Новое Постановление правительства №1119 от 01.11.2012 по защите персональных данных - Форум по вопросам информационной безопасности

Adelina, в новом постановлении говорится об декларировании соответсттвия даже для УЗ-4, а то не сильно далеко отходит от аттестации.

Для Adelina | 40118:
>> В СТР-К есть понятие АС, обрабатывающих ПДн, аттестация для них предусмотрена как для обычных АС.
В СТР-К нет деления АС на обычные и "необычные". Отдельные моменты были расписаны для АС, обрабатывающих разные категории информации. Но концепция АС оставалась единой как наследие советских времён. Информационные системы (ИС/ИСПДн) появились позже в качестве преемственности западного наследия с целью вступления России в ВТО. Поэтому, в контексте обсуждения "аттестации ИСПДн по СТР-К" главным я считаю, что СТР-К вообще не рассматривал и не рассматривает ИСПДн'ы, а только АС'ки.
А в защиту аттестации скажу, что это довольно удачная форма контроля за объектом, чем просто периодические проверки или разовые "пожарные" проверки. Поэтому не сглазите... ;-)

Для Бутч, }{ | 40120:
>> Смайлик, чем, по большому счёту, отличаются АС и ИС? "Автоматизированная система" и "информационная система" не такие уж разные понятия.
Принципиальное отличие в элементном составе систем, а отсюда и "границы" каждого объекта будут иными. На этом форуме уже обсуждались вопросы отличия этих систем между собой. Не хотелось бы повторно "воду в ступе толочь".

>> А как иначе, чем Аттестатом, подтвердить, что ИСПДн соответствует классу защищенности К1 (теперь уже неактуальном видимо классу)?
Можно просто Актом, Протоколом, Заключением о соответствии требований НМД, предъявляемых к ИСПДн. А для оценки АС есть ГОСТы серии 34.х: делаете ТЗ, включаете в него все необходимые требования по ЗИ и сдаёте её заказчику. Как вариант...

<< В СТР-К есть понятие АС, обрабатывающих ПДн, аттестация для них предусмотрена как для обычных АС.
<<В СТР-К нет деления АС на обычные и "необычные"

это я так выразилась, в СТР-К есть понятие ПДн, и аттестация АС с ПДн проходит так же, как аттестация АС с не ПДн, вот что я хотела сказать

<<<в защиту аттестации скажу, что это довольно удачная форма контроля за объектом, чем просто периодические проверки или разовые "пожарные" проверки

а ещё и более дорогая, а по-другому она называется "срубание денег")) если спец по ЗИ грамотный, то требования он выполнит нормально, и никакая проверка - не помеха) и для этого не обязательно ещё и аттестат покупать)
не, ну конечно есть директора, готовые платить за всякие ненужности)))

<<<в новом постановлении говорится об декларировании соответсттвия даже для УЗ-4, а то не сильно далеко отходит от аттестации.

maxwell, для начала прочитайте НПА, хотя бы определение понятия "аттестация ОИ" и "декларирование соответствия СЗИ" ;-)

Для Adelina | 40127
>> а ещё и более дорогая, а по-другому она называется "срубание денег")) если спец по ЗИ грамотный, то требования он выполнит нормально, и никакая проверка - не помеха) и для этого не обязательно ещё и аттестат покупать)

Чаще всего каждый видит только то, что хочет видеть. Если для Вас аттестация - это "срубание денег", то пусть будет так. Для меня аттестация это иное... Кроме того, характеристика "дорогая/дешёвая" - сравнительная и относительная. Поэтому смотря с чем сравнивать и относительно чего?!
Кстати, грамотный (от греч. grammata - чтение и письмо) - это умеющий читать и писать. Как показала моя скромная практика далеко не все специалисты по ЗИ, умеющие читать и писать, могут выполнить нормально необходимые требования вне зависимости от наличия у них опыта работы.

Коллеги!
Обсуждаемый нормативный акт получил право на существовании исключительно базируясь на нормах Федерального закона от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) "О персональных данных". Закон "О персональных данных" установил что обработка «персональных данных» проводится исключительно в «информационных системах персональных данных» представляющих собой « совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств». Объекты «автоматизированная система» и «информационная система персональных данных» не тождественны. В связи с этим ОЧЕВИДНА не уместность обсуждения возможности проведение мероприятий по защите «персональных данных» в соответствии с СТР-К.
Проблема в другом: - Оператор самостоятельно определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных настоящим Федеральным законом и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено настоящим Федеральным законом или другими федеральными законами. К таким мерам могут, в частности, относиться:
оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом».
Что такое «ОЦЕНКА ВРЕДА»? Как ее оценить? Как провести соответствие «принимаемых оператором мер, направленных на обеспечение выполнения обязанностей» с «оценкой вреда». И основное - Кто выработает «критерии этого соответствия» и соответственно будет за это отвечать? Т.е до тех пор пока ответа на этот вопрос не будет – все это мираж!

87645, согласна полностью, как оценивать возможный вред субъекту никто из регуляторов не объяснил.
А большинство коммерческих организаций по факту оценивает потенциальный вред не субъекту, а организации от возможных исков субъектов, возмещения ущерба и т.д.)

:-), вы сейчас говорите как представитель организации, предоставляющей услуги по защите информации, и оператор, пожилая тётя, которая верит только бумажкам) и вы пытаетесь навязать другим плюсы аттестации, в которой нет необходимости)))
это как манагеры, которые приходят впарить очередной чудопылесос клиенту, несмотря на то, что у клиента уже есть старый добрый пылесос)))) уж простите, очень похоже)))

Для Adelina | 40146:
Увы, но я опять вынужден повториться: чаще всего каждый видит только то, что хочет видеть.

Для Adelina
Рассмотрим следующую логическую цепочку:
Если Гражданский кодекс установил:
Статья 150. Нематериальные блага
1. Жизнь и здоровье, достоинство личности, личная неприкосновенность, честь и доброе имя, деловая репутация, неприкосновенность частной жизни, личная и семейная тайна, право свободного передвижения, выбора места пребывания и жительства, право на имя, право авторства, иные личные неимущественные права и другие нематериальные блага, принадлежащие гражданину от рождения или в силу закона, неотчуждаемы и непередаваемы иным способом. В случаях и в порядке, предусмотренных законом, личные неимущественные права и другие нематериальные блага, принадлежавшие умершему, могут осуществляться и защищаться другими лицами, в том числе наследниками правообладателя.
2. Нематериальные блага защищаются в соответствии с настоящим Кодексом и другими законами в случаях и в порядке, ими предусмотренных, а также в тех случаях и тех пределах, в каких использование способов защиты гражданских прав (статья 12) вытекает из существа нарушенного нематериального права и характера последствий этого нарушения.
Статья 151. Компенсация морального вреда
Если гражданину причинен моральный вред (физические или нравственные страдания) действиями, нарушающими его личные неимущественные права либо посягающими на принадлежащие гражданину другие нематериальные блага, а также в других случаях, предусмотренных законом, суд может возложить на нарушителя обязанность денежной компенсации указанного вреда.
Проект:
"Статья 152.2. Охрана частной жизни гражданина
1. Если иное прямо не предусмотрено законом, не допускаются без согласия гражданина сбор, хранение, распространение и использование любой информации о его частной жизни, включая сведения о его происхождении, о месте его пребывания или жительства, о личной и семейной жизни, о фактах биографии такого лица, об участии этого лица в судопроизводстве.
2. Если соглашением сторон обязательства не предусмотрено иное, стороны не вправе разглашать ставшую известной им при возникновении и (или) исполнении обязательства информацию о частной жизни гражданина, являющегося стороной или третьим лицом в таком обязательстве.
5. Право требовать защиты частной жизни гражданина способами, предусмотренными пунктом 2 статьи 150 настоящего Кодекса, а также настоящей статьей, в случае его смерти имеют дети, родители и переживший супруг такого гражданина.";

А
Федеральный закон от 27.07.2006 N 152-ФЗ (ред. от 25.07.2011) "О персональных данных" требует:
Статья 9. Согласие субъекта персональных данных на обработку его персональных данных

То как говаривал монтёр Мечников «Согласие есть продукт при полном непротивлении сторон» -
Т.е в рамках получения оператором «согласия субъекта персональных данных на обработку его персональных данных» должна быть оговорена и «сумма компенсации» в случае распространения (утечки информации) «персональных данных субъекта». Эта сумма и будет «оценкой вреда». В этом случае будет все прозрачно, но тогда возникнет естественный вопрос: кому нужно законотворчесво субъекта устанавливающего правила, за которые он (субъект) не несет ни какой ответственности?

До сих пор в голову не приходило, что люди настолько и всерьёз обсуждают ФЗ-152 и "его" нормативку. Там дважды МОЖЕТ БЫТЬ указано. "...К таким мерам могут (!!!), в частности, относиться:
оценка вреда, который может быть (!!!) причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом»".

Опять же до сих пор только суд определял оценку вреда, но причинённого по факту, а не дважды вероятностную. Поэтому отпадет "естественный вопрос" от "закодированного" пользователя 87645, 87654 | 40150. В таком случае, как любителя/любительницы творчества Ильфа и Петрова лучше опираться на высказывание не монтёра Мечникова, а Остапа Бендера: "Вас обманули, это не мексиканский тушкан, это шанхайский барс".