Нужна ли обязательная аттестация ИСПДн в гос. учреждениях? - Форум по вопросам информационной безопасности

ну да, и еще один момент, возвращаясь к Содержанию темы.

Мы все знаем, что на деятельность по ТКЗИ нужна лицензия. Тут без вариантов - постановление правительства.

Вопрос в том, что такое деятельность.
Исходя из смысла слов в русском языке Лицензия нужна даже для ИП, если у него есть компьютер в котором есть табличка с персональными данными.

"Действующие" редакции СТР-К говорят об аттестации в соответствии с действующими норм. и методическими документами ФСТЭК. Т.е. нашему ИП с компьютером с табличкой с персональными данными надо еще и сертифицированные СЗИ.

И таких
http://www.gks.ru/free_doc/new_site/business/prom/kol_yur2010.xls

Т.е. опять есть 2 типа Операторов. К которым приедут и к которым не приедут

З.Ы. Я опять где-то ошибся?

Если ИСПДн 1 го класса то нужна, новый документов ФСТЭК с глобальными изменениями пока не предвидится. Начнут с сентября, мб в последнюю декаду августа опомнятся и внесут изменения, чтобы сократить проверяемые организации. Хотя встряли. А пока строчите документы =)

"Если ИСПДн 1 го класса то нужна"
Где написано что только 1 ого?

цитата lp

...Это не закон, законы по слухам не передаются.

обычаи делового оборота(понятия) еще как передаются. Ээх, вся жизнь по понятиям

Именно.
Когда есть "Нечто" наделенное властью а Право этого "Нечто" не формализованно публично и/или не прозрачно, тогда появляются "понятия".
Мы же с вами понимаем, что есть закрытое. например ГТ, где "понятия" нужны, где узкий круг профессионалов. А есть, например ИПСДн, где такое не пройдет. где нужна публичность и прозрачность.
А органы госбезопасности пытаются "разруливать" по-сути Публичные отношения (та же ИСПДн пресловутая) используя "закрытые" методы - например обычаи делового оборота(понятия). Понятно, что это действует на приближенных (профессионалов - ТЗИшников). А остальные миллионы? У них тогда надо эти правила сформировать в голове... А этого всероссийский только чЁс поможет добиться...

Мне кажется интересным опыт госрегулирования в сфере строительства. Там тоже с одной стороны дом построить - это не на заборе рисовать (нужна квалификация, опыт, контролировать сложно) а с другой стороны вон их сколько домов.
Нам тоже нужна такая система СРО. Тогда можно будет с чистой совестью сидеть на своих министерских креслах преисполнившись уверенности, что в ФКБУ Детский сад "Солнышко", пос. гор. типа Зеленое, ИСПДн аттестовали и контролируют Проффессионалы.

Обязательность аттестации была прописана в документе
"Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утвержденные заместителем директора ФСТЭК России 15 февраля 2008 г.", но их отменили решением ФСТЭК России
от 5 марта 2010 г. так что аттестация для ИСПДн не обязательна.

" так что аттестация для ИСПДн не обязательна"

Читайте пост ! Обсуждаем государственные информационные системы!
В СТР-К такие системы подлежат обязательной аттестации и ИСПДн в том числе. Вопрос в легитимности СТР-К как нормативно правового акта в части требований к любым государственным системам.

Строго говоря получается так:
1.Есть государственные информационные системы.
2. Есть государственные информационные ресурсы=ГИС+Другая документированная информация
Это все в рамках 149 ФЗ

СТР-К (2002) говорит об аттестации именно государственных информационных Ресурсов, насколько я помню.

В соседней теме
http://itsec.ru/forum.php?sub=7084&from=-1
Обсуждался смежный вопрос.
И у меня такое чувство, что ФОИВ, создавая ГИС разрабатывает Спец документ, что-то типа ТУ по вопросам обеспечения безопасности информации.

" Читайте пост ! Обсуждаем государственные информационные системы!
В СТР-К такие системы подлежат обязательной аттестации и ИСПДн в том числе. Вопрос в легитимности СТР-К как нормативно правового акта в части требований к любым государственным системам. "

первое - в СТР-К нет понятия ИСПДн, там только понятие АС фигурирует.
второе - СТР-К написан тогда, когда 152-ФЗ и других нормативно-правовых актов по ПДн еще не было в помине, так что он не учитывает все особенности требований по защите ПДн, так что я считаю надо пользоваться тем что новее. Самый простой пример уровень в СТР-К для ПДн один (1Д), а в приказе 3-х их четыре (К1-К4).

В СТР-К говорится об обязательности аттестации гос.инф.ресурсов.
Под ресурсами понимается, я так понимаю, следующее (выдержки из документов):
1. ФЗ №99 "О лицензировании отдельных видов деятельности"
ст.21 Порядок формирования государственного информационного ресурса, формирования и ведения реестра лицензий, предоставления информации по вопросам лицензирования.
Лицензирующие органы формируют открытый и общедоступный государственный информационный ресурс, содержащий сведения из реестра лицензий, из положений о лицензировании конкретных видов деятельности, технических регламентов и иных нормативных правовых актов Российской Федерации...

2. Приказ Минфина РФ от 25.10.2007 N 94н "Об утверждении Административного регламента исполнения Федеральной налоговой службой государственной функции по ведению в установленном порядке реестра лицензий на осуществление деятельности по изготовлению защищенной от подделок полиграфической продукции, в том числе бланков ценных бумаг, а также торговли указанной продукцией"
ст.5 Исполнение государственной функции включает в себя следующие административные действия (процедуры):
включение сведений в Реестр;
опубликование Реестра на открытом и общедоступном государственном информационном ресурсе;
предоставление в установленном порядке информации из Реестра.

3. Приказ Минфина РФ от 25.10.2007 N 93н
"Об утверждении Административного регламента исполнения Федеральной налоговой службой государственной функции по ведению в установленном порядке единого государственного реестра лотерей, государственного реестра всероссийских лотерей"
п.4 Опубликование государственного реестра
всероссийских лотерей и единого государственного реестра
лотерей на открытом и общедоступном государственном
информационном ресурсе

4. "Водный кодекс Российской Федерации"
ст.6 Документированные сведения государственного водного реестра относятся к государственным информационным ресурсам. Документированные сведения государственного водного реестра носят открытый характер, за исключением информации, отнесенной законодательством Российской Федерации к категории ограниченного доступа.

5. ФЗ N 52 "О санитарно-эпидемиологическом благополучии населения"
ст.1. Федеральный государственный санитарно-эпидемиологический надзор включает в себя:
...
7) федеральное статистическое наблюдение в области обеспечения санитарно-эпидемиологического благополучия населения, ... а также формирование открытых и общедоступных государственных информационных ресурсов в области санитарно-эпидемиологического благополучия населения.

6. Закон РФ N 3266-1 "Об образовании"
ст.8. В соответствии с международными договорами Российской Федерации и законодательством Российской Федерации национальный информационный центр:
...
2) осуществляет формирование и ведение общедоступных государственных информационных ресурсов, предоставляющих бесплатно информацию и содержащих:
описания установленных в Российской Федерации уровней образования (образовательных цензов), направлений подготовки (специальностей), а также присваиваемых квалификаций (степеней);
описания выдаваемых в Российской Федерации документов государственного образца об уровне образования и (или) квалификации и образцы таких документов;
сведения о международных договорах Российской Федерации по вопросам взаимного признания и установления эквивалентности документов иностранных государств об уровне образования и (или) квалификации на территории Российской Федерации, включая перечень признаваемых документов иностранных государств об уровне образования и (или) квалификации на территории Российской Федерации и образцы таких документов;
установленный в соответствии с пунктом 2 настоящей статьи перечень иностранных образовательных организаций, которые выдают признаваемые на территории Российской Федерации документы иностранных государств об уровне образования и (или) квалификации.

7. ФЗ N 184 "О техническом регулировании"
Статья 44. Федеральный информационный фонд технических регламентов и стандартов
Федеральный информационный фонд технических регламентов и стандартов является государственным информационным ресурсом.

8. Федеральный закон от 06.12.2011 N 402-ФЗ
"О бухгалтерском учете"
Статья 18. Обязательный экземпляр бухгалтерской (финансовой) отчетности
3. Обязательные экземпляры бухгалтерской (финансовой) отчетности составляют государственный информационный ресурс. Заинтересованным лицам обеспечивается доступ к указанному государственному информационному ресурсу, за исключением случаев, когда в интересах сохранения государственной тайны такой доступ должен быть ограничен.

9. Закон г. Москвы от 09.12.1998 N 29 (ред. от 06.06.2007) "О торговой деятельности в городе Москве"
ст.7 Государственные информационные ресурсы города Москвы в сфере торговой деятельности
В целях получения полной и достоверной информации о субъектах и объектах торговой деяте