Закон о ПД НЕ РАБОТАЕТ - Форум по вопросам информационной безопасности

у меня вопрос скорее к malotavr
наша компания решили не заморачиватся и сделать все чужими руками, разбили на два этапа, первый обследование(какие системы , у кого какая системам итп), второй сама процедура защиты, провели обследование рынка разослали запросы получили ответы с ценами(можно юмореску писать кто на сколько себя оценил)
выбрали фирму и она прислала девочек(вчерашние студентки)

ну и собственно вопрос,
на что стоит обратить особе внимание при принимании первого этапа работ,
или другими словами какие ошибки потом будет очень трудно исправить

Ну вы спросили :)

Обратите внимание на две вещи:
1. Какими методиками они будут рукговодствоваться при проведении обследования
2. На полноту обследования.

По методикам - к началу обследования (если они делають его не первый раз в жизни), у них должны быть достаточно подробные опросники, по которым будет производитья интервьюирование. Желательно, чтобы на всех интервью присутствовал ваш специалист. Критерий оценки полноты очень простой - по итогам обследования аудиторы должны знать об обследуемых системах, как минимум столько же, сколько знает ваш специалист.

Ничего более серьезного посоветовать не могу - задача плохо формализуется :)

На дворе весна (правда в наших краях ещё пока снег идёт), а он про методику и полноту обследования...
На девочек-студенток надо обратить внимание! На девочек!

Вообщем понятно, спорол чушь)))))))))))))))
как я написаль прислали студенток, а отсюда и выводы хотя они и говорят что они уже не первую контору,околпачивают, но это неговорит о качестве т.к. за одного битого.............. а их походу еще "небили",...........
а знать больше или также както мне непредставляется.................
спасибо большое за ответ
с уважением

Чтобы провести хороший аудит необходимо много времени и достаточное количество персонала (не оди, два, три аудитора). Как правило на персонале и экономят, а ещё и квалификация хромает. Главное заключить договор, получить аванс, а остальное пробиваемо - поверьте. Я вообще один аудит провожу, документы готовлю и т.д.. Пробивать получается, иногда с трудностями но итог один - деньги у нас. Пока ничего плохого про себя не слыхал - Все довольны более менее, но я понимаю, что косяков много, все аспекты качественно не охватить (времени мало и знаний, а последние на практике приходится набирать по ходу, хоть и учился и стаж в норме). Конечно, аудит со стороны необходим в какойто степени и пользу может принести, но...

2 Гость
Когда несколько аудиторов работают в связке это называется дельфийский метод.
Об чем спич когда у нас пытаются использовать криптографию не имея в штате обученного персонала а по ЗАКОНУ 152 - вообще идиотизм, когда вновь введен новый предмет деятельности но не обозначено откуда брать штат, как его тарифицировать и даже в гос бюджете не предусмотрено финансирование, а в справке по финансовому обоснованию закона -
Дополнительного финансирования НЕ ПОТРЕБУЕТСЯ!
Все привыкли ругать социализм (путая его с фантазийным КОММУНИЗМОМ)- но это отрыжка бюрокретнизма была при социализма невозможна!
Даже сталин говорил - ЛЮДИ решают все!
И ни одна зараза не была привлечена к ответу!
Привыкли уроды к эксплуатации человека без адекватной оплаты!

Меня пока что вот это впечатлило:
"общедоступные персональные данные – персональные данные, распространение которых осуществляется субъектом персональных данных или с его согласия, либо персональные данные на которые в соответствии с федеральными законами не распространяется требование о соблюдения конфиденциальности, или подлежащие обязательному опубликованию"
т.е. если завела я в магазине дисконтную карту и сама свои сведения сообщила, то они уже общедоступные? защите не подлежат?
брррр вообще страшно получается...

Я почему на 5-ю часть статьи 19 обратил внимание ("При обработке персональных данных на основе согласия перечень мер по обеспечению безопасности персональных данных при их обработке определяется соглашением оператора и субъекта персональных данных") - оператор пишет в договоре с субъектом ПДн, что тот согласен с принятым в организации перечнем мер по обеспечению безопасности и всё. Меры - собака у компа. Субъект полюбому согласится, да и читать не будет, что подписывает.

Вообще-то многие такие "интересные" моменты не прошли во второе чтение(особенно про определение методов и способов защиты ПДн в соглашении между оператором и субъектом)