Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

Сергей писал-
"причем даже в случае аутсорсинга! т.к. ответственность за обраобтку ПД лежит на операторе ИСПДн и при аутсорсинге."

При аутсорсинге ответственность делят поровну. С владельца ПД ответственность не снимается, но организация оказывающая услугу аутсорсинга рискует свое лицензией на оказание ТЗИ ПД.

Ответственность за соответствие требованиям несет аутсорсер, ответсвенность за нарушение требований обработки и защиты ПДн, установленные аутсорсером, несёт оператор.

Так сказали во ФСТЭК...

По вопросам лицензии, докажите необходимость криптозащиты и спите спокойно, без лицензии. Регулятор по крипте ее не требует.

sc63
Реализация требований по криптозащите ПДн не отменяет необходимоти реализовывать требования по ТЗИ

Nick, читайте внимательно документы, требований не отменяет, но это не касается лицензирования.

sc63
Направьте на путь истинный, плиз.
Где именно написано, что если доказана необходимость криптозащиты в ИСПДн, например, 2-го класса, не нужно получать лицензию на ТЗИ, чтобы рализовать требования ФСТЭК?

2 Nick

А нигде не написано, во всяком случае я не нашел.
Кроме того использование СКЗИ не исключает утечку ПДн по техническим каналам. В документах же ясно сказано, при ИСПДн 1 и 2 классов необходимо получение лицензии по ТЗКИ. А то, что в доках ФСБ о лицензии ТЗКИ ничего не написано, не означает отмену требования о необходимости её получения!

Начнем по порядку, в РД "4-ФСЭК" и "2-ФСБ" сказано, что 4 книги для средств не крипто, 2 книги для крипто. Содержание книг (разделы) почти полностью идентичны. В Метод... ФСБ сказано, что они предназначены в случае определения оператором необходимости обеспечения безоп. ПД с использованием крипто (введение, абзац 3). В итоге проведения всех работ составляется акт готовности средств по окончании проверки готовности.

Далее, раньше (когда было ФАПСИ) существовала лицензия по эксплуатации крипто средств, сейчас ФЗ "О лицензировании" ее отменил, таким образом эксплуатация данных средств не попадает под лицензирование и в положении о лицензировании ТЗИ нет ни слова. И не в полномочиях ФСТЭК крипта, ее эксплуатация и проверки.

sc63, таким образом эксплуатация данных средств не попадает под лицензирование и в положении о лицензировании ТЗИ нет ни слова. И не в полномочиях ФСТЭК крипта, ее эксплуатация и проверки.

Остаётся проблема создания системы защиты информации (СЗИ) - ведь ни без-крипто, ни с крипто СЗИ не возникает сама собой. Должна существовать организация, создавшая систему защиты.
После внедрения СЗИ возникает проблема контроля состояния СЗИ и т.д.

на семинаре Анкада выступал представитель Центра по лиц, серт и ЗГТ ФСБ Ковалев АН. Он сказал что на эксплуатацию крипто лицензия не нужна. Если же оператор намерен сам обслуживать (и все что под подразумевается...) крипто, то необходимо получение лицензии.