Ляпы в "Положении о методах и способах ЗИ в ИСПДн" (утв. Приказом ФСТЭК 5 февраля 2010 № 58) - Форум по вопросам информационной безопасности

с Вами ТЕСТ видимо не о чем, а вообще-то о том, что требования по защите ПДн "вознесли" выше требований по защите ГТ типа
в этом моя шутка 1Б-СС маловато, так можь 1А-ОВ потянет, вот так понятней...

P.S.
эС курит в сторонке, всетаки ПДн круче ГТ

Тема сдохла???

>> Тема сдохла???
Ждем, пока Пикабу получит от ФСТЭКа подтверждение тому, что под идентификатором в их документах подразумевается вовсе не аппаратный токен, а, например, просто логин пользователя.
А вот аппаратнымы идентификатороми будут "специальные устройства (жетоны, карты, электронные ключи)", о которых идет речь в требованиях по 1А в РД для АС ;)

Не тема не сдохла, просто выходные были. А в выходные про ПД лучше не говорить, пищеварение восстанавливать.)
Ответа от ФСТЭК "подтверждение тому, что под идентификатором в их документах подразумевается вовсе не аппаратный токен, а, например, просто логин пользователя." не будет, еще раз повторю свое мнение:
Что в СЗИ идетнификатором разработчик заявил , то и будет, хоть "сим-сим откройся", лишь бы аттестационная лаборатория подтвердила.
Ответ есть в каждом руководстве по эксплуатации к СЗИ.

По-моему, мы должны опираться не на те определения, которые даёт разработчик (он что угодно может дать), а на те, которые приведены в НПА и др. подобных источниках (законы, ГОСТы и т.п.)
Так например, Secret Net и DallasLock называются у разработчиков "системой защиты информации", но они являются лишь средствами, а это в этом есть разница (см ГОСТ )

User, приведите пожалуйста в чем конкретные противоречия у разработчиков СЗИ в определение идентификатора с требования НПА?

Под идентификатором, понимать идентификатор на объекте информатизации "проходящий на сквозь" (одну таблетку выдал пользователю и в замок и ОС и в прикладное ПО и системное ПО) во всех технологических процессах?

Я не о том есть или нет противоречие в определении идентификатора между разработчиками СЗИ с требования НПА, а о том, что мы должны опираться на те определения, которые приведены в НПА, а не на определения, которые дал разработчик.

В Положение (НПА) сказано: должна быть идентификация, должен/ не должен быть предъявлен идентификатор. Все.
Рассмотрим средство ЗИ на объект информации. Проверим выполнение требование к ситеме ЗИ:
1. "возможность идентификации" - есть/нет.
2. "возможность пользователя предъявить идентификатор" - есть/нет.

На мой взгляд разработчики средств ЗИ, заявляют - Вот идентификатор, используйте. В системе ЗИ, я пользователь, утверждаю, там где средство ЗИ, при входе в мою систему ЗИ, позволяет предъявить идентификатор, требования выполняются. Лицензиат требования проверяет (аттестует), давая оценку возможно ли идентификатор предъявить в соответствии с требованиями НПА. Из чего идентификатор выполнен НПА определения не дает, следовательно оценке не подвержено.

Да ляпы. Но работать не помешают.