Итоговые документы на ИСПДн при декларировании соответствия? - Форум по вопросам информационной безопасности

Как вас тут пробило после праздников...
Есть закон о техническом регулировании и там все прописано. Пока нет технического регламента, до его принятия действуют переходные положения, т.е. РД регуляторов. Да, в РД по защите ПДн имеется ссылка на сам факт декларирования (и больше ничего о том, как это должно осуществляться). Значит, обращаемся обратно к закону о техрегулировании и внимательно читаем ст. 24 (обсуждаемое декларирование является обязательным, т.к. обязательность данного процесса определила ФСТЭК в своих РД). Из ст. 24 следует, что необходимо предоставить не только саму декларацию, а так же и все материалы на основании которых эта декларация осуществляется (в том числе, перечень методов, методик, средств испытаний, квалификация испытателей, пр…). В общем получается нужно весь набор лицензионных требований выполнить (за исключением оплаты 1600 р. за заявление и сам бланк лицензий). Отсюда вопрос для «особо одаренных»: чем декларация отличается от аттестации, и почему она должна быть дешевле аттестации??? А если учесть то, что при аттестации ты платишь один раз и не оплачиваешь расходы на з/п квалифицированных сотрудников, их обучение по утвержденным программам, закупку нормативных документов, закупку программных и аппаратных средств контроля защищенности, и тому подобное, то стоимость такой декларации будет выше стоимости аттестации.
Кстати, там же: Форма декларации о соответствии утверждается федеральным органом исполнительной власти по техническому регулированию. ФСТЭК или РКН утвердили форму декларации соответствия? Как бы – нет формы, нет декларации… остается только аттестация…
А касательно Письма ФСТЭК №240/2/2520 от 18 июня 2010 г., СТР-К, 128-ФЗ (по поводу получения лицензий) – так в принципе никакого бардака и противоречий нет:
По письму – неизвестно как был задан вопрос. РД ФСТЭК не запрещают выполнять работы по защите информации своими силами, а вот про мероприятия по оценке защищенности там вроде ничего не написано… зато сказано в положении по аттестации (организации должны быть аккредитованы, а т.к. для аттестации по конфе, достаточно наличия соотв. лицензии, значит и требование по получению лицензии тоже понятно (даже если выполняешь подтверждение соответствия сам)).

НоВаНу:

Сложновато сформулировано как-то про декларирование в законе и РД, зато всё складно вроде. Вот Вы пишите "Из ст. 24 следует, что необходимо предоставить не только саму декларацию, а так же и все материалы на основании которых эта декларация осуществляется". Прочитал на 2 раза всю статью 24 и у меня такой вывод почему-то не получается.
Кому я должен предоставить всё это "хозяйство"? Обязанности предоставить все материалы, предшествующие декларации, в статье 24 нет.

Так п. 1 говорит, что "принятие декларации о соответствии на основании собственных доказательств" (вторая часть статьи дублирована и дополнена). Это значит, что декларировать можно после проведения оценки на базе собственных доказательств, являющихся основаниями декларирования! Т.е. заявить (декларировать) о соответствии после процедуры оценки.

При этом в п. 5 приведён перечень, что должна содержать декларация о соответствии. А содержать она получается должна только заголовки и даты документов, на основании которых осуществляется декларирование. При этом я так понимаю, что, например, сведения о проведенных исследованиях (испытаниях) и измерениях - когда, где, каким документом оформлено (ну, максимум, с каким результатом и то не факт).

Спорным, на мой взгляд, является высказывание "ФСТЭК или РКН утвердили форму декларации соответствия? Как бы – нет формы, нет декларации… остается только аттестация…". Думается, что оперировать будет правильнее отсутствием не формы декларации, а регламента проведения декларирования у ФСТЭКа и РКН. Хотя и на аттестацию тоже нет регламента, всё "разбросано" по разным документам (разве это регламент?).

"зато сказано в положении по аттестации (организации должны быть аккредитованы, а т.к. для аттестации по конфе, достаточно наличия соотв. лицензии, значит и требование по получению лицензии тоже понятно (даже если выполняешь подтверждение соответствия сам))". Думается, что идёт речь про Положение 1994 года. Если вы ссылаетесь на Положение при этом отбрасываете из него существенные требования (наличие аккредитации), то либо Ваши действия не корректны, либо положение выбрано для аргументов не правильно (т.к. в самом положении таких примечаний нет, и указаний органа, издавшего такое положение, как применять это положение в отношении конфы, тоже нет).

философу:
1. согласен, пряма таки представлять не обязательно, но вот в наличии у вас они должны быть - и с этим я думаю вы спорить не будете..., а в наличии они должны быть для того, чтобы регулятор смог запросить любые документы на которые вы ссылаетесь, а вы смогли их предоставить по такому запросу...
2. В части защиты ПДн регулятором является РКН, значит и ведение реестра деклараций (и их регистрация) является его прераготивой. можете им позвонить - может они даже уже принимают такие декларации...
3. Регламента проведения декларирования нет и не будет (как минимум это будет раздел техрегламента по защите ПДн, или техрегламента по защите КИ). ...ни один орган исполнительной власти не будет вам писать кучу маленьких технических регламентов...
4. По поводу не корректности ссылки на положение по аттестации - вы глубоко ошибаетесь... во первых - документ действующий (его ни кто не отменял); во вторых - там нет никаких слов на то, что он распространяется только на ГТ и не распространяется на КИ, каковой являются ПДн; в третьих - достаточность наличия лицензии по оказанию услуг в области ЗИ для проведения аттестации объектов - уже давно известный и признанный всеми факт (в том числе и представители ФСТЭК на различных семинарах неоднократно об этом говорили)... Единственный кояк ФСТЭК по этой части - это то, что с выходом новых РД и законов, не вносятся изменения и поправки в старые РД (однако это на самом деле и не является обязательным, т.к. при разных трактовках 2-х РД принимаются дествующие положения последних).
И вообще - не плохо было бы вам для начала не только ст. 24 закона о техрегулировании почитать, но и весь закон полностью, да еще и с ссылками в каком нибудь "консультанте" или "гаранте"... да и вообще ознакомиться как с историей развития системы ЗИ в России, хронологией выхода РД и Законов, и с самими РД и законами - может тогда вам многое станет понятно.
А если вы будете сидеть и на любой вопрос искать ответы в форумах (без включения мозга и чтения РД, знание которых кстати и является обязательным для получения лицензий), то развиваться как специалист вы будете лет 20, а в это время умные люди будут зарабатывать на конторе, в которой вы работаете, хорошие деньги (одна из причин, по которой я в последнее время здесь не появляюсь - считаю не целесообразным по 100 раз объяснять одно и то-же, но разными словами)...

НоВаНу:

По Вашему п.1:
А в случает потери (утраты) каких-то документов на момент проверки (запроса), предусмотрены ли санкции со стороны регулятора?
И что им даст чтение моего регламента или ТУ? Неужели они уполномочены изменять мою добровольно-лично-принятую систему оценки соответствия, которая разрешна законом?

по Вашему п.2:
При недавним общением с представителями РКН они сами обратили внимание, что они принимают ТОЛЬКО УВЕДОМЛЕНИЯ. На принятие других документов у них нет приказа: как принимать, как учитывать и в какой реестр, куда подшивать, как проверять и т.д. Может у них будет соответствующий приказ в скором времени, но пока ждём-с.

по Вашему п.4:
В моём высказывании не было утверждений о статуя действия Положения 1994 года или его отмены. Я лишь обратил внимание на некорректность Вашей ссылки на него, когда отбрасывали по своему усмотрению требование наличия аккредитации у органа по аттестации. Я считаю, если нет аккредитации, то мы имеем дело не с органом по аттестации, а просто с лицензиатом. Неужели я ошибаюсь?
А на счёт более глубокого изучения документов по ЗИ: Вы правы. Мне ещё много надо изучить в этой области, очень много. Чем в настоящий момент я и занимаюсь. Спасибо.

по вопросам, философу:

п.1 - признание недействительным вашу декларацию, как будто ее изначально и не было(со всеми вытекающими последствиями)...
"прокаких таких заек?" (какие такие ТУ или внутренние регламенты) - речь идет о протаколах испытаний, подтверждающих соответствие РД, а так же сведения о применяемых методиках, средств контроля, квалификацию специалистов и пр....

п.2. - "нету ножек, нету мультиков... " - вы сами даете ответы на свои вопросы (просто не до конца это понимаете) - опять см. закон о техрегулировании ст. 24 п.6: ...оформленная декларация подлежит регистрации.... - а далее врубаете логику: если ее не хотят регистрировать (ссылаясь на отсутствие регламента) - значит это уже не декларация...
вы конечно можете проигнорировать первый абзац вышеуказанного пункта, но сразу тогда советуйтесь с юристами - как вы будете доказывать факт что все выполнено так как надо и на ту дату как надо (по практике вам просто впаяют нарушение, а вот доказывать что нарушения не было вам придется в суде самостоятельно... - вы хотите судится с РКН? ...или с ФСТЭК? ...или с ФСБ?).

п.4. не совсем, но ошибаетесь - имеете дело с органом по аттестации, но не аккредитованым в системе сертификации, который, однако, имеет право выдачи аттестатов соответствия требованиям безопасности информации в области защиты КИ.

НоВаНу:

Вас видимо всю жизнь учили запугивать контролёрами, судами, наказаниями :) А вот Дмитрий Анатольевич говорил: "Не надо кошмарить бизнес!"
Но всё-таки я понял главное: лицензиат ФСТЭКа - это страшная сила!!! Если он лицензиат на ГТ, то он просто лицензиат на ГТ. А если он лицензиат на КИ, то он же является не аккредитованным органом по аттестации. Интересно, зачем тогда понадобилось вводить аккредитацию?

философу:
Ошибаетесь:
"Если компания предоставляет услуги по защите ГТ, то она одновременно и лицензиат на ГТ и аккредитованный орган по аттестации, а если компания предоставляет услуги по защите КИ - то она просто лицензиат на КИ."

философу:
Насчет "кошмарить бизнес" - вы видимо не сталкивались с махиной по защите прав продавца, в составе:
- предприятий однодневок,
- региональных подразделений торгово-промыщленной палатоы, которые законодательно почти не подконтрольны самой ТПП;
- самой ТПП (с ее "закрытыми" методиками проверки качества продукции);
- проплаченными экспертизами (которые вовсю ссылаются на методики ТПП, но испытания проводят не в соответствии с ними, во всю используя "невозможность" допуска потребителей к методикам);
- толпой высококвалифицированных юристов промышленников и торговцев;
- судами, которые на основе законов режут требования по выплате неустоек и морального ущерба (с мотивацией: недапущение незаконного и необоснованного обогащения потребителей)...
и в противовес всему этому закон о защите прав потребителей, благо хоть ПП№ 982 от 1 декабря 2009 г. (с подзаконными актами) - но толку от последних, как "от козла молока" - т.к. 99,9% населения об их существовании даже не слышали....
В москве можно более 50% магазинов на абсолютно законном основании закрывать с конфискацией товара и со штрафами в размере полной стоимости самих товаров.... И вы предлагаете как Д.А. не кошмарить бизнес? - наивный вы человек...

Доброму бобру:
И ничего я не ошибаюсь. В ГТ - лицензирование отдельная процедура, аккредитация тоже отдельная процедура. В ГТ ты можешь быть лицензиатом, но не быть аккредитованным органом по аттестации. В конфе тебе достаточно получить лицензию на КТ, чтобы социум видел в тебе не только лицензиата, но ещё и орган по аттестации. Читайте посты г-на НоВаНа.

НоВаНу:
Я не наивен, просто я добрый (добрее чем г-н Добрый Борб), т.к. философ не должен быть агрессивным, иначе думать становится сложнее.
На счёт закрытия половины магазинов Москвы - это Вы зря. У нас любого в стране могут посадить и всё могут конфисковать у любого - история тому подтверждение. Ну, да ладно. Мы отклонились от темы и "засоряем" ветку форума.