Нолькнижие ФСТЭК

ФСТЭК опубликовал еще два документа из бывшего "четверокнижия". Все руководящие документы, регламентирующие обработку персональных данных операторами, выложены в открытый доступ на сайте ФСТЭК.

Может быть, это новость только для меня одного, но сегодня обнаружил на сайте ФСТЭК два последних документа из бывшего "четверокнижия" - комплекта документов, имеющих гриф "Для служебного пользования" и для получения которых коммерческим организациям необходимо было зарегистрироваться как оператор персональных данных и заплатить ФСТЭК денежку. Итак, опубликованы Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (Документ MS Word) и Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных(выписка) (архив RAR) . Интересно, что с "Методик" гриф секретности снят 16 ноября 2009 года, а "Базовая модель" опубликована в виде выписки. При рассмотрении угроз утечек информации по каналам побочных электромагнитных излучений и наводок  (ПЭМИН) все же придется обращаться во ФСТЭК за полной версией документа. Не уверен, что большинство операторов включат этот вид угроз в свою модель.

Напомню, что два других документа (Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утвержденные заместителем директора ФСТЭК России 15 февраля 2008 г. и Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденные заместителем директора ФСТЭК России 15 февраля 2008 г.) решением от 5 марта 2010 г. более не подлежат применению.

Таким образом, от "четверокнижия" фактически осталось ноль сакральных, доступных только небольшой когорте посвященных, книг - все регулирующие документы (Методика, Базовая модель, Положение) выложены в открытый доступ. Этот факт, вместе с  послаблением, случившимся ранней весной, вселяет надежду, что операторам при организации защиты персональных данных не придется прибегать к формальным и затратным процедурам.