Руководство по защите информации - Форум по вопросам информационной безопасности

"приказы ФСТЭК России регулирующие обсуждаемые нормы "
О каких приказах речь?

Ваш тезис -"Центральный ФСТЭК бы сказал делать и сослался бы на свои документы связанные с этим вопросом"

Здравствуйте
подскажите пожалуйста какой необходимо составить пакет документов регламентирующий порядок создания и деятельности конфиденциального делопроизводства - See more at: http://www.itsec.ru/forum.php?sub=7514&from=10#sthash.dYqRKlTI.dpuf

"какой необходимо составить пакет документов регламентирующий порядок создания и деятельности конфиденциального делопроизводства"

Смотря для защиты какой информации собрались делать КИ делопроизводство.

Секира, неужели Вы считаете, что для каждого вида информации необходимого "городить" индивидуальное конфиденциальное делопроизводство? Это же как людям должно быть нечего делать, чтобы...

Для protecor | 50564:
Ответ: необходимый комплект определяете Вы самостоятельно. Лучше исходить из принципа необходимости, т.е. там где Вам необходимо навести единый порядок. Помните, если сильно переборщить с "зарегулированием" делопроизводства, сами мучиться будите и винить в бедах своих будите человека, которого видите в зеркале. Ну, если Вы являетесь подведомственной организацией, то по этому поводу Вам сверху могли быть "спущены" соответствующие указания.

"Секира, неужели Вы считаете, что для каждого вида информации необходимого "городить" "

Вопрос не об этом был. Хотя иногда делопроизводство может быть и разным. Вопрос о необходимости такого делопроизводства и требованиях к конкретной КИ. Для разных КИ свои требования в соответствии с НМД или чисто свои требования если речь о КТ.

"необходимый комплект определяете Вы самостоятельно"

...с учетом необходимых требований со стороны государства или собственника информации.

> Вопрос не об этом был.
Да ладно?! Как раз именно об этом (см. пост 50564). Вопрос задан простой и ёмкий, в котором даже нет намёка о поиске необходимости, целесообразности и т.п.

> Для разных КИ свои требования в соответствии с НМД или чисто свои требования если речь о КТ.
Прости, Секира, но сие умозаключение для меня вообще не понятно. Как отделить "чисто" от "разных"? Видимо я всё ещё ограничен в своих способностях...

> ...с учетом необходимых требований со стороны государства или собственника информации.
+1. Нет, даже +10! Так "тонко" суметь показать, что в нашем демократическом государстве собственник псевдосвободен от этого самого государства. Слов нет, просто молодец!

"Да ладно?!"
Да ладно я же уточнил что имел ввиду!

"Как отделить "чисто" от "разных"? Видимо я всё ещё ограничен в своих способностях"
Немнго умозрительной конкретики. Например есть ПДн размазанная по всей организации (несколько машин сеть и.д.) соответственно свои требования + требования НМД и ФЗ увязанные с делопроизводством организации. И предположим в этой же организации есть коммерческая тайна сосредоточенная только на одной автономной ПЭВМ (например у руководства) куда практически никто не допущен. Круг лиц допущенных и обслуживающих разный требования разные техпроцесс разный СЗИ разные документация разная по КИ и СЗИ расположение разное = конфиденциальное делопроизводство разное!

"собственник псевдосвободен от этого самого государства"
к сожалению вынужден согласиться :(

Всё что Вы перечислили о машинах с разной информацией и, опять же, разным допуском к ней, на практике объединяют под одно конфиденциальное делопроизводство. Пишут общие регламенты по учёту носителей, документов, ограничения допуска и т.п. И потом открывают "участки", назначают ответственных лиц, обязывают их придерживаться утверждённых общих регламентов и работают. Всё равно на каждом "участке" есть свои дополнительные требования от государства, которые определяют особенности к работе с определёнными документами или их оформлению. Эти требования не влияют на регулируемые внутри организации регламенты по порядку учёта носителей, документов и порядку ограничения и ним. Если для каждого "участка" в организации будут "городить огород" собственного уникального конфиденциального делопроизводства, то это больше похоже на паранойю или явно указывает на отсутствие у таких людей работы. На практике проблема не в том, чтобы "зарегулировать" какое-нибудь делопроизводство, а в том, чтобы это "отрегулированное" делопроизводство работало и работало эффективно (при постоянных текучках кадров, периодическом отсутствии нужного исполнителя и т.д.), а также было контролируемо.
Посему повторюсь: это же как людям должно быть нечего делать, чтобы...

"на практике объединяют под одно конфиденциальное делопроизводство"
да обычно бывает так но это не значит что так и только так должно быть, все решает специфика. А так разговор немного не туда. Вопрос в реализации своих и чужих (в том числе государства) требований к ИБ в организации (организационной ее части).