Про Постановление Правительства 1119

В сентябре делал заметку по проектам Постановлений об Уровнях защищенности и Требованиях к защите. Сейчас после выхода обобщенного Постановления решил привести обе таблицы в соответствие с ним.

Типы:

Уровень	Тип	Категория	Принадлежность	Количество
1	I (НДВ в СПО)	Специальная	-	-
		Биометрия	-	-
		Иные	-	-
	II (НДВ в ППО)	Специальные	Не сотрудники	Более 100 000
2	I (НДВ в СПО)	Общедоступные	-	-
	II (НДВ в ППО)	Специальные	Сотрудники	-
		Специальные	Не сотрудники	Менее 100 000
		Биометрия	-	-
		Общедоступные	Не сотрудники	Более 100 000
		Иные	Не сотрудники	Более 100 000
	III (нет НДВ)	Специальные	Не сотрудники	Более 100 000
3	II (НДВ в ППО)	Общедоступные	Сотрудники	-
		Общедоступные	Не сотрудники	Менее 100 000
		Иные	Сотрудники	-
		Иные	Не сотрудники	Менее 100 000
	III (нет НДВ)	Специальные	Сотрудники	-
		Специальные	Не сотрудники	Менее 100 000
		Биометрия	-	-
		Иные	Не сотрудники	Более 100 000
4	III (нет НДВ)	Общедоступные	-	-
		Иные	Сотрудники	-
		Иные	Не сотрудники	Менее 100 000

Меры:

Уровень	Меры
4	-        физическая безопасность помещений; -        сохранность носителей ПДн; -        перечень лиц, имеющих доступ к ПДн; -        применение СЗИ, прошедших оценку соответствия (Было на Уровне 2).
3	Дополнительно: -        назначить ответственного за безопасность ПДн.
2	Дополнительно: -        доступ к логам только сотрудников оператора (Было на Уровне 3).
1	Дополнительно: -        логирование изменений прав доступа; -        создание структурного подразделения ответственного за ИБ.
-	Лицензия ТЗКИ для защиты своей организации по-прежнему не нужна.

Отдельно хочу пройтись по замечанию Алексея Лукацкого на счет контролируемой зоны. Читаем пункт 13:

а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

Ну и ставьте себе на здоровье хоть по полицейскому возле каждого сервера ИСПДн. А кто мешает растянуть контролируемую зону, чтобы она вышла за физические пределы помещений и распространилась на мобильные устройства сотрудников? Напишем модель угроз, по которой на мобильные устройства будут передаваться (отображаться) минимальное количество ПДн, с которыми и будет работать:  пограничник, банковский/страховой агент и кто угодно еще. И поставим необходимые СЗИ на планшеты для защиты передаваемой по каналу связи и отображаемой на экране информации. Да хоть и сертифицированные, о чем должны думать уже производители этих самых СЗИ.

Я лично считаю, что одним росчерком пера нельзя подавить прогресс и развитие технологий, поэтому к пониманию и выполнению требований нужно тоже подходить творчески.