Определение класса защищенности - Форум по вопросам информационной безопасности

nesh, возможно не отрицаю Вашу правоту и зависеть будет от компетенции проверяющих, просто если у Вас ИСПДн в общей ЛВС и никак не разграничена сертифицированными МЭ, то тут никакого пограничного МЭ быть не может, хотя с точки зрения безопасности ЛВС безусловно он нужен. Но тут лучше поставить что нить проще и менее дорогостоящее например трифик инспектор или User Gate, с возложенными на них функциями они вполне справляются, тем более всегда нужен контроль инета.

Савели4ев, хорошие новости, впрочем вполне ожидаемые

к какому классу защищенности относиться "Вконтакте"?

*в сторону* О! Опять модуль экстрасенсорики барахлит. Как раз в соседней теме форума предсказал вопросы про соц.сети (правда, наводка на семантику, очевидно, сбилась).

to Zarina
Очень хочется схохмить про какой-нибудь КС1, но... Кто-нибудь назначил "ВКонтакте" гос.инфо.системой, АСУТП, АС обработки конфи-информации, КСИИ или чем-то иным, требующим защиты в рамках законодательства? Нет? Так и суда нет...

как вариант (если уйти от актуальности угроз в системно и прикладном ПО) по Постановлению Правительства № 1119 уровень защищенности ПДн - "второй", т.к. для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных
данных, не являющихся сотрудниками оператора.

to :)
Дык, это "уровень", а не "класс", как вопрошал топикстартер (да-да, я знаю, куда пойти со своим цеплянием к терминам)... И потом, "общедоступных" же! Реализованную процедуру ИАФ и приватность страничек в качестве средств разграничения "общедоступных" от "защищаемых" не предлагать. Все равно это исключительно номинальная мера для тех, кто в танке. Так что (с целью поддержки этой безумной беседы) скорее У4, а не У2 :)

как быть с тем, что пользователи заполняют информацию о своих политических воззрениях, религиозных или философских убеждениях?)) Об официальном подтверждении правдивости данной информации речи же не идет в ПП 1119?

to :)
А вас не смутило, что "общедоступные ПДн" - это такая же категория, наряду со "специальными", "иными" и "биометрическими"? Субъекты ПДн в соц.сетях сообщают любые ПДн о себе исключительно по собственной глупости (зачеркнуто) желанию, добровольно. Причем, повторюсь, тот же ВКонтакт не является "закрытой" ИС, доступ к которой ограничен для какого-либо (регистрируйся на поддельное мыло - и пожалуйста). Т.е. ВКонтакт вполне в праве классифицировать свою систему как "ИС с общедоступными ПДн более чем 100 тыс..." и далее по тексту, то есть по сути "прикрыться справочником". Далее обосновать отсутствие НДВ отсутствием актуальной методики их выявления, ага. И жить спокойно, не признавая актуальными никакие угрозы в Модели и не выполняя "сертифицированными" средствами никакие требования 21 и 378 Приказов.
*в сторону* тут главное вовремя отстегивать кому надо, чтобы регуляторы не открывали свои глаза на соц.сети :)

to oko
Разве "Вконтакте" по 152 закону является общедоступным источником ПДн? - в статье 8 закона указано требование наличия письменного согласия субъекта ПДн. А его как бы нет в природе)
Запамятовал что-то, с каких пор оператор "вконтакте" не должен выполнять требования 21 приказа для испдн 4 УЗ?

to :)
1. "не выполняя "сертифицированными" средствами никакие требования 21 и 378 Приказов" - ключевое слово "сертифицированными" (даже акцентировал кавычками, жаль тут не работают стандартные тэги). А несертифицированными можно обозвать что угодно (их как СЗИ по отечественному закону вообще в природе не существует).
2. А письменное согласие и не требуется. Никто не заставляет оформляться во ВКонтакте настоящим именем и прикреплять настоящую фотографию и проч. субпродукты. И целей обработки ПДн в соответствии с ФЗ-152 ВКонтакт никаких не преследует кроме п.п. 10 п. 1 ст. 6 (ну да... не преследует...). Что опять-таки делает ПДн, крутящиеся в базах ВКонтакта "общедоступными".
3. И если копнуть глубже, де юре - это вообще не ИСПДн, а ВКонтакт - не оператор. Вот поэтому я ранее и говорил про "безумную беседу" :)