» Вы уже обеспечили защиту персональных данных на предприятии?

Разрешите вопрос, а вместо Microsoft на предприятии или в организации можно использовать Linux? Да ещё и с новм законом, или мы прикованы к Майкрософт? И что если у нас все сидят на открытом ПО на Линуксах, надо что то делать, покупать систему защиты или тупо сносить ситему и преобретать лицензии Билла?

читал-читал... бред какой-то, просто бред. Как меня З@$6ало это грёбаное наше быдлячее правительство, очередная возможность вытянуть из нас бабла. Даже близко логики не вижу в таком законе, шифруй-не шифруй, один хер - всегда есть человек, который доступ к этим данным имеет, и не один такой человек. Которому эти данные нужны для работы. И эти данные он может слить. А когда БД выложат на трекере, приедет комиссия и по шапке получит админ. Это просто п#$%ец!!!
До чего Сталин страну довёл! © Д. Пучков aka Goblin

Добавлено:
про 1С ваще блин молчу, конфигурация обновляю постоянно... и как эти мудаки интересно представляют себе сертифицирование 1С каждую неделю???? Особенно, если учесть, что 1С юзают по статистике 1,000,000 различных контор!

Цитата:

Aisokol
Я вмешаюсь в ваше обсуждение немного.
Для начала про регистрацию в минюсте.
По положению службы ФСТЭК России их документы не региструруються в минюсте, но обязательны для выполнения поскольку по томуже положуни оно являеться контролирующим органом. (в каком законе все определено не помню нужно искать но вломмммм.)

Ссылку "в студию"
В перечне, кто может свои РД не регистрировать в Минюсте есть ГТК (Государственный таможненный комитет) - но ни Гостехкомиссия, ни ФСТЭК таким правом не обладают.

А если Вы посмотрите на Приказ ФСТЭК от 23 июня 2009 г. N 207, то должны обратить внимание, что он зарегистрирован в Минюсте РФ 4 августа 2009 г. за N 14458

Цитата:

Valery12
недавно был областной семинар для наших защитников , так вот там предупредили что ни одно терминальное решение еще не сертифицировано.

С Цитриксом работают сертифицированные СЗИ, например "Панцирь" и еще несколько

Цитата:

Atumus
Разрешите вопрос, а вместо Microsoft на предприятии или в организации можно использовать Linux? Да ещё и с новм законом, или мы прикованы к Майкрософт? И что если у нас все сидят на открытом ПО на Линуксах, надо что то делать, покупать систему защиты или тупо сносить ситему и преобретать лицензии Билла?

Имеют сертификаты Mandriva и ALT Linux, не говоря уж про МСВС

Цитата:

С Цитриксом работают сертифицированные СЗИ, например "Панцирь" и еще несколько

об этом и речь, что мало иметь цитрикс у которого с защитой и так все в порядке, но нужно прикупить и "Панцирь"

Цитата:

Имеют сертификаты Mandriva и ALT Linux, не говоря уж про МСВС

у нас сертифицированные SLES 10

Цитата:

Valery12
об этом и речь, что мало иметь цитрикс у которого с защитой и так все в порядке, но нужно прикупить и "Панцирь"

Чем сертифицировать "Цитрикс" - может быть дешевле купить "Панцирь"
Хотя Вам никто не запрещает провести сертификацию Цитрикса (провести проверку на НДВ и соответствия функций защиты, предъявляемым требованиям к данному классу СЗИ) в Вашей ИСПДн в рамках предаттестационной подготовки и аттестации.

Цитата:

dekstero4eg:
про 1С ваще блин молчу, конфигурация обновляю постоянно... и как эти мудрецы интересно представляют себе сертифицирование 1С каждую неделю???? Особенно, если учесть, что 1С юзают по статистике 1,000,000 различных контор!

Насколько я понял сертифицировать надо ОС, средства защиты(в том числе и от неканкционированого доступа{LOGIN+PASSWORD} и разграничения доступа пользователей), криптографии. Если не ссылаться, что 1С используется для защиты от НСД и для разграничения доступа к информации, тогда сертификация не обязательна))). А аттестация в составе комплекса для обработки информации - видимо неизбежность. Лазейка при аттестации в том, что есть такое понятие - внешние печатные формы, подключаемые отчеты это позволит в разумных пределах наращивать/корректировать функционал. А вот со сменой не только платформы, но и версии/релиза конфигурации ---? Прийдется писать одно, читать другое. Ж(
П.С. Если использовать версию для SQL, то прийдется использовать сертифицированую БД и ОС под нее.
П.С.1 Я прав? Или где-то ошибаюсь?
П.С.2 А что с виртуализацией? кто в курсе? Совсем под запретом. Можно подвести VMware ESXi 3.5 FreeWARE не под ОС, а под встоеное в железо ПО?
П.С.3 ссыЛКА К ПРОЕКТУ "Многие грани безопасности" умерла, жалко

выдержка из 152 ФЗ:
Статья 22. Уведомление об обработке персональных данных
...
2. Оператор вправе осуществлять без уведомления уполномоченного органа по защите прав субъектов персональных данных обработку персональных данных:
1) относящихся к субъектам персональных данных, которых связывают с оператором трудовые отношения;
2) полученных оператором в связи с заключением договора, стороной которого является субъект персональных данных, если персональные данные не распространяются, а также не предоставляются третьим лицам без согласия субъекта персональных данных и используются оператором исключительно для исполнения указанного договора и заключения договоров с субъектом персональных данных;
3) относящихся к членам (участникам) общественного объединения или религиозной организации и обрабатываемых соответствующими общественным объединением или религиозной организацией, действующими в соответствии с законодательством Российской Федерации, для достижения законных целей, предусмотренных их учредительными документами, при условии, что персональные данные не будут распространяться без согласия в письменной форме субъектов персональных данных; *22.2.3)
4) являющихся общедоступными персональными данными;
5) включающих в себя только фамилии, имена и отчества субъектов персональных данных;
6) необходимых в целях однократного пропуска субъекта персональных данных на территорию, на которой находится оператор, или в иных аналогичных целях;
...

поправьте меня, если что, но судя по всему сбор и обработка данных о работниках/партнерах фирмы не влечет за собой обязанность регистрации. с работниками есть трудовой договор, о партнерах в основном хранится общедоступная инфа. еще полезен пункт 22.2.3 - можно просто объявить себя сектой и хранить друг на друга инфу

недавно у коллег была такая проверка, уведомили о ней за неделю, пришли две дамы, одна тупее другой. читали по бумажке перечень того, что должно быть, нервничали когда им говорили что этого быть не может потому что просто не может быть - либо часть документации в головном офисе в столице, либо ее просто не положено (нет необходимости) иметь по роду деятельности.


созвонился с коллегами. проверка прошла успешно, замечаний нет. но предупредили, что с 1 января 2010-го, такие проверки будут проходить совместно с фсб.

Можно же хранить основную инфу на бумаге(Постановление Правительства РФ 687 от 12 сетября 2008г.) и только ее ЧАСТЬ использовать для обработки.
Кроме своих работников под данную категорию попадают и физлица/ИЧП, оказывающие работы/услуги по различным договорам.
Последний писк моды:
В личное дело работников подкладывают письменную расписку/заявление о том, что работник не возражает об обработке его персональных данных и их передаче в ИФНС, ПФР, банк и т.д.

Пипец, цензурных слов мало остается после таких тем......

Небольшая страховая компания (в районе сотни сотрудников), с перс данными работают почти все, несколько терминальных серверов, почти все с тонкими клиентами на арм, филиалы по цитриксу тоже подключаются почти все.....

Как в таком случае обеспечивать доступ в интернет? Я так понимаю правила ISA никого не устроят. Дублировать всю систему? Один сервер для работы с базой данных, второй для инета и остальной мелочи? Как отнесутся к тому что сам тонкий клиент у человека один и тот же но заходит на разные сервера?

поменьше распространяться надо о своих используемых ресурсах.
слава богу наше несовершенное законодательство позволит отмазаться, если успеешь скрыть следы, и показаний некоторых (продажных ) сотрудников будет недостаточно. у себя все сношу на терминальные сервера, некоторые из них на кнопке ликвидации (есть что скрывать, одни только бд с черного рынка на долгий срок тянут).
вот только регистрацию проходить все-равно придется, а значит и ждать проверок...

Цитата:

DenSyo
о партнерах в основном хранится общедоступная инфа.

С партнерами есть договора. А вот общедоступность информации еще необходимо доказывать (увы... но в 152-ФЗ заложена "презумпция виновности" оператора ПДн).

Цитата:

oaf56
Можно же хранить основную инфу на бумаге

И не только
См. внимательно п.2 ПП687:

Цитата:

2. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.

Это же идет в п.2.8 ст.22 (соответственно не требуется отправка уведомления).

Но Вам следует внимательно изучить разделы II и III ПП687 и все ли у Вас по ним выполняется. Ну и естественно п.1 ПП687 должен полностью выполняться.


Цитата:

TolsT_dead
Небольшая страховая компания (в районе сотни сотрудников), с перс данными работают почти все, несколько терминальных серверов, почти все с тонкими клиентами на арм, филиалы по цитриксу тоже подключаются почти все.....

Данные о состоянии здоровья клиентов или иные ПДн спецкатегории похоже есть.
Значит ИСПДн К1 (по приказу трех) - соответственно аттестация, сертифицированные СЗИ и СКЗИ (соответственно лицензия ФСТЭК на ТЗКИ и, минимум, лицензия ФСБ на ТО СЗКИ), ПЭМИН и прочие "прелести". Если потребуется активная защита по ПЭМИН - получение разрешения на использование радиочастот в Роскомнадзоре и там же регистрация источников радиоизлучений (генераторов шума)...

Цитата:

Toparenko

Данные о состоянии здоровья клиентов или иные ПДн спецкатегории похоже есть.
Значит ИСПДн К1 (по приказу трех) - соответственно аттестация, сертифицированные СЗИ и СКЗИ (соответственно лицензия ФСТЭК на ТЗКИ и, минимум, лицензия ФСБ на ТО СЗКИ), ПЭМИН и прочие "прелести". Если потребуется активная защита по ПЭМИН - получение разрешения на использование радиочастот в Роскомнадзоре и там же регистрация источников радиоизлучений (генераторов шума)...

Да, как раз данные о состоянии здоровья это ДМС, но это один отдел, понятно, плюс бухгалтерия к этому имеет доступ, но многим другим подразделениям доступ не нужен и его нет. Возможно ли их аттестовывать по другим классам? С учетом того что все работают на терминальных серверах?

А какой примерный порядок цен на это может быть, если мы говорим про класс 1? я так понимаю что помимо серверной необходимо защитить и сами комнаты где стоят тонкие клиенты.....

Цитата:

152-ФЗ
... Статья 3. Основные понятия, используемые в настоящем Федеральном законе
....9) информационная система персональных данных - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.

те. подлежит защите комплексно ВСЯ система. Причем если у вас один из компонентов получит более высокий класс, то всю систему прийдется защищать по этому более высокому классу. РАЗНЫЕ КЛАССЫ - НЕЗАВИСИМЫЕ СИСТЕМЫ. Т.Е ЕСЛИ СЕРВЕРА БУДУТ В ОБЩЕЙ ЛС - тогда будещь защищать все ПК, помещения, линии связи. А если вывести их в сегмент ЛС за сертифицированый файервол, тогда защищать только этот сегмент.
Кроме помещений, раб.мест надо защищать каналы передачи данных для терминала криптографией(для сетей общего пользования(инета) обязательно), а в здании напиши инструкцию - не трогать провода - убью лично+ провести через недоступные(контролируемые) места или тоже криптография.

Цитата:

TolsT_dead
но многим другим подразделениям доступ не нужен и его нет. Возможно ли их аттестовывать по другим классам?

Разделение ИСПДн сертифицированными межсетевыми экранами (соответственно разделение обработки)

На самих терминалах (если отделите сервера теми же межсетевыми экранами и на серверах будут сертифицированные средства разграничения доступа) возможно удастся снизить до К3, где нет спецкатегории ПДн (или увести на неавтоматизированную обработку - где есть) - соответственно не потребуется аттестация терминалов.


Цитата:

TolsT_dead
А какой примерный порядок цен на это может быть, если мы говорим про класс 1?

Разброс очень большой т.к. зависит от размера ИСПДн, того кто будет делать и кому будут делать (гос./муниципалам удается дешевле, чем комерсам).

PS: я не представляю интеграторов.

Цитата:

поменьше распространяться надо о своих используемых ресурсах.

Да Информация об ИС, процедурах и средствах защиты - как минимум ДляСлужебногоПользования. Потому подробно излагать НЕЛЬЗЯ.
Цитата:

слава богу наше несовершенное законодательство позволит отмазаться, если успеешь скрыть следы, и показаний некоторых (продажных ) сотрудников будет недостаточно. у себя все сношу на терминальные сервера, некоторые из них на кнопке ликвидации (есть что скрывать, одни только бд с черного рынка на долгий срок тянут).
вот только регистрацию проходить все-равно придется, а значит и ждать проверок...

Ну если захотят, то следы найдут. Не считайте ВСЕХ 100% идиотами: Печатаете вы же не шариковой ручкой.
Цитата:

Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных,
а также по уточнению, блокированию и уничтожению персональных данных
....3. В случае выявления неправомерных действий с персональными данными оператор в срок, не превышающий трех рабочих дней с даты такого выявления, обязан устранить допущенные нарушения. В случае невозможности устранения допущенных нарушений оператор в срок, не превышающий трех рабочих дней с даты выявления неправомерности действий с персональными данными, обязан уничтожить персональные данные. Об устранении допущенных нарушений или об уничтожении персональных данных оператор обязан уведомить субъекта персональных данных или его законного представителя, а в случае, если обращение или запрос были направлены уполномоченным органом по защите прав субъектов персональных данных, также указанный орган...

или
Цитата:

Ст25.3. Уполномоченный орган по защите прав субъектов персональных данных имеет право:
... 4) принимать в установленном законодательством Российской Федерации порядке меры по приостановлению или прекращению обработки персональных данных, осуществляемой с нарушением требований настоящего Федерального закона;...

-- источник 152-ФЗ
Хотя можно попытаться привести ИС в более менее приемлемый вид. Для облегчения примения положений 152-ФЗ. Это все, что можно сделать ПОКА без денег. Не стоит забывать что одно из обязательных условий при проверках - как минимум - легальность установленного ПО. А дальше будет видно.

Цитата:

oaf56
Причем если у вас один из компонентов получит более высокий класс, то всю систему прийдется защищать по этому более высокому классу

Не факт

См. СТР-К

Цитата:

5.1.7.    Если классифицированная АС интегрируется в состав вычислительной сети или
системы, то классификации подлежит образуемая в результате интеграции
вычислительная сеть.
Если объединяются АС различных классов защищенности, то интегрированная АС должна классифицироваться по высшему классу защищенности входящих в нее АС. Исключением является случай их объединения посредством межсетевого экрана, когда каждая из объединяющихся АС может сохранять свой класс защищенности.

Цитата:

oaf56
как минимум ДляСлужебногоПользования

Гриф ДСП может применяться только в гос./муниципальных организациях. Коммерческие организации (по существующим нормам) не имеют права использования данного грифа.

Цитата:

Цитата:oaf56
как минимум ДляСлужебногоПользования

Toparenko
Гриф ДСП может применяться только в гос./муниципальных организациях. Коммерческие организации (по существующим нормам) не имеют права использования данного грифа.

Да, выдал я себя....Прокол... Тогда есть коммерческая тайна и кажется даже закон об этом. и Конфиденциальная информация. Главное чтобы не донесли и не прочитали кому не следует. Ответственность там тоже прописана - возмещение ущерба и/или увольнение. Вот так. ВОТ. Причем взыскать могут в течение 3-х лет после увольнения сотрудника.

Цитата:

oaf56
Причем взыскать могут в течение 3-х лет после увольнения сотрудника.

Уже другая норма "в течении всего срока конфиденциальности информации" - т.ч. если введен режим КТ, то может быть и больше 3 лет...

Toparenko
идея разделения серверного сегмента и пользовательского мне нравится. надо глубже изучить этот вопрос, так действительно может обойтись дешевле


Цитата:

Ну если захотят, то следы найдут. Не считайте ВСЕХ 100% идиотами: Печатаете вы же не шариковой ручкой.

да боже упаси всех идиотами считать. я сам гос.службе 6 лет отдал. речь ведь не о том, чтоб нае..ть, а как раз о том, чтоб не дать повода себя
я сам заинтересован в надежно защищенной системе на работе. но в 152 ФЗ мне не нравится необходимость раскошелится на ненужное дорогое оборудование и еще больше, постоянная готовность к визитам нежелательных, но имеющих на то право, лиц. которые думаю могут перестать быть не неожиданными.

Цитата:

DenSyo:идея разделения серверного сегмента и пользовательского мне нравится. надо глубже изучить этот вопрос, так действительно может обойтись дешевле

Посмотри тему с начала. Снизить затраты могут грамотный проект+органиция работы/мест+организационные меры(внутрение ваши документы)

Цитата:

oaf56:Ну если захотят, то следы найдут. Не считайте ВСЕХ 100% идиотами: Печатаете вы же не шариковой ручкой.

DenSyo:да боже упаси всех идиотами считать. я сам гос.службе 6 лет отдал. речь ведь не о том, чтоб нае..ть, а как раз о том, чтоб не дать повода

Это я не со зла.... беспочвенные Иллюзии бывают опасны... Просто будет назначен(уже есть) отвественный админ Информационной Безопасности. так вот в итоге по закону он и будет тем "козлом отпущения"(как в извесной песне). При любом раскладе. В том числе и за утечки, нарушения в обработке, неучтенные угрозы и т.д. и т.п... Мило? Правда пострадают и другие. Но от этого ему легче не станет. Деньгами распоряжается то руководитель, а не админ ИБ. Главное убедить начальника и выбрать оптимальный вариант. А начальнику найти хоть какие денежки. Потому составляй проект от обратного "не как надо, а что можно сделать на то, что дадут"... Почитай тему внимательно сначала.

oaf56
у меня УРМ раскиданы по всему региону, на каждом ведется работа с ПД с исчерпывающей информацией. сеть входит в сеть крупного банка по всей необъятной. сейчас все построено на FreeBSD, дешево и сердито. а какие затраты предстоят что бы все аттестовать, даже подумать страшно. не, деньги конечно не мои, но у меня и без того потребностей в СВТ хватает, чтоб еще в эту сторону сливаться...
разговаривал сегодня с товарищем с предыдущего места работы, таможня уже аттестовалась головняков, говорит, предостаточно. первое, ближайшая контора с полным набором лицензий в другом городе, второе, тут вообще слабо себе представляют что/чему должно соответствовать. хотя, может это и к лучшему.

Закон никакой.
Если его, всем взять, да и честно исполнить, то с 1-го должны закрыться все учреждения. Все. От детских садиков и поликлиник, до крупных компаний. Потому, что он (закон) неисполним. Это профанация здравой идеи о противодействии утечке персональных данных. Просто профаны взяли и написали то, в чем не в зуб ногой, а именно - то, как это осуществлять, с упором на хранение.
Собственно, его исполнить в полной мере никто не сможет. Даже ФСБ, ибо дела, те что на бумаге надо не класть в сейф, а сжигать немедленно перед прочтениемпо этому кривому закону. А то вдруг кто прочтет еще дела-то
Соответственно разговор может идти о том, как отмазаться. От наших любимых органов, которым неисполнимый в принципе, но подлежащий к исполнению закон - это просто подарок, коего они и не ждали, бо и так задарены всеми благАми. Это очень_сильно_не_интересно, тем более, что начальство уже хлопает крыльями, ничерта, кроме самого хлопанья не понимая. Такое ощущение, что скоро в этой стране будут просто заставлять жить (как было недавно, т.е отменят выезд), т.к. сильное желание жить там, где обязательные для исполнения законы пишут не ... . Хм. Дураки. Ну дураки его написали.

Как это обрыдло, господин Медведев! Какие нах инновационные технологии?! Какие прорывы? Какой электронный документооборот? У вас под носом протаскиват закон, гласящий о том, что всем пацакам завтра ходить на руках, ибо так целесообразней, бо кровь приливает к мозгу и думается лучше. А лишние конечности - отрубить. Опять же полезно, меньше калорий тратить на пропитание, а отрубленные конечности можно пустить на муку КРС. Хватит вам и дух конечностей. И работайте руками и предвигайтесь на них же. Ноги - лишнее. Отрезать. А кто против отрезания ног, тому органы отрежут голову. Выбирайте, граждане!
Дурдом.
Если не будет принят закон, об отсрочке введения данного закона, то, господин Медведев, Вы можете взять многие свои "инновационные" слова обратно, пока не поздно.
Далее можно было бы писать еще пару страниц о том, как он будет профанирован, кто на этом нагреет руки и как будут смеяться над "новой" властью. Как в очередной раз очередное поколение "всё_поймет".

Ici Chacal
Слезами горю не поможешь. Не кипятись, отбрось эмоции. Ищи ПРИЕМЛЕМОЕ решение.

---------------
Граждане, Может Добавите в шапку.

Взгляд и разъяснения по сертификации ФСТЭК, ФСБ ПО от фирмы Микрософт:_http://www.microsoft.com/rus/security/certificate/default.mspx.
Надо отдать должное, написано грамотно.

Пример решения: _http://www.microsoft.com/Rus/Government/newsletters/issue17/06.mspx.

По *nix пока толковой(хотябы на таком уровне) инфы не нашел. Добавляйте, не стесняйтесь, не ужели никто никсами не пользуется?

Прошел у нас в Новосибирске семинар по этому закону. Вопросов только больше стало. Штрафы маленькие, законы не доработаны. Работники банка задавали вопрос. Как им быть если они постоянно меняют обработку персональных данных. Только прошли сертификацию, cнова заявку подавать?
В общем как всегда через ж - этож Рассея. Для себя лично уяснил, что обработкой не занимаюсь, а куда жаловаться на нарушителей теперь известно.

netnsk

Цитата:

Для себя лично уяснил, что обработкой не занимаюсь

А можно более развёрнуто, если не сложно, откуда это вытекает?

Мне кажется рано кипишуем. В первую очередь за не исполнение данного закона будут долбить государственные организации. Поэтому нет смысла панику поднимать, лучше просто подождать и посмотреть на сколько строго Органы будут следить за исполнением данного закона.
Наша организация просто не захочет раскошеливаться, пока как говорится первый штраф не впаяют.

Цитата:

lord_of_shadows
В первую очередь за не исполнение данного закона будут долбить государственные организации.

Не-а

Первыми "пострадали" Сбер и фитнес-клуб еще в июне 2008-го
Инфу по проверкам см. по тэгу "проверки". Там же можно посмотреть план проверок

Приятель из одного каско (медицинского) нашего города обратился с просьбой помочь с сертификацией СУБД Firebird (их прикладуха использует эту СУБД для выписки полисов).
Имеет ли смысл вообще связываться с сертификацией подобных (LGPL) продуктов ?
Может проще задачку переписать с использованием сертифицированного MS SQL ?
И еще - вроде как задачу (прикладуху) сертифицировать не надо ?

Проще не значит дешевле.
Если есть возможность сертифицировать Firebird, то это будет дешевле.

patsev anton

Цитата:

Если есть возможность сертифицировать Firebird, то это будет дешевле.

А в абсолютном выражении (сумма руб), хотя бы порядок ?