а где фстэк говорил об ущербе бюджету? и что уже есть судебная практика по данному вопросу?)

Было у ФСТЭК такое мнение, и мне показалось из отчетов участников совещания, что ФСТЭК продолжает придерживаться этого мнения. Хотя сейчас я уже не могу вспомнить, у кого из коллег мне эта фраза глаз резанула.

А судебная практика не по "этому вопросу", а по налоговым преступлениям. В частности, в них рассматривается вопрос, что есть ущерб бюджету по неуплате налогов. Выдержку из решения ВС РФ я уже как-то комментировал:

https://malotavr.blogspot.com/2018/10/blog-post.html

239 применим тогда, когда уже известно что мы имеем зокии или окии без категории (на наше усмотрение). На момент формирования перечня мы еще не знаем, что у нас за объект, точнее его значимость по категории (понятно что это не совсем так, так как стараемся делать с загоядыванием вперед). Это если следовать букве закона. Но, формируя перечень, мы стараемся учесть все факторы, в том числе компенсиующие.

Вы не имеете права учитывать компенсирующие меры.

Вы обязаны защищать систему (в том числе - применять компенсирующие меры), потому что она значима.

Вы же пытаетесь сказать, что вы не обязаны защищать систему, потому, что она незначима, потому, что вы по собственной доброй воле ее защищаете ее компенсирующими мерами :) Т. е. ставите логику ФЗ187 с ног на голову

Т.е. вопрос категорирования - это вопрос о том, обязаны ли вы защищать систему или можете поступать по своему усмотрению

Я не говорю, что мы ее не обязаны защищать! Я говорю что при формировании документов было бы глупо не учитывать уже созданые меры, как автоматизированные так и нет.

Вы не поняли :) Попробую еще раз.

Категорирование - это вопрос о том, обязывает вас закон защищать систему или не обязывает.

Логика ФЗ заключается в следующем.  Вы смотрите, что случилось бы, если бы вы  систему не защишали совсем.

Если ничего страшного случится не может даже в отсутствие ваших компенсируюших мер,  то ваши компенсируюшие меры - это ваше личное дело, хотите - применяйте, хотите - нет. Ну захотелось вам так для лучшей лучшести.

Если страшное возможно - то защита, включая ваши компенсирующие меры - это ваша обязанность, за невыполнение которой вы можете быть наказаны.

Если вы "логично" учтете при категорировании компенсирующие меры, вы логику убъете напрочь:
1. У меня система на значимая
2. Мои компенсирующие меры - мое личное дело, хочу - применяю, хочу - не припеняю.
3. А раз я не обязан прмменять эти меры, то меня нельзя наказывать, если я в какой-то момент от этих мер откажусь и из-за этого погибнут люди.

Так понятно?

Текущая позиция ФСТЭК России в том, что Вы можете учитывать только те существующие меры защиты, которые сами не могут быть подвержены комп. атаке.

Таким образом, ПО и ПАК решения по защите не учитываются.

Можно учитывать только механические и/или аналоговые решения.

Акцент именно на целенаправленные комп. атаки (это и в форме, утв. 236 приказом, отмечено), которые преодалеют все существующие программные или программно-аппаратные СрЗИ.

Мне понятна Ваша логика. Вы говорите, если она значима, то ничто этого не изменит-было, есть и будет и что-либо учитывать нельзя, при оценке значимости

Я бы и к аналоговые/механические учитывал бы с большой осторожностью. Если у системы защиты есть условно кнопка "вкл/выкл" я бы ее не учитывал.

Такими темпами скатимся до хрустальных шаров и блюдец с наливными яблочками

Здорово! А где об этой позиции поподробней почитать можно? Лично у меня подход "Можно учитывать только механические и/или аналоговые решения" создаёт внутреннее ощущение надёжности...

Очень хотелось бы услышать детальнее про кнопку "вкл/выкл" в данном конексте, ведь если "Любая система, зависящая от человеческой надёжности ненадёжна", то и компенсирующая мера центра управления поездами ("всё сделаем вручную, если потребуется") - тоже не панацея и тогда категория необходима?

Коллеги добрый день! Прошу разъяснить. Мы направили перечь ОКИИ во ФСТЭК центральный аппарат. Должна ли нам поступить какая либо обратная связь? Типа, "Мы приняли Ваш перечень и тд.". Или обратная связь будет только после того как мы направим результат категорирования?

копцев, после категорирования пришлют письмо

ок. Спасибо

Нет, не должны.
А вот на результаты категорирования могут что-то ответить.

спасибо!

Эта позиция озвучиваться устно, скорее всего, озвучена она будет вновь в ближайшее время и на ITSEC, и на SOC-форуме.