СЗПДн. Анализ. Приказ ФСБ по обеспечению безопасности ПДн

Коллеги-блогеры (Алексей Лукацкий и Александр Бондаренко) сегодня обратили внимание что в Минюсте опубликован новый приказ ФСБ "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности"

Документ фактически не поменялся в сравнении с проектом, который неоднократно обсуждался в блогах.

Сводную таблицу с перечнем мер для разных уровней защищенности уже выкладывал Андрей Прозоров, а теперь Александр Бондаренко.

Есть пару моментов, на которые хотелось бы отдельно обратить внимание:

1.      Несмотря на то, что приказ “определяет состав и содержание организационных и технических мер по обеспечению безопасности персональных данных …. с использованием средств криптографической защиты информации”, в нем содержатся требования не связанные с СКЗИ, например по хранению носителей ПДн (ни зашифрованных носителей ПДн, ни носителей с зашифрованными файлами, содержащими ПДн, а просто носителей с ПДн)

То есть, если вы решите зашифровать канал передачи данных с помощью криптошлюзов, вам непонятно по каким причинам придется менять процессы хранения носителей с ПДн. В чем логика ?

2.      Много было споров относительно “электронного журнала сообщений”. Что это – точно никто не знает. ФСБ Р как авторы данного термина могли бы дать точное определение, но вместо этого раскрывают тайну по кусочкам

“а) утверждение руководителем оператора списка лиц, допущенных к содержанию электронного журнала сообщений, и поддержание указанного списка в актуальном состоянии;

б) обеспечение информационной системы автоматизированными средствами, регистрирующими запросы пользователей информационной системы на получение персональных данных, а также факты предоставления персональных данных по этим запросам в электронном журнале сообщений;

в) обеспечение информационной системы автоматизированными средствами, исключающими доступ к содержанию электронного журнала сообщений лиц, не указанных в утвержденном руководителем оператора списке лиц, допущенных к содержанию электронного журнала сообщений;”

Во-первых у меня вопрос – откуда такое внимание к этому журналу,  если в нем регистрируются всего лишь “Пользователь Петров П.П. запросил ПДн типа 1. Доступ предоставлен” 

Зачем тут требования по утверждению перечня лиц и автоматическое разграничение доступа? Вполне можно было обойтись общими правилами предоставления доступа к информационным ресурсам.

Во-вторых, видно что прикладное ПО всех ИС УЗ1-2 придется порядком переделывать. Выделять в ИС – подсистему управления ПДн, которая будет знать, что такие то данные - это ПДн. И это всё из-за пары криптошлюзов на границах сетей. В чем логика ??