Согласование ЧМУ и Техпроекта со ФСТЭК - Форум по вопросам информационной безопасности

Добрый день, коллеги.

Может кто объяснить на практике, какова обязательность и в каких случаях согласовать частную модель угроз и техпроект для ГИС/МИС со ФСТЭК?

Согласовывать нужно МУ (ЧМУ) и техзадание (не техпроект!) на ГИС со ФСТЭК и ФСБ.
Обязанность согласования установлена Постановлением 676 (2015 г).

Обязанности согласовывать МУ и ТЗ на МИС нет.

to WORM.

Спасибо.

А как насчет сегмента ГИС?

И разве гис/мис не одно и тоже?

А также, согласовывается на любую ГИС (как 100, так и 1 арм)?

>- А как насчет сегмента ГИС?

Про сегмент не сказано. Если сегмент будет аттестоваться отдельно и эксплуатироваться отдельным юрлицом, то, возможно, надо (если нет МУ на всю ГИС, включая ее сегменты).

>- И разве гис/мис не одно и тоже?
По закону нет. Но регуляторы иногда путают.

>- А также, согласовывается на любую ГИС (как 100, так и 1 арм)?
Если система юридически является ГИС (включена в реестр), то неважно, сколько в ней арм.

to all
Вот тут нюанс - возможно, не в курсе изменений, но то, что видел в ПП РФ 676 с изменениями касается только ГИС, создаваемых по инициатива ФОИВ и ОИВ или их подведов. И там да, МУ и СТЗ согласуются с ФСБ (только 8 Центр) и ФСТЭК (федералка с ЦА, регионалка и объектовка с региональными Управлениями)...
Для остальных случаев, включая ситуацию, при которой требования ГИС применяются к ИС, де юре ГИС не являющейся (например, КОНФИ-АС, в которую не хотят тащить устаревшие РД и СТР-К), обязаловки нет - только рекомендательный характер...

to WORM
И да, есть п. 4 ст. 13 149-ФЗ про равнозначность по умолчанию требований к ГИС для МИС (включая п. 6 ст. 14, который ведет к упомянутому ПП РФ 676). Исключения допускаются на уровне постановлений органов местного самоуправления, под эгидой которых создается МИС. То ли дело, что "федеральные МИС" - это нонсенс, так что требования ПП РФ 676 на любые МИС по умолчанию распространяться не могут...