Аттестация информационных систем персональных данных

[Estet]

Нужны контакты фирм(ы), занимающихся (и имеющих лицензию ФСТЭК) аттестацией информационных систем персональных данных.

Срочно!

[YurkaS]

Еще нужны фирмы?

Человек, который занимался сейчас в отпуске, поэтому точных координат сказать не может. Есть фирмы Стратегия безопасности, Энигма, Астра-СТ. Говорит, что фирм таких много.

Нам делали первые.

[DVS]

Горячая тема У моей фирмы очень предварительные переговоры проведены с ЗАО "Информационные системы Джет, Урал" (Екатеринбург). Заполняем анкету, чтобы они оценили во что нам выльется начальный этап по защите персональных данных (список ИСПДн, классификация, подготовка плана мероприятий по защите, помощь в получении лицензии ФСТЭК на тех.защиту конфиденциальной информации).

Ребята (указанной фирмы), по моим впечатлениям, адекватные. Понимают, что тупым выполнением всех требований ФСТЭК можно разорить кого удобно.

Самостоятельное проведение работ по 152-ФЗ для конторы попадающей на категорию К1-K2 (м.б. и К3 частично) слабо себе представляю, хотя ранее думал, что самостоятельно можем справиться.

[YurkaS]

У нас тоже старались обойти малыми расходами. Аттестацию бухгалтерии делали, сколько вышло по сумме, я не знаю, т.к. не я занимался. Из железа были приобретены новые компы и сервер. На каждый комп приобреталась сертифицированные ФСТЭКом Windows XP и на сервер Windows 2003. Все устанавливалось и настраивалось своими силами, потом просто проводилась проверка специальной программой, дальше уже не знаю. Весь процесс довольно длительный, только поставка винды может занять 1-2 месяца.

 

ЗЫ. Возможно будет дешевле купить компы уже сертифицированные.

[xAL]

только поставка винды может занять 1-2 месяца.

Поставка? Они специально для вас печатали/записывали диск в Редмонде и нашей почтой отправляли?

Чем отличается диск с сертифицированной виндой, от серийной, что его аж 1-2 месяца везут?

У нас не помню таких проблем, когда покупали лицензию (сертификаты не нужны были).

[Estet]

А у меня сервак на линуксе. Они будут свой дистрибутив навязывать? Или, что еще хуже, винду навяжут?

[Leonid]

Можно немного раскрыть тему, о чем идет речь?

[Estet]

Можно немного раскрыть тему, о чем идет речь?

В двух словах: если у вас на компе есть БД с персональными данными (ФИО, адрес, паспорт...), то софтинка, которая крутит эту базу, ОС и комп должны быть аттестованы. Чтоб злоумышленики не украли у вас базу.

[Leonid]

В двух словах: если у вас на компе есть БД с персональными данными (ФИО, адрес, паспорт...), то софтинка, которая крутит эту базу, ОС и комп должны быть аттестованы. Чтоб злоумышленики не украли у вас базу.

Хм, кому мы это должны, и кто с нас спросит?

Естественно, в 1С есть ФИО и данные сотрудников. Т.е. это для всех, пользующихся 1С обязательная процедура?

[DVS]

Можно немного раскрыть тему, о чем идет речь?

Есть федеральный закон 152-ФЗ о персональных данных (ФИО, паспорт, адрес и т.д. и т.п.). Если контора обрабатывает (хранит в т.ч.) эти данные (а кадровые данные есть всегда), то надо проводить мероприятия по их защите. Чтобы утечек наружу не было, чтобы не мог в конторе посмотреть их тот, кто не должен, ... Вообще говоря закон касается всех абсоютно. Чем больше [количество субъектов] хранишь - тем больше защитных мероприятий проводить. Начиная с 01/01/2010 все должны требования закона выполнять. Штрафы вроде не страшные (до 20 т.р.), но притянуть могут и к уголовной ответственности [это типа страшилка]

 

К 152-ФЗ есть куча подзаконных актов:

- Постановление Правительства РФ от 17 ноября 2007 г. N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных";

- Постановление Правительства РФ от 15 сентября 2008 г. N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации";

- "Четырехкнижье" от ФСТЭК - Федеральной службы по техническому и экспортному контролю (ДСП, тут описано как защищать. В сентябре обещают гриф ДСП снять);

- Приказ ["трёх"] ФСТЭК, ФСБ РФ и Министерства информационных технологий и связи РФ от 13 февраля 2008 г. N 55/86/20 "Об утверждении Порядка проведения классификации информационных систем персональных данных"

 

Уже проверки (Роскомнадзор) ходят по данной тематике. Смотреть кто и когда - тут

сентябрь 2009 - Общество с ограниченной ответственностью фирма "Интерсвязь"

октябрь 2009 - Министерство социальных отношений Челябинской области

декабрь 2009- Закрытое акционерное общество "Электронные локальные информационные системы"

 

Приходить будут к тем, у кого количество субъектов, по которым хранятся персональные данные, большое. Это логично. И именно таким должно быть "страшно". Думаю что это фирмы, хранящие персональные данные от некольких десятков тысяч субъектов и выше. Типа моей

 

Инсайдеры от Интерсвязи тут есть? Интересно услышать как готовитесь к проверке и как она пройдет. Хотя бы общее впечатление.

[YurkaS]

Поставка? Они специально для вас печатали/записывали диск в Редмонде и нашей почтой отправляли?

Чем отличается диск с сертифицированной виндой, от серийной, что его аж 1-2 месяца везут?

У нас не помню таких проблем, когда покупали лицензию (сертификаты не нужны были).

Лицензионную можно купить на каждом углу. А вот именно сертифицированную ФСТЭК только под заказ. Отличий практически нет, но берется конкретный дистрибутив, проверяется на безопасность, каким образом я не знаю. Доукомплектовывается специальным софтом, которым проверяется целостность установленной системы, и ключом e-Tocken для получения "проверенных" обновлений с их WEB-сервера. Ну и естественно документация по правильной настройке винды тоже присутствует. По желанию можно взять комплект с дополнительным ключом eTocken для авторизации. Кстати очень удобно, вытащил - винда заблокировалась.

 

А у меня сервак на линуксе. Они будут свой дистрибутив навязывать? Или, что еще хуже, винду навяжут?

Зависит, наверное, от конкретного линукса. Возможно и предложат его аттестовать, но это может оказаться дороже.

У нас вообще нетварь стояла в бухгалтерии. Прикинули, что ее аттестация будет дорогой, купили ВинСервер 2003