7.Защита ПДн при обработке в информационных системах персональных данных
Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:
определение угроз безопасности персональных данных при их обработке в ИСПДн, формирование на их основе модели угроз;
организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
обеспечение сохранности носителей персональных данных;
утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;
использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз;
назначение должностного лица (работника), ответственного за обеспечение безопасности персональных данных в информационной системе;
оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
учет машинных носителей персональных данных;
обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;
восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных;
обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
разработку на основе модели угроз и модели нарушителя системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с использованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем;
установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;
обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;
-
Модель угроз безопасности персональных данных при их обработке в специальных информационных системах персональных данных разрабатывается с использованием методических документов ФСТЭК России и (или) ФСБ России. Результаты определения и оценки актуальных угроз безопасности ПДн при их обработке в ИСПДн Учреждения утверждаются руководством Учреждения.
Выявление угроз безопасности ПДн, реализуемых с применением программных и программно-аппаратных средств, осуществляется на основе экспертного метода, в том числе путем опроса специалистов по информационным технологиям, персонала ИСПДн, при этом могут использоваться специальные инструментальные средства (сетевые сканеры) для подтверждения наличия и выявления уязвимостей программного и аппаратного обеспечения ИСПДн. Для проведения опроса могут составляться специальные опросные листы.
При необходимости применения (в случае передачи ПДн по незащищенным каналам связи) средств криптографической защиты информации для ИСПДн разрабатывается Модель нарушителя безопасности персональных данных. Модель нарушителя разрабатывается на основе «Методических рекомендаций по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных» ФСБ России. На основе разработанной модели нарушителя для ИСПДн определяется уровень криптографической защиты ПДн, которому должны соответствовать применяемые средства криптографической защиты.
-
Требования к обеспечению безопасности ПДн при их обработке в ИСПДн
-
Разрешительная система допуска пользователей к информационным ресурсам
Разграничение доступа к информационным ресурсам, содержащим ПДн, должно осуществляться на основании «Перечня должностей Учреждения, замещение, которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным».
На периодической основе или после каждого изменения в ИСПДн ответственный за обеспечение безопасности персональных данных должен проводить проверку соответствия прав пользователей, определенных «Перечнем должностей Учреждения, замещение, которых предусматривает осуществление обработки персональных данных либо осуществление доступа к персональным данным».
-
Регистрация действий пользователей
Регистрация действий пользователей должна осуществляться средствами системного программного обеспечения и СЗИ ИСПДн.
Подлежат обязательной регистрации следующие операции, осуществляемые в ИСПДн:
регистрация входа (выхода) пользователей в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова.
регистрация выдачи печатных (графических) документов на бумажный носитель;
регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки персональных данных;
регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам;
регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа.
-
Обеспечение безопасности при хранении носителей информации ПДн
Подлежат учету следующие защищаемые носители ПДн:
накопители на жестких магнитных дисках, установленные в серверы ИСПДн;
накопители на жестких магнитных дисках, установленные в АРМ, на которых предусмотрено хранение ПДн;
накопители для хранения резервных копий;
внешние носители ПД (дискеты, компакт-диски, flash-накопители), на которых технологией обработки ПДн разрешается хранение или передача ПДн.
-
Учет защищаемых носителей информации должен осуществляться в Журналах учета машинных носителей в соответствии с порядком, предусмотренным «Правилами обработки, хранения и уничтожения персональных данных в Учреждении.
Обязанность по ведению учета электронных носителей ПДн возлагается на ответственного за обеспечение безопасности персональных данных.
В случае смены владельца или назначения, списания и выведения из эксплуатации защищаемых носителей информации необходимо обеспечить уничтожение ПДн с носителей. Уничтожение информации с носителей информации должно осуществляться путем многократной записи информации на носители и/или путем физического уничтожения носителя.
По факту уничтожения носителя ПДн должен составляться соответствующий Акт, в порядке, предусмотренном Правилами обработки, хранения и уничтожения персональных данных в Учреждении.
Резервирование технических средств, дублирование массивов и носителей информации.
Порядок резервирования и восстановления работоспособности технических средств и программного обеспечения, баз данных, защищаемой информации и средств защиты информации приведен в Приложении А.
Обеспечение целостности и доступности ПДн, программных и аппаратных средств ИСПДн, а также средств защиты, при их случайной или намеренной модификации, должно осуществляться с помощью резервного копирования (дублирования массивов и носителей информации) обрабатываемых данных, резервирования элементов ИСПДн.
Для обеспечения целостности ИСПДн должны выполняться следующие мероприятия по резервированию:
резервные копии информационных ресурсов, содержащих ПДн, должны храниться в специально выделенном месте, территориально отдаленном от места обработки самой информации;
для обеспечения сохранности резервных копий должен быть применён комплекс организационных и физических мер защиты от НСД;
носители, на которые осуществляется резервное копирование, должны регулярно проверяться на отсутствие повреждений, сбоев логической структуры, файловой системы;
должны проводиться регулярные проверки процедур восстановления данных.
Использование средств защиты информации
В соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» для обеспечения уровня защищенности персональных данных при их обработке в информационных системах необходимо использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
При использовании средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия (сертификацию), должны выполняться следующие мероприятия:
установка и ввод в эксплуатацию средств защиты информации осуществляется в соответствии с эксплуатационной и технической документацией;
проведение обучения лиц, использующих средства защиты информации, правилам работы с ними;
учет применяемых средств защиты информации, эксплуатационной и технической документации к ним. Форма журнала учета средств защиты информации, эксплуатационной и технической документации к ним приведена в Приложении 1. Форма журнала учета средств криптографической защиты информации, эксплуатационной и технической документации к ним приведена в Приложении 2;
контроль над соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;
периодическое тестирование средств защиты в соответствии с эксплуатационной документацией на СЗИ. Форма журнала проведения периодического тестирования СЗИ приведена в Приложении 3;
разбирательство и составление заключений по фактам несоблюдения условий использования средств защиты информации, которые могут привести к нарушению целостности, конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных.
-
Использование защищенных каналов связи
При взаимодействии информационных систем с информационно-телекоммуникационными сетями международного информационного обмена (сетями связи общего пользования) основными методами и способами защиты информации от несанкционированного доступа являются:
межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры информационной системы;
обнаружение вторжений в информационную систему, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;
анализ защищенности информационных систем, предполагающий применение специализированных программных средств (сканеров безопасности);
защита информации при ее передаче по каналам связи;
использование смарт-карт, электронных замков и других носителей информации для надежной идентификации и аутентификации пользователей;
использование средств антивирусной защиты;
централизованное управление системой защиты персональных данных информационной системы.
Для обеспечения безопасности персональных данных при удаленном доступе к информационной системе через информационно-телекоммуникационную сеть международного информационного обмена дополнительно должны применяться следующие основные методы и способы защиты информации от несанкционированного доступа:
проверка подлинности отправителя (удаленного пользователя) и целостности, передаваемых по информационно-телекоммуникационной сети международного информационного обмена данных;
управление доступом к защищаемым персональным данным информационной сети;
использование атрибутов безопасности.
Для обеспечения безопасности персональных данных при межсетевом взаимодействии отдельных информационных систем через информационно-телекоммуникационную сеть международного информационного обмена должны применяться следующие основные методы и способы защиты информации от несанкционированного доступа:
создание канала связи, обеспечивающего защиту передаваемой информации;
осуществление аутентификации взаимодействующих информационных систем, и проверка подлинности пользователей и целостности передаваемых данных.
Защита каналов связи реализуется следующими организационно-техническими способами:
Размещение линий связи и сетевого оборудования в пределах контролируемой зоны (КЗ);
Использование волоконно-оптических линий связи, затрудняющих или исключающих возможность перехвата передаваемой информации;
Использование средств криптографической защиты.
-
Физическая защита помещений и технических средств
Размещение ИСПДн и охрана помещений, в которых ведется работа с персональными данными, должны обеспечивать сохранность носителей персональных данных и средств защиты информации, а также исключать возможность неконтролируемого проникновения или пребывания в этих помещениях посторонних лиц.
Выполнение требований по исключению возможности неконтролируемого проникновения или пребывания в помещениях ИСПДн посторонних лиц реализуется осуществлением организационных и технических мер по созданию контролируемой зоны (КЗ) Учреждения.
Границами КЗ являются:
периметр охраняемой территории Учреждения;
ограждающие конструкции охраняемого здания или охраняемой части здания, если оно размещено на неохраняемой территории;
стены помещений Учреждения.
В состав КЗ должны входить:
помещения, в которых размещены рабочие станции, серверы, сетевое оборудование, входящие в состав ИСПДн;
помещения, в которых проходят кабельные линии связи ИСПДн;
помещения, в которых хранятся бумажные носители ПДн (архивы, помещения работников Учреждения).
Размещение технических средств, обрабатывающих ПДн, должно осуществляться с учетом требования минимизации доступа в рабочие помещения лиц, не связанных с обработкой ПДн и обслуживанием оборудования.
Доступ посторонних лиц (посетителей, работников обслуживающих организаций) в контролируемую зону в рабочее время осуществляется только в сопровождении работников Учреждения.
Размещение устройств отображения и печати информации, используемых в составе ИСПДн, должно осуществляться с учетом максимального затруднения визуального просмотра информации посторонними лицами.
Серверы и коммуникационное оборудование ИСПДн должны располагаться в отдельном помещении или в металлических шкафах с прочной запираемой дверью. Ключи от дверей помещений и шкафов должны быть только у лиц, имеющих право доступа в них.
В нерабочее время доступ в контролируемую зону должен быть исключен следующими мерами:
организация и обеспечение контроля доступа в помещения работников и посетителей в рабочие дни с 09.00 до 18.00.
организация и обеспечение охраны помещений в рабочие дни с 18.00 до 09.00, а также в выходные и праздничные дни.
не допускать проникновения и пребывания посторонних лиц в помещениях в рабочие дни с 17.00 до 09.00, а также в выходные и праздничные дни. При необходимости использования помещений в указанное время, допуск в помещения осуществляется по письменной заявке ответственным лицом.
внос и вынос материальных ценностей в помещения и из помещений осуществляется только в присутствии ответственного лица.
-
Использование средств антивирусной защиты
Средства антивирусной защиты предназначены для реализации следующих функций:
антивирусное сканирование;
блокирование вредоносных программ;
автоматизированное обновление антивирусных баз;
ограничение прав пользователя на изменение настроек антивирусного программного обеспечения;
автоматический запуск сразу после загрузки операционной системы.
Подсистема реализуется путем внедрения специального антивирусного программного обеспечения на все элементы ИСПДн.
Обо всех случаях сбоев антивирусного программного обеспечения (появления сообщений об ошибках) пользователь должен немедленно уведомлять ответственного за обеспечение безопасности персональных данных.
8.3.9. Обеспечение внешней защиты персональных данных.
8.3.9.1. Пропускной режим в Здании Учреждения не осуществляется.
-
Порядок разработки, ввода в действие и эксплуатации СЗПДн
Требования по защите ПДн для каждой ИСПДн должны формироваться в виде Технического задания на создание СЗПДн в ИСПДн на этапе разработки (модернизации) ИСПДн.
Требования должны формироваться на основании положений руководящих документов ФСТЭК России и ФСБ России, перечень которых приведен в п. 4.1.
Для вновь создаваемых ИСПДн, а также для функционирующих ИСПДн, не включающих в себя СЗПДн проводятся следующие мероприятия:
обследование ИСПДн и разработка технического (частного технического) задания на создание СЗПДн;
проектирование и реализация ИСПДн и СЗПДн в её составе;
ввод в действие СЗПДн, включающее опытную эксплуатацию и приемо-сдаточные испытания средств защиты информации, а также оценку соответствия ИСПДн требованиям безопасности информации.
Для функционирующих ИСПДн, включающих в себя СЗПДн, доработка (модернизация) СЗПДн должна проводиться в случае, если:
изменился состав обрабатываемых ПДн;
изменился состав или структура самой ИСПДн или технические особенности ее построения (изменился состав или структура программного обеспечения, технических средств обработки ПДн, топологии ЛВС ИСПДн) или технологический процесс обработки ПДн, вследствие которого произошли изменения в структуре ИСПДн;
изменился состав угроз безопасности ПДн в ИСПДн;
изменился уровень защищенности (класс) ИСПДн.
-
Порядок оценки соответствия ИСПДн требованиям безопасности ПДн
Оценка соответствия ИСПДн требованиям безопасности ПДн проводится в виде внутренней оценки соответствия / добровольной аттестации на соответствие требованиям безопасности информации.
Для ИСПДн, оценка соответствия которых проводится в виде внутренней оценки соответствия, необходимо выполнять следующие требования:
оценка соответствия осуществляется на основе собственных доказательств или на основании доказательств, полученных с участием привлеченных организаций, имеющих необходимые лицензии;
в случае проведения оценки на основе собственных доказательств Учреждения самостоятельно формирует комплект документов, таких как техническая документация, другие документы и результаты собственных исследований, послужившие мотивированным основанием для подтверждения соответствия информационной системы персональных данных всем необходимым требованиям;
результаты оценки соответствия должны содержать:
наименование и местонахождение ИСПДн;
информацию об объекте подтверждения соответствия;
наименование документов, на соответствие требованиям, которых оценивается ИСПДн;
сведения о принятых мерах по обеспечению соответствия ИСПДн необходимым требованиям;
сведения о документах, послуживших основанием для подтверждения соответствия ИСПДн требованиям;
срок действия оценки соответствия и условия повторной оценки.
Добровольная аттестация ИСПДн на соответствие требованиям безопасности информации проводится в соответствии с Положением по аттестации объектов информатизации по требованиям безопасности информации, утвержденным председателем Государственной технической комиссии при Президенте Российской Федерации 25.11.1994 г.
Под аттестацией объектов информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа – «Аттестата соответствия» подтверждается, что объект соответствует требованиям стандартов или иных нормативно-технических документов по безопасности информации.
Аттестация проводится органом по аттестации в соответствии со схемой, выбираемой этим органом на этапе подготовки к аттестации из следующего основного перечня работ:
анализ исходных данных по аттестуемому объекту информатизации;
предварительное ознакомление с аттестуемым объектом информатизации;
проведение экспертного обследования объекта информатизации и анализ разработанной документации по защите информации на этом объекте с точки зрения ее соответствия требованиям нормативной и методической документации;
проведение испытаний отдельных средств и систем защиты информации на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств;
проведение испытаний отдельных средств и систем защиты информации в испытательных центрах (лабораториях) по сертификации средств защиты информации по требованиям безопасности информации;
проведение комплексных аттестационных испытаний объекта информатизации в реальных условиях эксплуатации;
анализ результатов экспертного обследования и комплексных аттестационных испытаний объекта информатизации и утверждение заключения по результатам аттестации.
Органы по аттестации аккредитуются ФСТЭК России с выдачей лицензии на проведение работ по аттестации объектов информатизации.
Аттестационные испытания проводятся в соответствии с разработанной Программой и методикой проведения аттестационных испытаний. По результатам испытаний оформляются заключение с подтверждающими протоколами, а также, в случае положительного заключения, выдается аттестат соответствия.
|
