Время снятия сливок на поляне ПДн кончилось?

Многие, кто следит за этим блогом, сталкивались с моим мнением, что интеграторы (не все, но многие) в 2008-2009-м годах активно запугивали своих клиентов страшилками про кару небесную за невыполнение требований ФСТЭК в области защиты ПДн. Клиенты, купившиеся на это, обращались к интеграторам и следовали всем их рекомендациям, даже не удосужившись подумать, а стоит ли выполнять все то, что так рекламируют интеграторы. Может быть стоит творчески подойти к ключевым вопросам защиты ПДн — классификации, обезличиванию, уходу по 687-е постановление и т.п.

Не прошло и двух лет, как ситуация стала меняться 😉 Уже и ФСТЭК сменил свои требования на более адекватные. Вот и интеграторы стали публично рассказывать, как оптимизировать свои усилия по приведению себя в соответствие с четверокнижиями, трехкнижиями и другими …книжиями. Один из последних примеров — рекомендации Информзащиты по снижению «классности» ИСПДн. В целом ничего нового (все это можно найти у меня в блоге на протяжении последних  пары лет), но важен сам факт признания такой возможности от одного из воротил рынка ПДн, который к тому же еще и лицензиат ФСТЭК.

Но в целом это закономерно. Сегодня запугивать кого-то и играть на незнании и отсутствии информации уже поздно. Хотя бы потому, что уже появляются не просто отдельные факты о том, что при проверках регуляторы отходят от своих же официальных рекомендаций и, например, соглашаются с отказом не использовать классы К1-К4, а целые отраслевые рекомендации, согласованные с регуляторами. Например, рабочая группа ЦБ/АРБ, в которую вхожу и я, опубликовала на сайте АРБ эти документы в свободном доступе:

• РС БР ИББС-2.3 Требования по обеспечению безопасности ПДн
• Методические рекомендации по выполнению законодательных требований
• СТО БР ИББС-1.0-20хх
• Методика оценки соответствия
• РС БР ИББС-2.4 Отраслевая модель угроз ПДн.

Аналогичные по сути (но в бОльшем количестве) документы были разработаны в рамках НИР «Тритон». Они также согласованы с регуляторами и облегчают жизнь операторам связи в деле защиты ПДн.