Сертификация ПО на отсутствие НДВ - Форум по вопросам информационной безопасности

Ого! хм... мдааа....
А по какой версии будут смотреть проверяющие?

А может быть уже какой-нибудь добрый человек сделал сравнение самой первой редакции и самой последней ?:)
Наверняка есть такое сравнение, вот только кто б его показал....

Алексей, наврядли у кого-то есть на это время. Я случайно в споре на форуме выяснил и то убил целый день.
Кошка, официального сообщения об изменениях в редакциях не было (просто "...цитата близкая к тексту, меняющая смысл...") так что считай редакция одна - которая последняя.
sekira, есть письмо из центрального аппарата ФСТЭК про лицензирование. Смысл его такой: лицензии по ТЗКИ нужны всем даже органам исп. власти, но перечень органов исп. власти кому нужны/не нужны лицензии пока не определен. Единственный выход избежать лицензирования по ТЗКИ - заключение договора с лицензиатом на обработку ПД

Ну как всегда хотели как лучше а получилось ... и призновать что получилась ... не будем будем письма рассылать и только избраным :)))

"заключение договора с лицензиатом на обработку ПД" - это что еще за договор? на техническое сопровождение, на подготовку объекта, на аттестацию, или на то что лицензиат обрабатывает ПДн на своих объектах? Где четкие законные формулировки в хотябы нормотивных документах ? Или как обычно все по понятиям? А ведь речь идет о милиардах рублей в масштабе всей страны, я уж не говорю о штрафах!! А нам (лицензиатам) то что делать- постояно писать письма, заказчик так просто деньги давать не будет - говорит где обязательные требования?

И еще Cергей
"контроль на наличие НДВ в програмном и программно-аппаратном обеспечении и анализ защищенности системного и прикладного ПО" в ИСПДн

Вопрос открыт!?

sekira,
Про заключение договора с лицензиатом в письме приведена ссылка на п.10 ПП №781 от 17.11.07.
Реализация контроля на наличие НДВ в програмном и программно-аппаратном обеспечении и анализ защищенности системного и прикладного ПО" в ИСПДн - это тема нового письма.
Отвечают очень долго, неохотно, непонятно. И то пока повторно не написали, с политическим подтекстом - типа не даете выполнять требования ФЗ, не отвечали.

Продолжаем обсуждение нестыковок Ж))

Открываю пункт указанный вами.

"Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор или лицо, которому на основании договора оператор поручает обработку персональных данных (далее - уполномоченное лицо). Существенным условием договора является обязанность уполномоченного лица обеспечить конфиденциальность персональных данных и безопасность персональных данных при их обработке в информационной системе"

То есть оператор нам как лицензиату поручает обработку (подчеркиваю именно обработку) ПДн - что не намного лучший выход чем получения лицензии !!!

То есть остались при своем ! Каждому банку, каждой больнице, администрации городов и т.д НУЖНО получать лицензию ФСТЭК на ТЗКИ ! Пролицензироватся нужно по нашему опыту не менее 600 тысяч умножаем и что получаем ? Это тоже самое что если я использую огнетушитель и обеспечиваю пожарную безопасность у себя в конторе я должен получать соответствующюю лицензию МЧС по оказанию услуг самому себе по противопожарной безопасности !! Ну ни бред ?

На письма нам отвечают точно также!

В принципе законодат-во логично, но не совсем. Лицензия по определению в ФЗ "О лицензировании..." - подтверждение компетенции оператора при особо ответственных действиях (обработка ПД и пр.). которая может нанести вред субъектам. Требования к получению лицензии хороши в плане подготовленных специалистов и аттестованных АРМ, но вот наличие измерительного оборудования и помещений это уж для обработки черезчур.

Про измерительную аппаратуру - согласен, требование ненужное. А про помещение - не так очевидно. Какое-то ж помещение должно быть - нельзя АРМ или сервер в проходной, например, ставить, или в коридоре, где полно посторонних. Если потребовалась лицензия - значит, достаточно серьезные данные, значит, на первом этаже в комнатке с окном без сигнализации вряд ли годится

"В принципе законодат-во логично, но не совсем" - в законах небывает логично но несовсем потомучто как только появляются разночтения и додумки они трактуются как угодно и получается бардак !

Вопрос ребром ! Почему исходя из вашей логики предприятия обрабатывающие гостайну не должны получать такую же лицензию по ТЗИ на гостайну почему достаточно лицензии ФСБ?

Дело в том что непонятно совсем зачем оператором эта лицензия ! Ведь если ее они получат они сами могут выдавать аттестаты на свои ИСПДн!
На деле же получают ее единицы и то когда системы очень сложные разветленные - тогда да.
А так получается все равно все делаю лицензиаты и проблема в том в каком объеме и какие работы они должны делать для операторов, что бы те не получали лицензии! Нигде не написано.Все узнается только по звонкам и письмам! А операторов тысячи! И вот приходится заставлять их звонить и писать.
И ждать ответов. А 1 января не за горами.