10 блогов по информационной безопасности

Добрый вечер, дорогие читатели! Блогов по информационной безопасности в последнее время стало очень много, следить за их обновлениями довольно сложно, если Вы еще не решили, кого читать в первую очередь, могу порекомендовать свой хит-лист. Итак, 10 блогов, которые я читаю чаще всего:

http://anvolkov.blogspot.ru/ - Безопасность для понимающих и не очень.
http://emeliyannikov.blogspot.ru/ - Рецепты безопасности от Емельянникова.
http://www.tsarev.biz/ - Информационная безопасность по-русски.
http://www.lukatsky.blogspot.ru/ - Бизнес без опасности.
http://80na20.blogspot.ru/ - Жизнь 80 на 20.
http://rusrim.blogspot.ru/ - Кто не идет вперед, тот идет назад.
http://sborisov.blogspot.ru/ - Блог Сергея Борисова про ИБ.
http://xpomob.blogspot.ru/ - Ригельз дыбр.
http://secinsight.blogspot.ru/ - Security Insight - Блог Александра Бондаренко.
http://personal-data.livejournal.com/ -  Персональные данные. Правоприменение.

А кого читаете Вы? 

Информационное сообщение ФСТЭК России по 17 и 21 приказам (часть 3)

Добрый день, дорогие читатели! Представляю Вашему вниманию третью и завершающую часть цикла постов об информационном сообщении ФСТЭК.
1 часть здесь.
2 часть здесь.

7 вопрос. Какие требования предъявляются к средствам защиты персональных данных? Каким образом отражается соответствие средств защиты информации?

В государственных информационных системах 1 и 2 классов защищенности и в информационных системах персональных данных 1, 2 уровней защищенности и 3 уровня защищенности, для которых к актуальным отнесены угрозы 2-го типа, применяются средства защиты информации, программное обеспечение которых прошло проверку не ниже чем по 4 уровню контроля отсутствия недекларированных возможностей.

Выбор классов защиты сертифицированных средств защиты информации осуществляется в соответствии с пунктом 26 Требований, утвержденных приказом ФСТЭК России N 17, и пунктом 12 Состава и содержания мер, утвержденных приказом ФСТЭК N 21.

Соответствие уровню контроля отсутствия недекларированных возможностей указывается в сертификатах соответствия требованиям по безопасности информации на эти средства защиты информации.

Возможность применения в государственных информационных системах соответствующего класса защищенности средств защиты информации, сертифицированных на соответствие требованиям безопасности информации, установленным в технических условиях (заданиях по безопасности), указывается заявителем (разработчиком, производителем) в эксплуатационной и конструкторской документации на эти средства (формулярах и технических условиях).

8 вопрос. Необходимо ли применять дополнительные меры защиты для нейтрализации угроз безопасности персональных данных 1-го и 2-го типов?

В соответствии с пунктом 11 Приказа 21 операторами могут применяться дополнительные меры, связанные с тестированием информационной системы на проникновения и использованием в информационной системе системного и (или) прикладного программного обеспечения, разработанного с использованием методов защищенного программирования. Указанные меры не являются обязательными и применяются по решению оператора, к тому же до разработки и утверждения ФСТЭК России методических документов по реализации указанных мер порядок их применения определяется оператором самостоятельно.

9 вопрос. Планируется ли разработка нормативных документов в целях реализации Требований, утвержденных приказом ФСТЭК N 17?

Приказ N 21 издан во исполнение части 4 статьи 19 Федерального закона «О персональных данных». Указанным Федеральным законом разработка ФСТЭК России иных документов по обеспечению безопасности персональных данных, в том числе по моделированию угроз безопасности персональных данных, не предусмотрена. Определение типов угроз безопасности персональных данных осуществляется оператором в соответствии остановлением Правительства N 1119.

ФСТЭК России завершается разработка методических документов по описанию содержания мер защиты информации в информационных системах и порядку моделирования угроз безопасности информации в информационных системах. Ориентировочный срок утверждения документов – IVквартал 2013 г. Так как рекомендации ФСТЭК написаны в 2013 году, об утвержденном документе говорится в будущем времени: ссылка.

Планируется разработка методических документов, определяющих порядок обновления программного обеспечения в аттестованных информационных системах, порядок выявления и устранения уязвимостей в информационных системах, порядок реагирования на инциденты, которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации, а также ряда других методических документов, направленных на реализацию требований, утвержденных приказом N 17. 

Обзорная статья по методам современного мошенничества

Добрый день, коллеги! Предлагаю Вашему вниманию свою новую статью: ссылка.

Информационное сообщение ФСТЭК России по 17 и 21 приказам (часть 2)

Добрый вечер, дорогие читатели! Предлагаю Вашему вниманию продолжение моего поста Информационном сообщении ФСТЭК России, первую часть можно прочитать здесь.

4 вопрос. Каковы границы применимости требований, утвержденных приказом ФСТЭК России от 11 февраля 2013 № 17 в отношении муниципальных информационных систем?

Требования, утвержденные приказом ФСТЭК России N 17, распространяются на муниципальные информационные системы, если иное не предусмотрено законодательством Российской Федерации о местном самоуправлении (в частности, Федеральным законом от 6 октября 2003 г. N 131-ФЗ «Об общих принципах местного самоуправления в Российской Федерации» и принятыми в соответствии с ним иными нормативными правовыми актами Российской Федерации).

5 вопрос. Отменяет ли Приказ ФСТЭК № 17 требования СТРК-К?

СТР-К применяется в качестве методического документа при реализации мер по защите государственных информационных систем в целях нейтрализации угроз безопасности информации, связанных с защитой от утечки по техническим каналам. Иные положения СТР-К могут применяться по решению обладателей информации, заказчиков и операторов государственных информационных систем в части, не противоречащей Требованиям.

 Кроме того, положения СТР-К и РД АС по решению обладателя информации могут применяться для защиты сведений конфиденциального характера, обрабатываемых в негосударственных информационных системах.

6 вопрос. Допустимо ли применять понятие «информационная система», если в национальных стандартах в области защиты информации используется понятие «автоматизированная система»?

В Приказах ФСТЭК России N 17 и 21 используется понятие «информационная система», в иных методических документах и национальных стандартах в области защиты информации используется понятие «автоматизированная система», определенное национальным стандартом ГОСТ 34.003-90.

Исходя из родственных определений понятия «информационная система» и понятия «автоматизированная система», установленного национальным стандартом ГОСТ 34.003-90, использование в нормативных правовых актах ФСТЭК России понятия «информационная система» не влияет на конечную цель защиты информации.

Информационное сообщение ФСТЭК России по 17 и 21 приказам (часть 1)

Добрый вечер, дорогие читатели! Хочу поделиться с вами ссылкой на информационное сообщение ФСТЭК по поводу 21 и 17 приказов - в данном документе содержится полезная информация для операторов персональных данных.

Рассмотрим по порядку вопросы и ответы, так как именно в форме ответов на вопросы операторов построено информационное сообщение. Для удобства и вопросы и ответы сокращены (без потери смысловой нагрузки).

1 вопрос. Нужна ли повторная аттестация систем, прошедших ранее оценку соответствия?

Информационные системы, аттестованные (прошедшие оценку эффективности) по требованиям защиты информации до вступления в действие Требований, утвержденных приказом ФСТЭК России от 11 февраля 2013 г. N 17, и Состава и содержания мер, утвержденных приказом ФСТЭК России от 18 февраля 2013 г. N 21, повторной аттестации (оценке эффективности) в связи с изданием указанных нормативных правовых актов не подлежат.

2 вопрос. Какие нормативные документы регулируют состав и содержание мер защиты персональных данных для государственных информационных систем? 

Для обеспечения безопасности персональных данных при их обработке в государственных информационных системах в дополнение к Требованиям, утвержденным приказом ФСТЭК России от 11 февраля 2013 г. N 17, необходимо руководствоваться требованиями (в том числе в части определения уровня защищенности персональных данных), установленными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119. 

3 вопрос. В какой форме должна проводиться оценка эффективности мер, принимаемых для обеспечения безопасности персональных данных?

Решение по форме оценки эффективности и документов, разрабатываемых по результатам (в процессе) оценки эффективности, принимается оператором самостоятельно и (или) по соглашению с лицом, привлекаемым для проведения оценки эффективности реализованных мер по обеспечению безопасности персональных данных. В части государственных информационных систем, в которых обрабатываются персональные данные, оценка эффективности принимаемых мер по обеспечению безопасности персональных данных проводится в рамках обязательной аттестации государственной информационной системы по требованиям защиты информации в соответствии с Требованиями, утвержденными приказом ФСТЭК России от 11 февраля 2013 г. N 17, национальными стандартами ГОСТ РО 0043-003-2012 и ГОСТ РО 0043-004-2013 «Защита информации. Аттестация объектов информатизации. Программа и методики аттестационных испытаний».

Законодательство в области защиты персональных данных

Добрый день, дорогие читатели! В связи с тем, что законодательство в области персональных данных довольно-таки часто меняется, решила составить шпаргалку актуальных нормативно-правовых актов. Естественно, с полнотой списка можно спорить, я выделила для себя в качестве основных следующие документы (в скобках приведены мои посты в тему):

1. Федеральный закон от 19 декабря 2005 г. №160-ФЗ "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных" - документ с которого все собственно говоря и началось, рекомендую к прочтению начинающим защитникам персональных данных для общего развития и формирования "комплексного подхода". 

2. Федеральный закон от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации" - без этого закона мы с вами никуда, почитать нужно, но если очень торопитесь, то документ не первой важности.

3. Федеральный закон от 7 мая 2013 г. №99-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием федерального закона "О ратификации Конвенции Совета Европы О защите физических лиц при автоматизированной обработке персональных данных" и федерального закона "О персональных данных" - здесь про то, на что Конвенция повлияла, интересное чтение для общего развития.

4. Указ Президента РФ от 06.03.1997 N 188 "Об утверждении Перечня сведений конфиденциального характера" - очень важный и очень короткий документ. Вы будете ссылаться на него при проведении служебных проверок и оформлении писем в надзорные органы.

5. Указ Президента Российской Федерации от 30 мая 2005 года N 609 "Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела" - для госслужащих обязательно.

6. Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных" - основа основ, с каждым прочтением открываю для себя новые смыслы, хоть и занимаюсь защитой персональных данных 5 лет. Что радует, только вроде бы начинаешь понимать что-то, как вносятся изменения и можно снова углубиться в чтение и приятные раздумья :)

7. Постановление Правительства Российской Федерации от 15 cентября 2008 г. №687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации" - очень-очень важный документ, про который часто забывают, но Роскомнадзор в своих проверках на него часто ссылается.

8. Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утвержденные руководством 8 Центра ФСБ России 21.02.2008 № 149/54-144 - трудный для чтения и понимания документ, пока действующий, но статус его несколько непонятен.

9. Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденные руководством 8 Центра ФСБ России 21.02.2008 № 149/6/6-622 - см. пункт 8.

10. Приказ ФСТЭК России от 18.02.2013 N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" - все меры защиты здесь (ссылка).

11. Приказ "Об утверждении требований и методов по обезличиванию персональных данных" от 05.09.2013 года N 996 - очень интересный документ, но чур не читать его без пункта 12 (ссылка).

12. "Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. N 996 "Об утверждении требований и методов по обезличиванию персональных данных" - ключ к пониманию пункта 11.

13. Постановление Правительства РФ от 1 ноября 2012 г. № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" - про классификацию систем все найдете здесь (ссылка).

14. Постановление Правительства Российской Федерации от 6 июля 2008 г. №512 "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных" - важно прочитать, чтобы знать, насколько нежелательно хранить биометрические данные в электронном виде.

15. Постановление Правительства Российской Федерации от 21 марта 2012 г. N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" - для госслужащих (ссылка).

16. Приказ Министерства связи и массовых коммуникаций Российской Федерации от 14 ноября 2011 г. N 312 «Об утверждении Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства российской федерации в области персональных данных» - о том, как вас будут проверять.

17. Приказ Роскомнадзора от 19 августа 2011 г. №706 "Об утверждении Рекомендаций по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных" - как заполнить самый первый документ - уведомление об обработке персональных данных, не читать без пункта 18.

18. Приказ Роскомнадзора от 14 марта 2014 г. № 37 «О внесении изменений в Рекомендации по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных, утвержденные приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 19 августа 2011 г. № 706» - важное дополнение пункта 17 (ссылка).

Добавлено по рекомендации Андрея Прозорова (блог):

19. Приказ ФСТЭК России от 11 февраля 2013 г. № 17 "Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" - для госслужащих.

20. Методический документ ФСТЭК России от 11 февраля 2014 "Меры защиты информации в государственных информационных системах" - для госслужащих (ссылка на сайте ФСТЭК).

21. Разъяснения Роскомнадзора по вопросам, касающимся обработки персональных данных работников, соискателей на замещение вакантных должностей, а также лиц, находящихся в кадровом резерве  - интересное чтение (ссылка на сайте Роскомнадзора). 

22. Разъяснения Роскомнадзора по вопросам отнесения фото-, видеоизображений, дактилоскопических данных к биометрическим персональным данным  - решение спорного вопроса (сылка на сайте Роскомнадзора). 

Вот и весь список, напишите мне, если забыла что-то важное, обязательно поправлю. 

Если кому-то интересно, то можно посмотреть насколько изменилась ситуация в законодательстве за 2 года - ссылка на мою старую презентацию по защите персональных данных здесь.

Приказ Роскомнадзора от 14 марта 2014 г. № 37 «О внесении изменений в Рекомендации по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных...»

Здравствуйте, дорогие читатели! Сегодня один из тех случаев, когда название поста по размеру немногим отличается от его содержимого. Новость короткая, но важная.

Как мы помним, классы ИСПДн давно уже канули в лету (об уровнях защищенности и Постановлении Правительства № 1119 можно почитать здесь), а форма уведомления об обработке персональных данных оставалась прежней. Так вот, ситуация поменялась, как нам и обещали, происходит гармонизация законодательства и противоречий становится все меньше. Причину для радости операторов Вы можете наблюдать здесь. Приказ коротенький и главное в нем - исключение подпункта в пункта 10 в «Рекомендациях по заполнению образца формы уведомления об обработке (о намерении осуществлять обработку) персональных данных».

Напомню Вам содержимое подпункта в пункта 10 (если кто забыл):

10. В поле «описание мер, предусмотренных статьями 18.1 и 19 Федерального закона «О персональных данных», указываются:

...
в) класс информационной системы персональных данных Оператора (пункт 14 приказа ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 г. № 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»;


Про уровни пока нет ни слова...