Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

использовать средства от НСД и т.д. с криптосхемами и исеющими сертификат криптосредств.

sc63 - здесь у Вас системная ошибка - требования НЕ вычитаются а складываются.
Причем сначала необходимо выполнить требования ФСТЭК (4)
которые на крипту не распространяются
а только потом требования ФСБ (ПКЗ 2005+приказФАПСИ\\152или158-не помню\\+2 док ИСПДН)

Timon - систему перестраивать не надо только передалать акт (что совсем не факт!!!)
А вообще я в этом вопросе сторонник метода последовательных разбиений если ИСПДН не огромна - засунуть ее на локальный комп кадры (без ЛВС и без интернета) плюс крипту только на эту локальную машину+ сьемный винчестер держать в сейфе или на CD=DVD и кадровичке отрезать язык и пять слоев бинтов на рот.
Охрану с огнеметом и огнетушителем зв дверью из злых .....
Все

АВС, читайте внимательней, в документах ФСТЭК написано, что они распространяются на средства НЕКРИПТОГРАФИЧЕСКИЕ. Соответственно, если я использую только криптосредства, то я отхожу от требований ФСТЭК и попадаю в требования ФСБ.
Совместно документы используются только при составлении модели угроз (и то не во всех случаях).

АВС, читайте внимательней, в документах ФСТЭК написано, что они распространяются на средства НЕКРИПТОГРАФИЧЕСКИЕ. Соответственно, если я использую только криптосредства, то я отхожу от требований ФСТЭК и попадаю в требования ФСБ.
Совместно документы используются только при составлении модели угроз (и то не во всех случаях).

sc63,

ну вы тоже повнимательней :)
В методических рекомендациях ФСБ четко прописано, что обеспечивать защиту _только_ криптографическими средствами можно только тогда, когда вы согласовали модель угроз и с ФСБ, и с ФСТЭК.

Что-то я сомневаюсь, что ввам удастся пройти согламования :)

несколько не так написано, там следующее:
что разработка моделей угроз идет по двум документам ФСБ и ФСТЭК и выбирается максимальная, но по согласованию с ними может быть использована только модель ФСБ, но ни как не говориться о выполнении остальных требований ФСТЭК.

Еще когда был жив ФАПСИ совместным приказом с ГТК была определена для каждого ведомства сфера совместного ведения - где-то на сайте ФСЭК еще лежит.
Там было написано, что каждый занимается своим, но требования другого не противоречат требованиям партнера ... не дословно, но суть
Да потом поверьте старому шишу - никогда ФСБ не станет явно отменять или дезавуировать рекомендации ФСТЭК - только дополнять в своем ключе
Фундамент общий и его никто не даст разрушить
и все функционеры ФСБ очень внимательно следат за нормами ФСТЭК и все взаимно согласовывается

sc63, если даже рассудить по бытовому... Если Вы применяете только криптуху. Как Вы защитите информацию от вывода на съемные носители? Как защитите от утечки в эфир?
Вот на эти ситуации и распространяется влияние ФСТЭК и их требования.
Если модель будет согласована со ФСТЭК и Вам не надо будет накладывать их требования на систему - то это скорее всего будет одинокий комп, с одним пользователем, стоящий в КЗ с радиусом, ну пусть 10 км.

Я имел в виду вот это:

"По согласованию с ФСТЭК России и ФСБ России допускается формирование модели угроз только на основании настоящих Методических рекомендаций"

Чтобы избегнуть документов ФСТЭК, вам нужно перейти на формирование модели угроз по методическим рекомендациям ФСБ. А сделать это вы cможете только по согласованию со ФСТЭК. Сомневаюсь, что вам удастся получить такое согласование :)

Timon, не согласен средства есть, смотрите у производителей.

АВС, не спорю, органы не отменяют друг друга и почти не противоречат друг другу. Если посмотреть структуру (содержание) документов легко заметить что и там и там прописаны почти одни и те же требования, только по разному. Правда при работе по ФСБ оператор освобождается от получения лицензии (см. ФЗ по лицензированию и положения постановлений правительства) а так же вместо аттестации объекта оператор проводит проверку готовности средств к работе. Вот такая денежная разница.