Новый документ ФСТЭК по ПД - Форум по вопросам информационной безопасности

тут всё- один большой вопрос. ну ждем публикации приказа и вступления в силу, может хоть тогда прояснят что с 4книжием делать.

> Основные Мероприятия.. определяют "мероприятия по организации и техническому обеспечению безопасности ПДн".

1. А что, разве кто-то уполномачивал ФСТЭК устанавливать обязательные к исполнению оператором "мероприятия по организации и техническому обеспечению безопасности ПДн"?
2. Напоминаю, что формально четырехкнижие считается не вступившим в силу.

Согласен про необязательность. И хочется верить, что про "основные мероприятия" можно будет забыть. Но в части моделирования угроз на 4х книжие уже сослались, не вспомнили бы и про "Основные" в очередном приказе\НПА.

Для обязательности использования "Базовой модели угроз" и "Методики определения актуальность угроз" есть правовые основания - отсылка в приказе. А на "Основных мероприятий..." и "Рекломендаций..." такой отсылки нет, так что можно жить спокойно: хотите - руководствуйтесь ими, хотите - нет. При этом мероприятия их приложения к приказу должны быть выполнены в любом сдучае..

Спасибо, стало понятнее.

Не расслабляйтесь, Ведь в "Методика определения актуальных угроз..." в самом конце есть сноска на два оставшихся документа: " С использованием данных о классе ИСПДн и составленного перечня актуальных угроз, на основе «Рекомендаций по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных» формулируются конкретные организационно-технические требования по защите ИСПДн...."

Вот так, признали правомочность двух, придется признать и оставшиеся!

Хм, наверное, приказ 58 (п. 1.4.) имеет бОльшую силу, чем методичка по угрозам. Т.е. выбор и реализация методов определяется на основании модели угроз и в зависимости от класса. А на основе методических документов разрабатывается лишь одна модель угроз, не более. я так...думаю

Моё мнение.
1. "Методика определения актуальных угроз...", "Базовая модель угроз ..." применяем на свой страх и риск в связи с отсутствием аналогичных и действующих. На свой страх и риск - да потому, что мне кажется их подшаманят и утвердят как положено, а возможно и заменят чем ещё.
2. "Основные мероприятия..." и "Рекомендации..." не используем, а пользуемся новым.

Рассуждать на ровном месте конечно здорово, но было бы лучше работать с документом, вступившим в силу? Что мешает им его опубликовать, тем более что в Минюст он прошел? возможно планируется "выдать" еще пару документов или как? у кого есть какая информация?

Опубликован он сегодня
http://www.rg.ru/2010/03/05/dannye-dok.html