Итоговые документы на ИСПДн при декларировании соответствия? - Форум по вопросам информационной безопасности

Я если полностью согласен с автором = Я полностью согласен с автором. (а то ведь ДОКОПАЕТЕСЬ!!!)

Прочитал, потрясен, раздавлен.... И специалист такой.... авторитетный!
Впрочем все там по делу. Если не докапываться, конечно :)
Но я ж таки не понял в чем состоит глубинное, коренное, сущностное я бы сказал различие между аттестацией и декларированием? Если не брать цену, которую требует лицензиат за свою работу, конечно.
И откуда и на основании чего появится, я бы даже выразился ПРОИЗРАСТЕТ "«стандарт организации», который может представлять собой «Технические Условия» (ТУ), содержащие требования к ИСПДн, её созданию, контролю, приемке и т.д."?
А также как "самостоятельно сформировать доказательственные материалы для подтверждения соответствия ИСПДн требованиям ТУ" (эвона как! каким-каким требованиям?!)?
И почему собственник ИСПДн не может аттестовать свою систему сам, если к него есть специалист, обладающий соответствующими знаниями, умениями, навыками, а вот ПРОДЕКЛАРИРОВАТЬ может?
И откуда взялась столь существенная разница в цене аттестации ИСПДн и декларирования её же?!

СЛОНу:

И всё-таки Вы не смогли отказаться от "нужной" квалификации, хоть я специально указал, что требования к квалификации в приведённых Вами требованиях нет!
А на счёт наказания, понятно что могут, причём любого. Но ведь наказание не за то, что недостаточная квалификация или другой образ мышления, а за неправильно сделанный результат. Но вот тут можем поспорить. За достаточно небольшой период времени с помощью Интернета и этого форума - сгенерировать необходимый комплект бумажек (пускай с недостатками) моего образования хватит. Если я где-то и не смогу сам настроить какое-нибудь СЗИ, то помощь найти будет нетрудно. Регулятору надо будет проверить и почитать это всё и свои претензии изложить конкретно опираясь на факты, мои внешние данные, способности и квалификация для замечаний - не аргумент.

Некту:

Не знал, что Вас так быстро и такой незамысловатой статьёй можно потрясти и раздавить. Человек Вы опытный, а на такую феню похоже, что повелись. Добровольная оценка соответствия и декларирование - это разные в принципе явления. При декларировании никакого "оценивания" не производится, просто делается сообщение и всё.

Доброму бобру:
Покуда требований к декларированию нет, то сообщить "белу свету" о своей ИСПДн можно где Вам вздумается, хоть на заборе графити рисуйте! Заранее Вам отмечу (дабы упредить дополнительные вопросы), что объём декларируемых сведений, которые Вы собираетесь декларировать, может быть любой от короткой фразы типа "Мы - оператор персональных данных 2 категории. Ура, товарищи!" до подробного описания чего и как.

философу,
Это все от Новогоднего похмелья не отошел, а вы уж сразу :) И приколоться нельзя...
Я тут талдычу особо умным о том же, что пока нет писаной процедуры о декларировании лучше не заикаться. Однако замечу, что декларирование есть одна из форм подтверждения соответствия.
Ну а по поводу статейки... Ну пишет умный шустрый мальчик, 3 года как из института, пиарит себя и кампанию... За что ж ругать? только за пургу, которую несет с высоты своего положения :)))

Некту:

Талдычить надо, не спорю. Но вот почему Вы считаете, что "декларирование есть одна из форм подтверждения соответствия"? У меня, к примеру, по этому поводу противоположное мнение. При процедуре декларирования мы же ничего не оцениваем! При декларировании мы просто сообщаем факт или намерение. Чтобы провести оценку чего-то нужен критерий этой самой оценки. Т.е. что-то СООТВЕТСТВУЕТ чему-то. Вот мальчик в статье об этом упоминает: либо аттестация (оценка установленным требованиям-критериям внешним, в нашем случае ФСТЭКа) либо добровольная оценка соответствия (оценка своим собственным требованиям-критериям). сначала делаются требования-критерии оценки, а затем по ним проводится оценка объекта. А при декларировании такого нет: просто извещаешь народу факт или свою волю.

Некту в качестве дополнения:

Слово "декларация" происходит от латинского declaro - заявлять (а не оценивать, сравнивать или подобное). Т.е. декларировать - значит заявлять, делать заявление, но никак не проводить оценку, сравнение чего-то с чем-то.
А посему пока я не могу согласиться с Вами, что "декларирование есть одна из форм подтверждения соответствия".

Как раз декларирование является одной из форм подтверждения соответствия.


ЗАКОН О ТЕХРЕГУЛИРОВАНИИ:

Статья 20. Формы подтверждения соответствия


1. Подтверждение соответствия на территории Российской Федерации может носить добровольный или обязательный характер.

2. Добровольное подтверждение соответствия осуществляется в форме добровольной сертификации.

3. Обязательное подтверждение соответствия осуществляется в формах:

принятия декларации о соответствии (далее - декларирование соответствия);

обязательной сертификации.

4. Порядок применения форм обязательного подтверждения соответствия устанавливается настоящим Федеральным законом.

Вирусу:

Интересно. Видимо это очередная "прелесть" от законодателя. Но если формы подтверждения соответствия в п. 3 применять совместно, то здравый смысл можно сохранить, правда сначала пройти обязательную сертификацию, а затем продекларировать (т.е. сделать заявление) о соответствии. В противном случае, когда можно применять только форму декларирования соответствия, то как бы не вернуться к советскому прошлому - лозунги и транспоранты на красной материи, демонстрации с флагами и т.д.

Дело в том, что сертификация процесс формализованный, в обязательном порядке предполагающий участие 3 независимых сторон: заявителя, испытательной лаборатории и органа по сертификации. Декларирование, в этом контексте - по содержанию должно быть тем же, при этом упрощая форму и сокращая издержки.