tag:blogger.com,1999:blog-4065770693499115314.post3681205339863115841..comments2023-10-02T12:01:53.774+03:00Comments on Бизнес без опасности: Какие документы проверяет Роскомнадзор?Алексей Лукацкийhttp://www.blogger.com/profile/08434361034703403028noreply@blogger.comBlogger33125tag:blogger.com,1999:blog-4065770693499115314.post-58133171098813191692009-10-08T16:56:22.723+04:002009-10-08T16:56:22.723+04:00А как же акт классификации ИСПДн?А как же акт классификации ИСПДн?Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-89180405424038078232009-04-20T11:29:00.000+04:002009-04-20T11:29:00.000+04:00Анонимному:Трактовать можно как угодно, но именно ...<B>Анонимному:</B>Трактовать можно как угодно, но именно ФСТЭК является уполномоченным органом по экспортному контролю и его предписание имеет определенную силу. Дальше все зависит, конечно, от трактовок.<br /><br />Ну а по поводу "авось пронесет" я согласен на все 100%. Руки до проверки лицензиатов не всегда доходят, а уж до тех, кто в тени...Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-66575509486832174332009-04-20T08:07:00.000+04:002009-04-20T08:07:00.000+04:00Алексей Лукацкий пишет...
...уполномоченного в о...Алексей Лукацкий пишет... <br /><br />...уполномоченного в области экспортного контроля...<br /><br />Ну это как трактовать..<br /><br />1. Это предписание должно быть на устранение нарушений в области экспортного контроля, а не ПДн. И в арбитртажном суде это можно будет доказать..<br /><br />2. Предписание выдается после завершения мероприятия по контролю. Учитывая, что во ФСТЭК очень мало народу работает (Управления только в столицах ФО), когда ещё их плановая проверка до нас доберется... А когда доберется - уже её надо будет согласовывать с прокуратурой в соответствии с новым 294-ФЗ..<br /><br />Авось пронесет...Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-8003430861455008932009-04-17T19:40:00.000+04:002009-04-17T19:40:00.000+04:00Анонимному: Невыполнение в установленный срок зако...<B>Анонимному:</B> Невыполнение в установленный срок законного предписания, решения органа, уполномоченного в области экспортного контроля, его территориального органа -<br /><br />(в ред. Федеральных законов от 20.08.2004 N 114-ФЗ, от 08.05.2006 N 65-ФЗ, от 09.04.2007 N 45-ФЗ)<br /><br />влечет наложение административного штрафа на должностных лиц в размере от пяти тысяч до десяти тысяч рублей или дисквалификацию на срок до трех лет; на юридических лиц - от двухсот тысяч до пятисот тысяч рублей.Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-29492113721360591192009-04-17T09:11:00.000+04:002009-04-17T09:11:00.000+04:00> Попробуй сам справиться
Что значит "поп...> Попробуй сам справиться<br /><br />Что значит "попробуй"? Придется справиться, не тебе одному солнце светит.Quiet Zonenoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-86288561873659283162009-04-17T08:30:00.000+04:002009-04-17T08:30:00.000+04:00А вообще откуда такие суммы: 500 000 руб?
13.11 - ...А вообще откуда такие суммы: 500 000 руб?<br />13.11 - 5000 - 10000 руб..<br />19.5 - 10 000 - 20000 руб..<br />Вроде бы так...<br />По минималке соответственно:<br />5000 и 10000 руб. А в первый раз всегда именно по минималке...Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-34630408448153997822009-04-16T22:32:00.000+04:002009-04-16T22:32:00.000+04:00> хочется по максимуму обзавестись
> очевид...> хочется по максимуму обзавестись <br />> очевидно нужными бумажками<br /><br />Попробуй сам справиться - и можно будет вернуться к разговору про быть/казаться.Ригельnoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-86387949229204162212009-04-16T21:02:00.000+04:002009-04-16T21:02:00.000+04:00Ну в таком новом деле ты "лучших практик" пока не ...Ну в таком новом деле ты "лучших практик" пока не увидишь.<br /><br />А по максимум список у тебя есть. То, что будут проверять у тебя, узнаешь, когда пришлют уведомление о проверке с ее программой.Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-22437264739653926172009-04-16T18:25:00.000+04:002009-04-16T18:25:00.000+04:002 Ригель
Определился - разницы нет не между учета...2 Ригель<br /><br />Определился - разницы нет не между учетами, а применительно к правилам перечисления существительных: они обычно не меняются, если в качестве существительного используется слово "учет". Хотя в военное время возможны исключения.<br /><br />Леш,<br /><br />именно поэтому, учась на "серьезных и продвинутых примерах", как сказал Ригель, эти самые "примеры" оказывают своего рода медвежью услугу тем, к кому проверятели придут после уже "обученными". Причем ни проверенные, ни проверятели, не смогут передать опыт в том объеме, который поможет избежать грядущих претензий проверятеля в полном объеме. Неудержимая мутация пррверятеля и дрейф его предпочтений делают его визит похожим на игру в русскую рулетку (по крайней мере я сейчас к этому отношусь именно так) - попросят или нет? Спросят или нет? Устроит или нет? Понятно, что любой аудит оперирует выборками, но при проведении дургих аудитов известны "любимые" области, и мы хорошо осознаем и принимаем риски. Здесь же ну совершенно неизвестно куда обратят свое внимание при проверке. Оттого и хочется по максимуму обзавестись очевидно нужными бумажками, избегая создание ненужных.Quiet Zonenoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-66626349696253138842009-04-16T18:02:00.000+04:002009-04-16T18:02:00.000+04:00QuietZone: Так ты заранее не знаешь, что устроит р...<B>QuietZone:</B> Так ты заранее не знаешь, что устроит регулятора, если ты не имеешь с ним связей, что у большинства клиентов не выполняется. Как написал Ригель, регулятор в процессе контроля и надзора самообучается и поэтому то, что его не устраивало раньше, может начать устраивать сейчас (и наоборот).Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-78174248639712027802009-04-16T17:40:00.000+04:002009-04-16T17:40:00.000+04:00Для Quiet Zone.
Ты уж определись: либо "не любой",...Для Quiet Zone.<br />Ты уж определись: либо "не любой", либо "какая разница" - либо крест сними, либо трусы надень.Ригельhttps://www.blogger.com/profile/03649888229386031334noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-59724709185256233792009-04-16T16:58:00.000+04:002009-04-16T16:58:00.000+04:002 Ригель
Учет нужен все-таки не любой, а устраив...2 Ригель <br /><br />Учет нужен все-таки не любой, а устраивающий контролирующий орган.<br /><br />> Это два разных учета:<br />Да какая разница: есть существительное, и есть существительное с прилагательным, они перечисляются через запятую, значит суть - разные вещи.<br /><br />Алексей,<br /><br />понятно, но я имел в виду, что как следствие в банках сама служба ИБ развита лучше.Quiet Zonenoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-65404218793147242422009-04-16T16:51:00.000+04:002009-04-16T16:51:00.000+04:00Ну никто и не спорит. Просто чтобы не было иллюзий...Ну никто и не спорит. Просто чтобы не было иллюзий, что речь идет максимально о сотнях рублей штрафа. Потенциально штраф может быть больше. В теории.<br /><br />На практике до штрафа может дело вообще не дойти ;-)Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-67130083130623413982009-04-16T16:14:00.000+04:002009-04-16T16:14:00.000+04:00Вам выпишут предписание устранить. Вы забьете. Вас...Вам выпишут предписание устранить. Вы забьете. Вас придут проверить, как устранены недочеты. Вы забили. ... Штраф - до 500000 руб + дисквалификация должностного лица на срок до трех лет. Именно так рекомендует делать методика проверки РКН.<br /><br />Я тут столкнулся с проверками пожарников. И поболтал с одним. Так вот После невыполнения первого предписания - контролирующий орган не имеет права наказывать, наказывает суд. Куда они и передают материалы. А у суда есть возможность делать предупреждения. Что он и делает. Пожарник пожаловался, что даже при многократных нарушениях суд всеравно предупреждает или выписывает МИНИМАЛЬНЫЙ штраф. То же самое говорили Роскомнадзоровцы на конференции в сентябре, они же ждут изменения законодательства, которое позволит им самим наказывать. Так что 500т это еще бооольшой вопрос.<br />ZZubraAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-85157260147575443632009-04-16T15:22:00.000+04:002009-04-16T15:22:00.000+04:00Quiet Zone: Ну к безопасности все это имеет опосре...<B>Quiet Zone:</B> Ну к безопасности все это имеет опосредованное отношение, т.ч. все в одинаковой ситуации находятся. И достаточно найти всего одно нарушение, чтобы попало и страховой и банку ;-)<br /><br />Ни PCI DSS, ни СТО БР ИББС не требуют все этой мороки с учетом обращений и разработки такого количества бумажек.Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-71533728311828503262009-04-16T15:15:00.000+04:002009-04-16T15:15:00.000+04:00> просто в тексте есть журнал
> и есть элек...> просто в тексте есть журнал <br />> и есть электронный журнал<br /><br />Это два разных учета: есть учет обращений пользователей к ИСПДн, а есть учет обращений субъектов к оператору.Ригельhttps://www.blogger.com/profile/03649888229386031334noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-69774631609382593232009-04-16T15:08:00.000+04:002009-04-16T15:08:00.000+04:00Алексей,
тогда все ОК:) Просто в тексте есть журн...Алексей, <br />тогда все ОК:) Просто в тексте есть журнал и есть электронный журнал (имеется в виду лог), поэтому я их и разделил. <br /><br />А в целом ситуация с активностью РКН пугает. Я на 99,9% уверен, что ни один оператор не соблюдает полностью требования закона. Банки и страховые в авангарде, причем если безопасность банков развита неплохо (там и 395-ФЗ, и ЦБ, и PCI DSS), то страховые в ИБ явно проседают, при этом обрабатывают страшное количество ПД, в том числе специальных категорий, в том числе за границей. В общем если сейчас начать громить всех страховщиков, нарушающих ФЗ 152, то страховой бизнес просто перестанет существовать. И я думаю, регулятор это понимает.Quiet Zonenoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-84801988048492325282009-04-16T14:59:00.000+04:002009-04-16T14:59:00.000+04:00+1. Нужен учет, а не журнал.+1. Нужен учет, а не журнал.Ригельhttps://www.blogger.com/profile/03649888229386031334noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-60645405996254177362009-04-16T14:57:00.000+04:002009-04-16T14:57:00.000+04:00А никто не говорит, что журнал должен быть бумажны...А никто не говорит, что журнал должен быть бумажным ;-)Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-71496746466680071532009-04-16T14:47:00.000+04:002009-04-16T14:47:00.000+04:00Кстати, еще забыл (что-то я сегодня дублями=))
А ...Кстати, еще забыл (что-то я сегодня дублями=))<br /><br />А не будут ли проверять наличие уведомлений субъектов об обработке их ПДн, в случае, если выяснится, что они получены от третьих лиц? Этого требует ФЗ.Quiet Zonenoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-8348455565139633962009-04-16T14:44:00.000+04:002009-04-16T14:44:00.000+04:002 Ригель
>Журнал учета обращений субъектов - э...2 Ригель<br /><br />>Журнал учета обращений субъектов - это журнал учета запросов субъектов, а не журнал учета жалоб субъектов.<br /><br />А я разве где-то успел их перепутать? Тем более, что жаловаться субъект будет в РКН, следовательно и журнал там. Я имел в виду лишь то, что журнал решистрации ОБРАЩЕНИЙ выглядит нелогично, по сравнению с журналом регистрации ОТВЕТОВ. Первичное доказательство всегда у источника активности, то есть факт запроса доказывает субъект, а факт ответа - оператор. Грубо говоря, когда придет РКН с копией запроса субъекта (видимо подтвержденного почтовыми квитанциями?), нам нужно продемонстрировать журнал учета ответов, т.е. исходящих номеров. В связи с этим возникает вопрос, чем не устраивает РКН система документооборота, если с юридической точки зрения она не отличается от бумажного журнала.Quiet Zonenoreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-29545735629140630672009-04-16T14:34:00.000+04:002009-04-16T14:34:00.000+04:00Еще нужно сказать, что это универсальный опросник,...Еще нужно сказать, что это универсальный опросник, а специфика менно вашей конторы будет уже на месте учитываться. Например, кого-то 59-ФЗ касается, а кого-то нет.Ригельhttps://www.blogger.com/profile/03649888229386031334noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-58094170849626082922009-04-16T14:26:00.000+04:002009-04-16T14:26:00.000+04:00Quiet Zone: Ну про журнал тебе уже Ригель ответил....<B>Quiet Zone:</B> Ну про журнал тебе уже Ригель ответил. Собственно ты можешь и просто все документы, удостоверяющие общение с субъектами представить. Но журнал проще. РКН может дальше и не просить доказательств того, что написано в журнале. Они же тоже сроком ограничены.<br /><br />А с проверками столкнулись многие. ПРОБИЗНЕСБАНК, Петрокоммерц, УРСАбанк уже нагнули за нарушение ФЗ. Есть еще куча никому неизвестных региональных предприятий и даже физлиц (!). Из наших общих знакомых Ригель черех это прошел. В общем работу РКН затеял большую и ведет ее активно.Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-28630989460638274072009-04-16T14:21:00.000+04:002009-04-16T14:21:00.000+04:00Анонимному: Вам выпишут предписание устранить. Вы ...<B>Анонимному:</B> Вам выпишут предписание устранить. Вы забьете. Вас придут проверить, как устранены недочеты. Вы забили. Дальше вам вменяется в вину ст.19.5 "Невыполнение в срок законного предписания (постановления, представления, решения) органа (должностного лица), осуществляющего государственный надзор (контроль)". Штраф - до 500000 руб + дисквалификация должностного лица на срок до трех лет. Именно так рекомендует делать методика проверки РКН.Алексей Лукацкийhttps://www.blogger.com/profile/08434361034703403028noreply@blogger.comtag:blogger.com,1999:blog-4065770693499115314.post-39311031732498470122009-04-16T14:19:00.000+04:002009-04-16T14:19:00.000+04:00Для Quiet Zone.
Журнал учета обращений субъектов ...Для Quiet Zone.<br /><br />Журнал учета обращений субъектов - это журнал учета запросов субъектов, а не журнал учета жалоб субъектов. <br />Любой субъект может спросить, не обрабатывают ли на него что-нибудь, что именно, с какого рожна и т.п. Закон устанавливает срок ответа, и соблюдение этого регламента надо контролировать.Ригельhttps://www.blogger.com/profile/03649888229386031334noreply@blogger.com