Народ, все таки хочется понять. Очень долго курю эту тему, но просветление не приходит.
Я имею систему работающую с персональными данными (больница), клиент-сервер (oracle). Это система работающая в интрасети.
Что надо сделать чтобы выдержать проверку Роскомнадзора?

iehfVladimirgs,

уже было где-то в этом форуме:
1 - изучите норм. документы
2 - проведите инвентаризацию инф. ресурсов,ПО и обрабатываемой информации
3 - проведите классификацию своей системы, согласно РД
3.1 - типовая ИСПДн
3.2 - специальная
...
4 - опишите существующие средства защиты или примените новые, если надо
5 - для класса ИСПДн требуется пройти аттестацию, К2 - аттестация по желанию, декларация (тоже пока неясно как с этим быть)
готовьте документы и ждите :))

1. Изучил
2. Это как? У меня типовой набор ПП (ОС, офис, браузер)и ресурсов (мыло, прокси, файл-сервер). А что такое инвентаризация обрабатываемой информации?? Больница я... бухгалтерия и информация о здоровье!
3. Провел... СПЕЦИАЛЬНАЯ т.к. "К специальным информационным системам должны быть отнесены:
информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;
и
информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы." Это все мое!
4. Средства защиты чего? У меня масса: видеонаблюдение коридоров, смарт-доступ в кабинеты. А на компах виндовая авторизация AD.
5. Аттестацию должен пройти объект? или софт? Требования к аттестации я какие должен выполнить? Где это взять то? Класс К1. Система по 1Г выходит.
Я знаю только об аттестации объекта.
автор1. Аттестация объектов информатизации:
1.1. Защищаемые и выделенные помещения
1.2. Аттестация АС (автоматизированных систем)
1.3. Аттестация ИСПДн (информационных систем персональных данных) - защита персональных данных
1.4. Аттестация ЛВС (локальных вычислительных сетей)
1.5. Аттестация АРМ на базе ПЭВМ
1.6 Аттестация СКД (Аттестация СКУД)
2. Оценка защищенности объектов информатизации.
3. Выявление возможных технических каналов утечки информации.
4. Разработка рекомендаций и проведение мероприятий по закрытию технических каналов утечки информации.
5. Исследование и защита речевой информации в режимных и защищаемых помещениях.
6. Проведение специальных исследований технических средств на побочные электромагнитные излучения и наводки технических средств обработки информации.
7. Монтаж систем активной защиты (пространственного, линейного зашумления)
8. Монтаж систем виброакустической защиты конструкций зданий (стен, пола, потолков и пр.)
9. Монтаж и настройка устройств защиты линий технических средств.
10. Защита от несанкционированного доступа рабочих станций.

Теперь может это кто то рассшифровать?

я нашел вот такой http://www.itsec.ru/articles2/Inf_security/documents-pd где указано какие документы я должен разработать в организации которая является оператором ПДн

Это мнение экспертов, а есть Роскомнадзорный документ? Потыкает может кто мордой лица меня?