СЗПДн. Анализ. Информационное сообщение ФСТЭК по защите ПДн



Сегодня на сайте ФСТЭК Р было опубликовано  информационное сообщение “об особенностях защиты персональных данных при их обработке в информационных системах персональных данных и сертификации средств защиты информации, предназначенных для защиты персональных данных” от 20 ноября  2012 г. № 240/24/4669.


В нем ФСТЭК Р информирует о планируемой дате размещения нового правового акта по защите ПДн (разработанного в соответствии с ПП 1119) – 07 декабря 2012 г.
и приводит основные положения будущего документа:
·        новые требования будут распространяться только на новые СЗПДн;
·        все существующие сертификаты трогать не будут;
·        при выборе средств защиты, при наличие в сертификате ФСТЭК Р упоминаний классов ИСПДн надо руководствоваться таблицей:
СЗИ, сертифицированные  в соответствии с  требованиям 1.0
усл.
об.
усл.
об.
могут применяться для защиты ПДн в соответствии с требованиям 2.0
для защиты ИСПДн до 1 класса
К1
УЗ1
ИСПДн до 1 уровня защищенности включительно
УЗ2
УЗ3
для защиты ИСПДн до 2 класса
К2
УЗ4
ИСПДн 4 уровня защищенности
К3
К4


·        планируется внести изменения в Требования к системам обнаружения вторжений и Требования к средствам антивирусной защиты для привязки их к уровням защищенности ИСПДн в соответствии со следующей таблицей:
классы защиты СЗИ в соответствии с Требованиями из комплекта 1.0
усл.
об.
усл.
об.
могут применяться для защиты ПДн в соответствии с требованиям 2.0
4 класс защиты СОВ и САЗ могут применяться для защиты ИСПДн 1 класса
К1
УЗ1
ИСПДн 1 и 2 уровня защищенности

ИСПДн 3 уровня защищенности (с актуальными угрозами 2-ого  типа или подключенные к Интернет)
УЗ2
УЗ3+
5 класс защиты СОВ и САЗ могут применяться для защиты ИСПДн 2 класса
К2
УЗ3-
ИСПДн 3 уровня защищенности (с неактуальными угрозами 2-ого  типа и не подключенные к Интернет)
6 класс защиты СОВ и САЗ могут применяться для защиты ИСПДн 3 и 4 класса
К3
УЗ4
ИСПДн 4 уровня защищенности
К4

Я думаю из этих таблиц можно примерно понять какая будет преемственность между старыми и новыми требованиями ФСТЭК Р по защите ПДн

В целом видно,
что для защиты ПДн ФСТЭК упоминает только сертифицированные СЗИ и речь идет о сертификатах. На альтернативные способы оценки соответствия рассчитывать не стоит;
что СЗИ раньше использованные для защиты наиболее часто встречаемого класса К2, сейчас тянут только на самый низкий УЗ4  и редко встречаемый УЗ3 для автономных  ИСПДн.


Комментарии

Отправить комментарий

Популярные сообщения из этого блога

СКЗИ. НПА. Некоторые вопросы применения криптографии

Изображение
Как показывает практика, немногие организации помнят и руководствуются приказом ФАПСИ (правопреемником которой является ФСБ России) от 13 июня 2001 г. N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну ". А ведь Инструкция является обязательной при использовании сертифицированных СКЗИ для обеспечения безопасности информации ограниченного доступа (подлежащей защите в соответствии с законодательством РФ).     А это ПДн, все виды тайн, ГИСы, НПСы, будущие КИИ. С 2008 по 2012 год для ПДн действовало послабление в виде “Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обесп...
Далее...

КИИ. Категорирование объектов, часть 3

Изображение
Продолжаем проводить категорирование объекта КИИ на примере организации сферы здравоохранения. На предыдущем этапе мы выявили критические процессы организации. Теперь определяем объекты КИИ и отправляем их на согласование (этап простой и очевидный, но постараюсь добавить несколько полезных моментов) 3. Определение объектов КИИ Продолжаем начатое на прошлых этапах (а можно и совместить 1-3) общение с руководителями подразделений. Спрашиваем какие ИС или АСУ обрабатывают информацию, необходимую для обеспечения выявленных критических процессов, и (или) осуществляют управление, контроль или мониторинг критических процессов. Отдельно в ИТ подразделении получаем полный перечень ИС (он должен был готовится в рамках мероприятий по ПДн) и АСУ, совместно с ИТ выкидываем из перечня ИС, не связанные с критическими процессами (как правило, кадровые, бухгалтерские, отчетность, банк-клиенты). В результате, того, что данные об ИС и АСУ получены не из одного источника, гарантируется его ...
Далее...

Модель угроз безопасности клиента финансовой организации

Изображение
  Уже более 2 месяцев как вступил в силу методический документ ФСТЭК по моделированию угроз, а ни одного публичного примера модели угроз информационной безопасности сообществом не было опубликовано. Как мы обсуждали на межблогерском вебинаре по моделированию угроз ИБ , такой пример мог бы сильно помочь ответственным лицам, обязанным руководствоваться данной методикой. Пример модели угроз обещал сделать Алексей Лукацкий, но пока у него получилась серия публикаций про проблемы моделирования и примера ещё нет. В УЦСБ в рамках услуг по моделированию угроз, коллеги уже провели необходимую аналитику и подготовили внутренние средства автоматизации для разработки МУ, что уже говорит о возможности моделирования угроз по новой Методике.  К последнему межблогерскому вебинару по безопасности клиентов финансовых организаций я решил проверить насколько адекватной получится модель угроз для типового сегмента клиента ФО (а для данной статьи ещё и обновил графическое оформление). ...
Далее...