Нужна ли обязательная аттестация ИСПДн в гос. учреждениях? - Форум по вопросам информационной безопасности

Простите, НЕ, но это Вы смешали и "людей и коней".

Кого вы подразумеваете под словом "Орган"? Я говорю только про организации - юр. лица, не наделенные властными полномочиями.
Общеобязательны ЗАКОНы и Распоряжения по подведомственности

Информационный ресурс может иметь статус Государственного или Муниципального, либо собственность Юр лица. создавшего его. (см. ст 13, 14 ФЗ-149 от от 27 июля 2006 г.)
Например:

(ФЗ-149 ст. 13)
6. Порядок создания и эксплуатации информационных систем, не являющихся государственными информационными системами или муниципальными информационными системами, определяется операторами таких информационных систем в соответствии с требованиями, установленными настоящим Федеральным законом или другими
федеральными законами.

(ФЗ-149 ст. 14):
1. Государственные информационные системы создаются в целях реализации полномочий государственных органов и обеспечения обмена информацией между этими органами, а также в иных установленных федеральными законами целях.




Пока Мы аппологируем сложившейся системе, по-сути беззакония, в сфере реализации обязательных требований ЗАКОНОДАТЕЛЬСТВА, недобросовестные "интеграторы" делаю деньги. Большие деньги, т.к. в отличие о гостайны, то, что принято считать "Конфиденциальной информацией" есть у каждого юридического лица, а значит эта эта "поляна" огромна. И при этом Я, к сожалению, не вижу ни малейшей подвижки на улучшение и повышения прозрачности в этой сфере.



По поводу регистрации в Минюсте. Сначала акт должен быть направлен на правовую экспертизу в Минюст и по её результатам либо признается не требующим регистрации (т.к. не содержит Норм Права), либо регистрируется, либо направляется на доработку. Примерно так.

Понятно, что СТР-К содержит правила и требования, которые по своей природе общеобязательны. Т.е. он по смыслу является НПА.
Но так устроена наша система защиты гостайны и система противодействия ИТР и ТЗИ, что юридическая сила акта органа госбезопасности определяется "политическим весом" органа.

пп от 13 августа 1997 г. N 100910. Государственной регистрации подлежат нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, устанавливающие правовой статус организаций, имеющие межведомственный характер, независимо от срока их действия, в том числе акты, содержащие сведения, составляющие государственную тайну, или сведения конфиденциального характера.

Межведомственность стр-к очевидна.

http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=22472

В пункте 12 "Разъяснений о применении Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации", утвержденных Приказом Минюста России от 04.05.2007 N 88, дается более подробное описание нормативных актов, которые подлежат государственной регистрации, а именно:
а) содержащие правовые нормы, затрагивающие:
- гражданские, политические, социально-экономические и иные права, свободы и обязанности граждан Российской Федерации, иностранных граждан и лиц без гражданства;
- гарантии их осуществления, закрепленные в Конституции Российской Федерации и иных законодательных актах Российской Федерации;
- механизм реализации прав, свобод и обязанностей;
б) устанавливающие правовой статус организаций - типовые, примерные положения (уставы) об органах (например, территориальных), организациях, подведомственных соответствующим федеральным органам исполнительной власти, а также устанавливающие правовой статус организаций, выполняющих в соответствии с законодательством Российской Федерации отдельные наиболее важные государственные функции;
в) имеющие межведомственный характер, то есть содержащие правовые нормы, обязательные для других федеральных органов исполнительной власти и (или) организаций, не входящих в систему федерального органа исполнительной власти, утвердившего (двух или более федеральных органов исполнительной власти, совместно утвердивших) нормативный правовой акт.

ну и чтобы совсем точки над И расставить:

http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=129182;fld=134;dst=100028;rnd=0.8897991424892098

1. Утвердить прилагаемые Правила подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации.
Установить, что разъяснения о применении указанных Правил дает Министерство юстиции Российской Федерации.

Т.е. Приказ Минюста "ОБ УТВЕРЖДЕНИИ РАЗЪЯСНЕНИЙ О ПРИМЕНЕНИИ ПРАВИЛ ПОДГОТОВКИ НОРМАТИВНЫХ ПРАВОВЫХ
АКТОВ ФЕДЕРАЛЬНЫХ ОРГАНОВ ИСПОЛНИТЕЛЬНОЙ ВЛАСТИ И ИХ ГОСУДАРСТВЕННОЙ РЕГИСТРАЦИИ" от 4 мая 2007 г. N 88 обязателен для исполнения ВСЕМИ и ВСЕГДА т.к. ПП РФ разрешило ему Давать официальные легальные толкования в сфере действия ПП от 13 августа 1997 г. N 1009.

lp ... дак вывод то какой исполнять или нет СТР-К для гос инф ресурсов?

http://base.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=126525;fld=134;dst=4294967295;rnd=0.9138384629040956;from=112747-9

Статья 14.:
9. Информация, содержащаяся в Государственных Информационных Системах, а также иные имеющиеся в распоряжении государственных органов сведения и документы являются Государственными Информационными Ресурсами. Информация, содержащаяся в государственных информационных системах, является официальной. Государственные органы, определенные в соответствии с нормативным правовым актом, регламентирующим функционирование государственной информационной системы, обязаны обеспечить достоверность и актуальность информации, содержащейся в данной информационной системе, доступ к указанной информации в случаях и в порядке, предусмотренных законодательством, а также защиту указанной информации от неправомерных доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
(в ред. Федерального закона от 27.07.2010 N 227-ФЗ)

Статья 13:
5. Особенности эксплуатации государственных информационных систем и муниципальных информационных систем могут устанавливаться в соответствии с техническими регламентами, нормативными правовыми актами государственных органов, нормативными правовыми актами органов местного самоуправления, принимающих решения о создании таких информационных систем.

ну и также следующие конструкции этого ФЗ:

Статья 6:

1. Обладателем информации может быть гражданин (физическое лицо), юридическое лицо, Российская Федерация, субъект Российской Федерации, муниципальное образование.
2. От имени Российской Федерации, субъекта Российской Федерации, муниципального образования правомочия обладателя информации осуществляются соответственно государственными органами и органами местного самоуправления в пределах их полномочий, установленных соответствующими нормативными правовыми актами.
...
4. Обладатель информации при осуществлении своих прав обязан:
...
2) принимать меры по защите информации;
...

Т.е., по букве закона, Орган власти, создавший Инф.Рес. обязан защищать. А уж как он будет защищать... ХЗ.

Статья 13. :
1. Информационные системы включают в себя:
1) государственные информационные системы - федеральные информационные системы и региональные информационные системы, созданные на основании соответственно федеральных законов, законов субъектов Российской Федерации, на основании правовых актов государственных органов;

Теперь по СТР-К

2.2. Требования и рекомендации настоящего документа распространяются на
защиту:
...
конфиденциальной информации - информации с ограниченным доступом (за
исключением сведений, отнесенных к государственной тайне) содержащейся в
государственных (муниципальных) информационных ресурсах, накопленной за
счет государственного (муниципального) бюджета и являющейся
собственностью государства (...) защита которой осуществляется в интересах государства
...
Здесь Мы имеем 4 условия, объединенным логическим "И" и непонятное слово "Государство". Вот как хотите, так и понимайте...

Но, с учетом ФЗ-149, по моему мнению, тот факт, что СТР-К не является НПА, позволяет нам не нагружать лишний раз наши мозги двусмысленными смыслами СТР-К.

З.Ы. С удовольствием узнаю где Я ошибся. Т.к. уже надоело разбирать всю эту тучу запутанности, в надежде узнать, чего же Я должен то.

да и еще,

Мы все помним, что согласно ФЗ-149 обладатель информации может ограничивать доступ к информации как ему заблагорассудится
Т.е. такая такая информация тоже является информацией с ограниченным доступом.
Вообще любая информация не являющаяся общедоступной есть информация с ограниченным доступом.

Т.е. либо мы исполняем СТР-К . Либо не исполняем.
Либо....частично....))))))

Для sc63, Текст письма ФСТЭК можно и на parshin@pochta.ru ?

Автор: д | 37641
...
Теперь по СТР-К
2.2. Требования и рекомендации настоящего документа распространяются на
защиту:
...
З.Ы. С удовольствием узнаю где Я ошибся. Т.к. уже надоело разбирать всю эту тучу запутанности, в надежде узнать, чего же Я должен то.

ошибся в том, что читаешь СТР-К 2001года . В СТР-К 2002 года все по другому.

Хотя есть еще редакция СТР-К 2008 года - но не читал, т.к. говорят что правки с 2002 годом косметические.

ошибся в том, что читаешь СТР-К 2001года . В СТР-К 2002 года все по другому.

ну и,,,,,?
Что изменилось то, чего там по другому (я читал СТР-К 2002, просто в сети ссылка на 2001)?
По сути речь все равно там и там идет речь о госресурсах.
СТР-К 2002 (2008) имеет регистрационный номер в МинЮсте?

Ну мы же с Вами должны понимать, что если Я чего-то должен государству, то оно должно сделать так, чтобы я мог прочитать где это написано. Это называется ОФИЦИАЛЬНОЕ ОПУБЛИКОВАНИЕ, без этого ЮРИДИЧЕСКОГО ФАКТА нормативно-правовой акт НЕ ВСТУПИЛ В ЗАКОННУЮ СИЛУ.

А вы сами говорите,
"...Хотя есть еще редакция СТР-К 2008 года - но не читал, т.к. говорят что правки с 2002 годом косметические..."

Это не закон, законы по слухам не передаются.