Часто, когда ты думаешь, что выбираешь между "сделать хорошо" и "сделать плохо", ты лишь влияешь на момент, когда это будет "сделано через жопу".
https://forum.lissyara.su/
а к базе сильно больше и не надо, обычно...princeps писал(а):2 lissyara:
У хр количество подключений ограничено 10. Так что не прокатит, я полагаю
Об этом я обязательно напишу в письме. Когда зимой на всех напал conficker, то в в знакомых конторах, где на шлюзе стояла сертифицированная винда с сертифицированной исой, был большой бада-бум. А в моих сетях с несертифицированной фрёй на шлюзах даже никто и не заметил ничего. В жопу такую сертифицированную безопасность.paradox писал(а):мне вот инетересно
а если взломают одно из сертифицированых средств на предприятии
кто будет виноват?
служба которая сертифицировала тот продукт или предприятие которое вынужденно было следовать перечням
Там всю систему надо лицензировать, и мусю тоже, и кему.lissyara писал(а):а к базе сильно больше и не надо, обычно...
По ссылке, которая в моём первом посте, если пройти, то там будет ссылка на этот закон в .odtvlad.vrublevsky писал(а):P.S я бы хотел у автора темы чтоб он продублировал этот закон в своём посте (начало)
Т.к. данное утверждении имеет отношение к закону о персональных данных, то надо четко понимать что надо защищать и какими средствами.princeps писал(а):Господа, есть такая инфа.
Фря не сертифицирована в ФСБ и ФСТЭК, поэтому использование её для обработки ПД не допускается. А между тем - глобальные каталоги и общие адресные книги попадают под 3 и 4 категории, (привет Raven2000 с той статьёй)Т.е. с 1.1.10 тем, кто уже успел съехать с АД - дадут пизды и посадят в тюрьму.
согласно букве закона является, т.к. по ним можно однозначно идентифицировать человека. К тому же в AD обычно хранится ещё масса инфы - как минимум почта.Gloft писал(а):Только ФИО не является персональными данными.
Тут был разговор вообще про ФЗ-152. Получается, что любая автоматизация упирается в этот закон. Т.е. если у тебя не просто соединённые проводами в одноранговую сеть компьютеры, а более или менее развитая IT-инфраструктура, то будь добр выложить денег за аттестацию и за проприетарный софт. Всякие alfresco, sugarcrm и прочие вещи, которые позволяли раньше недорого, но эффективно автоматизировать небольшую конторку, теперь не катят. Вот это и плохо.Gloft писал(а):А про CRM\ERP\СЭД тут разговора не было, это отдельные системы и в них может храниться совсем другая информации.
Ты не прав. Пупкиных, Ивановых и Сидоровых очень много. Совокупность данных например ФИО, дата и место рождения или ФИО и место работы - это и есть персональные данные. Неверишь мне, задай вопрос на форуме банкир.ру, там специалистов много они пояснят.princeps писал(а):согласно букве закона является, т.к. по ним можно однозначно идентифицировать человека. К тому же в AD обычно хранится ещё масса инфы - как минимум почта.
ФЗ-152 применяется к АС с автоматизированной обработкой персональных данных, кроме этого закона есть еще и постановление правительства об АС с обработкой персональных данных с использованием средст автоматизации. Это разные вещи. Опять же информации по этой теме сейчас очень много. Рекомендую почитать поподробне, на томже форуме банкир.ру.princeps писал(а):Тут был разговор вообще про ФЗ-152. Получается, что любая автоматизация упирается в этот закон. Т.е. если у тебя не просто соединённые проводами в одноранговую сеть компьютеры, а более или менее развитая IT-инфраструктура, то будь добр выложить денег за аттестацию и за проприетарный софт. Всякие alfresco, sugarcrm и прочие вещи, которые позволяли раньше недорого, но эффективно автоматизировать небольшую конторку, теперь не катят. Вот это и плохо.
. Самый прикол в том, что потенциальные проверяющие пока сами не в курсе, что проверять. Во ФСТЭК, например, меня послали на йух.
Т.е. ты хочешь сказать, что, например, erp, где контрагенты со всей их инфой вбиты, не попадают под этот закон?Gloft писал(а):ФЗ-152 применяется к АС с автоматизированной обработкой персональных данных, кроме этого закона есть еще и постановление правительства об АС с обработкой персональных данных с использованием средст автоматизации. Это разные вещи. Опять же информации по этой теме сейчас очень много. Рекомендую почитать поподробне, на томже форуме банкир.ру.
Вот например дам я тебе список только ФИО, ты сможешь идентифицировать людей по ним?princeps писал(а): Т.е. ты хочешь сказать, что, например, erp, где контрагенты со всей их инфой вбиты, не попадают под этот закон?
Вообще много странного. Например, на шлюзе может стоять любая ОС, но средства защиты, например, фаервол - только сертифицированные. Ну вот стоял в разных моих знакомых конторах фаер зимой, и всё равно их conficker поимел через уязвимость ОС.
Да. Хотя и не со 100% уверенностью, потому что надо ещё что-то. Собственно, это не мой вопрос, а юристов. А они говорят то, что я описал выше.Gloft писал(а):Вот например дам я тебе список только ФИО, ты сможешь идентифицировать людей по ним?
Вот именно, исходя из здравого смысла так и должно быть. А в свете закона 152 всё как раз по-другому. Я не могу использовать не сертифицированный софт для обработки ПД.Gloft писал(а): То что ты написал о шлюзе, я не совсем понял что ты хотел сказать. Сертификация - это одно, а безопасность это другое.
Например есть сертификация об отсутствии в ПО закладок(черных ходов), но это не значит что оно безопасно.
Или например что ключи сертификатов генерятся в соответствии с ГОСТОМ, но при этом сама ОС может выпадает периодически в осадок.
))) юзающих этот ник.Ну естественно, я ж и не говорю, что ник это тоже персональные данные.lissyara писал(а):неа...
по нику - далеко не всегда. например, меня - можно. по причине что ещё год-два назад он был абсолютно уникальным.
но уже сейчас - есть масса людей (пяток
Во первых потому что методические рекомендации по защите ПД имеют гриф ДСП.princeps писал(а):Кстати, документы ФСТЭК по тому, как конкретно надо защищать персональные данные - полная лажа. Во-первых, мне их не дали даже отксерить, сказали - конспектируй. Хорошо хоть руками разрешили трогать. Так вот там рекомендации в стиле: "если персональные данные обрабатываются в ИС, она должна быть защищена. Если персональные данные передаются по сетям передачи данных, они должны быть зашифрованы". А как, чем - хз, ничего не уточняется.
Да, вот именно, потому что они не прошли минюст. Я официально запрашивал.Gloft писал(а):Во первых потому что методические рекомендации по защите ПД имеют гриф ДСП.
Я хотел сказать, что не упоминается, что конкретно, как и где надо делать. Например, то что их надо шифровать - это, допустим, понятно, они у меня итак лежат на шифрованных разделах и по сети передаются зашифрованными. Но вот хватит ли этого проверяющим?Gloft писал(а):Допускается для защиты персональных данных использовать средства шифрования, но это не обязательное требование.