Самостоятельное создание системы защиты ПДн - Форум по вопросам информационной безопасности

Никого не путаю, был вопрос откуда информация по 2 класс для МЭ появляется, я прокомментировал.
И говорю о том, что есть четко прописанная рекомендация, ей и следует руководствоваться, не более того.

malotavr,
поставит только лицензиат и дергаться он не будет. Т.к. все спорные вопросы он обязан разъяснять с лицензирующим органом (ФСТЭК). Нам например лицензиат предъявил разрешительное письмо из ФСТЭК пользоваться старыми методиками ПЭМИН для замеров в ИСПДн.
И вообще спор о двусмыслии норм бесконечен. Надо писать письма в ФСТЭК. И придерживаться их ответа.
Есть практика, когда ФСТЭК до выхода каких-либо норм дает письменные ответы уже с учетом их требований

Не забывайте, что, если МЭ, скажем 4 класса, то он МОЖЕТ выполнять требований для ИСПДн 1 или 2 классов.
надо смотреть по конкретному МЭ.
некоторые производители специально не повышают класс в связи с продвижением новой и более дорогой продукции по высокому классу МЭ.
Надо сопоставлять требования и возможности по каждой конкретной ИСПДн и каждому конкретному МЭ.

У меня вот какой вопрос. У всех, скорее всего, бухгалтерия в пенсионку и налоговую передает отчетность, при чем в пенсионку именно персональные данные и именно посредством СКЗИ.
это что ж получается всем нужна и модель угроз ФСБ?
Или как-то обойти возможно этот момент.
уже столько мыслей перпуталось друг с другом, что ппц)

Информация о том, на какой класс сертифицирован МЭ, есть в реестре на сайте ФСТЭК. А как узнать, на выполнение каких требований он сертифицирован?
Насколько я успела понять, если МЭ сертифицируется, например, на 3 класс, то проверяются только функции, соответствующие 3 классу, а остальные не проверяются, верно? Тогда если нам надо выполнить некое требование из 2 класса, то придется покупать МЭ 2 класса, тк. в нем эти требования были проверены и сертифицированы. Это как я поняла. Я права?
В реестре видела отдельные экземпляры, у которых написано что-то вроде "МЭ 4 класс, подходит для защиты ИСПДн 2 класса". Насколько я поняла, именно такой вариант нам и нужен. Проблема в том, что делать, если этой приписочки нет...

ММ,
Если вы не организовали распределенную ИСПДн с пенсионкой и налоговой и защищаете собственную ИСПДн по ФСТЭКу, то модель угроз по ФСБ не нужна, т.к. вы просто используете передачу КИ по открытым каналам (обязательно с пом. криптосредств) из собственной ИСПДн.
Кошка,
Никто вам по сути не ответит, т.к. с одной стороны в методичках ФСТЭК четко определено соответствие класса защищенности МЭ конкретному классу ИСПДн, а с другой в требованиях к подсистемам ИСПДн в этих методичках упомянуты критерии МЭ 2 класса защищенности, причем начиная с К3. Противоречие.
В соотв. с РД "СВТ. МЭ. Защита от НСД...." определенный класс включает конечный перечень необходимых показателей включенных в каждый класс и требовать "не ниже 3 класса защищенности..." + "дополнительно возможность сокрытия субъектов..." по меньшей мере не логично. Один выход - писать во ФСТЭК, либо как я уже говорил положиться на решение лицензиата, который будет вам делать СЗИ и аттестует ее, тогда все проблемы будут на его плечах, но он то знает что делает

to Кошка
Если имеете сертификат по классификации МЭ (и в данном классе содержатся все необходимые вам функции) - можете смело использовать, даже без приписко по ИСПДн...
Если в таком МЭ на практике окажутся реализованы не все требования - то это уже проблема производителя - можете смело требовать от него устранения данного замечания (и вас не должно волновать каким образом он это будет делать...).

11 ноября на Фирме "АНКАД" семинар по ПД, участие бесплатное, регистрация на сайте фирмы.

Хотим на предприятии сделать единое согласие на обработку ПДн сотрудников. Это допустимо? В законе ограничений не нашла.

Ой, простите, я имела в виду - единое согласие на несколько ИСПДн. И если нельзя, то дайте, пожалуйста, ссылку на документ, который это запрещает. (я имею в виду название документа и пункт, в котором это написано)