ну в таких вопросах стоит уточнять контекст :)

Есть понятие "медицинская информационная система медицинских организаций - МИС МО" и есть "муниципальная информационная система - МИС" и там, и там могут обрабатываться ПДн 😉

Это то да. Речь то о чем идет? О муниципальной?

какой кошмар.. как хорошую инциативу превратить в кркючковорчество.. Люди спорят о приказах, вместо практической реализации мер ИБ

А в чем идея хороша?
В паранойе? :)

Вопрос к топикстартеру )

в том что без регуляции никто не будет чесаться заниматься ИБ. особенно в гос.секторе

Ну это уже другой вопрос

Перед тем, какие меры реализовывать, необходимо определиться в их необходимости исходя из из требований. А требования для всего разные

Коллеги, есть вопрос. И снова про ИСПДн.
Коммерческая организация. Вариант организации удалённого доступа.
1. Между сетью филиала и головного офиса есть канал, защищённый сертифицированным криптосредством. Проблем и вопросов нет.
2. Между доп.офисом филиала и филиалом есть канал, защищённый сертифицированным криптосредством. Из допофиса подключаются к терминальному серверу, а уже он подключается к ИСПДн по ранее описанному защищённому каналу между филиалом и головным офисом.
Тут вроде тоже вопросов нет.
3. Удалённый доступ, например, из дома. Корректно ли будет подключиться к ИСПДн используя описанный терминальный сервер? То есть между терминальный сервером и клиентом канал на защищён сертифицированным криптосредством (openVPN например стоит). Между терминальный сервером и головным офисом канал защищён сертифицированным криптосредством. Насколько корректно такое подключение?

Вы обязаны защитить весь канал и его составляющие (на каждом этапе подключения). Как Вы обеспечите защиту данных по удаленке?

Тут вопрос, как корректно "провести границу" ИСПДн.

Лукацкий как-то очень верно отметил (не помню дословно, но суть такая): даже если информация из испдн просто отражается на мониторе, вы ее должны защитить. Ибо в данном случае это тоже доступ к данным

А есть требование об обязательном использовании сертифицированных криптосредств в ИСПДн?

ЗИС.3, насколько я понимаю.

В части медицины-да. Это гласит 911н пп

приказ ФСБ России № 378, например

378 приказ ФСБ и вот это всё.

Приказ 378  неявно ссылается на 1119-пп

Приказ 432 ФСБ с методическими рекомендациями, в которых отражены 2 ситуации когда требуется использовать скзи, одна из них передача инфы по открытым каналам