НДВ на языке бизнеса

        Очень часто специалисту по ИБ тяжело объяснить бизнес-руководителям организации, зачем требуются сертификаты соответствия на средства защиты информации и  почему ФСТЭК требует проведение контроля отсутствия недекларированных возможностей (НДВ) прикладного программного обеспечения, обрабатывающего конфиденциальную информацию. Рассказы о "закладках" воспринимаются ими как шпионские романы.

Паспорт болельщика и 152-ФЗ

              Получил официальный ответ от Управления РКН по ЦФО на свой запрос https://valerykomarov.blogspot.com/2018/04/2018-gdpr.html, в части соблюдения 152-ФЗ:

«Также информируем, что анализ сайта выявил наличие документа определяющему его политику в отношении обработки персональных данных в соответствии с требованиями ч. 2 ст. 18.1 Закона. Данный документ расположен по адресу: www.fan-id.ru/ref.html (Приложение).
Приложение: снимок экрана в 1 экз., на 1 л.»

Хочу купить, а что - не знаю. (Размышления субъекта КИИ)

            Все ближе момент времени, когда субъекты КИИ начнут просчитывать бюджеты на создание систем безопасности значимых объектов КИИ. Далее последуют конкурсные процедуры на закупку технических средств защиты информации и на проектирование систем безопасности. А значит, остро встает вопрос - какие требования установлены законодательством для технических средств, используемых для создания систем безопасности значимых объектов КИИ. Производители и вендора уже начали выводить на рынок комплексные решения для выполнения требований 235 и 239 Приказов ФСТЭК, а так же для совместной работы с ГоСОПКой. Целью данной заметки является формирование предварительных требований к поставщикам в рамках конкурсных процедур,в  полном соответствии с законодательством РФ.

Полезное и интересное с "CISO FORUM 2020: взгляд в будущее"

     Принял участие в конференции "CISO FORUM 2020: взгляд в будущее". Конференция длилась 2 дня, которые для меня распределились следующим образом:

Тук-тук, эпидемиолога вызывали?

           Часто сталкиваюсь в процессе общения (личном и в интернете) с представителями различных организаций- потенциальными субъектами КИИ по теме реагирования на компьютерные атаки с тем, что существует непонимание роли ФСБ и ФСТЭК в повышение защищенности объектов КИИ.

Подскажите, а я субъект КИИ?

           Основные вопросы, который сейчас задает себе руководитель любой организации в РФ, если он в курсе новинок законодательства: "Обязан ли я выполнять требования 187-ФЗ"? Или по другому: "моя организация - это субъект КИИ?" И вопрос "как мне определять объекты КИИ у себя?".

Уголовная ответственность за нарушение правил эксплуатации КИИ

Начало:
Часть 1 https://valerykomarov.blogspot.com/2018/04/blog-post_16.html
Часть 2 https://valerykomarov.blogspot.com/2018/04/blog-post_36.html
            Как ни странно, но органы Прокуратуры РФ очень активно информируют граждан об изменениях законодательства в области обеспечения безопасности КИИ. Это к вопросу о том, что субъектам КИИ надо интересоваться не только мнением ФСТЭК и ФСБ, но и Прокуратуры.

Уголовная ответственность за нарушение правил эксплуатации. Реалии.

В первой части https://valerykomarov.blogspot.com/2018/04/blog-post_16.html мы подвели теоретические итоги анализа Ст.274 УК РФ:
1.Занимается МВД.
2.Ответственность с 16 лет.
3.Наказывают за нарушение правил эксплуатации, которые направлены на обеспечение ИБ. Выборочно, не за все. Необходимо доказывать прямую связь нарушение -ущерб.
4.Правила эксплуатации могут быть описаны в любом официальном документе, не обязательно в инструкции или регламенте.
5. Статья применяется только при нанесенном ущербе ИНФОРМАЦИИ более 1 000 000 рублей. Стоимость ущерба надо доказывать.
6. Статья " не большой тяжести". Срок давности - 2 года.

Посмотрим как это реализуется на практике.

Итог. Положение о сертификации ФСТЭК России. Что несет нам «ветер перемен»?

 

   

     I’ll be back

     Ранее был проведен анализ положений приказа ФСТЭК России "Об утверждении Положения о сертификации продукции, используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа по требованиям безопасности информации" и процесса общественного обсуждения.

Уголовная ответственность за нарушение правил эксплуатации

         Наибольшую озабоченность у субъекта КИИ вызывает угроза уголовной ответственности по п.3 Ст.274.1 "Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, или информационных систем, информационно-телекоммуникационных сетей, автоматизированных систем управления, сетей электросвязи, относящихся к критической информационной инфраструктуре Российской Федерации, либо правил доступа к указанным информации, информационным системам, информационно-телекоммуникационным сетям, автоматизированным системам управления, сетям электросвязи, если оно повлекло причинение вреда критической информационной инфраструктуре Российской Федерации". Статья новая и прецедентов ее применения пока нет.