Что нас ждет в ближайшее время с точки зрения регулирования темы ПДн? ~ Бизнес без опасности

11.11.10

Что нас ждет в ближайшее время с точки зрения регулирования темы ПДн?

11.11.10 законодательство, персональные данные, тенденции 19 comments

На основании презентации по будущему регулированию в области ИБ сваял презу, ориентированную только на тему персданных. Я ее читал в Челябинске и решил выложить еще и тут. Собственно там ничего нового почти нет - кроме чуть более детальной информации по законопроекту Резника и изменениям в ФЗ "О техническом регулировании".

Personal data future regulations

View more presentations from Alexey Lukatsky.

19 коммент.:

zabrodin комментирует...: В Вашей презентации есть пункт, гласящий, что сертификация СЗИ (за искл. СКЗИ) не является обязательной. Однако в РС 2.3 п.6.3.2 читаем: "Выполнение функций обеспечения безопасности ПДн в ИСПДн должно обеспечиваться СЗИ, прошедшими в установленном порядке процедуру оценки соответствия.."; 11 ноября 2010 г. в 06:28
Maksim комментирует...: Алексей, какие требования необходимо выполнить, для легитимного использования VPN с встроенной криптографией?; 11 ноября 2010 г. в 10:51
Анонимный комментирует...: >НИР ТРИТОН
>18 иерархически выстроенных документа

И где это можно увидеть? Или хотя бы 3 профиля защиты и 3 модели угроз??
Все что есть на сайте минкомсвязи – это две модели угроз и концепция.
Вопрос риторический - очевидно, что в общем случае ответ нигде..; 11 ноября 2010 г. в 10:54
Алексей Лукацкий комментирует...: zabrodin'у А в СТО написано, что СЗИ АБС могут быть несертифицированными.

Maksim'у: Не совсем понял вопроса.

tiger'у: Ну ИКС обещал выложить их в свободный доступ, но что-то так и не выложил.; 11 ноября 2010 г. в 11:11
Maksim комментирует...: 12 слайд Вашей презентации, сказано что встраивание криптографии в VPN не дает легетимного решения. А мой вопрос заключается в следуещем, какие действия необходимо выполнить чтобы при встраивании СКЗИ в VPN было легетимным.; 11 ноября 2010 г. в 12:24
pushkinist комментирует...: а почему распространение скзи клиентам и генерация ключей не лицензируемы оказались?; 11 ноября 2010 г. в 20:06
Алексей Лукацкий комментирует...: Maksim'у: Нужно сертифицировать ВСЕ VPN-решение целиком. Использования сертифицированного криптоядра недостаточно.

pushkinist'у: Так написано во второй версии ПРОЕКТА нового приказа ФСБ.; 11 ноября 2010 г. в 20:54
Алексей Лукацкий комментирует...: Maksim'у: Но опять же официальную позицию вы можете получить только сделав запрос в ФСБ. И получите вы такой же ответ, как есть у меня.; 11 ноября 2010 г. в 20:56
Сергей комментирует...: К вопросу zabrodin, Алексей, но в в СТО п.7.4.2. действительно говорит о возможности не использовать сертифицированные СЗИ, но заглавие пункта 7.4. Обеспечение ИБ при управлении доступом и регистрации. Означает ли это то, что требование распространяется и на системы антивирусной защиты и МЭ?; 12 ноября 2010 г. в 05:45
Алексей Лукацкий комментирует...: А в отношении антивирусов и МСЭ вообще ничего не сказано про сертификацию; 12 ноября 2010 г. в 11:34
pushkinist комментирует...: а где-нибудь можно глянуть сей проект? :); 12 ноября 2010 г. в 11:54
Алексей Лукацкий комментирует...: Нигде ;-); 12 ноября 2010 г. в 11:55
Алексей Лукацкий комментирует...: Пока нигде; 12 ноября 2010 г. в 11:55
Сергей комментирует...: В приказе 58 в п.2.1. приведено требование к сертификации всех средств защиты информации. Подчеркиваю. всех! А в СТО БР ИББС только в подразделе по управлению доступом. Если бы это было в разделе 1, то вопрос бы не возникал, а так можно трактовать по разному требование, в частности для систем разграничения прав доступа можем использовать не сертифицированное ПО, а в остальных должно быть сертифицированное :); 13 ноября 2010 г. в 06:45
Алексей Лукацкий комментирует...: В Приказе 58 ни слова про сертификацию - всего лишь про оценку соответствия ;-)

И для тех, кто вступил в "Клуб СТО" приказ 58 уже не действует. Таково соглашение ФСТЭК и ЦБ.; 13 ноября 2010 г. в 07:52
Сергей комментирует...: Ну как я понимаю в соответствии с волшебным документом ПП 330 (ДСП), единственный способ подтверждения соответствия - сертификация. Поэтому и говорю о сертификации :).
А вот если в документе не сказано что сертификация не обязательна - это же не означает, что она действительно не обязательна. Вопрос то заключается в чем: если регуляторы будут трактовать отсутствие такого примечания в сторону необходимости использования сертифицированных средств, кроме систем разграничения прав доступа? Например ФСТЭК по сибирскому федеральному округу считает что в любых случаях, только сертифицированные СЗИ, что заставляет задуматься :); 13 ноября 2010 г. в 08:29
Сергей комментирует...: Хочу подвести к тому, что при следующем изменении СТО БР ИББС 1.0, логичнее было бы включить этот пункт в Общие положения :).; 13 ноября 2010 г. в 08:32
Анонимный комментирует...: >И для тех, кто вступил в "Клуб СТО" >приказ 58 уже не действует. Таково >соглашение ФСТЭК и ЦБ.

Меня давно интересует вопрос - это соглашение где-то прописано или как обычно, устно договорились?; 13 ноября 2010 г. в 09:42
Сергей комментирует...: >И для тех, кто вступил в "Клуб СТО" приказ 58 уже не действует. Таково соглашение ФСТЭК и ЦБ.

Вот тут письмо шестерых:
http://cbr.ru/credit/Gubzi_docs/pismoKO.pdf; 13 ноября 2010 г. в 11:50