Приказ ФСТЭК России 21 - Форум по вопросам информационной безопасности

Есть ЛВС из 150 АРМ. Часть из них (сейчас 16) предназначены для реализации услуг в электронной форме (210 ФЗ) и межведомственного электронного взаимодействия (МВ). Тут речь о регинальной информационной системе по-сути и оператор в региональном центре диктует правила -грубо говоря по-старому к1 и кс-3. Ну и замечательно - оператор региональной распределённой ИС выпрал средства защиты, составил акт классификации...ит.д. -мы выполнили требования и аттестовали (если сейчас это нужно обязательно???или нужен всё-таки контроль???или это одно и то же???) АРМы для МВ.
Чудесно, едем дальше: на остальных АРМ ЛВС присутствуют разнообразные ИСПДн и ПДн - где-то просто набор офисных документов, где-то БД (иная на 3000 записей), где-то бухгалтерия (из у нас много -своя на каждый комитет) - это либо 1С. либо "Васюков" на фоксе (внутренние сотрудники оператора - в каждом комитете от 5 до 30 человек.Есть картотеки (обработка без средств автоматизации).
Что делаем сейчас - проводим инвентаризацию (обследование) ИСПДн. Составляем перечень ИСПДн и ПДн. Проводим что-то подобное классификации - только не понятно как это теперь правильно называется - Уровнефикация:). С частной моделью угроз не всё ясно..
Дальше я считаю нужно заказать проект ТЗ у лицензиата, но тщательно над ним поработать ( в чём большие затруднения) - потому что тут извините разный интерес - у одних денег заработать, у других съэкономить. И вот тут начинаются интересные вопросы: например вправе ли я вообще средства администрирования системы защиты получить в свои руки? Или систему защиты администрирует лицензиат, а оператор обязан за это платить? Понятно что ПК ломаются, нужно расширять программную среду и т.д. У нас будут внедряться новые ИС, программы, пользователи тысячу раз поменияются и перейдут с места на место - текущая работа систадмина....Система защиты должна быть инструментом сисадмина, а не проблемой в работе...При каждой переустановке ОС я буду на платной основе привлекать лицензиата????? Разумно обучить сисадмина, выпустить ОРД, возлагающую на него ответственность и т.д. А как с лицензированием? Или сисадминов миллионов сетей заменят теперь предстваителт лицензиатов? 2500 организаций на всю страну? А с работой справятся? А время реакции на сбой какое будет? (в нашем населённом пункте нет лицензиатов 1-2 на регион и те за 100 км). За простои отвечать будут? Авот свой сисадмин дополнительных денег не просит - функции информационной безопсности можно "возложить на существующих".. И СВТ нужно использовать гибко, а не ограничивать программную среду там, где это не нужно...
Но первое что я услышал - так это то,ч то раз у меня в ЛВС есть АРМы с К1 (16), то требования К1 распространяются на все 150. А разве нельзя применить МЭ? Сегментировать сеть? Уж если випнет шифрует трафик и он идёт через публичные сети, то почему ему не ходить щифрованному по ЛВС?