Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

Прошу прощения, не могли бы вы помочь небольшим советом:
Работаю в клинике. Долго думал-решал как же классифицировать ИСПДн: как К1 или же "Специальная". Остановился на 2ом варианте... по крайней мере пока.
Теперь принимаюсь за создание модели угроз и хотел поинтересоваться таким моментом: как должна выглядеть эта модель? Это документ на 1-2 страницы, либо же детальное описание всех актуальных угроз? Может таковой документ и обязателен даже или может быть написан на смятом листке бумаги в виде 5-6 строчек. Каковы вообще требования регуляторов к документам по ПДн в организации?
заранее благодарен

n4k,
закажите документы ФСТЭК по защите ПДн. В том числе есть базовая модель угроз.

n4k, В любом случае Вы будете аттестовываться у лицензиата ФСТЭК, писать тех задание на защиту информации и аттестацию по выбранному классу. Рекомендую в техзадание включить пункт: "... исполнитель также изготавливает полный пакет документации на ИСПДн (инструкции, приказы, модели, обоснования и др.) в соответствии с требованиями действующего законодательства." Лицензиат предоставляет такие услуги. Мы уже несколько раз так аттестовывались. А если Ваша модель угроз чего-то не предусмотрит, лицензиат может и не аттестовать Ваш объект

Господа! Кто нибудь решил вопрос о классификации специальых ИСПДн?

не господам и не эх-спертам достаточнА
спициальных систем.

не господам и не эх-спертам достаточнА
спициальных систем.

- речь только о криптозащите.
- тема интернет-магазинов давно отработана, понятна и оценена.

Василь, легко можно увидеть - я не в теме. Можно живых ссылок?

> Значит ли это, что интернет-ресурсы, размещенные на хостингах за пределами РФ, могут не морочиться?

Тут есть два момента.
1. Ваша ИСПД находится за пределами РФ, и деятельность самой ИСПД регулируется законами той страны, в которой она размещена. Так что на технические требования ФСБ и ФСТЭК можете не обращать внимания - они на нее не распространяются.
2. Оператором являетесь лично вы, поэтому я бы посоветовал внимательно почитать в ФЗ обязанности оператора. Их вам придется выполнить. Это касается, прежде всего, обязанности отвечать на запросы субъектов.

Для защиты персональных данных ИСПДн 1,2 и 3-распределенных классов ФСТЭК требует получение (наличие) лицензии на ТЗКИ. Однако для защиты ИСПДн 3 класса (не распределенной) и ниже тоже, согласно документам ФСТЭК, тоже требуется проведение технических мероприятий по защите ПДн.
Вопрос. Есть ли список (официальный) мероприятий по ТЗКИ, не требующий наличии лицензии. В постановлении правительства о лицензировании разграничения нет. Там все "ТЗКИ". Если списка нет и все мероприятия по ТЗКИ требуют наличие лицензии, то по каким соображениям ФСТЭК "разрешил" проведения мероприятий по защите для ряда ИСПДн без лицензии. Ведь ряд рекомендованных мероприятий одинаковые для ИСПДн требующих лицензии и не требующих.