Новое Постановление правительства №1119 от 01.11.2012 по защите персональных данных - Форум по вопросам информационной безопасности

"По закону оператор должен аттестовать 1 и 2 класс" - скажите, по какому именно закону он обязан это делать? В каком абзаце какого документа это прописано?
Что у нас с классами на текущий момент, отдельный разговор.

Здравствуйте вам!
При наличии автоматизированной передачи сведений, содержащих ПДн, необходимо применение средств (комплексов) шифрования, сертифицированных ФСБ России. Руководящие документы ФСТЭК России по защите ПДн требуют наличия системы обнаружения вторжений в ИСПДн, имеющих подключения к внешним сетям.
ОАО «ИнфоТеКС» производит программный комплекс VipNet Custom (Сертификат ФСТЭК №1549) и программно-аппаратный комплекс защиты информации VipNet Coordinator HW (Сертификат ФСТЭК №2353). Данные изделия имеют также сертификаты соответствия ФСБ России. Представители ОАО «ИнфоТеКС» заверили нас, что наличие сертификата ФСБ России на соответствие требованиям к устройствам типа межсетевые экраны говорит о том, что данное средство (комплекс) имеет также встроенный модуль обнаружения вторжений. Совместная установка VipNet Клиент и сертифицированного ФСТЭК России средства защиты информации SSEP HIPS (Сертификат ФСТЭК №2171) невозможна, т.к. приведёт к конфликтам.
Достаточно ли для выполнения требований руководящих документов к ИСПДн, когда имеется подключение к внешним сетям и необходима автоматизированная передача сведений, содержащих ПДн, в целях обеспечения межсетевого экранирования и обнаружения вторжений применения только программно-аппаратного комплекса VipNet?

Присоединяюсь к обсуждению
Тоже интересует вопрос про СОВ!

Колеги. прошу уточнить, что слышно по проектам приказов ФСТЭК по персональным данным. Их планировалось утвердить к 1 марта. На сайте ФСТЭК проекы убрали. Заранее благодарен

приказы сейчас должны быть на регистрации в мин юсте

об этом еще на ТБ-2013 представитель ФСТЭКа говорил, а воз и ныне там

И все же очень важный вопрос, по теме! При проведении анализа уровней защищенности нужно учитывать тип угроз. Тип угроз: 1 - защищаемся от НДВ везде, 2 - защищаемся от НДВ только в прикладном ПО, 3 - игнорируем НДВ. Вопрос, чем руководствоваться при выборе типа угроз?

"-если согласно Методике определения актуальных угроз [8] задать частоту (вероят-ность) реализации угроз, связанных с наличием недокументированных (недекларированных) возможностей, маловероятной4 или низкой5."

см.
НАУЧНО-ТЕХНИЧЕСКИЙ ЦЕНТР «ВУЛКАН»

КОММЕНТАРИИ К ДОКУМЕНТУ
«ТРЕБОВАНИЯ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ», УТВЕРЖДЕННОМУ ПОСТАНОВЛЕНИЕМ ПРАВИТЕЛЬСТВА РОССИЙСКОЙ ФЕДЕРАЦИИ ОТ 1 НОЯБРЯ 2012 Г. № 1119

Интересная табличка, а как определить какой тип угроз актуален для информационной системы?

Предлагается «задать частоту (вероят-ность) реализации угроз, связанных с наличием недокументированных (недекларированных) возможностей, маловероятной или низкой», а остальные угрозы определять, как и раньше «согласно Методике определения актуальных угроз [8]»