Руководство по защите информации - Форум по вопросам информационной безопасности

…Сложно ответить на вопрос ответ на который для себя вы уже получили…
Ответ что требований определенных «Советом Министров – Правительством Российской Федерации» в части защиты информации и которые соответствуют требованиям закона «О государственной тайне» нет, или может они есть но настолько засекречены что их никто не знает? А может все обсуждение сводится к простому – если регулятор проверяет и требует то это истина в последней инстанции? Если все вышеизложенное правильно, то к чему все обсуждения на форуме – все тайна и это хорошо! В свое время Юнг сказал замечательную ФРАЗУ – свою глупость мы прячем под грифом «секретно»!

По поводу руководства по защите информации? Руководства по защите информации выполненное в рамках обсуждаемого постановления должно соответствовать требованиям определенным «Советом Министров – Правительством Российской Федерации» в части защиты информации. А если их нет – исполни то не знаю что ….

http://ru.wikipedia.org/wiki/Совет_министров_РСФСР
http://ru.wikipedia.org/wiki/Первое_правительство_Черномырдина

Огромное спасибо за исторический экскурс!
Добавлю от себя:
Вре́менное прави́тельство http://ru.wikipedia.org/wiki
Сове́т наро́дных комисса́ров РСФСР (Совнарком РСФСР, СНК РСФСР) см: там же
Совет Министров РСФСР (Совмин РСФСР) см: там же

Только вопрос остался без ответа, повторю - Какие требования, формализованные в виде нормативных актов и принятые «Советом Министров – Правительством Российской Федерации» в части защиты информации соответствуют требованиям закона «О государственной тайне» и соответственно какие из них должны быть положены в основу написания руководства по защите информации?

Поднятая тема действительно интересна. С одной стороны: «допуск предприятий, учреждений и организаций к проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны, осуществляется путем получения ими в порядке, устанавливаемом Правительством Российской Федерации, лицензий на проведение работ со сведениями соответствующей степени секретности» При этом «лицензия на проведение работ с использованием сведений, составляющих государственную тайну, выдается предприятию, учреждению, организации при выполнении ими следующих условий:
выполнение требований нормативных документов, утверждаемых Правительством Российской Федерации, по обеспечению защиты сведений, составляющих государственную тайну, в процессе выполнения работ, связанных с использованием указанных сведений;
наличие в их структуре подразделений по защите государственной тайны и специально подготовленных сотрудников для работы по защите информации, количество и уровень квалификации которых достаточны для обеспечения защиты государственной тайны;
наличие у них сертифицированных средств защиты информации».
Как видим из норм закона «О государственной тайне» речь идет исключительно о требованиях «нормативных документов, утверждаемых Правительством Российской Федерации, по обеспечению защиты сведений, составляющих государственную тайну».
Если верить размещенному тексту СПС КонсультантПлюс: Постановления Совета Министров — Правительства РФ от 15.09.1993 № 912-51 «Об утверждении Положения о государственной системе защиты информации в Российской Федерации от иностранных технических разведок и от ее утечки по техническим каналам», то защита информации осуществляется путем проведения специальных работ, порядок организации и выполнения которых определяется Советом министров Правительством Российской Федерации.
Результат сравнение двух текстов должен привести к коллизии – закон принят 21.07.1993, а обсуждаемое постановление 15.09.1993. т.е позже и с другим регулятором. Для решения поставленной задачи следует обратится к Постановлению ВС РФ от 21.07.1993 N 5486-1 «О порядке введения в действие Закона Российской Федерации "О государственной тайне"» установившему, что норма о допуске предприятий, к проведению работ, связанных с использованием сведений, составляющих государственную тайну, осуществляется путем получения ими в порядке, устанавливаемом Правительством Российской Федерации лицензий на проведение работ со сведениями соответствующей степени секретности вводится «не позднее 1 января 1995 года» при этом Президенту Российской Федерации предлагается:
до 1 октября 1993 года возложить функции по координации мероприятий в области защиты государственной тайны на соответствующую межведомственную комиссию;
до 1 ноября 1993 года утвердить Перечень должностных лиц, наделяемых полномочиями по отнесению сведений к государственной тайне;
до 1 января 1994 года представить в Верховный Совет Российской Федерации проект государственной программы обеспечения защиты государственной тайны в Российской Федерации на 1994 - 1995 годы, в которой предусмотреть меры по правовому и организационному обеспечению механизма реализации указанного Закона.
Кроме этого если строго следовать норме Постановления Совета Министров — Правительства РФ от 15.09.1993 № 912-51 то в скором времени можно ожидать проверок в части обеспечения защиты информации ограниченного доступа и со стороны Министерства внутренних дел Российской Федерации. А почему бы и нет если «Контроль организуется Государственной технической комиссией при Президенте Российской Федерации, Министерством безопасности Российской Федерации, Министерством внутренних дел Российской Федерации, Министерством обороны Российской Федерации, Службой внешней разведки Российской Федерации и Федеральным агентством правительственной связи и информации при Президенте Российской Федерации, структурными и межотраслевыми подразделениями органов государственной власти, входящими в государственную систему защиты информации, и предприятиями в соответствии с их компетенцией».
Особо остановлюсь на норме 912-51 установившей, что «требования по защите информации в системах и средствах информатизации и связи определяются заказчиками совместно с разработчиками на стадии подготовки и согласования решений Совета Министров Правительства Российской Федерации, приказов и директив, планов и программ работ, технических и тактико-технических заданий на проведение исследований, разработку (модернизацию), испытания, производство и эксплуатацию…»
И таких тонкостей очень много их просто не замечают, или делают вид что не замечают. Такое положение всегда возникает когда реанимируют нормативный акт без внесения в него соответствующих изменений.

Большая просьба – не извлекайте нормативных актов изданных при Иване Грозном не взирая на их секретность.

По тезису «sekira»: Государство в лице ФСТЭК для своей (не вашей) информации (ГТ) сказало делай так, неуверены в правоте ФСТЭК пишите узнавайте у других компетентных органов ответственных за защиту ГТ.
Ответ «sekira» от ФСТЭК получил бы в следующей форме «Одновременно сообщаем, что ФСТЭК России не наделена полномочиями по разъяснению ….. принятых Советом Министров-Правительством РФ.». Т.е разъяснения дает только тот кто принял нормативный акт - Т.е Совет Министров.
Полная версия в части защиты персональных данных выглядит в следующем виде: «Одновременно сообщаем, что ФСТЭК России не наделена полномочиями по разъяснению Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, в том числе в части определения типов угроз персональных данных и порядка определения уровней защищенности персональных данных».
Для того чтобы понять и ответить на вопрос о возможности обращения в Совет Министров-Правительство РФ необходимо проанализировать систему государственного устройства в рамках Конституции Российской Федерации принятой всенародным голосованием 12.12.1993 и Конституции (Основного Закона) Российской Федерации – России принятой ВС РСФСР 12.04.1978. На обсуждаемый период Высшим органом государственной власти Российской Федерации являлся Съезд народных депутатов Российской Федерации. И как следствие Верховный Совет Российской Федерации был органом Съезда народных депутатов Российской Федерации как постоянно действующий законодательный, распорядительный и контрольный орган государственной власти Российской Федерации. Совет Министров - Правительство Российской Федерации - орган исполнительной власти, подотчетный Съезду народных депутатов Российской Федерации, Верховному Совету Российской Федерации и Президенту Российской Федерации.
День всенародного голосования 12 декабря 1993 г. считается днем принятия Конституции Российской Федерации. Одновременно прекращается действие Конституции (Основного Закона) Российской Федерации - России, принятой 12 апреля 1978 года, Даты сохранил специально. Поэтому надо уважительно относится к мнению коллег даже если они на первый взгляд кажутся абсурдными.

"Ответ «sekira» от ФСТЭК получил бы в следующей форме"
Основной вопрос был делать или не делать руководство? Не о юридической значимости 912-51! Так что думаю Центральный ФСТЭК бы сказал делать и сослался бы на свои документы связанные с этим вопросом.

"Поэтому надо уважительно относится к мнению коллег"
Всегда уважительно!
Просто убивает позиция... законы неправильные делать не буду.
Коммисия при проверке написала - нужно сделать. Не нравится мнение коммисии обжалуйте в вышестоящем органе, но не говорите законы неправильные делать не буду.

Тезис «Центральный ФСТЭК бы сказал делать и сослался бы на свои документы связанные с этим вопросом» в части исполнения может оказаться спорным. Поясню почему.
Постановление Правительства РФ от 13.08.1997 N 1009 (ред. от 27.03.2013) "Об утверждении Правил подготовки нормативных правовых актов федеральных органов исполнительной власти и их государственной регистрации" установило, что «государственной регистрации подлежат нормативные правовые акты, затрагивающие права, свободы и обязанности человека и гражданина, устанавливающие правовой статус организаций, имеющие межведомственный характер, независимо от срока их действия, в том числе акты, содержащие сведения, составляющие государственную тайну, или сведения конфиденциального характера. Государственная регистрация нормативных правовых актов осуществляется Министерством юстиции Российской Федерации, которое ведет Государственный реестр нормативных правовых актов федеральных органов исполнительной власти». И как следствие «Федеральные органы исполнительной власти направляют для исполнения нормативные правовые акты, подлежащие государственной регистрации, только после их регистрации и официального опубликования. При нарушении указанных требований нормативные правовые акты, как не вступившие в силу, применяться не могут». Если мне не изменяет память приказы ФСТЭК России регулирующие обсуждаемые нормы не прошли государственную регистрацию т.е изданы в нарушении постановления правительства №1009 и как следствие «не вступившие в силу, применяться не могут». Если я не прав, поправьте меня, назвав регистрационный номер.
Кроме этого маленькая просьба внимательно прочитайте требования к классификации объектов в рамках Постановления Совета Министров — Правительства РФ от 15.09.1993 № 912-51 с учетом требований Постановление Правительства РФ от 13.06.2012 N 581
"О лицензировании разработки, производства, испытания, установки, монтажа, технического обслуживания, ремонта, утилизации и реализации вооружения и военной техники"…Думая много интересного можно будет узнать, особенно в части разделения "функций" «противодействие техническим разведкам» И «технической защиты информации». Как показывает практика, часто эти две «функции» часто подменяются или попросту путаются.

PS На вопрос - почему так? Ответ дал Д.А. Медведев: «Россия - страна правового нигилизма, таким уровнем пренебрежения к праву не может похвастаться ни одна европейская страна».