Несмотря на почти полное отсутствие комментариев и конкретных предложений (исключая Ригеля), я довел документ до ума и финализировал его. Надеюсь будет полезным в работе.
PS. Возможно я плохо искал, но я не нашел документов, регламентирующих сертификацию СКЗИ для защиты конфиденциальной информации. По гостайне есть приказ ФСБ о создании системы сертификации. А вот по конфиденциалке такого документа нет... Или я плохо искал?
Russia Crypto Regulation
Бизнес безопасности или безопасность бизнеса? О том и о другом в одном непросветительском блоге от еще неиностранного агента... Имеющий мозг да применит его (6+)
Архив блога
-
▼
2010
(267)
-
▼
November
(21)
- Как проверить работу консультанта по ПДн?
- СТО Банка России опять меняют ;-)
- Одобрен проект концепции инновационного развития о...
- Об оценке соответствия средств защиты
- СоДИТ перевел ISO 15408:2009
- Регулирование криптографии - финальная версия карты
- И вновь о выборе паролей
- Измерение экономической эффективности ИБ
- Законопроект о НПС внесен в ГосДуму
- Незамеченное изменение ФЗ-152
- Изменение законодательства по контролю в области ПДн
- Сравнение подходов к защите ПДн в России и в Европе
- Регулирование криптографии в одном месте
- Что нас ждет в ближайшее время с точки зрения регу...
- Алгоритм приведения себя в соответствие с ФЗ-152
- Новый совместный приказ ФСТЭК / ФСБ
- Cisco запускает сертифицированное производство
- Отчет по мероприятию в Челябинске по ПДн
- Единая терминология на уровне законодательства
- Россия все-таки отказывается от обязательной серти...
- ФЗ-152 опять сдвигают?!
-
▼
November
(21)
Категории
- законодательство (633)
- персональные данные (435)
- ФСТЭК (343)
- тенденции (322)
- консолидация (250)
- поглощения (247)
- ФСБ (234)
- выставки (214)
- угрозы (201)
- Банк России (150)
- SCADA (146)
- Россия (141)
- стандарты (137)
- обучение (129)
- SOC (124)
- криптография (121)
- оценка соответствия (109)
- управление инцидентами (104)
- метрики (98)
- стратегия (84)
- цена безопасности (82)
- Роскомнадзор (78)
- НПС (77)
- Разное (75)
- Интернет-ресурсы (74)
- безопасность бизнеса (62)
- Юмор (61)
- проблемы ИБ-компаний (60)
- психология (60)
- экономика (59)
- Threat Intelligence (58)
- философия (56)
- заблуждения (51)
- Минкомсвязь (48)
- наука (48)
- геймификация (47)
- облачная безопасность (47)
- cloud (42)
- повышение осведомленности (41)
- CISO (40)
- SIEM (39)
- аутентификация (38)
- риски (35)
- лицензирование (34)
- антивирус (32)
- SDLC (31)
- DLP (30)
- архитектура (30)
- PCI DSS (28)
- аутсорсинг (27)
- кибервойна (25)
- международная ИБ (25)
- хакеры (25)
- мобильный офис (24)
- APT (23)
- BYOD (22)
- кибербезопасность (22)
- IPS (21)
- ISO 27001 (19)
- электронные платежи (19)
- США (18)
- киберпреступность (18)
- NIST (17)
- Web (17)
- маркетинг (17)
- видео (16)
- кризис (16)
- CERT (15)
- ДБО (15)
- дашборд (15)
- история (14)
- классификация (14)
- аудит (13)
- виртуализация (13)
- госорганы (13)
- атрибуция (12)
- биометрия (12)
- внутренние угрозы (12)
- стартап (12)
- Интернет (11)
- ЭЦП (11)
- книги (11)
- IoT (10)
- NBAD (10)
- Social Media (10)
- open source (10)
- кредитные карты (10)
- культура ИБ (10)
- терминология (10)
- троян (10)
- МинОбороны (9)
- спам (9)
- статьи (9)
- уязвимости (9)
- AI (8)
- Usability (8)
- ВТО (8)
- аналогии (8)
- опыт (8)
- foresight (7)
- Совет Безопасности (7)
- блокчейн (7)
- кадры (7)
- поибешечки (7)
- ООН (6)
- СУБД (6)
- непрерывность бизнеса (6)
- ОДКБ (5)
- ФАИТ (5)
- страхование (5)
- таможенный союз (5)
- этика (5)
- M2M (4)
- МВД (4)
- Олимпиада (4)
- СНГ (4)
- СОРМ (4)
- мошенничество (4)
- перлюстрация (4)
- политика ИБ (4)
- прорывные технологии (4)
- русский язык (4)
- сканеры безопасности (4)
- DNS (3)
- NGFW (3)
- UTM (3)
- VoIP (3)
- Wi-Fi (3)
- ГосСОПКА (3)
- Интернет-маньяки (3)
- женщины (3)
- кибертерроризм (3)
- коронавирус (3)
- мобильные платежи (3)
- служебная тайна (3)
- тендер (3)
- фишинг (3)
- CIP (2)
- GDPR (2)
- ISACA (2)
- RFID (2)
- SECaaS (2)
- UEBA (2)
- resilience (2)
- БРИКС (2)
- ЕАЭС (2)
- УЭК (2)
- ЦОД (2)
- безопасность (2)
- визуализация (2)
- карьера (2)
- NIAC (1)
- RPA (1)
- SDN (1)
- zero trust (1)
- Время (1)
- ШОС (1)
- искусственный интеллект (1)
- киберустойчивость (1)
- терминальный доступ (1)
- транспорт (1)
- управление потоками (1)
- электронное правительство (1)
Следить за мной
Категории
- AI
- APT
- BYOD
- CERT
- CIP
- CISO
- cloud
- DLP
- DNS
- foresight
- GDPR
- IoT
- IPS
- ISACA
- ISO 27001
- M2M
- NBAD
- NGFW
- NIAC
- NIST
- open source
- PCI DSS
- resilience
- RFID
- RPA
- SCADA
- SDLC
- SDN
- SECaaS
- SIEM
- SOC
- Social Media
- Threat Intelligence
- UEBA
- Usability
- UTM
- VoIP
- Web
- Wi-Fi
- zero trust
- аналогии
- антивирус
- архитектура
- атрибуция
- аудит
- аутентификация
- аутсорсинг
- Банк России
- безопасность
- безопасность бизнеса
- биометрия
- блокчейн
- БРИКС
- видео
- визуализация
- виртуализация
- внутренние угрозы
- Время
- ВТО
- выставки
- геймификация
- госорганы
- ГосСОПКА
- дашборд
- ДБО
- ЕАЭС
- женщины
- заблуждения
- законодательство
- Интернет
- Интернет-маньяки
- Интернет-ресурсы
- искусственный интеллект
- история
- кадры
- карьера
- кибербезопасность
- кибервойна
- киберпреступность
- кибертерроризм
- киберустойчивость
- классификация
- книги
- консолидация
- коронавирус
- кредитные карты
- кризис
- криптография
- культура ИБ
- лицензирование
- маркетинг
- МВД
- международная ИБ
- метрики
- Минкомсвязь
- МинОбороны
- мобильные платежи
- мобильный офис
- мошенничество
- наука
- непрерывность бизнеса
- НПС
- облачная безопасность
- обучение
- ОДКБ
- Олимпиада
- ООН
- опыт
- оценка соответствия
- перлюстрация
- персональные данные
- повышение осведомленности
- поглощения
- поибешечки
- политика ИБ
- проблемы ИБ-компаний
- прорывные технологии
- психология
- Разное
- риски
- Роскомнадзор
- Россия
- русский язык
- сканеры безопасности
- служебная тайна
- СНГ
- Совет Безопасности
- СОРМ
- спам
- стандарты
- стартап
- статьи
- стратегия
- страхование
- СУБД
- США
- таможенный союз
- тенденции
- тендер
- терминальный доступ
- терминология
- транспорт
- троян
- угрозы
- управление инцидентами
- управление потоками
- УЭК
- уязвимости
- ФАИТ
- философия
- фишинг
- ФСБ
- ФСТЭК
- хакеры
- цена безопасности
- ЦОД
- ШОС
- экономика
- электронное правительство
- электронные платежи
- этика
- ЭЦП
- Юмор
Архив блога
-
▼
2010
(267)
-
▼
November
(21)
- Как проверить работу консультанта по ПДн?
- СТО Банка России опять меняют ;-)
- Одобрен проект концепции инновационного развития о...
- Об оценке соответствия средств защиты
- СоДИТ перевел ISO 15408:2009
- Регулирование криптографии - финальная версия карты
- И вновь о выборе паролей
- Измерение экономической эффективности ИБ
- Законопроект о НПС внесен в ГосДуму
- Незамеченное изменение ФЗ-152
- Изменение законодательства по контролю в области ПДн
- Сравнение подходов к защите ПДн в России и в Европе
- Регулирование криптографии в одном месте
- Что нас ждет в ближайшее время с точки зрения регу...
- Алгоритм приведения себя в соответствие с ФЗ-152
- Новый совместный приказ ФСТЭК / ФСБ
- Cisco запускает сертифицированное производство
- Отчет по мероприятию в Челябинске по ПДн
- Единая терминология на уровне законодательства
- Россия все-таки отказывается от обязательной серти...
- ФЗ-152 опять сдвигают?!
-
▼
November
(21)
Copyright ©
Бизнес без опасности | Powered by Blogger
28 comments:
Алексей, подскажите, пожалуйста, что за проект приказа ФСБ по ПДн (в разделе эксплуатация)?
Он есть где-нибудь в открытом виде?
А за табличку спасибо:)
зы - я думаю далеко не каждый может позволить себе провести столь широкомасштабное обобщение:)
bibamuz'у: Пока в открытом виде проекта нет.
ЗЫ. Может каждый - было бы желание. Ничего секретного в этой табличке нет ;-)
k-buga: ну смотреть документ для комментов можно было и в блоге ;-) Но если хотелось скачать, то можно создать аккаунт в scribd напрямую, не через facebook.
Алексей,а не планируется ли создать что-то подобное не по криптографии а по ПДн? понятно, что работа большая, но было бы полезно!
Планируется. Как и карта по регулированию ТЗКИ.
> А вот по конфиденциалке такого документа нет... Или я плохо искал?
Дык эта. И "конфиденциалки"-то нет никакой ;)
Похоже нашел - система добровольной сертификации средств криптографической защиты ФАПСИ, зарегистрированная в Ростехрегулировании еще в 90-х годах.
Возможно не заметил (зрением стал слаб :-) ), но есть ФЗ-1 который требует для проверки ЭЦП использовать именно сертифицированные средства подписи (считай СКЗИ).
Это есть - ветка "ЭЦП"
> еще в 90-х годах
Точно, "в одном месте"...
PS. Возможно я плохо искал, но я не нашел документов, регламентирующих сертификацию СКЗИ для защиты конфиденциальной информации. По гостайне есть приказ ФСБ о создании системы сертификации. А вот по конфиденциалке такого документа нет... Или я плохо искал?
Дак ведь уже и здесь неоднократно проскакивало, что у нас в целом нет положений о сертификации СрЗИ для защиты информации отличной от государственной тайны... Это не только для СКЗИ верно.
Может стоить добавить еще требования ФСБ к информационной безопасности удостоверяющих центров? В документе предъявляются требования к СКЗИ для УЦ.
amt2001: Спасибо. Эта тема мне мало знакома :-( Буду благодарен за текст или ссылку
Требования ФСБ к УЦ при сертификации имеют гриф. Так что текст может запросить лицензиат на свой 1 отдел или попросить выписку из требований, правда до какой степени на неё переползёт гриф я не знаю.
требования фсб для уц - они нужны разве что разработчикам скзи данного назначения.
остальные с ними в жизни не сталкиваются.
а вообще в принципе довольно много грифованных доков по криптографии, так что полную карту не построить :(
Ну название скажите ;-)
doom, вы писали:
"Дак ведь уже и здесь неоднократно проскакивало, что у нас в целом нет положений о сертификации СрЗИ для защиты информации отличной от государственной тайны... Это не только для СКЗИ верно."
Обратимся к Положению о сертификации средств защиты информациипо требованиям безопасности информации (утв. Приказом Гостехкомиссии РФ от 27.10.1995 № 199)
п.1.6. Обязательной сертификации подлежат средства защиты информации, предназначенные для защиты сведений, составляющих государственную тайну, а также другой информации с ограниченным доступом, подлежащей защите в соответствии с действующим законодательством, ... В остальных случаях сертификация носит добровольный характер (добровольная сертификация) и осуществляется по инициативе заявителя (разработчика, изготовителя, поставщика или потребителя) средств защиты информации.
2 Сreative
Ну тут снова начинаются дебри неоднозначности. В положении о сертификации утвержденным ПП формулировка касается только СрЗИ для защиты ГТ. По идее, приказ Гостехкомиссии не может расширять область действия положения, так как нынешняя формулировка пункта 4 статьи 5 закона "О техническом регулировании" гласит:
4. Особенности оценки соответствия продукции (работ, услуг) и объектов, указанных в пункте 1 настоящей статьи, а также соответственно процессов их проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации, захоронения устанавливаются Правительством Российской Федерации.
Конечно, приказ 199 принят до закона "О техническом регулировании", но, опять же, он должен был быть пересмотрен, как я понимаю...
Алексей Лукацкий пишет...
Ну название скажите ;-)
Требования к информационной безопасности удостоверяющих центров, Москва 2008
Документ во исполнении требований к функциям УЦ согласно ст.9 1-ФЗ
Спасибо
Алексей, для раздела вывоз было бы неплохо добавить про необходимость разрешения на вывоз соответствующих ведомств
Каких именно? 580-е разве не определяет этот вопрос?
Алексей, можете сказать полное название проекта приказа ФСБ по ПДн (раздел эксплуатация у вас), а еще лучше будет, если пришлете его почитать:) - аккаунт гугл сверху...
Буду ну очень благодарен!
Мне дорога моя свобода, чтобы рассылать проекты невыпущенных документов ФСБ ;-)
Если на нем грифа не стоит, то значит свободного распространения:)
Ну тогда ладно, придется набраться терпения.
Алексей, картинка отличная получилась!
Как Вам идея реализовать её в виде странички с "кликабельными" названиями нормативно-правовых документов? Чтобы посмотрел на картинку - нажал на указ 334 - почитал его - осознал всю глубину мысли законодателя - просветился? =)
Была такая идея - я от нее отказался. У всех разные источники просмотра нормативных документов. У кого-то Гарант, у кого-то Консультант+, у кого-то РГ и т.д. Всем не угодишь.
Post a Comment