Коллеги-блогеры (Алексей Лукацкий и Александр Бондаренко) сегодня обратили внимание что в Минюсте опубликован новый приказ ФСБ " Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности "
Документ фактически не поменялся в сравнении с проектом, который неоднократно обсуждался в блогах.
Сводную таблицу с перечнем мер для разных уровней защищенности уже выкладывал Андрей Прозоров , а теперь Александр Бондаренко .
Есть пару моментов, на которые хотелось бы отдельно обратить внимание:
1. Несмотря на то, что приказ предназначен “определяет состав и содержание организационных и технических мер по обеспечению безопасности персональных данных …. с использованием средств криптографической защиты информации”, в нем содержатся требования не связанные с СКЗИ, например по хранению носителей ПДн (ни зашифрованных носителей ПДн, ни носителей с зашифрованными файлами, содержащими ПДн, а просто носителей с ПДн)
То есть, если вы решите зашифровать канал передачи данных с помощью криптошлюзов, вам непонятно по каким причинам придется менять процессы хранения носителей с ПДн. В чем логика ?
2. Много было споров относительно “электронного журнала сообщений”. Что это – точно никто не знает. ФСБ Р как авторы данного термина могли бы дать точное определение, но вместо этого раскрывают тайну по кусочкам
“а) утверждение руководителем оператора списка лиц, допущенных к содержанию электронного журнала сообщений, и поддержание указанного списка в актуальном состоянии;
б) обеспечение информационной системы автоматизированными средствами, регистрирующими запросы пользователейинформационной системы на получение персональных данных, а также факты предоставления персональных данныхпо этим запросам в электронном журнале сообщений;
в) обеспечение информационной системы автоматизированными средствами, исключающими доступ к содержанию электронного журнала сообщений лиц, не указанных в утвержденном руководителем оператора списке лиц, допущенных к содержанию электронного журнала сообщений;”
Во-первых у меня вопрос – откуда такое внимание к этому журналу, если в нем регистрируются всего лишь “Пользователь Петров П.П. запросил ПДн типа 1. Доступ предоставлен”
Зачем тут требования по утверждению перечня лиц и автоматическое разграничение доступа? Вполне можно было обойтись общими правилами предоставления доступа к информационным ресурсам.
Во-вторых, видно что прикладное ПО всех ИС УЗ1-2 придется порядком переделывать. Выделять в ИС – подсистему управления ПДн, которая будет знать, что такие то данные - это ПДн. И это всё из-за пары криптошлюзов на границах сетей. В чем логика ??
