Буревестник об изменениях на рынке дополнительного профессионального образования

Говорят, долгая разлука укрепляет отношения… Что ж, надеюсь, что уважаемые читатели простят длительное отсутствие и снова порадуют своим присутствием, а может, даже и комментариями.

Так вот, коллеги, вернулся я в минуту тревожную для нашей отрасли. С 1 сентября мы попадаем в правовой вакуум. История заключается в следующем:
В апреле 2012 года появляется - уже ставшее небезызвестным - Постановление Правительства №313, в котором содержатся определенные требования к специалистам по информационной безопасности. Об этих требованиях уже много говорилось – например, тут   
Учебные центры тогда стали разрабатывать программы, которые удовлетворили бы и ФСБ, и специалистов, и их работодателей. Нашли «золотую середину». Стали учить и выдавать в соответствии с ПП-№313 дипломы Государственного образца.

Около полугода назад – нас словно обухом по голове. Появилась информация о том, что с 1 сентября 2013 года все учебные заведения, – включая ВУЗы, что очень важно – обучающие по программам дополнительного профессионального образования (ДПО), лишатся возможности выдавать документы Государственного образца. Эта информация пришла из Министерства образования. Согласно новому закону «Об образовании в Российской Федерации».

До сентября осталось чуть больше  месяца, закон действительно вступает в силу со всеми вытекающими.

После 1 сентября 2013 года слушатели будут получать документы установленного образца. Все бы хорошо, но  статус этих документов еще предстоит определить органам исполнительной власти, в то время как регулятор будет требовать дипломы (свидетельства, удостоверения) о профессиональной переподготовке по ИБ государственного образца.

Наверняка, решение найдется. Сейчас обсуждаются варианты выхода из сложившейся ситуации, но сколько времени займет у сообщества прийти к консенсусу  - пока загадка даже для нас.
Поэтому мой совет до банального прост – не ждать, когда запахнет жареным, а получить документ гособразца (Удостоверение, Свидетельство) в августе. Возможность выдавать Гос.документы у нас пока есть. Не откладывайте на сентябрь то, что потом будет невозможно сделать.

Профессиональная переподготовка в области информационной безопасности. Как спланировать длительное обучение в объеме более 500 часов?

   В соответствии с «Положением о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств…», утвержденным Постановлением Правительства РФ №313 от 16 апреля 2012 года, при осуществлении лицензионной деятельности выдвигаются достаточно жесткие квалификационные требования к персоналу лицензиата (соискателя лицензии).

   Жесткость требований никто не оспаривает, т.к. речь идет о защите конфиденциальной информации. Вопрос в том, что эти требования должны быть физически реализуемыми.

   Если мы внимательно посмотрим на лицензионные требования, то можем увидеть следующие противоречия и не соответствия. Требования к образованию руководителей и инженерно-технических работников лицензируемого вида деятельности на оказание услуг шифрования информации, технического обслуживания СКЗИ, а также распространения СКЗИ являются не выполнимыми. Указанным требованиям отвечают выпускники вузов только 2009 года, т.к. действующая редакция общероссийского классификатора специальностей принята в 2004 году. Срок базового обучения по направлению «Информационная безопасность» − 5(6) лет. В настоящее время отсутствует какой-либо нормативный документ, относящийся к специальностям, полученным при обучении до 2009 года.

   Требования к инженерно-техническому работнику при осуществлении лицензируемого вида деятельности распространение СКЗИ выше, чем к его руководителю, что не соответствует требованиям Трудового кодекса РФ.

   Требования к инженерно-техническому работнику по распространению СКЗИ противоречат требованиям к техническому персоналу, непосредственно осуществляющему деятельность по созданию и выдаче сертификатов в соответствии с пп. 4 п. 3 с. 16 федерального закона 63-ФЗ от 06.04.2011 «Об электронной подписи» (иметь высшее профессиональное образование в области информационных технологий или информационной безопасности либо высшее или среднее профессиональное образование с последующим прохождением переподготовки или повышения квалификации по вопросам использования электронной подписи).

   Если сравнивать с требованиями к квалификации персонала, выдвигаемыми предыдущим Постановлением Правительства РФ № 957, то там мы не наблюдали никаких противоречий. Например, для инженерно-технических работников требовалось высшее профессиональное образование или переподготовка (повышение квалификации) в области информационной безопасности.

   Также, согласно п.п. г) п. 7 «Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств…», утвержденного Постановлением Правительства РФ №313 от 16 апреля 2012 года для получения (продления) лицензии ФСБ России соискатель лицензии (лицензиат) представляет (направляет) в лицензирующий орган копии документов государственного образца (дипломы, аттестаты, свидетельства) об образовании, о переподготовке, повышении квалификации по направлению "Информационная безопасность"…

   Требований наличия государственных документов о повышении квалификации в ПП РФ №957 не было.

   С целью обратить внимание на указанные выше проблемы банковское сообщество в лице НП «Национальный платежный совет» подготовило и направило на имя Председателя Правительства Д.А. Медведева письмо (http://platsovetrf.ru/ru/news/index.php?id=75), в котором было отмечено:

   - Отмечается наличие проблемных вопросов у кредитных организаций в процессе выполнения требований ПП №313,

   - Требования ПП №313 более жесткие, чем были в ПП №957. Некоторые нормы нового Положения требуют уточнения,

   - Отмечается, что ранее действующий Общероссийский классификатор специальностей по образованию ОК 009-93, утвержденный в 1993 году, не содержал такого направления ВПО, как информационная безопасность,

   - Общероссийский классификатор ОК 009-2003, утвержденный в 2003 году, введен в действие 1.1.2004г. Срок обучение по направлению «Информационная безопасность» 5 и более лет. При этом порядок соотношения специальностей, полученных до 2009 года, со специальностями по данному направлению не установлен.

   Также в письме приводятся рекомендации по новым формулировкам требований к квалификации персонала.

   Для реализации требований в части профессиональной переподготовки по направлению «Информационная безопасность» Академия Информационных Систем разработала и проводит обучение по соответствующей программе в объеме 530 часов.

   Краткая информация по курсам профессиональной переподготовки Академии Информационных Систем:

   Формы обучения: очная аудиторная (вечерние занятия) без отрыва от производства и смешанная (с использованием современных дистанционных технологий и двусторонней аудио и видео конференцсвязи) без отрыва от производства.

   Продолжительность обучения – 1 месяц (106 часов) и 4 месяца (530 часов).

   При очной форме обучения занятия проводятся в вечернее время ежедневно и по субботам. При смешанной форме обучения занятия проводятся с использованием современных дистанционных технологий и двусторонней аудио и видео конференцсвязи с очными вечерними сессиями и вебинарами (согласно утвержденного расписания).

Программы профессиональной переподготовки согласованы с ФСТЭК России и ФСБ России.

   При разработке учебной программы профессиональной переподготовки соблюдена преемственность по отношению к Федеральным Государственным образовательным стандартам высшего образования (ФГОС ВПО) по направлению подготовки "Информационная безопасность" (в том числе к ФГОС ВПО по направлению подготовки 090900 «Информационная безопасность»), а также квалификационные требования, указанные в квалификационных справочниках, утверждаемых в порядке, устанавливаемом Правительством Российской Федерации, по соответствующим должностям, профессиям, специальностям (в соответствии с Общероссийским классификатором специальностей).

   Также соблюдены требования профессиональных стандартов (включая международные) в области информационной безопасности и обеспечения непрерывности бизнеса, действующие на момент формирования учебной программы.

   По окончании обучения по программе профессиональной переподготовки и успешном прохождении аттестационных испытаний (написание и защита выпускной аттестационной работы) слушателям выдается Государственный Диплом.

   Данный Диплом удостоверяет право (соответствие квалификации) специалиста на ведение профессиональной деятельности (включая ведение нового вида деятельности) в сфере «Информационная безопасность», согласно п.п. г) п. 7 «Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств…», утвержденного Постановлением Правительства РФ №313 от 16 апреля 2012 года.

   Основные темы, рассматриваемые в программах профессиональной переподготовки:

Модуль 1: «Вводные замечания. Законодательное и нормативно-правовое регулирование вопросов защиты информации в Российской Федерации»;

Модуль 2: «Построение комплексной системы обеспечения информационной безопасности в организации»;

Модуль 3: «Системы управления защитой информации и обеспечение бесперебойности и непрерывности бизнеса»;

Модуль 4: «Техническая защита конфиденциальной информации»;

Модуль 5: «Криптографическая (с помощью шифровальных средств) защита конфиденциальной информации»;

Модуль 6: «Особенности обеспечения информационной безопасности ПДн в ИСПДн организации»;

Модуль 7: «Особенности обеспечения информационной безопасности в кредитно-финансовой сфере».

По всем вопросам относительно обучения просьба обращаться:

Менеджер отдела информационной безопасности

Филимоненкова Ольга Николаевна,

+7(495) 231 3049,

security@infosystem.ru

НП «НПС» направило Председателю Правительства Российской Федерации Медведеву Д.А. письмо

   НП «НПС» направило Председателю Правительства Российской Федерации Медведеву Д.А. письмо (http://www.platsovetrf.ru/ru/news/index.php?id=75) с предложениями о внесении изменений в порядок лицензирования деятельности по разработке, производству, распространению шифровальных (криптографических) средств, установленный Постановлением Правительства Российской Федерации от 16.04.2012 № 313.

   В письме обращается внимание на проблемы, возникающие в практической деятельности кредитных организаций - участников национальной платежной системы, при применении требований «Положения о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)», утвержденного Постановлением Правительства Российской Федерации от 16.04.2012 № 313.

   В целях решения проблем, означенных в обращении, НП «НПС» предлагает рассмотреть возможность внесения в Постановление Правительства Российской Федерации от 16.04.2012 № 313 ряда изменений, в частности, предлагается обеспечить возможность продолжать осуществлять свою деятельность в области информационной безопасности по определенным видам лицензируемой деятельности без прохождения дополнительного обучения специалистам, соответствовавшим требованиям Постановления Правительства Российской Федерации от 29.12.2007 № 957 «Об утверждении положений о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами» и получившим образование по соответствующим специальностям, указанным в Общероссийском классификаторе специальностей по образованию ОК 009-93, а также специалистам, имеющим достаточный опыт практической деятельности.

Источник - http://www.platsovetrf.ru/ru/news/index.php?id=75

Проект приказа ФСБ России "Об утверждении Административного регламента ФСБ России по ПДн"

Проект приказа ФСБ России "Об утверждении Административного регламента ФСБ России по исполнению государственной функции по осуществлению государственного контроля (надзора) за выполнением установленных Правительством РФ требований к обеспечению безопасности персональных данных" - http://pd.rsoc.ru/law/legislation-projects/.

Роскомнадзор закроет сайты, распространяющие персональные данные

   Роскомнадзор обратился в Генеральную прокуратуру и ФСБ с требованием закрыть два сайта, публикующие персональные данные граждан России, сообщил РИА Новости во вторник глава ведомства Сергей Ситников.

   "На позапрошлой неделе мы были вынуждены обратиться в следственный комитет Генпрокуратуры и ФСБ по двум сайтам, которые массово распространяли информацию по гражданам РФ. В том числе, обо мне - я там себя нашел", - сказал Сергей Ситников.

   По его мнению, нередко сами госструктуры поставляют базы персональных данных на черный рынок. Глава Роскомнадзора отмечает, что таких людей относительно легко найти, так как в организациях, как правило, лишь ограниченное количество лиц имеет возможность копировать персональные данные граждан.

   Это не первая история такого рода. В апреле 2009 года был закрыт сайт Radarix.com, на котором были доступны огромные объемы - 3 терабайта - персональных данных россиян и украинцев. Человека можно было найти по его имени, номеру телефона, адресу проживания или прописки, номеру водительских прав или ИНН. Незаконный ресурс взимал плату за доступ к информации.

 

Источник: rian.ru

Конференция по защите Персональных данных в рамках Форума "Технологии Безопасности 2010"

  Принял сегодня участие в ТБ-форуме. Много что порадовало и много, что огорчило.
В первую очередь, огорчило то, что практически полностью отсутствовали стендисты по ИТ-безопасности. Практически весь выставочный зал был оборудован стендами компаний занимающихся физической безопасностью, системами видеонаблюдения, защищенными системами связи и т.п. Наверно идет четкое разделение аудиторий между ТБ-форумом и Infosecurity. Возможно, это и правильно. В этом году на удивление было очень много иностранцев, включая стендистов.
  Порадовала конференция по защите ПДн, которую мы организовали в рамках форума. Как ни странно, но эта тема до сих пор вызывает бурный интерес у публики. Об этом говорило то, что конференц-зал был полон. Как ни странно, но у многих участников возникали вопросы по внесенным в прошлом году изменениям в 152 ФЗ, что мол теперь криптосредства можно не использовать и т.п. Эти мысли были развеяны представителем 8 Центра ФСБ Гавриловым В.Е. Если принимаемых организационных и технических мер не достаточно для защиты ПДн, то необходимо применять сертифицированные криптосредства со всеми вытекающими последствиями.
  Также представителям ФСБ и ФСТЭК был задан вопрос по поводу отраслевых стандартов Банка России и телекомов. На что они ответили, что тексты стандартов они получили, но пока никакого решения не принято.
  Было много вопросов по моделям угроз, аттестации, совместным проверкам РКН, ФСТЭК и ФСБ и т.п.
  По ходу диалога было видно, что представители некоторых компаний пытаются противопоставлять обязательность выполнения требований регуляторов и интересов бизнеса, при этом полностью забывая, что закон направлен на защиту конституционных прав субъектов ПДн, а не на ущемление прав операторов.

Закон о персональных данных вступит в действие в установленный срок, сообщает Роскомнадзор

  Изменений сроков вступления в силу закона об ответственности за незаконное распространение и использование персональных данных жителей России, которых добиваются коммерческие организации, не будет, сообщила в среду в Сочи начальник управления защиты прав субъектов персональных данных Роскомнадзора Лариса Васильева. 
  "Мы понимаем, что имеющаяся на сегодня защита персональных данных является сложной организационно и финансово обременительной, но даже социальные структуры могут разработать систему доступа только определенных лиц к своим базам данных и соответственно предостеречь утечку информации", - уточнила Васильева. 
  Представитель Федеральной службы безопасности РФ, которая выступает регулятором на рынке информационных систем и связи, в свою очередь пояснил, почему другие сроки вступления санкций в силу даже не рассматриваются. 
  "Переноса срока вступления санкций за распространение данных о субъекте не будет еще и потому, что, например, происходит обмен данными о преступности между нами (Россией) и Евросоюзом. Мы им предоставляем данные, а Евросоюз - нет, поскольку у нас закон не вступил в действие. Здесь прослеживается аналогия с системой финансового мониторинга страны, когда его не было, то кредитный рейтинг страны был очень низкий, и тогда его срочно ввели", - сказал заместитель начальника Центра ФСБ РФ Александр Баранов.
  По данным аналитической службы группы компаний "Стинс Коман", которые были предоставлены журналистам на VIII Всероссийской конференции "Обеспечение информационной безопасности. Региональные аспекты" в Сочи, 42% российских компаний планируют привести в соответствие с законодательством системы защиты персональных данных; 31% операторов планируют вести диалог с государством о переносе сроков вступления санкций с 1 января 2010 года на более поздний срок; 53% респондентов - представителей операторов персональных данных хотят построить реально функционирующие системы защиты. Подобную систему защиты данных уже применяет Пенсионный фонд России.

Источник: РИА Новости

Дорогая информация

  В последнее время в Интернете появилось достаточно много статей о невозможности приведения в соответствие требованиям законодательства ИСПДн организаций до 01.01.2001 года. С очередной статьей можно ознакомиться по ссылке http://www.konkurent.ru/list.php?id=112.
  С 1 января 2010 г. компании, работающие с персональными данными сотрудников или клиентов, а это практически 90% всех предприятий и организаций страны, обязаны защитить свои базы данных, как того требует 152-ФЗ «О персональных данных». Большая часть компаний этого сделать не сможет, поскольку процедура эта трудоемкая, путаная и затратная, а времени осталось совсем немного. К нарушителям будут применяться различные санкции: от выписывания протоколов об административном нарушении и заведения уголовных дел до прекращения деятельности самого предприятия.

Источник: konkurent.ru

Пирамида избавила клиентов от 33 млн рублей

  В Оренбурге пресечена деятельность финансовой пирамиды, причинившей ущерб гражданам в 33 млн рублей, а государству – в 1,5 млн. Пирамида работала под вывеской страховой компании. Следствие полагает, что мошенники обманули порядка 200 человек.
  23 июня, сотрудники милиции Оренбурга арестовали руководителя компании SI Save-Invest. Предприимчивую жительницу Оренбурга, имя которой не раскрывается в интересах следствия, обвиняют в причинении ущерба гражданам на сумму 33 млн рублей и государству на сумму 1,5 млн рублей. Следствие уверено, что ее организация действовала по принципу финансовой пирамиды. На сегодняшний день в деле фигурируют 48 потерпевших, однако следователи уверены, что в реальности их в четыре раза больше.
  Сначала представительством иностранной страховой компании SI Save-Invest Limited, располагавшимся в помещении местной спортивной школы синхронного плавания, заинтересовались сотрудники Управления по налоговым преступлениям обласного УВД и областного управления ФСБ. Выяснилось, что существующая с начала 2005 года компания не только не платит налоги, но и работает без лицензии. По предварительным подсчетам, ущерб государству превысил 1 млн 470 тысяч рублей. Дальнейшее расследование проходило в рамках уголовного дела, возбужденного по п. «б» ч. 2 ст. 171 УК РФ (незаконная предпринимательская деятельность с извлечением дохода в особо крупном размере). Руководителю фирмы была избрана мера пресечения в виде подписки о невыезде.
  Однако в ходе предварительного расследования было выявлено другое, более любопытное направление преступной деятельности компании. Работа представительства строилась по принципу финансовой пирамиды. В иерархии компании, во главе которой стояла женщина-предприниматель, существовало семь карьерных уровней. Для вступления в организацию необходимо было внести в кассу от $2,5 тыс. до $10 тыс., а доход участников складывался от количества привлеченных ими в деятельность пирамиды людей. Клиентов привлекали возможностью вложения денег под 50% годовых в иностранной валюте. 
  23 июня по ходатайству органов предварительного расследования предприниматель была арестована. В отношении нее возбуждено еще одно уголовное дело по статье 159 УК (мошенничество). Кроме того, был наложен арест на ее имущество стоимостью более 40 миллионов рублей (2-х этажный коттедж, автомобиль, золотые украшения, дорогостоящая мебель, аудио и видео техника и счета в банках). Если суд признает ее виновной, эта мера обеспечит возмещение материального вреда потерпевшим.

Источник: gzt.ru

«Защиты персональных данных в России нет»

  Андрей Масалович, член совета директоров «Диалог-науки», специалист по конкурентной разведке в интернете о том, что законодательство об интернете нужно ужесточать:
  Что касается ужесточения законодательных норм, связанных с интернетом, то я согласен, что, в принципе, ужесточать их нужно. На примере тех же персональных данных: нельзя сказать, что их защита в России законодательно плохо организована. Правильно говорить, что ее у нас просто нет. 
  Вот два года назад ФСБ выпустило внутренний документ, запрещающий своим сотрудникам регистрироваться в социальных сетях: «Одноклассниках» и прочих. При известных навыках взлома можно было составить полный список, например, выпускников факультета контрразведки, а это никуда не годится. 
  Но обратите внимание, в том же Израиле подобных запрещений не было: там законодательство построено таким образом, что сотрудник спецслужб безо всяких внутренних рассылок понимает, сколько законодательных норм он нарушит, если зарегистрируется. 
  У европейцев есть такое положение, что совместное использование их сетей допускается только при равном уровне защиты в соседних сетях, так что при изменениях в европейских нормах, России придется к европейцам подтягиваться в любом случае.

Источник: Slon.ru

ФСБ помогает искать ЕГЭ-махинаторов

  Специальное подразделение Федеральной службы безопасности участвует в расследовании нарушений, допущенных в ходе сдачи единого государственного экзамена (ЕГЭ). Как сообщили «Росбалту» в Федеральной службе по надзору в сфере образования и науки, расследование касается случаев появления в Интернете контрольно-измерительных материалов (КИМ ЕГЭ).
  При помощи специального подразделения ФСБ, удалось выявить нарушителей в Амурской области и Бурятии. Установлены имена обладателей рассекреченных КИМ, их места в аудиториях, номера самих аудиторий, номера компьютеров, с которых материалы были выложены в Интернет. Все работы участников ЕГЭ в этих местах будут перепроверены, и в случае подтверждения нарушений, будет поставлен вопрос о привлечении виновных к ответственности. Аналогичная проверка проводится в Магадане.
  Наиболее частым нарушением является использование мобильных телефонов во время экзамена. За это несколько учеников было удалено с экзамена, в частности, в городе Тольятти. В Северной Осетии поставлен вопрос о наказании должностных лиц за вынос КИМ из аудитории.
  Также, по данным Рособрнадзора, в Саратовской области задержан взяточник, обещавший за взятку помочь сдать ЕГЭ. В городе Александрове Владимирской области подросток-хулиган сообщил по телефону о бомбе, заложенной в пункте приема экзаменов. Сообщение, естественно, оказалось ложным, но экзамен по математике пришлось перенести на 20 июня.

Источник: rosbalt.ru

ФСБ стремится обязать операторов использовать только отечественную криптографию

  ФСБ стремится обязать операторов использовать только отечественную криптографию, рассказывает начальник отдела Центра лицензирования, сертификации и защиты государственной тайны ведомства Леонид Беляев. По крайней мере, в сетях особого назначения. Пока же страна, по его мнению, находится «под колпаком» у США (из выступления в рамках Недели российского бизнеса, организованной РСПП).
  Насыщенность иностранной криптографией влияет на информационную безопасность страны. По данным Совета безопасности, в российских информационно-коммуникационных технологиях используется до 98% зарубежных разработок и оборудования, что и составляет самую большую проблему.
  ФСБ в первую очередь беспокоит обилие иностранных средств криптографии в телекоммуникационных сетях. Причем не только в социальных, но и в сетях особого назначения. Криптография почти вся американская. Ее обилие приводит к проблемам и с Советом безопасности, и к проблемам непосредственно с защитой информации.
  Многие полагают, что использование шифровальных алгоритмов с большой длиной ключа прекрасно защищает информацию. На самом деле это не совсем так. В США действует доктрина, подписанная еще в прошлом веке. В ней говорится, что любые используемые средства защиты информации должны быть прозрачны для спецслужб страны. Поэтому не надо надеяться, что можно обеспечить информационную безопасность американскими разработками.
  Простой пример. Есть известный бренд BlackBerry, под которым, помимо прочего, выпущено программное обеспечение, позиционирующееся как защищенная почта. Индия попросила у производителя (канадская компания RIM) предоставить возможность протестировать систему в ведомствах, борющихся с преступностью. Производитель подтвердил, что система прекрасно защищена, и никто, кроме двух абонентов, в том числе и производитель, не получит доступа к информации.
  Почти одновременно с этим запросом большой поклонник BlackBerry Барак Обама, как только стал президентом США, получил предупреждение и предложение от спецслужб заменить систему на другую, более надежную. Это говорит о том, что американские средства, которые поступают к нам, прозрачны для американских спецслужб.
  Для защиты информации должны использоваться именно наши отечественные технологии, в первую очередь сертифицированные. Таких разработок уже достаточно. Отечественные продукты отстают от зарубежных с точки зрения дизайна, но по функциональности намного опережают.
  Работа в этом направлении началась в рамках подготовки вступления России в ВТО. Представители США и стран Европы настаивали, что необходимо сильно упростить процедуру ввоза шифровальных средств. Переговоры закончились компромиссным решением. Для импорта будет создана прозрачная система лицензирования и экспертизы. Уже готов проект постановления, которым вся продукция делится на две категории: вспомогательную и основную. Для категорий определены различные принципы ввоза, что согласовано с администрацией и аппаратом правительства и отражено в проекте. Для вспомогательных средств будут применяться упрощенные правила ввоза. Для основных – будут введены лицензирование импортеров и экспертиза продукции.
  Одновременно надо поставить под контроль всю криптографию, которая производится в России. Для этого был полностью переработан указ от 3 апреля 1995 года № 334 «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации». Чтобы исключить проникновение иностранной криптографии на наш рынок, особенно на критически важные объекты, как можно больше расширены направления использования российских сертифицированных средств. Проект указа уже находится в правительстве. Есть надежда, что в ближайшее время документ примут, и им можно будет руководствоваться. Конечно, это не последний шаг в области обеспечения информационной безопасности, а промежуточный. Но он позволит сделать принципы ввоза и использования средств защиты прозрачными и повысить контроль над ними.

Источник: finansmag.ru

Практическая конференция «Защита персональных данных»

Организаторы: Академия Информационных Систем.
Даты проведения: 21 – 28 июня 2009 года. 
Место проведения: Хорватия, Сплит.

   Актуальность темы ни у кого не вызывает сомнений, о чем говорит большое количество конференций, семинаров и других разъяснительных мероприятий, которые периодически проводятся, в частности, с непосредственным участием представителей Роскомнадзора, ФСТЭК России и ФСБ России. Несмотря на это, с каждым днем появляется все больше и больше вопросов, связанных с практической реализацией требований Федерального Закона № 152-ФЗ. Ситуацию осложняет и тот факт, что с 01.01.2010 года начнут применяться фискальные меры за несоблюдение этого закона.

   Главной целью проведения данного мероприятия, является обмен практическим опытом между организациями, которые успешно начали внедрять и/или внедрили информационные системы персональных данных, удовлетворяющие требованиям Федерального Закона № 152-ФЗ «О персональных данных».

   Аудитория: к участию в мероприятии приглашаются специалисты кредитно-финансовых учреждений, операторов связи, телекоммуникационных компаний, органов здравоохранения, страховых и транспортных компаний, представители государственных и коммерческих организаций, а также представители регуляторов, в том числе ФСТЭК России, ФСБ России и Роскомнадзора.

   Программа конференции:

   1. Рабочая секция «Характерные недостатки выполнения требований Федерального Закона № 152-ФЗ «О персональных данных». Оценка и характеристика выявленных Роскомнадзором недостатков».
   2. Рабочая секция «Методика оценки защищенности персональных данных в информационной системе организации. Имеются ли отличия от методик, применяемых для оценки защищенности других видов конфиденциальной информации?»
   3. Круглый стол «Особенности построения систем защиты персональных данных в распределено-телекоммуникационных сетях».
   - Вопросы подготовки оператора персональных данных (организации-Заказчика) к проведению аудита защищенности персональных данных;
   - Обеспечение неизменности программно-аппаратной среды аттестованной системы защиты от НСД к персональным данным.

 Условия участия:
Стоимость участия в мероприятии составляет 2700 евро.
В пакет участника входит: 
Авиаперелет (Москва – Сплит - Москва);
Трансфер по маршруту а/п – отель - а/п;
Участие в деловой программе; 
Участие в культурной и экскурсионных программах; 
Проживание в отеле 4*. Одноместное заселение;
Питание, в т.ч. тематические вечера 
в соответствии с программой конференции.

Правительство РФ определило ответственных за обеспечение безопасности информационных систем для размещения информации госорганов в Интернете

  МОСКВА, 22 мая. /ПРАЙМ-ТАСС/. Правительство РФ определило ответственных за обеспечение безопасности информационных систем для размещения информации госорганов в Интернете. Об этом говорится в постановлении правительства РФ от 18 мая 2009 г N 424.
  Постановление касается информационных систем, созданных или используемых в целях реализации полномочий федеральных органов исполнительной власти и содержащих сведения, обязательные для размещения в информационно-телекоммуникационной сети Интернет /информационных систем общего пользования/.
  Согласно постановлению, операторы информационных систем общего пользования при подключении этих систем к информационно-телекоммуникационным сетям, доступ к которым не ограничен определенным кругом лиц /Интернету – прим. ПРАЙМ-ТАСС/, обязаны обеспечить:
  - защиту информации, содержащейся в информационных системах общего пользования, от уничтожения, изменения и блокирования доступа к ней;
  - постоянный контроль возможности доступа неограниченного круга лиц к информационным системам общего пользования;
  - восстановление информации, измененной или уничтоженной вследствие несанкционированного доступа к ней, в течение не более 8 часов;
  - использование при подключении информационных систем общего пользования к информационно-телекоммуникационным сетям средств защиты информации, прошедших оценку соответствия /в том числе в установленных случаях сертификацию/, в порядке, установленном законодательством Российской Федерации.
  Операторы информационных систем общего пользования и операторы связи обязаны обеспечивать информационную безопасность при подключении информационных систем общего пользования к информационно-телекоммуникационным сетям.
  Правительство также поручило Министерству связи и массовых коммуникаций в 3-месячный срок утвердить требования по обеспечению целостности, устойчивости функционирования и безопасности информационных систем общего пользования.
  Федеральной службе безопасности /ФСБ/ совместно с Федеральной службой по техническому и экспортному контролю /ФСТЭК/ в трехмесячный срок поручено утвердить требования о защите информации, содержащейся в информационных системах общего пользования.
  Постановлением рекомендовано органам государственной власти субъектов РФ учитывать требования, предусмотренные этим постановлением, при подключении региональных государственных информационных систем к информационно-телекоммуникационным сетям, доступ к которым не ограничен определенным кругом лиц.

Источник: Прайм-Тасс

Семинар по персональным данным в Екатеринбурге…взгляд специалиста

   Сейчас в регионах проводится достаточно много мероприятий по просвещению народа по теме персональных данных. Да, эта тема сейчас на волне и на подобных мероприятиях еще можно услышать нечто интересное и вразумительное. Конечно общий процент этого вразумительного за редким исключением превышает величину 5-8 %.
  Недавно в Екатеринбурге состоялся семинар по вопросам обеспечения безопасности персональных данных на котором мне, к сожалению, не удалось побывать. Поэтому привожу описание данного мероприятия, которое я нашел на сайте http://www.securitylab.ru/opinion/379585.php
  Цитирую (дословно) посетителя данного семинара:

  Был семинар в Екатеринбурге. Тема: защита персональных данных. 
Докладчики - один местный ВУЗ, ФСБ, ИЗ, и прочая братия.
Если усушить всё, что они сказали, до внятных и понятных слов, то было сказано следующее:
  1. Закон плохой, не работающий, непонятно как исполнять (это видят все, и было произнесено открытым текстом с трибуны) - но это закон. По запросу на вероятность его изменения непосредственно разработчики закона ответили, что сначала поэкспериментируют на людях, поглядят как эта хрень будет работать, и лишь потом, гарантированно не ранее 2011года. 
  2. При решении задачи исполнения ФЗ 152 и иже с ним, возникают такие-то и такие-то вопросы (далее перечень вопросов, пауза в ожидании аплодисментов). Аплодисментов не последовало, хоть вопросы и были поставлены верно и грамотно, не возразить. Продолжение (вы думаете, ответы на вопросы? Фиг вам!!!) "А если вы не знаете, что делать с этими вопросами, наш ВУЗ с удовольствием обучит вас, как их решать". Вот так. Хотите - научим, за отдельную плату. Фиг с ними, в кризис каждый крутится, как умеет... 
  3. Сроки поджимают, делать что-то надо. Если вы не знаете, что делать, то мы готовы научить вас. За отдельную плату. И МЫ ДАЖЕ ГОТОВЫ ПРЕДОСТАВИТЬ ВАМ АУТСОРСИНГ! Вторят другие докладчики... Которые уже не представители ВУЗа. 
  4. Выход на сцену представителя ФСБ. В брежневском стиле, по бумажке, но чуть побыстрее и чуть внятнее был зачитан текст закона. Всё. Народ в зале развёл руками - может, размахнулся для аплодисментов, но скорее всего от недоумения. 
Да, и в очередной раз было озвучено подтверждение допустимости использования для защиты персональных данных только сертифицированных СКЗИ.
  Всё это действо перемежалось фильмами с рекламой ВУЗа, и устной рекламой ВУЗа. Причём фильмы крутили детской направленности - типа, поглядите какие у нас хорошие спортзалы (видеоряд) и красивые студентки (видеоряд, предствительницы в зале для наглядной демонстрации), и как много зданий у института (видеоряд, половина нарисована в 3D Max), и насколько их станет ещё больше в скором времени. 
  Когда стало очевидно, что ничего действительно полезного я тут не услышу, встал и ушел. Да, прослушал актуальный перечень вопросов, это ценно, ибо правильная постановка задачи иногда несёт половину её решения.
  Для себя сделал вывод, что семь человек, которые будут заниматься в Екатеринбурге проверками, просто порвутся проверять всех, потому что проверять надо именно ВСЕХ. Все конторы работают с персональными данными, почти без исключения. 
  Значит, или играем в игру повезёт-неповезёт с проверкой, оценим это 50/50 по методу блондинки (или придут, или не придут). Или будет заказуха, и постепенное осваивание рынка разными монополистами СКЗИ и прочими "интеграторами" и "аутсорсерами". А скорее, всё это вместе взятое.

Источник: securitylab

5 мая … День шифровальщика!

  В начале было Слово… Потом появилось много слов. И очень скоро человек понял, что слова надо прятать. Так началось зарождение криптографии. В переводе с древнегреческого «криптография» означает «тайнопись».
  Шифровальный аппарат, предположительно изобретенный Леонардо да Винчи.
  Но еще до введения в обиход данного понятия человек пользовался сокрытием информации с помощью доступных для своего времени способов. Например, во времена правления династии египетских фараонов применялся довольно своеобразный метод передачи тайного письма. В качестве носителя информации выбирался раб, точнее, его голова. Голову брили наголо и водостойкой растительной краской наносили текст сообщения. Когда волосы отрастали, его отправляли к адресату. После того, как раб-носитель информации добирался по назначению, волосы снова сбривали и читали нанесенный текст. Для удобства обработки голову предварительно снимали с плеч. Главными недостатками данного метода являлись слабая оперативность передачи сообщений и большая ненадежность. Ведь в процессе путешествия носителя сообщения тот мог быть убит, мог заболеть, наконец, просто сбежать.
  Новый импульс в развитии шифровального дела был дан в связи с появлением проводного телеграфа и изобретением радио. Скорость передачи информации несоизмеримо возросла, и все большие объемы ее были подвержены перехвату и прочтению.
  В этот день, Криптографическая служба России отмечает свой праздник. Как говорится в распространенном сообщении ЦОС ФСБ, служба, созданная постановлением Совета народных комиссаров РСФСР от 5 мая 1921 года, обеспечивает с помощью шифровальных (криптографических) средств защиту информации в информационно-телекоммуникационных системах и системах специальной связи в РФ и ее учреждениях за рубежом, в том числе в системах, использующих современные информационные технологии.

Регуляторы взялись за дело…, но как-то опять криво

  Многим был известен скандальный сайт http://radarix.com/ с помощью которого за умеренную плату можно было найти персональные данные (вплоть до ИНН, паспортных данных, авто, регистрационные данные и многое, многое другое) практически любого субъекта. Информация на сайте периодически обновлялась и добавлялись новые субъекты.
  На днях, этот сайт перестал существовать. При попытке посетить указанную страницу идет редирект на сайт Федеральной Службы Безопасности РФ http://www.fsb.ru/.
  Причина закрытия данного ресурса, нарушение положений Конвенции Совета Европы "О ЗАЩИТЕ ФИЗИЧЕСКИХ ЛИЦ ПРИ АВТОМАТИЗИРОВАННОЙ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ" (ну вот, опять некорректный перевод наименования Конвенции. Следует читать не «…АВТОМАТИЗИРОВАННОЙ…», а «…АВТОМАТИЧЕСКОЙ»…).
  Точнее будет говорить не о закрытии самого ресурса, а о закрытии доступа к нему, т.к. ресурс зарегистрирован естественно не в России.
  Такой вот решительный, хотя и достаточно предсказуемый шаг совершили наши регуляторы!

   Однако продолжает существовать один из клонов данного сервиса http://www.radarix.biz/

   Соответственно, закрытие ряда площадок не решает проблему свободного распространения персональной информации субъектов. Создатели данного ресурса могут развивать свою деятельность на других площадках. Все это не решит глобальную проблему утечки конфиденциальной информации из организаций, занимающихся ее сбором, обработкой и хранением. Тем более, базы с персональными данными утекают и из подразделений того же МВД.