ФСТЭК отреклись от “Четверокнижия””? - Форум по вопросам информационной безопасности

Согласен

Есть мнение, что регулятор считает, что это технический документ и регистрации в Минюсте не подлежит;
Для доказывания своей точки зрения на правовой статус данного документа нужно обращаться в суд;
На практике при проведении аттестации автоматизированных систем как аттестаторы, так и проверяющие органы следуют рекомендациям этого документа;

Ответ юриста.
-------------------------------------------
Не ищи недочетов у вышестоящих органов, это чревато. "Правовые" документы, то есть содержащие в себе обязательные для исполнения неограниченным кругом лиц нормы права, обязательно должны быть зарегистрированы минюстом. СТР-К же документ по названию не "правовой", а методический. То есть он не содержит правовых норм, а посвящен методике, которая обязтельна для нижестоящих органов госвласти. Можно провести правовую экспертизу документа, выявить там нормы права, обратиться в Верховный суд и обжаловать его действительность. Есть желание?

"Можно провести правовую экспертизу документа, выявить там нормы права, обратиться в Верховный суд и обжаловать его действительность. Есть желание?"

Одно из двух:
- либо человек поленился вникнуть в тему
- либо вы некорректно сформулировали вопрос.

Мы обсуждаем вопрос о том, является ли невыполнение требований СТР-К предметом государственого надзора (т.е., могут ли за это наказать). Ответ на этот вопрос однозначен: предметом государственного надзора является (294-ФЗ) "нарушение требований, установленных настоящим Федеральным законом, другими федеральными законами и принимаемыми в соответствии с ними иными НОРМАТИВНЫМИ ПРАВОВЫМИ АКТАМИ Российской Федерации"

Если СТР-К является нормативным актом, то он должен ступить в силу как нормативный акт федерального органа исполнительной власти.

Если СТР-К не является нормативным актом, то само по себе нарушение его требований не является предметом государственного надзора. Хочется понадзирать - примите соответствующий нормативный правовой акт, который на основании части 5 статьи 16 ФЗ-149 установит, что отныне требования СТР-К являются обязательными для государственных информационных систем. Тогда невыполнение требований СТР-К станет нарушением этого нормативного правового акта, а значит - и предметом государственного надзора.

В любом случае, оспаривать СТР-К не требуется. Оспаривать нужно ненормативный акт - акт проверки. Если проверяющий имеет глупость сослаться на СТР-К, это будет нарушением установленого ФЗ-294 порядка проведения государственного надзора:
- либо будет нарушен принцип открытости нормативных актов, на соответствие которым проводится проверка (если проверяющий считает СТР-К нормативным актом);
- либо действия проверяющего выйдут за установленные этим законом рамки государственного надзора (если проверяющий считает СИТ-К всего лишь методическим документом, и тем не менее проводит по нему проверку, не имея на то законных оснований).

В любом случае:
- крайним будет проверяющий;
- результаты проверки оспариваются в суде общей юрисдикции.

malotavr, тоже самое и с КСИИ?

буквально сейчас общался с Новосибирским ФСТЭК. мнение такое: Аттестация не нужна. Сертификация нужна. Лицензирование для работ в своих интересах скоро отменят.

malotavr, писал:

Не кажется. Я не вижу смысла в покупке каких-то дополнительных (сертифицированные они или нет) средств защиты, если все необходимые меры защиты обеспечиваются штатными функциями безопасности моей системы.

Полностью с Вами согласен, вот только как у кота в мультике "Каникулы в Простоквашино" у меня "Усы, лапы и хвост! Вот мои документы! ".

Прошу Вас помочь с доказательной базой, все сразу упирается в сертифицированные СЗИ, а если в ОС выполняет, то в слова "сертифицируйте" ОС раз она реализует функции защиты.

Предлагаю обсудить это в более приватной обстановке. У меня есть одноименный почтовый ящик на Gmail - пишите.

> malotavr, тоже самое и с КСИИ?

Насколько я понимаю, для КСИИ это еще более актуально. Полагаю, что перечень КСИИ и методические документы по КСИИ будут утверждены документом, аналогичным 58-му приказу.

malotavr, организацию уже отнесли к КСИИ, всунули четырехкнижье по КСИИ, приказали исполнять. А получается никто (на законных основаниях) пока не может требовать исполнения этого четырехкнижья при проверке, ибо должен быть федеральный закон?