Самостоятельное создание системы защиты ПДн - Форум по вопросам информационной безопасности

2ММ

Т.е. ее (фирму-лицензиата) и на обслуживание нанимать надо (на эксплуатацию сзи)?

Я все о своем...
(Беседы с пользователями - очень увлекательное мероприятие, столько всего интересного узнаешь...)
Имеется портал, на котором публикуются персональные данные - фио, рабочий телефон. решено классифицировать как общедоступные данные (+получение согласия на обработку).
Выяснилось заодно, что оказывается, на том же портале можно посмотреть свою зарплату. Кроме того, начальник может смотреть зарплаты подчиненных. Чужие зарплаты смотреть нельзя.
Получаем 3ю распределенную, верно?

Кошке.
а смысл??? что 3 распределенная, что 2, различий не много. общедоступные в твоем случае-это для всех? и я могу это спокойно узнать, а кто-то из сотрудников спокойно опубликовать где-ть в блоге и на своем сайте? оно вам нужно при мизерном сокращении затрат? учти, что если испдн твоя подключается к интернету-хоть 3 хоть 2 к2, то это МЭ 2класса, вот тут затраты оё-ёй...

С порталом иначе никак - ибо аттетстовывать 500+ рабочих мест на СЗ ПДн 2-3 класса как-то не очень хочется. Тем более лицензии нет и кого-то придется нанимать...
Насколько меньше затраты, когда данные считаются открытыми? С учетом, что это много-много рабочих мест, а информация "позволяющая идентифицировать субъекта + дополнительная информация"
Про МЭ в курсе. Думаем. Как я понимаю МЭ 2 класса крайне немного и все они сертифицированы поэкземплярно. Т.е., видимо, прийдется и нам так же поступать...
А между 2 и 3 классом (пусть даже обе они распределенные) все же есть разница, если я не ошибаюсь, иначе к чему была бы вся эта кутерьма?

Кошке - про класс МЭ
Я смотрю "Рекомендации" и вижу для 3-го и 4-го классов ИСПДн рекомендация исользовать МЭ не ниже 5-го уровня защищенности.
Вопрос: Класс МЭ и его уровень защищенности - это одно и то же?

Похоже, сам себе нашел ответ. В РД по МЭ нет понятия "уровень защищенности", есть только "класс защищенности". Поэтому, думаю, логично предположить, что "уровень защищенности" из "Рекомендаций" - это то же самое, что "класс защищенности" из РД по МЭ.

Андрей,
где вы нашли требование, что не ниже 5 класса?
Я как ни смотрю, у меня всё 2й получается, причем конкретно не указано, что 2й, а по требованиям соответствует 2му.
Может номер страницы подскажете?

Кто-нибудь может посоветовать на основании своего опыта какую-нить фирму в СПб, которая проводит аудит ИСПДн и приводит ее в соответствие с требованиями? очень был бы признателен

Кошке
У меня экземпляр нетипографский, т к получали довольно давно. Смотрю документ не "Основные мероприятия...", а "Рекомендации по обеспечению безопасности..." Раздел 5. У меня стр 28, не факт, что в типографском варианте такая же.

Да и логически Класс 2 для МЭ - это уровень "Сов секретно", если я правильно понимаю. Если это же требовать от ИСПДн 3-го класса, то что тогда с К2 и тем более К1 делать???

Насколько я поняла, к распределенным системам уже начиная с 3 класса требования к МЭ идут по максимуму.
Кто бы подтвердил...