Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

Господа, подскажите пожалуйста! Когда 4 документа (Методички) ФСТЕК будут в открытом доступе?
Вроде был такой разговор?
Или же если кому не жалко, слезно прошу (УМОЛЯЮ) переслать их мне (ilka88(собачка)bk.ru)!!!
Ну очень они нужны!

2Илья -
см. выше этот раздел стр. 12-13

В приказе трех говорится о классификации типовой ИСПДн, т.е. системе, в которой требуется обеспечить конфиденциальность ПДн. О том как нужно классифицировать специальные ИСПДн разговоров, в том числе и на форуме, было много, но точного (официального) ответа никто не дал и четких методик не существует.
Ну а у меня вопрос (в свое время про коллизии нашего законодательства тоже говорили). А вообще, могут ли вообще существовать типовые ИСПДн (с точки зрения законодательства)? Законы и постановления правительства гораздо выше по значимости чем тот же приказ трех.
В законе о ПДн четко написано:
Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
1. Оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.
В Постановлении правительства о защите ПДн есть аналогичная фраза.
Не нарушают ли закон те операторы, которые классифицировали свои ИСПДн как типовые и соответственно применили защиту только от НСД?

Для предоставления услуг по технической защите конфиденциальной информации необходимо получение лицензии.
Соответственно и для защиты персональных данных ИСПДн любого класса требуется получение лицензии на ТЗКИ, так как ПДн относится к информации конфиденциального характера.
При отсутствии лицензии, оператор персональных данных может заключать договор с лицензиатом ФСТЭК для выполнения работ по защите персональных данных в ИСПДн, при этом получение лицензии по ТЗКИ оператором носит добровольный характер.

"Для предоставления услуг по технической защите конфиденциальной информации необходимо получение лицензии."

Верно.

"Соответственно и для защиты персональных данных ИСПДн любого класса требуется получение лицензии на ТЗКИ"

Может быть, потрудитесь объяснить, каким волшебным образом защита персональных данных превратилась оказанием услуг?

Защита ПД - это безусловная обязанность оператора, услуга - это обязанность, возникшая в результате добровольно заключенной сделки. Это разные понятия, и не надо мешать их в одну кучу.

"Для предоставления услуг по технической защите конфиденциальной информации необходимо получение лицензии."

Верно.

"Соответственно и для защиты персональных данных ИСПДн любого класса требуется получение лицензии на ТЗКИ"

Может быть, потрудитесь объяснить, каким волшебным образом защита персональных данных превратилась в оказание услуг?

Защита ПД - это безусловная обязанность оператора, услуга - это обязанность, возникшая в результате добровольно заключенной сделки. Это разные понятия, и не надо мешать их в одну кучу.

malotavr, вы как всегда убедительно и грамотно рассуждаете. Да только ФСТЭК открыто устно заявляет, что даже при аутсорсинге оператору ИСПДн необходима лицензия по ТЗКИ, даже бюджетному госоргану. Выяснять бесполезно - мы написали письмо по этому вопросу - надо или нет и почему - в ФСТЭК России. Пока не ответили.

Сергей, только это для К1,К2...

> Сергей, только это для К1,К2.

Верно :)

Я бы промолчал, если бы js имел в виду только К1 и К2 и ссылался бы только на четырехкнижие.

Но ссылаться на положение о лицензировании и говорить, что лицензия нужна всем поголовно - это перебор :)

куда без дураков, значит ФСТЭК будет выдавать лицензии с ограничениями (только на обработк/обслуживание) или новую лицензию на обработку ПДн К1 и К2 с другими требованиями к соискателю лицензии.