Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

to Nick
Не центром, а органом.
В форме Т-2 также присутствует инфа о воинском учете, а если таких Т-2 эннное количество, то это уже не ПД и не конфи...

Воинский учет подпадает под перечень сведений ДСП. Это мы уже проходили и получили по полной. Устраняли недостаток методом удаления.

Nick, охотелось бы узнать о максимальных и минимальных требованиях?!

Есть положение по ТЗКИ где расписаны все требования и их нужно вполнить! И там не встречается вариация требований (мин-мах).

И в чем сложность получения? в выполнении всех требования в положении и большой срок?!

Была заветная мечта дотянуть класс ИСПДн до 3, но как видно не судьба. Если предприятие выполняет все по закону, то ние 2 класса ИСПДн у него не получается.
Так на пример в соответствии с утвержденными формами мы должны подавать в пенсионный и соцюстрахование данные на инвалидов в виде номера справки о инвалидности и даты ее выдачи, а это под индификационные данные явно не канает.
На счет аттестации действуют теже требования ФСТЭК как и к ГТ. Получаете лицензию на защиту и в довесок на оказание услуг (если получится). Вот с оказанием услуг проблемка и выплывает - наличие приборов для измерения каналов возможной утечки, их регулярная выверка, подготовка сециалиста(ов) обученного(ых) работе на них (с выдачей документа об обучении гос образца), вытекает в такую копеечку, что проще нанять стороннюю организацию этим промышляющую. Есть конечно лазейка, наличие договора с ними, что вы будете арендовать приборы и (или) они вам будут производить измерения и составлять протоколы, но все слишком фантастично.
Требования по защите постоянно ужесточаются и придется регулярно обновлять измерительные приборы, а они совсем не из дешевых.

cpx,
Сложность в том, что ФСТЭК не очень охотно разъясняет требования положения.
Вот выдержка из ППРФ 504
"сведения о наличии производственного и контрольно-измерительного оборудования, средств защиты информации и средств контроля защищенности информации, необходимых для осуществления лицензируемой деятельности, с приложением копий документов о поверке контрольно-измерительного оборудования;"
А теперь подумаем, как это можно трактовать. Ключевое слово "необходимых". А под лицензируемой деятельностью подразумевается понимается комплекс мероприятий и (или) услуг по защите информации от несанкционированного доступа, в том числе и по техническим каналам, а также от специальных воздействий на такую информацию в целях ее уничтожения, искажения или блокирования доступа к ней. Ясно, что для разных мероприятий комплекса нужны разные НЕОБХОДИМЫЕ средства и оборудование.

nick, и в чем проблема? Если хотите только НСД - попробуйте обойтись всего лишь при помощи производственного оборудования и тестирующего пакета ПО ЦБИ. Видел слышал о лиц. ТЗКИ с ограничениями.

Хотите полную - заключите договор аренды (сложно но можно). Вопрос лишь в цене и времени. Со всеми можно договориться.

cpx
Так и делаем.

Прозвучала фраза "Сложность в том, что ФСТЭК не очень охотно разъясняет требования положения." Я не совсем с этим согласен. Все раскажут и объяснят, но вы должны иметь допуск к этой информации. Большинство документов ФСТЭК имеет гриф ДСП. Вы общаетесь с представителем ФСТЭК (исполнителем) который должен вам сообщить какую то там информацию, а кто вы для него - неизвестный человек с улицы . Получается замкнутый круг, чтобы вам что то сказали вы должны иметь форму допуска ( хотябы к ДСП) технология получения которой на данный момент не определена. Чтобы получить документ с грифом о том как лицензироваться, вы должны уже иметь лицензию на работу и защиту информации содержащейся в этом документе.
ФСТЭК в воросах защиты ПД использует принцыпы защиты ГТ, а механизм реализации не определен и не утвержден. Поэтому быдем мучаться пока не будет создана государственная система защиты ПД.

Л@В, документы о том как лицензироваться (Все положения о лецензировании) лежать у них на сайте в открытом виде.

"Правовая база лицензионной деятельности ФСТЭК России"

Пс. не надо самим себе выдумывать барьеры...

А про ДСП ПДн - надо всего лишь запросить (купить/заказать эти документы).

cpx
Цитата "А про ДСП ПДн - надо всего лишь запросить (купить/заказать эти документы)"

А как вы их будете хранить и защицать без лицензии на это?

Для того чтобы заказать их, отправляется заявка во ФСТЭК с приложением копии уже имеющейся лиценгии на защиту. После этого приходит счет, плати, получай по почте наслаждайся.