Обратная связь

Телефон доверия Губернатора: 8-800-200-71-02

АДМИНИСТРАЦИЯ МУНИЦИПАЛЬНОГО ОБРАЗОВАНИЯ

ЧЕРНСКИЙ РАЙОН

УТВЕРЖДАЮ

Глава администрации муниципального образования Чернский район

____________Н.Д. Акатьев

«__ »_________2012 г.

Политика информационной безопасности информационных систем персональных данных в администрации муниципального образования Чернский район

Чернь 2012

Содержание

 

Содержание

ОПРЕДЕЛЕНИЯ

ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ

ВВЕДЕНИЕ

1 Общие положения

2 Цели СЗПДн

3 Объекты защиты

4 Классификация пользователей ИСПДн

5 Физические меры защиты

5.1       Физическая защита аппаратных средств ИСПДн

6 Контроль эффективности системы защиты ИСПДн Администрации

7 Сферы ответственности за безопасность ПДн

8 Модель нарушителя безопасности

9 Модель угроз безопасности

10 Требования к персоналу

10.1         Ответственность персонала

11 Технические средства защиты ПДн

11.1         Подсистемы управления доступом, регистрации и учета

11.2         Подсистема обеспечения целостности и доступности

11.3         Подсистема антивирусной защиты

11.4         Подсистема межсетевого экранирования

11.5         Подсистема анализа защищенности

11.6         Подсистема обнаружения вторжений

11.7         Подсистема криптографической защиты

12 Требования к прикладному программному обеспечению

13 Ожидаемый эффект от реализации Политики

 ОПРЕДЕЛЕНИЯ

В настоящем документе используются следующие термины и их определения.

Автоматизированная система - система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.

Аутентификация отправителя данных - подтверждение того, что от­правитель полученных данных соответствует заявленному.

Безопасность персональных данных - состояние защищенности персо­нальных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информа­ционных системах персональных данных.

Биометрические персональные данные - сведения, которые характери­зуют физиологические особенности человека и на основе которых можно установить его личность, включая фотографии, отпечатки пальцев, образ сетчатки глаза, особенности строения тела и другую подобную информацию.

Блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения, персональных данных, в том числе их передачи.

Вирус (компьютерный, программный) - исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами не­санкционированного распространения и самовоспроизведения. Созданные дуб­ликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению.

Вредоносная программа - программа, предназначенная для осуществ­ления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных.

Вспомогательные технические средства и системы - технические средства и системы, не предназначенные для передачи, обработки и хранения персональных данных, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки персональных данных или в помещениях, в которых установлены информационные системы персо­нальных данных.

Доступ в операционную среду компьютера (информационной систе­мы персональных данных) - получение возможности запуска на выполнение штатных команд, функций, процедур операционной системы (уничтожения, копирования, перемещения и т.п.), исполняемых файлов прикладных программ.

Доступ к информации - возможность получения информации и ее ис­пользования.

Закладочное устройство - элемент средства съема информации, скрыт­но внедряемый (закладываемый или вносимый) в места возможного съема ин­формации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации).

Защищаемая информация - информация, являющаяся предметом соб­ственности и подлежащая защите в соответствии с требованиями правовых до­кументов или требованиями, устанавливаемыми собственником информации.

Идентификация - присвоение субъектам и объектам доступа иденти­фикатора и (или) сравнение предъявляемого идентификатора с перечнем при­своенных идентификаторов.

Информативный сигнал - электрические сигналы, акустические, элек­тромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация (персональные данные) обрабаты­ваемая в информационной системе персональных данных.

Информационная система персональных данных (ИСПДн) - инфор­мационная система, представляющая собой совокупность персональных дан­ных, содержащихся в базе данных, а также информационных технологий и тех­нических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.

Информационные технологии - процессы, методы поиска, сбора, хра­нения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.

Использование персональных данных - действия (операции) с персо­нальными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отно­шении субъекта персональных данных или других лиц либо иным образом за­трагивающих права и свободы субъекта персональных данных или других лиц.

Источник угрозы безопасности информации - субъект доступа, мате­риальный объект или физическое явление, являющиеся причиной возникно­вения угрозы безопасности информации.

Контролируемая зона - пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств.

Конфиденциальность персональных данных- обязательное для со­блюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта пер­сональных данных или наличия иного законного основания.

Межсетевой экран - локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и (или) выходящей из информационной системы.

Нарушитель безопасности персональных данных - физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных.

Неавтоматизированная обработка персональных данных - обработка персональных данных, содержащихся в информационной системе персональ­ных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъ­ектов персональных данных, осуществляются при непосредственном участии человека.

Недекларированные возможности - функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.

Несанкционированный доступ (несанкционированные действия)- доступ к информации или действия с информацией, нарушающие правила раз­граничения доступа с использованием штатных средств, предоставляемых ин­формационными системами персональных данных.

Носитель информации - физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, коли­чественных характеристик физических величин.

Обезличивание персональных данных - действия, в результате кото­рых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных - действия (операции) с персональ­ными данными, включая сбор, систематизацию, накопление, хранение, уточ­нение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персо­нальных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

Оператор (персональных данных) - государственный орган, муници­пальный орган, юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющие це­ли и содержание обработки персональных данных.

Технические средства информационной системы персональных дан­ных- средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражиро­вания документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.

Перехват (информации) - неправомерное получение информации с ис­пользованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов.

Персональные данные - любая информация, относящаяся к определен­ному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Побочные электромагнитные излучения и наводки - электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания.

Политика «чистого стола» - комплекс организационных мероприятий, контролирующих отсутствие записывания на бумажные носители ключей и атрибутов доступа (паролей) и хранения их вблизи объектов доступа.

Пользователь информационной системы персональных данных - ли­цо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования.

Правила разграничения доступа - совокупность правил, регламенти­рующих права доступа субъектов доступа к объектам доступа.

Программная закладка - код программы, преднамеренно внесенный в программу с целью осуществить утечку, изменить, блокировать, уничтожить информацию или уничтожить и модифицировать программное обеспечение информационной системы персональных данных и (или) блокировать аппаратные средства.

Программное (программно-математическое) воздействие - несанкци­онированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ.

Раскрытие персональных данных - умышленное или случайное нару­шение конфиденциальности персональных данных.

Распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.

Ресурс информационной системы — именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы.

Специальные категории персональных данных - персональные данные, касающиеся расовой, национальной принадлежности, политических взгля­дов, религиозных или философских убеждений, состояния здоровья и интимной жизни субъекта персональных данных.

Средства вычислительной техники - совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем.

Субъект доступа (субъект) - лицо или процесс, действия которого рег­ламентируются правилами разграничения доступа.

Технический канал утечки информации - совокупность носителя ин­формации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация.

Трансграничная передача персональных данных- передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства.

Угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информаци­онной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.

Утечка (защищаемой) информации по техническим каналам - некон­тролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации.

Уязвимость - слабость в средствах защиты, которую можно использовать для нарушения системы или содержащейся в ней информации.

Целостность информации - способность средства вычислительной тех­ники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения).

ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ

ABC — антивирусные средства

АРМ - автоматизированное рабочее место

ВТСС - вспомогательные технические средства и системы

ИСПДн - информационная система персональных данных

КЗ - контролируемая зона

ЛВС — локальная вычислительная сеть

МЭ - межсетевой экран

НСД - несанкционированный доступ

ОС - операционная система

ПДн - персональные данные

ПМВ - программно-математическое воздействие

ПО — программное обеспечение

ПЭМИН - побочные электромагнитные излучения и наводки

САЗ — система анализа защищенности

СЗИ —средства защиты информации

СЗПДн — система (подсистема) защиты персональных данных СОВ — система обнаружения вторжений

ТКУИ - технические каналы утечки информации

УБПДн - угрозы безопасности персональных данных

ВВЕДЕНИЕ

Настоящая Политика информационной безопасности ИСПДн администрации муниципального образования Чернский район (Далее - Администрации) является официальным документом, в котором определена система взглядов на обеспечение информационной безопасности Администрации.

Настоящая Политика определяет основные цели и задачи, а также страте­гию построения системы защиты персональных данных (СЗПДн) Администрации. Политика определяет основные требования и подходы к их реализации, для достижения требуемого уровня безопасности информации. Политика разработана в соответствии с системным подходом к обеспе­чению информационной безопасности. Системный подход предполагает проведение комплекса мероприятий, включающих исследование угроз информационной безопасности и разработку системы защиты ПДн, с позиции комплексного применения технических и организационных мер и средств защиты.

Под информационной безопасностью ПДн понимается защищенность персональных данных и обрабатывающей их инфраструктуре от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам (субъектам ПДн) или инфраструктуре. Задачи информационной безопасности сводятся к минимизации ущерба от возможной реализации угроз безопасности ПДн, а также к прогнозированию и предотвращению таких воздействий.

Политика является методологической основой для:

-                     принятия управленческих решений и разработки практических мер по воплощению политики безопасности ПДн и выработки комплекса согласованных мер нормативно-правового, технологического и организационно технического характера, направленных на выявление, отражение и ликвидацию последствий реализации различных видов угроз ПДн;

-                     координации деятельности структурных подразделений Администрации при проведении работ по развитию и эксплуатации ИСПДн с соблюдением тре­бований обеспечения безопасности ПДн;

- разработки предложений по совершенствованию правового, нормативного, методического, технического и организационного обеспечения безопасности ПДн в ИСПДн Администрации.

Правовой базой для разработки настоящей Политики служат требования действующих в России законодательных и нормативных документов по обеспечению безопасности персональных данных (ПДн).

1 Общие положения

СЗПДн представляет собой совокупность организационных и технических мероприятий для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПДн, а также иных неправомерных действий с ними.

Безопасность персональных данных достигается путем исключения не­санкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, ко­пирование, распространение персональных данных, а также иных несанкцио­нированных действий.

Структура, состав и основные функции СЗПДн определяются исходя из класса ИСПДн. СЗПДн может включает организационные меры и технические средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки ПДн), а также используемые в информаци­онной системе информационные технологии.

Эти меры призваны обеспечить:

-                     конфиденциальность информации (защита от несанкционированного ознакомления);

-                     целостность информации (актуальность и непротиворечивость инфор­мации, ее защищенность от разрушения и несанкционированного изменения);

-                     доступность информации (возможность за приемлемое время получить требуемую информационную услугу).

Стадии создания СЗПДн включают:

-                     предпроектная стадия, включающая предпроектное обследование ИС­ПДн, определение требований к СЗПДн;

-                     стадия проектирования, определяющая встраивание СЗПДн в составе ИСПДн;

-                     стадия ввода в действие СЗПДн, включающая опытную эксплуатацию и приемо-сдаточные испытания средств защиты информации, а также оценку со­ответствия ИСПДн требованиям безопасности информации.

Организационные меры предусматривают создание и поддержание правовой базы безопасности ПДн и разработку (введение в действие) следующих организационно-распорядительных документов:

-                     План мероприятий по обеспечению защиты ПДн при их обработке в ИСПДн;

-                     План мероприятий по контролю обеспечения защиты ПДн;

-                     Порядок резервирования и восстановления работоспособности ТС и ПО, баз данных и СЗИ;

-                     Должностная инструкция сотрудников в части обеспечения безопасно­сти ПДн при их обработке в ИСПДн;

-                     Инструкция на случай возникновения внештатной ситуации;

-                     Регламента доступа в помещения ИСПДн;

Технические меры защиты реализуются при помощи соответствующих программно-технических средств и методов защиты.

Перечень необходимых мер защиты информации определяется по результатам предпроектного обследования ИСПДн Администрации.

2 Цели СЗПДн

Целями СЗПДн являются минимизация вероятности реализации угроз безопасности ПДн и минимизация ущерба в случае реализации угрозы безопасности ПДн.

Для достижения своих целей система безопасности СЗПДн должна обеспечивать адекватное решение следующих задач:

-                     защиты от вмешательства в процесс функционирования ИСПДн посто­ронних лиц (возможность использования АС и доступ к ее ресурсам должны иметь только зарегистрированные установленным порядком пользователи);

-                     разграничения доступа зарегистрированных пользователей к аппаратным, программным и информационным ресурсам ИСПДн, то есть защиту от несанкционированного доступа:

а) к информации, циркулирующей в ИСПДн;

б) средствам вычислительной техники ИСПДн;

в) аппаратным, программным и криптографическим средствам защиты, используемым в ИСПДн;

-                     регистрации действий пользователей при использовании защищаемых ресурсов ИСПДн;

-                     контроля целостности (обеспечение неизменности) ИСПДн и ее восста­новление в случае нарушения;

-                     защиты от программно-математического воздействия;

-                     защиты ПДн от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи;

-                     защиты ПДн, хранимой, обрабатываемой и передаваемой по каналам связи, от несанкционированного разглашения или искажения;

-                     своевременного выявления источников угроз безопасности ПДн, причин и условий, способствующих нанесению ущерба субъектам ПДн, создание меха­низма оперативного реагирования на угрозы безопасности ПДн и негативные тенденции;

-                     своевременного обнаружения попыток нарушения безопасности ПДн;

- создания условий для минимизации и локализации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление нега­тивного влияния и ликвидация последствий нарушения безопасности ПДн.

3 Объекты защиты

Объектами защиты являются - информация, обрабатываемая в ИСПДн, и технические средства ее обработки и защиты.

Объекты защиты включают:

1)                Обрабатываемая информация.

2)                Технологическая информация.

3)                Программно-технические средства обработки.

4)                Средства защиты ПДн.

5)                Каналы информационного обмена и телекоммуникации.

6)                Объекты и помещения, в которых размещены компоненты ИСПДн. 

Конкретный перечень объектов защиты определяется при проведении предпроектного обследования ИСПДн и при проведении периодических проверок.

4 Классификация пользователей ИСПДн

Пользователем ИСПДн является лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования. Пользователем ИСПДн является любой сотрудник Администрации (либо сотрудник сторонней организации), имеющий доступ к ИСПДн и ее ресурсам в соответствии с установленным порядком, в соответствии с его функциональными обязанностями.

Пользователи ИСПДн делятся следующие категории:

1)                Администратор ИСПДн. Сотрудники Администрации, которые зани­маются настройкой, внедрением и сопровождением ИСПДн, в т.ч. телекомму­никационной подсистемы. Обеспечивает функционирование подсистемы управления доступом ИСПДн и уполномочен осуществлять предоставление и разграничение доступа конечного пользователя (Оператора АРМ) к элементам хранящим персональные данные.

Администратор ИСПДн обладает следующим уровнем доступа и знаний:

-                     обладает полной информацией о системном и прикладном программном обеспечении ИСПДн;

-                     обладает полной информацией о технических средствах и конфигурации ИСПДн;

-                     имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;

-                     обладает правами конфигурирования и административной настройки технических средств ИСПДн.

2)                Администратор безопасности. Сотрудник Администрации, ответ­ственный за функционирование СЗПДн, включая обслуживание и настройку административной, серверной и клиентской компонент.

Администратор безопасности обладает следующим уровнем доступа и знаний:

-                     обладает правами Администратора ИСПДн;

-                     обладает полной информацией об ИСПДн;

-                     имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн.

Администратор безопасности уполномочен:

-                     реализовывать политики безопасности в соответствии с которыми поль­зователь (Оператор АРМ) получает возможность работать с элементами ИСПДн;

-                     осуществлять аудит средств защиты;

-                     устанавливать доверительные отношения своей защищенной сети с се­тями других Организаций.

3)                Оператор ИСПДн (Оператор АРМ). Сотрудник Администрации, осуществляющий обработку ПДн. Обработка ПДн включает: возможность просмотра ПДн, ручной ввод ПДн в систему ИСПДн, формирование справок и отчетов по информации, полученной из ИСПД. Оператор не имеет полномочий для управления подсистемами обработки данных и СЗПДн.

Оператор ИСПДн обладает следующим уровнем доступа и знаний:

-                     обладает всеми необходимыми атрибутами (например, паролем), обес­печивающими доступ к некоторому подмножеству ПДн;

-                     располагает конфиденциальными данными, к которым имеет доступ.

4)                Технический специалист по обслуживанию периферийного обору­дования. Сотрудник Администрации (или сторонней организации), осуществ­ляет обслуживание и настройку периферийного оборудования ИСПДн. Технический специалист по обслуживанию не имеет доступа к ПДн, не имеет полномочий для управления подсистемами обработки данных и безопасности.

Технический специалист по обслуживанию обладает следующим уровнем доступа и знаний:

-                     обладает частью информации о системном и прикладном программном обеспечении ИСПДн;

-                     обладает частью информации о технических средствах и конфигурации ИСПДн;

-                     не имеет атрибутов доступа к ИСПДн.

5)     Программист-разработчик (поставщик). Сотрудник Администрации (или сторонней организации), осуществляет разработку и/или поставку прикладного программного обеспечения, обеспечивает его сопровождение на защищаемом объекте. К данной группе могут относиться как сотрудники Администрации, так и сотрудники сторонних организаций.

Лицо этой категории:

-                     обладает информацией об алгоритмах и программах обработки инфор­мации на ИСПДн;

-                     обладает возможностями внесения ошибок, не декларированных воз­можностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения;

-                     может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых в ИСПДн;

-                     не имеет атрибутов доступа к ИСПДн.

Категории пользователей должны быть определены для каждой ИСПДн, после чего определяются права доступа к элементам ИСПДн для всех групп пользователей и отражаются в матрице доступа в "Положении о разграничении прав доступа к обрабатываемым персональным данным".

5 Физические меры защиты

Физические меры защиты основаны на применении разного рода механи­ческих, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации.

Физическая защита зданий, помещений, объектов и средств информатизации должна осуществляться путем установления соответствующих постов охраны, с помощью технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими проникновение в здание, помещения посторонних лиц, хищение информационных носителей, самих средств информатизации, исключающими нахождение внутри контролируемой (охраняемой) зоны технических средств разведки.

5.1     Физическая защита аппаратных средств ИСПДн

Успешное применение технических средств защиты предполагает, что выполнение перечисленных ниже требований обеспечено организационными (административными) мерами и используемыми физическими средствами защиты:

-                     обеспечена физическая целостность всех компонент ИСПДн;

-                     в ИСПДн Администрации разработка и отладка программ осуществля­ется за пределами ИСПДн, на испытательных стендах;

-                     все изменения конфигурации технических и программных средств ИС­ПДн производятся строго установленным порядком (регистрируются и контро­лируются) только на основании распоряжений руководства Администрации;

-                     сетевое оборудование (концентраторы, коммутаторы, маршрутизаторы и т.п.) располагается в местах, недоступных для посторонних.

6 Контроль эффективности системы защиты ИСПДн Администрации

Контроль эффективности СЗПДн должен осуществляется на периодической основе. Целью контроля эффективности является своевременное выявление ненадлежащих режимов работы СЗПДн (отключение средств защиты, нарушение режимов защиты, несанкционированное изменение режима защиты и т.п.), а так прогнозирование и превентивное реагирование на новые угрозы безопасности ПДн.

Контроль может проводиться как администраторами безопасности ИСПДн (оперативный контроль в процессе информационного взаимодействия в ИСПДн так и привлекаемыми для этой цели компетентными организациями, имеющими лицензию на этот вид деятельности, а также ФСТЭК России и ФСБ России в пределах их компетенции.

Контроль может осуществляться администратором безопасности как с помощью штатных средств системы защиты ПДн, так и с помощью специальных программных средств контроля.

Оценка эффективности мер защиты ПДн проводится с использованием технических и программных средств контроля на предмет соответствия уста­новленным требованиям.

7 Сферы ответственности за безопасность ПДн

Ответственным за разработку мер и контроль над обеспечением безопасности персональных данных является руководитель Администрации. Руководитель может делегировать часть полномочий по обеспечению безопасности персональных данных.

Сфера ответственности руководителя включает следующие направления обеспечения безопасности ПДн:

-                     Планирование и реализация мер по обеспечению безопасности ПДн;

-                     Анализ угроз безопасности ПДн;

-                     Разработку, внедрение, контроль исполнения и поддержание в актуаль­ном состоянии политик, руководств, концепций, процедур, регламентов, инструкций и других организационных документов по обеспечению безопасности;

-                     Контроль защищенности ИТ инфраструктуры Администрации от угроз

ИБ;

-                     Обучение и информирование пользователей ИСПДн, о порядке работы с ПДн и средствами защиты;

-                     Предотвращение, выявление, реагирование и расследование нарушений безопасности ПДн.

При взаимодействии со сторонними организациями в случаях, когда со­трудникам этих организаций предоставляется доступ к объектам защиты, с этими организациями должно быть заключено «Соглашение о конфиденциальности», либо «Соглашение о соблюдении режима безопасности ПДн при выполнении работ в ИСПДн». Подготовка типовых вариантов этих соглашений осуществляется совместно с Юридическим отделом.

8 Модель нарушителя безопасности

Под нарушителем в Администрации понимается лицо, которое в результате умышленных или неумышленных действий может нанести ущерб объектам защиты.

Нарушители подразделяются по признаку принадлежности к ИСПДн. Все нарушители делятся на две группы:

•          внешние нарушители - физические лица, не имеющие права пребы­вания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн;

•          внутренние нарушители - физические лица, имеющие право пребы­вания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн.

Классификация нарушителей представлена в Модели угроз безопасности персональных данных каждой ИСПДн.

9 Модель угроз безопасности

Для ИСПДн Администрации выделяются следующие основные категории угроз безопасности персональных данных:

1)                Угрозы от утечки по техническим каналам.

2)                Угрозы несанкционированного доступа к информации:

-                  Угрозы уничтожения, хищения аппаратных средств ИСПДн носи­телей информации путем физического доступа к элементам ИСПДн.

-                  Угрозы хищения, несанкционированной модификации или бло­кирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий).

-                  Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и СЗПДн в ее составе из-за сбо­ев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и сти­хийного (ударов молний, пожаров, наводнений и т.п.) характера.

-                  Угрозы преднамеренных действий внутренних нарушителей.

-                  Угрозы несанкционированного доступа по каналам связи. Описание угроз, вероятность их реализации, опасность и актуальность

представлены в Модели угроз безопасности персональных данных каждой ИС­ПДн.

10 Требования к персоналу

Все сотрудники Администрации, являющиеся пользователями ИСПДн, должны четко знать и строго выполнять установленные правила и обязанности по доступу к защищаемым объектам и соблюдению принятого режима безопасности ПДн.

При вступлении в должность нового сотрудника непосредственный начальник подразделения, в которое он поступает, обязан организовать его ознакомление с должностной инструкцией и необходимыми документами, ре­гламентирующими требования по защите ПДн, а также обучение навыкам выполнения процедур, необходимых для санкционированного использования ИСПДн.

Сотрудник должен быть ознакомлен со сведениями настоящей Политики, принятых процедур работы с элементами ИСПДн и СЗПДн.

Сотрудники Администрации, использующие технические средства аутен­тификации, должны обеспечивать сохранность идентификаторов (электронных ключей) и не допускать НСД к ним, а так же возможность их утери или исполь­зования третьими лицами. Пользователи несут персональную ответственность за сохранность идентификаторов.

Сотрудники Администрации должны следовать установленным процедурам поддержания режима безопасности ПДн при выборе и использовании паролей.

Сотрудники Администрации должны обеспечивать надлежащую защиту оборудования, оставляемого без присмотра, особенно в тех случаях, когда в помещение имеют доступ посторонние лица. Все пользователи должны знать требования по безопасности ПДн и процедуры защиты оборудования, оставленного без присмотра, а также свои обязанности по обеспечению такой защиты.

Сотрудникам запрещается устанавливать постороннее программное обеспечение, подключать личные мобильные устройства и носители информации, а так же записывать на них защищаемую информацию.

Сотрудникам запрещается разглашать защищаемую информацию, которая стала им известна при работе с информационными системами Администрации, третьим лицам.

При работе с ПДн в ИСПДн сотрудники Администрации обязаны обеспечить отсутствие возможности просмотра ПДн третьими лицами с мониторов АРМ или терминалов.

При завершении работы с ИСПДн сотрудники обязаны защитить АРМ или терминалы с помощью блокировки ключом или эквивалентного средства контроля, например, доступом по паролю, если не используются более сильные средства защиты.

Сотрудники Администрации должны быть проинформированы об угрозах нарушения режима безопасности ПДн и ответственности за его нарушение. Они должны быть ознакомлены с утвержденной формальной процедурой наложения дисциплинарных взысканий на сотрудников, которые нарушили принятые политику и процедуры безопасности ПДн.

Сотрудники обязаны без промедления сообщать обо всех наблюдаемых или подозрительных случаях работы ИСПДн, могущих повлечь за собой угрозы безопасности ПДн, а также о выявленных ими событиях, затрагивающих безопасность ПДн, руководству подразделения и лицу, отвечающему за немедленное реагирование на угрозы безопасности ПДн.

10.1    Ответственность персонала

В соответствии со ст. 24 Федерального закона Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных» лица, виновные в нарушении требований данного Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.

Действующее законодательство РФ позволяет предъявлять требования по обеспечению безопасной работы с защищаемой информацией и предусматри­вает ответственность за нарушение установленных правил эксплуатации ЭВМ и систем, неправомерный доступ к информации, если эти действия привели к уничтожению, блокированию, модификации информации или нарушению ра­боты ЭВМ или сетей (статьи 272,273 и 274 УК РФ).

Администратор ИСПДн и администратор безопасности несут ответствен­ность за все действия, совершенные от имени их учетных записей или систем­ных учетных записей, если не доказан факт несанкционированного использова­ния учетных записей.

При нарушениях сотрудниками Администрации - пользователей ИСПДн правил, связанных с безопасностью ПДн, они несут ответственность, установленную действующим законодательством Российской Федерации.

Приведенные выше требования нормативных документов по защите ин­формации должны быть отражены в Положениях о подразделениях Администрации, осуществляющих обработку ПДн в ИСПДн и должностных инструк­циях сотрудников Администрации.

Необходимо внести в Положения о подразделениях Администрации, осуществляющих обработку ПДн в ИСПДн сведения об ответственности их ру­ководителей и сотрудников за разглашение и несанкционированную модификацию (искажение, фальсификацию) ПДн, а также за неправомерное вмешательство в процессы их автоматизированной обработки.

                      11 Технические средства защиты ПДн

-                    СЗПДн включает в себя следующие подсистемы:

-                    управления доступом, регистрации и учета;

-                     обеспечения целостности и доступности;

-                     антивирусной защиты;

-                     межсетевого экранирования;

-                     анализа защищенности;

-                     обнаружения вторжений;

-                     криптографической защиты.

Подсистемы СЗПДн имеют различный функционал в зависимости от класса ИСПДн, определенного в Акте классификации информационной системы персональных данных. Необходимость использования функций подсистем СЗПДн определяется для каждой ИСПДн исходя из её класса и модели угроз.

Все используемые в ИСПДн технические решения, реализующие функционал подсистем СЗПДн должны пройти в установленном порядке процедуру оценки соответствия (сертификацию).

11.1       Подсистемы управления доступом, регистрации и учета

Подсистема управления доступом, регистрации и учета предназначена для реализации следующих функций:

-                     идентификации и проверка подлинности субъектов доступа при входе в ИСПДн;

-                     идентификации терминалов, узлов сети, каналов связи, внешних устройств по логическим именам;

-                     идентификации программ, томов, каталогов, файлов, записей, полей за­писей по именам;

-                     регистрации входа (выхода) субъектов доступа в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее останова.

-                     регистрации попыток доступа программных средств (программ, процес­сов, задач, заданий) к защищаемым файлам;

-                     регистрации попыток доступа программных средств к терминалам, ка­налам связи, программам, томам, каталогам, файлам, записям, полям записей.

Функционал подсистемы может быть реализован программными и про­граммно-аппаратными средствами.

11.2       Подсистема обеспечения целостности и доступности

Подсистема обеспечения целостности и доступности предназначена для обеспечения целостности и доступности ПДн, программных и аппаратных средств ИСПДн Администрации, а так же средств защиты, при случайной или намеренной модификации.

Подсистема реализуется с помощью организации резервного копирования обрабатываемых данных, резервированием ключевых элементов ИСПДн и ис­пользованием программных либо программно-аппаратных средств контроля целостности.

11.3       Подсистема антивирусной защиты

Подсистема антивирусной защиты предназначена для обеспечения анти­вирусной защиты серверов и АРМ пользователей ИСПДн Администрации.

Средства антивирусной защиты предназначены для реализации следующих функций:

-                     резидентный антивирусный мониторинг;

-                     антивирусное сканирование;

-                     скрипт-блокирование;

-                     централизованную/удаленную установку/деинсталляцию антивирусного продукта, настройку, администрирование, просмотр отчетов и статистической информации по работе продукта;

-                     автоматизированное обновление антивирусных баз;

-                     ограничение прав пользователя на остановку исполняемых задач и из­менения настроек антивирусного программного обеспечения;

-                     автоматический запуск сразу после загрузки операционной системы.

Подсистема реализуется путем внедрения специального антивирусного

программного обеспечения на все элементы ИСПДн.

11.4       Подсистема межсетевого экранирования

Подсистема межсетевого экранирования предназначена для реализации следующих функций:

-                     фильтрации открытого и зашифрованного (закрытого) IP-трафика по следующим параметрам;

-                     фиксации во внутренних журналах информации о проходящем откры­том и закрытом 1Р-трафике;

-                     идентификации и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ;

-                     регистрации входа (выхода) администратора межсетевого экрана в си­стему (из системы) либо загрузки и инициализации системы и ее программного останова;

-                     контроля целостности своей программной и информационной части;

-                     фильтрации пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств;

-                     фильтрации с учетом входного и выходного сетевого интерфейса как средство проверки подлинности сетевых адресов;

-                     регистрации и учета запрашиваемых сервисов прикладного уровня;

-                     блокирования доступа неидентифицированного объекта или субъекта, подлинность которого при аутентификации не подтвердилась, методами, устой­чивыми к перехвату;

-                     контроля за сетевой активностью приложений и обнаружения сетевых атак.

Подсистема реализуется внедрением программно-аппаратных комплексов межсетевого экранирования на границе ЛВС либо на каждом АРМ ИСПДн.

11.5        Подсистема анализа защищенности

Подсистема анализа защищенности, должна обеспечивать выявления уяз­вимостей, связанных с ошибками в конфигурации ПО ИСПДн, которые могут быть использованы нарушителем для реализации атаки на систему.

Функционал подсистемы может быть реализован программными и программно-аппаратными средствами.

11.6        Подсистема обнаружения вторжений

Подсистема обнаружения вторжений, должна обеспечивать выявление сетевых атак на элементы ИСПДн подключенные к сетям общего пользования и (или) международного обмена.

Функционал подсистемы может быть реализован программными и программно-аппаратными средствами.

11.7      Подсистема криптографической защиты

Подсистема криптографической защиты предназначена для исключения НСД к защищаемой информации в ИСПДн Администрации, при ее передачи по каналам связи сетей общего пользования и (или) международного обмена.

Подсистема реализуется внедрения криптографических программно аппаратных комплексов.

12 Требования к прикладному программному обеспечению

Прикладное программное обеспечение должно быть настроено таким образом, чтобы запросы пользователей ИСПДн на получение персональных дан­ных, а также факты предоставления персональных данных по этим запросам, регистрировались в электронном журнале обращений (производилось протоколирование действий пользователей). В случае если прикладное программное обеспечение не позволяет настроить такой функционал, оно должно быть заменено либо этот функционал должен быть реализован дополнительным программным обеспечением.

  13 Ожидаемый эффект от реализации Политики

-                    Реализация Политики безопасности ПДн в ИСПДн позволит:

-                    оценить состояние безопасности информации ИСПДн, выявить

-                    источники внутренних и внешних угроз информационной безопасности, определить приоритетные направления предотвращения, отражения и нейтрализации этих угроз; разработать распорядительные и нормативно-методические документы применительно к ИСПДн;

-                     провести классификацию ИСПДн;

-                     провести организационно-режимные и технические мероприятия по обеспечению безопасности ПДн в ИСПДн;

-                     обеспечить необходимый уровень безопасности объектов защиты.

Осуществление этих мероприятий обеспечит создание единой, целостной и скоординированной системы информационной безопасности ИСПДн и создаст условия для ее дальнейшего совершенствования.

^ Наверх