДн?! Таблица, данная в приказе 3-х, определяет класс типовой ИСПДн! А как на основании исходных данных и разработанной модели угроз присвоить класс специальной ИСПДн? Или испльзовать таблицу для типовых ИСПДн?! Тогда теряется смысл в последовательности (указанной в пункте 16 приказа 3-х): исходные данные+модель угроз ---> Класс специальной ИСПДн!

Никак.

В соответствии с приказом трех классификация специальной ИСПД производится в соответствии с п.2 постановления Правительства.

В соответствии с этим пунктом классификация специальной ИСПД на основании методических документов ФСБ и ФСТЭК.

В соответствии с методическими рекомендациями ФСТЭК (п. 3.9 "Основных мероприятий") классификация ИСПД производсится в соответствии с приказом трех.

Так что пока спите спокойно, дорогой товарищ :)