CftClub.ru

[alexiy]

уважаемые коллеги.
по слухам, в относительно недалеком будущем нас ожидает очередная за... сада.
В федеральном законе 152-ФЗ (О персональных данных), ст. 25, ч.3 сказано:
"
3. Информационные системы персональных данных, созданные до дня
вступления в силу настоящего Федерального закона, должны быть
приведены в соответствие с требованиями настоящего Федерального закона
не позднее 1 января 2010 года.
"
и санкции в случае несоблюдения м.б. весьма плачевными.
слышал ли кто-нибудь о действиях ЦФТ в целях обеспечения соблюдения?...
нам они пока не отвечают на запрос.
или может кто-то уже сам что-то разрабатывает в этом направлении?...
_________________
two bee or not two bee

[otecfedor]

Вообще-то 153-ФЗ.
А какие действия от ЦФТ вы ожидаете?
Сертификацию во ФСТЭК ?
Хе... Это вряд ли...
Будут сертифицировать каждую ИСПД.
Покупайте в ЦФТ интеграцию с криптухой и подавайте заявку на сертификацию.
Или лицензируйте себя на право технических действий по защите ПДн.

Кароче - куда не кинь, везде 100 000 зелени
_________________
Истина где-то между...

[alexiy]

[otecfedor]

Мдя. Мой косяк.


Собсна суть от этого не меняется.
ИСПД, используемые в банках будут классифицироваться как специальные инф.системы 2-го класса.

Подлежат сертификации...
_________________
Истина где-то между...

[москаль]

что-то я не пойму позицию, что должен сертифицироваться банк?
Есть разработчик, который продает продукт. По моему мнению продукт должен отвечать всем требованиям(в том числе сертификационным). Или я совсем отстал от жизни...

[otecfedor]

1. Необходимо проведение анализа всех договоров, заключаемых в банке с физическими лицами (сотрудниками и клиентами) на предмет необходимости внесения в них согласия на хранение и обработку ПДн
2. Требуется разрабатывать модели угроз для информационных систем ПДн
3. Возможно, что необходимо получать лицензию на осуществление деятельности по технической защите конфиденциальной информации
4. Требуется провести аттестацию инф.систем ПДн
5. Требуется разработать уведомление в Роскомнадзор об обработке ПДн
6. Требуется создать набор документов, включающих в себя:
- Перечень ПДн, обрабатываемых в Банке;
- Перечень подразделений и ответственных лиц Банка, допущенных к обработке ПДн ;
- Описание технологических процессов обработки ПДн;
- Перечень инф.систем ПДн Банка;
- Акт классификации инф.систем ПДн;
- Модели угроз безопасности ПДн при их обработке в инф.системах ПДн.



Из этого перечня - данная ветка касается аттестации ИСПДн. В нашем случае - ЦФТ.
Если вы докажете, что ЦФТ это коробочный продукт, то тогда можно нагибать само ЗАО ЦФТ о сертификации.
Уверен, что доказать это невозможно.
Мало того.
Придётся аттестовывать, например, всё сетевое оборудование, участвующее в процессе передачи ПДн. Т.е. не Cisco будет аттестовывать, а мы.
А сертифицированных организаций, которые получили лицензии на то от ФСТЭК и/или ФСБ кот наплакал.
КРОК, например, выкатывает прайс на 100 000 зелени на проведение работ по 152-ФЗ...
Так что...
Возможно, что и отстали от жизни...
_________________
Истина где-то между...

[timochev]

Коллеги, у нас тут разгорелась дискуссия, чему равны Xнпд и Хпд согласно Порядку проведения классификации информационных систем ПД
Вот выдержки из порядка:

[otecfedor]

Мы решили, что стоит немного обождать с какими-либо действиями по 152-ФЗ.
На самом деле, ответственности-то, реально, никакой.
Юристы скоро дадут заключение по максимально применимым санкциям, однако, если в договорах с физиками везде есть разрешение на обработку и хранение ПДн, то, похоже, что всё определяется КОАППом. А там что-то вроде 10 000 рублей за нарушение условий. Это явно меньше, чем стоимость сертификаций и т.п..
Да и реакции на письмо АРБ надо подождать.
Кароче - будем посмотреть
_________________
Истина где-то между...

[Tony]

Мы тоже решили немножко подождать.

Так же считаю что классификация ЦФТ проведена не корректно.