Дмитрий, у меня обратный вопрос. Базовая модель ПДн прямо говорила о необходимости учета имеющихся мер защиты. Почему это ушло из последующих методик?

Не знаю, эти документы ФСТЭК разрабатывала самостоятельно. Но к работе над последней методикой привлекли сторонних экспертов, и к их мнению авторы прислушивались. Не со всем соглашались: по некоторым вопросам у ФСТЭК принципиальная позиция. Но по многим вопросам согласились.

Мне проект 2020 нравился больше, всё, что до сценариев там лучше написано. Ну, мне так кажется

7 июля пройдет КОД ИБ INDUSTRIAL в Екатеринбурге. Регистрация бесплатная - https://codeib.ru/event/industrial-2021-2021-07-07-68/page/industrial-2021. Заявлено участие ФСТЭК и НКЦКИ, причем в отдельной секции "Диалог с регулятором". Повестка актуальная. Планирую принять участие с докладом по КИИ. Буду рад общению и обмену опытом. (Если у кого-то есть желание тоже стать спикером - организаторы написали, что остался один слот). Можем попробовать оперативно получить ответы от регуляторов, все таки первая крупная конференция после принятия 141-ФЗ.

https://regulation.gov.ru/projects#npa=112253

Коллеги, здравствуйте. Кто может подсказать, где КОНКРЕТНО написано, что СЗИ для объектов КИИ должны быть отечественными?

Проект пусть пока проектом и остаётся, ладно, бог с ним, с сертификацией... И то везде написано, что можно провести оценку соответствия...

На мой взгляд эти требования убивают конкуренцию.

Скиньте пожалуйста ссылку на НПА, где четко написано, что СЗИ должны быть отечественными.

Заранее спасибо :-)

На текущий момент НПА, вступившие в силу и обязывающие использовать строго отечественные СрЗИ, отсутствуют

П. 28 Приказа ФСТЭК 239 говорит, что СрЗИ должны пройти процедуру испытаний/оценки по требованиям безопасности. Но проблема в том, что нигде не прописано, какие испытания необходимы, чтобы доказать ФСТЭК достаточность/соответствие СрЗИ

Требование к сертифицированным СрЗИ у вас обязательно, если ОКИИ является ГИС

Я встречал только внутреннию регуляторику. Я так понял по рекомендации правительства каждые фоивы и наверное гос компании внутри себя разработали требования по приоритету отечественного ПО

Ну тут надо делать оценку соответствия. Поэтому некоторые СЗИ лучше сертифицированные использовать

Может ещё доктрина иб подойдёт. 18 пункт
http://www.kremlin.ru/acts/bank/41460

Ну нееееет там говорится о том, что надо самим развивать это направление.

Про госов и госкорпорации понятно... Они сами в своём соку варятся

Тогда пока больше идей нет

Мне кажется, придется брать требования по сертификации на соответствующий уровень доверия и адаптировать под свои нужды. Впрямую использовать не удастся. Но это лучше к испытательной лаборатории

Были сертифицированные иностранные СЗИ
Антивирус Nod32, МЭ Cisco
Которые можно было использовать для защиты ПДн.
Но иностранная СОВ, что то пересылает в свой аналитический центр и в этом  случае с ПДн, возникает трансграничная передача данных.

Nod32 сертифицирован по новым требованиям. Там функция передачи должна быть отключена/удалена, аналогично на windows 10

Windows 7 тоже когда-то имел сертификат как СЗИ от НСД и мог использоваться для защиты ПДн.
Надо смотреть сертификаты на иностранные СЗИ и потом принимать уже решение

Не кто не мешает иностранным разработчикам сертифицирован свои СЗИ, но они сами не особо хотят это делать.

На это есть ряд причин. Одни общие для всего импортного софта, другие специфичны для сертифицированных продуктов. Никто не будет тратить деньги на сертификацию, если потом эти продукты не будут востребованы на рынке.