Блог Сергея Борисова про ИБ

Как вы могли заменить из предыдущей статьи Центр Компетенций Роскомнадзора создал рабочие группы для методической помощи операторам ПДн. В этой заметке я хочу рассказать вам про вторую важную задачу этих групп. Перед внедрением сложных СЗИ широко практикуются так называемые Пилотные проекты / тестовые зоны / опытная эксплуатация, в рамках которых проверяется работоспособность технического решения и его соответствие требованиям и только потом решение распространяется на всю организацию и вводится в действие. Для организационных мер ничего подобного не применяется: разрабатываем регламенты, по которым будут функционировать процессы обработки и защиты ПДн и сразу утверждаем, и внедряем их в организации. Потом оказывается, что процессы не соответствуют требованиям законодательства РФ и все нужно переделывать, менять устоявшиеся правила и переобучать персонал.   Теперь в тестовом режиме Роскомнадзор вводит услугу по предварительной проверке пакета документов по ПДн, ...

Для оказания методической помощи операторам персональных данных в Роскомнадзоре были сформированы центры компетенции и рабочие группы по направлению «Персональные данные» в трех федеральных округах. Я вошел в состав рабочей группы в Южном федеральном округе, ответственной за разработку наиболее полезного, с моей точки зрения, “методического портфеля” оператора ПДн. Рабочие группы в других ФО отвечают за разработку механизмом выявления, предотвращения и пресечению неправомерной обработки ПДн, за повышение уровня воспитания и поведения несовершеннолетних в сети Интернет.   11 октября 2019 г. прошло установочное заседание нашей рабочей группы, на которой утвердили положение о РГ, программу мероприятий. Всего в РГ входит 50 экспертов из 5 городов. В виду сжатых сроков (до 25 ноября), выделили 4 подгруппы, каждая из которых берет на себя разработку одного из документов “Методического портфеля”. Разработанные документы согласует РГ, утвердит Центр компетенции Роскомнадзора...

Одни из наиболее проблемных вопросов с которым сталкиваются все операторы ПДн и ГИС связаны с отсутствием связи мер защиты из приказов ФСТЭК №17 и №21 с угрозами безопасности из БДУ ФСТЭК: ·         нужно ли их вообще связывать? ·         как они должны быть связаны? ·         какими методиками и лучшими практиками можно руководствоваться? ·         как это сделать для 50 ИС, более 200 угроз и более 100 мер защиты?   В недавнем голосовании большой процент читателей сообщили что им интересная эта тема   Поэтому в прошлый вторник прошел второй наш совместный вебинар с Ксенией Шудровой (при поддержке RISC ) посвященный связи мер и угроз. По задумке это должно было быть противостояние ( versus ): Ксения рассказывает про теоретический подход – что делать в общем с любыми угрозами в том числе новыми, ведь БДУ будет ещё поп...