Методические рекомендации МУ по ИБ
advertisement
ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ АВС – антивирусные средства АРМ – автоматизированное рабочее место ВТСС – вспомогательные технические средства и системы ИСПДн – информационная система персональных данных КЗ – контролируемая зона ЛВС – локальная вычислительная сеть МЭ – межсетевой экран НСД – несанкционированный доступ ОС – операционная система ПДн – персональные данные ПМВ – программно-математическое воздействие ПО – программное обеспечение ПЭМИН – побочные электромагнитные излучения и наводки САЗ – система анализа защищенности СЗИ – средства защиты информации СЗПДн – система (подсистема) защиты персональных данных СОВ – система обнаружения вторжений ТКУИ – технические каналы утечки информации УБПДн – угрозы безопасности персональных данных ФСТЭК России – Федеральная служба по техническому и экспортному контролю ОПРЕДЕЛЕНИЯ Автоматизированная система – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций. Аутентификация отправителя данных – подтверждение того, что отправитель полученных данных соответствует заявленному. Безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных. Биометрические персональные данные – сведения, которые характеризуют физиологические особенности человека, и на основе которых можно установить его личность, включая фотографии, отпечатки пальцев, образ сетчатки глаза, особенности строения тела и другую подобную информацию. Блокирование персональных данных – временное прекращение сбора, систематизации, накопления, использования, распространения, персональных данных, в том числе их передачи. Вирус (компьютерный, программный) – исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению. Вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа и / или воздействия на персональные данные или ресурсы информационной системы персональных данных. Вспомогательные технические средства и системы – технические средства и системы, не предназначенные для передачи, обработки и хранения персональных данных, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки персональных данных или в помещениях, в которых установлены информационные системы персональных данных. Доступ в операционную среду компьютера (информационной системы персональных данных) – получение возможности запуска на выполнение штатных команд, функций, процедур операционной системы (уничтожения, копирования, перемещения и т.п.), исполняемых файлов прикладных программ. Доступ к информации – возможность получения информации и ее использования. Закладочное устройство – элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации). Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации. Идентификация – присвоение субъектам и объектам доступа идентификатора и / или сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов. Информативный сигнал – электрический сигнал, акустические, электромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация (персональные данные), обрабатываемая в информационной системе персональных данных. Информационная система персональных данных (ИСПДн) – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств. Информационные технологии – процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов. Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц. Источник угрозы безопасности информации – субъект доступа, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации. Контролируемая зона – пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств. Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания. Межсетевой экран – локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и / или выходящей из информационной системы. Нарушитель безопасности персональных данных – физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных. Неавтоматизированная обработка персональных данных – обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. Недекларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Несанкционированный доступ (несанкционированные действия) – доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных. Носитель информации – физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин. Обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных. Обработка персональных данных – действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных. Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. Оператор (персональных данных) – государственный орган, муниципальный орган, юридическое или физическое лицо, организующее и / или осуществляющее обработку персональных данных, а также определяющие цели и содержание обработки персональных данных. Перехват (информации) – неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов. Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация. Побочные электромагнитные излучения и наводки – электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания. Политика «чистого стола» – комплекс организационных мероприятий, контролирующих отсутствие записи ключей и атрибутов доступа (паролей) на бумажные носители и хранения их вблизи объектов доступа. Пользователь информационной системы персональных данных – лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования. Правила разграничения доступа – совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа. Программная закладка – код программы, преднамеренно внесенный в программу с целью осуществить утечку, изменить, блокировать, уничтожить информацию или уничтожить и модифицировать программное обеспечение информационной системы персональных данных и / или блокировать аппаратные средства. Программное (программно-математическое) воздействие – несанкционированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ. Раскрытие персональных данных – умышленное или случайное нарушение конфиденциальности персональных данных. Распространение персональных данных – действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом. Ресурс информационной системы – именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы. Специальные категории персональных данных – персональные данные, касающиеся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни субъекта персональных данных. Средства вычислительной техники – совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем. Субъект доступа (субъект) – лицо или процесс, действия которого регламентируются правилами разграничения доступа. Технические средства информационной системы персональных данных – средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки звуковоспроизведения, ПДн переговорные и (средства и телевизионные системы звукозаписи, устройства, звукоусиления, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах. Технический канал утечки информации – совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация. Трансграничная передача персональных данных – передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства. Угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных. Уничтожение персональных данных – действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных. Утечка (защищаемой) информации по техническим каналам – неконтролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации. Учреждение – учреждения здравоохранения, социальной сферы, труда и занятости. Уязвимость – слабость в средствах защиты, которую можно использовать для нарушения системы или содержащейся в ней информации. Целостность информации – способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения). ВВЕДЕНИЕ В настоящее время, на территории Российской Федерации осуществляется государственное регулирование в области обеспечения безопасности персональных данных (далее – ПДн). Правовое регулирование вопросов обработки ПДн осуществляется в соответствии с Конституцией Российской Федерации и международными договорами Российской Федерации, на основании вступившего в силу с 2007 года Федерального закона от 27.07.2006 г. № 152-ФЗ «О персональных данных» и принятых во исполнение его положений, нормативно-правовых актов и методических документов. В силу требований указанного Федерального закона «О персональных данных» все информационные системы персональных данных (далее – ИСПДн), созданные до введения его в действие, должны быть приведены в соответствие установленным требованиям не позднее 1 января 2010 года. Настоящий документ представляет собой методические рекомендации, разъясняющие руководителям учреждений Минздравсоцразвития, в которых эксплуатируются ИСПДн, последовательность действий для приведения ИСПДн в соответствие с законодательством. Цели методических рекомендаций: описание единого подхода к обеспечению безопасности персональных данных и приведению ИСПДн учреждений Минздравсоцразвития в соответствие c ФЗ-152 «О персональных данных»; предоставление руководителям учреждений Минздравсоцразвития типовых решений по организации защиты ИСПДн; составление для учреждений программы работ по приведению ИСПДн в соответствие с ФЗ-152 «О персональных данных»; планирование проведения первоочередных мероприятий по защите ПД в сжатые сроки – до 1 января 2010 г.; предоставление инструментов для снижения и оптимизации финансовых и трудовых затрат при приведении учреждений в соответствие с требованиями ФЗ-152 «О персональных данных». Методические рекомендации содержат набор типовых шаблонов организационнораспорядительных документов, а также детальные инструкции по их заполнению. Данные Методические рекомендации разработаны на основании Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» с учетом действующих нормативных документов ФСТЭК и ФСБ России по защите информации. ОСНОВНЫЕ ОБЯЗАННОСТИ УЧРЕЖДЕНИЙ ЗДРАВООХРАНЕНИЯ, ЭКСПЛУАТИРУЮЩИХ ИСПДН Все учреждения и организации системы здравоохранения, социальной сферы, труда и занятости (далее – Учреждения) обязаны обеспечивать защиту персональных данных во внедряемых информационных системах с момента их ввода в эксплуатацию. В отношении действующих информационных систем, обрабатывающих персональные данные, Учреждения обязаны осуществить ряд мероприятий: Провести их классификацию с оформлением соответствующего акта; До 01.01.2010 реализовать комплекс мер по защите персональных данных в соответствии с перечисленными правовыми актами и методическими документами; Провести оценку соответствия ИСПДн требованиям безопасности в форме сертификации (аттестации) или декларирования соответствия. ОСНОВНЫЕ МЕРОПРИЯТИЯ ПО ПРИВЕДЕНИЮ ИСПДН УЧРЕЖДЕНИЙ В СООТВЕТСТВИЕ С ФЗ-152 «О ПЕРСОНАЛЬНЫХ ДАННЫХ» Каждое Учреждение, эксплуатирующее ИСПДн, должно выполнить до 1 января 2010 года следующие действия: Создать комиссию по организации, проведению и контролю мероприятий по обеспечению безопасности ПДн, обрабатываемых в структурных подразделениях Учреждения, определить должностных лиц Учреждения, ответственных за организацию и осуществление мероприятий по обеспечению безопасности ПДн; Проанализировать информационные потоки, циркулирующие в технических средствах, с целью определения материальных носителей и информационных ресурсов, содержащих ПДн сотрудников Учреждения и сторонних лиц; Определить перечень технических средств, в которых осуществляется обработка ПДн; Определить перечень ИСПДн, осуществляющих автоматизированную обработку ПДн. Разработать перечень ПДн, подлежащих защите; Провести классификацию ИСПДн; Разработать и утвердить список лиц, доступ которых к персональным данным, обрабатываемым в ИСПДн, необходим для выполнения служебных обязанностей; Оформить журнал учета допуска к работе пользователей в ИСПДн с указанием логических имен пользователей, а так же перечня информационных ресурсов, к которым пользователи допущены; Разработать модель угроз безопасности ПДн; Разработать положение, определяющего организацию и порядок проведения работ по обеспечению безопасности персональных данных при их обработке в ИСПДн; Оформить журнал учета средств защиты информации с указанием индексов, наименований, серийных номеров средств защиты информации, номеров специальных защитных знаков, номеров и сроков действия сертификатов на средства защиты, мест установки средств защиты информации; Разработать инструкции по порядку резервирования и восстановления персональных данных; Оформить журнал учета машинных носителей персональных данных с указанием типа, емкости, учетного номера, места установки (использования), даты установки носителей, ответственного должностного лица, сведений о списании носителя и уничтожения информации; Настроить средства защиты информации от НСД в соответствии с методами и способами защиты информации в зависимости от класса ИСПДн, утвержденными приказом ФСТЭК России от 5 февраля 2010 г. №58; Проведение оценки готовности используемых в ИСПДн средств защиты информации с составлением заключений о возможности их эксплуатации; Оформить и утвердить программы и методики аттестационных испытаний ИСПДн. Оформить протоколы аттестационных испытаний, подтверждающих полученные при испытаниях результаты; Оформить заключения по результатам аттестационных испытаний ИСПДн, содержащих результаты испытаний внедрённого комплекса организационных, технических и программных средств защиты со ссылками на соответствующие протоколы, а также вывод о возможности выдачи аттестата соответствия ИСПДн требованиям по безопасности информации. Оформить аттестат соответствия на ИСПДн; Разработать проект приказа об организации работ по обеспечению безопасности ПДн в учреждении. I ПОДГОТОВИТЕЛЬНЫЙ ЭТАП 1 Создание комиссии по организации, проведению и контролю мероприятий по обеспечению безопасности персональных данных. Для определения класса ИСПДн, определения перечня технических средств, в которых осуществляется обработка персональных данных, разработки перечня персональных данных, подлежащих защите и выполнения других мероприятий, создаётся комиссия по организации, проведению и контролю мероприятий по обеспечению безопасности персональных данных. Комиссия создаётся на основе приказа об организации работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Образец приказа об организации работ по обеспечению безопасности персональных данных при из обработке в информационных системах персональных данных - ПРИЛОЖЕНИЕ № 1. Рекомендуется назначить ответственным за обеспечение безопасности персональных данных системного администратора или специалиста по защите информации (если таковые имеются в учреждении). Если в учреждении отсутствуют квалифицированные специалисты, то ответственным рекомендуется назначить первого заместителя руководителя организации. Выполнение работ по обеспечению безопасности персональных данных рекомендуется возлагать на системного администратора или специалиста по защите информации. При организации комиссии рекомендуется, чтобы в неё обязательно входили руководитель организации, ответственный за обеспечение безопасности персональных данных, системный администратор, выполняющий работы по обеспечению безопасности ПДн, руководители отделов, чьи подразделения участвуют в обработке персональных данных, технические специалисты, обеспечивающих поддержку технических средств (если такие имеются в организации). Также к участию в комиссии в качестве консультантов можно привлекать специалистов сторонних организаций. Рекомендуемый срок работы комиссии при классификации информационных систем - 10 дней. 2 Анализ информационных потоков, циркулирующих в технических средствах, с целью определения материальных носителей и информационных ресурсов, содержащих ПДн сотрудников Учреждения Анализ информационных потоков осуществляется комиссией по организации, проведению и контролю мероприятий по обеспечению безопасности персональных данных в соответствии с приказом об организации работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Также анализ информационных потоков могут выполнить сотрудники организаций, имеющих лицензии на выполнение мероприятий по защите персональных данных при заключении договора с Учреждением. Для анализа информационных потоков собираются данные со всех структурных подразделений организации (напр.: бухгалтерия, регистратура, отдел кадров, лечебные отделы учреждения). Данные должны содержать полный перечень информации, поступающий и обрабатываемый в каждом отделе. (Напр., в бухгалтерию поступают и обрабатываются ФИО сотрудника, данные о его з/п, ИНН и т.п). После сбора информации, полученные данные анализируются. Для удобства работы с информационными потоками всю информацию можно свести в таблицу (таблица представлена в ПРИЛОЖЕНИИ № 2). Пример заполнения таблицы: № п/п 1 Отдел АРМ, находящиеся в отделе (полное имя компьютера) Специальные программные средства, используемые для сбора и обработки ПДн АРМ 1 (Glavn_specialist) Программа "Парус" Кадры АРМ 2 (Specialist) Программа "Парус" Кадры Отдел кадров Информация, обрабатываемая в каждом специализированном программном средстве ФИО, паспортные данные, адрес, дата и место рождения, семейное положение, место жительства, телефон, образование, профессия, награды, ИНН, номер медицинского полиса, оклад, должность, номер зарплатного лицевого счета ФИО, паспортные данные, адрес, дата и место рождения, семейное положение, место жительства, телефон, образование, профессия, награды, ИНН, номер медицинского полиса, оклад, должность, номер зарплатного лицевого счета Определение перечня технических средств, в которых осуществляется обработка персональных данных. 3 Определить перечень технических средств, в которых обрабатываются персональные данные можно на основе таблицы № 1 (приложение 2). 2 столбец содержит необходимые данные. Для удобства работы рекомендуется внести данные в таблицу № 2 (таблица представлена в ПРИЛОЖЕНИИ № 3). Пример заполнения таблицы: № п/п 1 АРМ (отдел) ФИО сотрудника, работающего на данном АРМ Glavn_specialist (отдел кадров) Кузьмина Т.А. Следует помнить, что серверы, в которых происходит сбор всей информации, циркулирующей на предприятии и её резервное копирование, так же является техническим средством и его необходимо вносить в данный список. 4 Определение перечня информационных систем персональных данных (далее - ИСПДн), осуществляющих автоматизированную обработку персональных данных. Разработка перечня ПДн, подлежащих защите. Как правило, персональные данные обрабатываются специальным программным обеспечением - информационными системами. Эти системы были описаны в таблице № 1 в 3 столбце. Пример информационных систем - Программа "Парус" - кадры, базы данных 1С. Для удобства работы рекомендуется внести данные в таблицу № 3 (таблица представлена в ПРИЛОЖЕНИИ № 4). Пример заполнения таблицы: № п/п 1 ИСПДн Программа "Парус" - Обрабатываемая информация ФИО, паспортные данные, адрес, дата и место рождения, семейное положение, место Кадры жительства, телефон, образование, профессия, награды, ИНН, номер медицинского полиса, оклад, должность, номер зарплатного лицевого счета Разработка перечня ПДн. Перечень разрабатывается в соответствии со списком объектов защиты, изложенных в Концепции информационной безопасности ИСПДн Учреждения. Перечень должен содержать полный список категорий данных, безопасность которых должна обеспечиваться системой защиты персональных данных (СЗПДн). В медицинских учреждениях персональными данными могут являться: 1) Персональные данные субъектов ПДн (посетители Учреждения): ФИО; Дата рождения; Контактный телефон; Адрес прописки; Адрес фактического проживания; Паспортные данные; Данные о состоянии здоровья (история болезни). 2) Персональные данные сотрудников учреждения: Фамилия, имя, отчество; Место, год и дата рождения; Адрес по прописке; Паспортные данные (серия, номер паспорта, кем и когда выдан); Информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность); Информация о трудовой деятельности до приема на работу; Информация о трудовом стаже (место работы, должность, период работы, период работы, причины увольнения); Адрес проживания (реальный); Телефонный номер (домашний, рабочий, мобильный); Семейное положение и состав семьи (муж/жена, дети); Информация о знании иностранных языков; Форма допуска; Оклад; Данные о трудовом договоре (№ трудового договора, дата его заключения, дата начала и дата окончания договора, вид работы, срок действия договора, наличие испытательного срока, режим труда, длительность основного отпуска, длительность дополнительного отпуска, длительность дополнительного отпуска за ненормированный рабочий день, обязанности работника, дополнительные социальные льготы и гарантии, № и число изменения к трудовому договору, характер работы, форма оплаты, категория персонала, условия труда, продолжительность рабочей недели, система оплаты); Сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета); ИНН; Данные об аттестации работников; Данные о повышении квалификации; Данные о наградах, медалях, поощрениях, почетных званиях; Информация о приеме на работу, перемещении по должности, увольнении; Информация об отпусках; Информация о командировках; Информация о болезнях; Информация о негосударственном пенсионном обеспечении. Перечень персональных данных составляется для каждой ИСПДн и может изменяться в соответствии с необходимостью внесения дополнительной информации или удаления неактуальной. Пример Перечня ПДн - ПРИЛОЖЕНИЕ № 5. II МЕРОПРИЯТИЯ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ. 1 Проведение классификации ИСПДн Классификация ИСПДн должна осуществляться непосредственно самими Учреждениями в соответствии с Приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 N 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных» в зависимости от категории и количества обрабатываемых данных. Так же провести классификацию ИСПДн могут провести организации, имеющие лицензию на проведение работ по защите персональных данных, при заключении договора с Учреждением. 1.1 Определение категорий персональных данных, обрабатываемых в ИСПДн В соответствии с Приказом N 55/86/20 выделяют 4 категории (хпд): категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни; категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1; категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных; категория 4 - обезличенные и (или) общедоступные персональные данные. В Учреждениях здравоохранения чаще всего встречаются данные 1 категории (ПДн обращающихся в Учреждение) и данные 2 категории (ПДн сотрудников Учреждения). В зависимости от сферы деятельности, также могут обрабатываться персональные данные 3 и 4 категории. 1.2 Определение объема обрабатываемых персональных данных (количества субъектов обрабатываемых персональных данных, персональные данные которых обрабатываются в каждой ИСПДн) Объем, обрабатываемых ПДн ( хнпд) определяет количество субъектов, персональные данные которых обрабатываются в системе. На основании Приказом N 55/86/20( хнпд )может принимать следующие значения: 1 - в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных; 2 - в информационной системе одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов персональных данных работающих в отрасли экономики РФ, в органе государственной власти; 3 - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных. Пример: В информационной системе учреждения здравоохранения обрабатываются персональные данные 900 субъектов. хнпд в таком случае принимает значение 3. 1.3 Установление классов ИСПДн Класс информационной системы персональных данных определяется на основании хпд и хнпд в соответствии с таблицей № 1. Таблица 1 Категория 4 (обезличенные ПДн) меньше 1000 (ХНПД=3) от 1000 до 100 000 (ХНПД=2) свыше 100 000 (ХНПД=1) К4 К4 К4 К3 К3 К2 К3 К2 К1 К1 К1 К1 Категория 3 (ПДн позволяющие только идентифицировать) Категория 2 (ПДн позволяющие идентифицировать + дополнительные сведения) Категория 1 (ПДн касающиеся здоровья, национальности, интимной жизни и т.д.) класс 1 (К1) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных; класс 2 (К2) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных; класс 3 (К3) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных; класс 4 (К4) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных. Пример: В соответствии с таблицей № 1 ИСПДн, в которой объем обрабатываемых ПД равен 900 и ПД относятся к первой категории, присваивается класс К1. 1.4 Оформление актов классификации. Результаты классификации информационных систем оформляются соответствующим актом, представленным в ПРИЛОЖЕНИИ № 6. Для каждого пункта в акте классификации необходимо выбрать один вариант: 1) Хпд выбирается в соответствии с пунктом 1.1 данного раздела; 2) Хнпд выбирается в соответствии с пунктом 1.2 данного раздела; 3) Заданные характеристики безопасности персональных (Типовая ИС/Специальная ИС). Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных. Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий). К специальным информационным системам должны быть отнесены: информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных; информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы. 4) Структура ИС (АРМ/Локальная ИС/Распределённая ИС). Автоматизированные рабочие места - не подключенные к иным информационным системам комплексы технических и программных средств, предназначенные для обработки персональных данных. Локальные ИС - ИС, объединенные в единую информационную систему средствами связи без использования технологии удаленного доступа. Распределённые ИС – ИС, объединенные в единую информационную систему средствами связи с использованием технологии удаленного доступа. 5) Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена (Имеется/Не имеется). 6) Режим обработки персональных данных (Однопользовательский/Многопользовательский). Однопользовательские системы – системы, доступ к которым имеет один пользователь. Многопользовательские системы – системы, доступ к которым имеет несколько пользователей. Все пользователи могут иметь как равные права к доступу в систему, так и иметь ограничения. 7) Режим разграничения прав доступа пользователей (Без разграничения прав доступа/С разграничением прав доступа). В ИС без разграничения прав доступа все пользователи имеют равные права при работе в системе. В ИС с разграничением прав доступа пользователи имеют различный уровень доступа в системе в соответствии с Политикой безопасности. 8) Местонахождение технических средств информационной системы (Все технические средства находятся в пределах Российской Федерации / Технические средства частично или целиком находятся за пределами Российской Федерации). Для каждой ИСПДн нужно составить свой акт классификации 2 Разработка и утверждение списка лиц, доступ которых к персональным данным, обрабатываемым в ИСПДн, необходим для выполнения служебных обязанностей. В ИСПДн Учреждения можно выделить следующие группы пользователей, участвующих в обработке и хранении ПДн: Администратора ИСПДн; Администратора безопасности; Операторов АРМ. АДМИНИСТРАТОР ИСПДн Администратор ИСПДн, сотрудник Учреждения, ответственный за настройку, внедрение и сопровождение ИСПДн. Обеспечивает функционирование подсистемы управления доступом ИСПДн и уполномочен осуществлять предоставление и разграничение доступа конечного пользователя (Оператора АРМ) к элементам хранящим персональные данные. Администратор ИСПДн обладает следующим уровнем доступа и знаний: обладает полной информацией о системном и прикладном программном обеспечении ИСПДн; обладает полной информацией о технических средствах и конфигурации ИСПДн; имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн; обладает правами конфигурирования и административной настройки технических средств ИСПДн. АДМИНИСТРАТОР БЕЗОПАСНОСТИ Администратор безопасности, сотрудник Учреждения, ответственный за функционирование СЗПДн, включая обслуживание и настройку административной, серверной и клиентской компонент. Администратор безопасности обладает следующим уровнем доступа и знаний: обладает правами Администратора ИСПДн; обладает полной информацией об ИСПДн; имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн; не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных). Администратор безопасности уполномочен: реализовывать политики безопасности в части настройки СКЗИ, межсетевых экранов и систем обнаружения атак, в соответствии с которыми пользователь (Оператор АРМ) получает возможность работать с элементами ИСПДн; осуществлять аудит средств защиты; устанавливать доверительные отношения своей защищенной сети с сетями других Учреждений. ОПЕРАТОР АРМ Оператор АРМ, сотрудник Учреждения, осуществляющий обработку ПДн. Обработка ПДн включает: возможность просмотра ПДн, ручной ввод ПДн в систему ИСПДн, формирование справок и отчетов по информации, полученной из ИСПД. Оператор не имеет полномочий для управления подсистемами обработки данных и СЗПДн. Оператор ИСПДн обладает следующим уровнем доступа и знаний: обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн; располагает конфиденциальными данными, к которым имеет доступ. Внутри учреждения должно быть разработано и утверждено положение о разграничении прав доступа к обрабатываемым персональным данным, Образец положения представлен в ПРИЛОЖЕНИИ № 7. Пример заполнения таблиц: № п/п 1 Группа 2 Уровень доступа к ПДн Разрешенные действия 3 4 Обладают полной информацией о системном и прикладном программном обеспечении ИСПДн. 1 Администраторы ИСПДн Обладают полной информацией о технических средствах и конфигурации ИСПДн. Имеют доступ ко всем техническим средствам обработки информации и данным ИСПДн. сбор систематизация накопление хранение уточнение использование уничтожение Обладают правами конфигурирования и административной настройки технических средств ИСПДн. № п/п 1 1. Роль ФИО сотрудника Подразделение 2 3 4 Администратор ИСПДн Иванов Виктор Петрович Отдел ИТ и ТМ 3 Оформление и регистрация журнала учета допуска к работе пользователей в ИСПДн с указанием логических имен пользователей, а так же перечня информационных ресурсов, к которым пользователи допущены. Для каждой ИСПДн должны быть определены группы пользователей участвующие в обработке ПДн. Образец журнала представлен в ПРИЛОЖЕНИИ № 8. Пример заполнения журнала: № п/п Группа Уровень доступа к Разрешенные ПДн действия 1. Администраторы ИСПДн Обладают полной информацией о системном и прикладном программном обеспечении ИСПДн. Обладают полной информацией о технических средствах и конфигурации ИСПДн. Ф.И.О. сотрудника / Логин сбор систематизация накопление хранение уточнение использование уничтожение Иванов В. П. / Ivanov сбор систематизация накопление хранение уточнение использование уничтожение использование Маршина Е. О. / Marshina Имеют доступ ко всем техническим средствам обработки информации и данным ИСПДн. Обладают правами конфигурирования и административной настройки технических средств ИСПДн. 2. 3. Операторы ИСПДн правами записи Операторы ИСПДн правами чтения с с Обладают всеми необходимыми атрибутами и правами, обеспечивающими доступ ко всем ПДн. Обладают всеми необходимыми атрибутами и правами, обеспечивающими доступ к подмножеству ПДн. Котова И. П. / Kotova Павлова К. В. / Pavlova 4 Разработка для каждой ИСПДн частной модели угроз, содержащей систематизированный перечень угроз безопасности персональных данных при их обработке в ИСПДн, а также оценку актуальности каждой из угроз Потенциальную опасность безопасности персональных данных (далее – ПДн) при их обработке в ИСПДн представляют: угрозы утечки по техническим каналам (по ПЭМИН, видовым, акустическим); внешний нарушитель физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование Учреждения; внутренний нарушитель – физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование Учреждения. Под уровнем исходной защищенности ИСПДн в соответствии с "Методикой определения актуальных угроз безопасности персональных данных при обработке в информационных системах персональных данных" (далее – Методика), утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, приведенных в таблице № 2: Таблица 2 Технические и эксплуатационные характеристики ИСПДн Высокий Средний Низкий - + городская ИСПДн, охватывающая не более одного населенного пункта (города, поселка) - + корпоративная распределенная ИСПДн, охватывающая многие подразделения одной организации + - локальная (кампусная) ИСПДн, развернутая в пределах нескольких близко расположенных зданий + - локальная ИСПДн, развернутая в пределах + - - 1. По территориальному размещению распределенная ИСПДн, которая охватывает несколько областей, краев, округов или государство в целом одного здания 2. По наличию соединения с сетями общего пользования ИСПДн, имеющая многоточечный выход в сеть общего пользования - + ИСПДн, имеющая одноточечный выход в сеть общего пользования + - ИСПДн, физически отделенная от сети общего + пользования - - 3. По встроенным (легальным) операциям с записями баз персона чтение, поиск + - - запись, удаление, сортировка - + - модификация, передача - - + + - доступ все являющейся - + - - + 4. По разграничению доступа к персональным данным ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем ИСПДн, либо субъект ПДн ИСПДн, к которой имеют сотрудники организации, владельцем ИСПДн ИСПДн с открытым доступом 5. По наличию соединений с другими базами ПДн иных ИСПДн интегрированная ИСПДн (организация использует несколько баз ПДн ИСПДн, при этом организация не является владельцем всех используемых баз ПДн) ИСПДн, в которой используется + одна база ПДн, принадлежащая организации – владельцу данной ИСПДн + - - - - ИСПДн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации + - ИСПДн, в пользователю - + 6. По уровню обобщения (обезличивания) ИСПДн, в которой предоставляемые + пользователю данные являются обезличенными (на уровне организации, отрасли, области, региона и т.д.) которой данные предоставляемые не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн) 7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки ИСПДн, предоставляющая всю базу данных + с ПДн ИСПДн, предоставляющая часть ПДн ИСПДн, не информации предоставляющая - + - никакой + - - Для каждого из 6 пунктов необходимо выбрать единственный вариант, подходящий для рассматриваемой ИСПДн. ОПРЕДЕЛЕНИЕ ИСХОДНОЙ СТЕПЕНИ ЗАЩИЩЁННОСТИ Исходная степень защищенности определяется следующим образом. 1. ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню «высокий» (в таблице № 2 суммируются положительные решения по первому столбцу, соответствующему высокому уровню защищенности), а остальные – среднему уровню защищенности (положительные решения по второму столбцу). 2. ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний» (в таблице № 2 берется отношение суммы положительные решений по второму столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные – низкому уровню защищенности. 3. ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия по пунктам 1 и 2. ОПРЕДЕЛЕНИЕ ЧИСЛОВОГО КОЭФФИЦИЕНТА ИСХОДНОЙ ЗАЩИЩЁННОСТИ При составлении перечня актуальных угроз безопасности ПДн каждой степени исходной защищенности ставится в соответствие числовой коэффициент Y1 , а именно: 0 – для высокой степени исходной защищенности; 5 – для средней степени исходной защищенности; 10 – для низкой степени исходной защищенности. ОПРЕДЕЛЕНИЕ ЧИСЛОВОГО КОЭФФИЦИЕНТА ВЕРОЯТНОСТИ ВОЗНИКНОВЕНИЯ УГРОЗЫ При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y2 , а именно: 0 – для маловероятной угрозы; 2 – для низкой вероятности угрозы; 5 – для средней вероятности угрозы; 10 – для высокой вероятности угрозы. Y2 выбирается, исходя из оценки окружающей среды и возможности реализации угрозы: маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся); низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации); средняя вероятность - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны; высокая вероятность - объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты. С учетом изложенного коэффициент реализуемости угрозы Y будет определяться соотношением: Y (Y1 Y2 ) / 20 . По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом: если 0 Y 0,3 , то возможность реализации угрозы признается низкой; если 0,3 Y 0,6 , то возможность реализации угрозы признается средней; если 0,6 Y 0,8 , то возможность реализации угрозы признается высокой; если Y 0,8 , то возможность реализации угрозы признается очень высокой. ПРАВИЛА ОТНЕСЕНИЯ УГРОЗЫ БЕЗОПАСНОСТИ ПДН К АКТУАЛЬНОЙ Для каждой выявленной угрозы определяется её актуальность в соответствии с вышеописанным алгоритмом и таблицей № 3. Таблица 3 Возможность реализации угрозы Показатель опасности угрозы Низкая Средняя Высокая Низкая неактуальная неактуальная актуальная Средняя неактуальная актуальная актуальная Высокая актуальная актуальная актуальная Очень высокая актуальная актуальная актуальная Так как большинство массивов ПДн обрабатываются и хранятся на ЭВМ, то в первую очередь необходимо учесть угрозы, связанные с эксплуатацией ЭВМ. Наиболее вероятные угрозы: 1. Угрозы от утечки по техническим каналам: 1.1. Угрозы утечки акустической информации; 1.2. Угрозы утечки видовой информации; 1.3. Угрозы утечки информации по каналам ПЭМИН. 2. Угрозы несанкционированного доступа к информации: 2.1. Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн: 2.1.1. Кража ПЭВМ; 2.1.2. Кража носителей информации; 2.1.3. Кража ключей доступа; 2.1.4. Кражи, модификации, уничтожения информации; 2.1.5. Вывод из строя узлов ПЭВМ, каналов связи; 2.1.6. Несанкционированное отключение средств защиты; 2.1.7. Несанкционированное отключение средств защиты; 2.2. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий): 2.2.1. Действия вредоносных программ (вирусов); 2.2.2. Установка ПО не связанного с исполнением служебных обязанностей; 2.3. Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и СЗПДн в ее составе из-за сбоев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера: 2.3.1. Утрата ключей и атрибутов доступа; 2.3.2. Непреднамеренная модификация (уничтожение) информации сотрудниками; 2.3.3. Непреднамеренное отключение средств защиты; 2.3.4. Выход из строя аппаратно-программных средств; 2.3.5. Сбой системы электроснабжения; 2.3.6. Стихийное бедствие; 2.4. Угрозы преднамеренных действий внутренних нарушителей: 2.4.1. Доступ к информации, модификация, уничтожение лицами не допущенных к ее обработке; 2.4.2. Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке; 2.5. Угрозы несанкционированного доступа по каналам связи: 2.5.1. Угроза «Анализ сетевого трафика» с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации: 2.5.1.1. Перехват за переделами с контролируемой зоны; 2.5.1.2. Перехват в пределах контролируемой зоны внешними нарушителями; 2.5.1.3. Перехват в пределах контролируемой зоны внутренними нарушителями; 2.5.2. Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др; 2.5.3. Угрозы выявления паролей по сети; 2.5.4. Угрозы навязывание ложного маршрута сети; 2.5.5. Угрозы подмены доверенного объекта в сети; 2.5.6. Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях; 2.5.7. Угрозы типа «Отказ в обслуживании»; 2.5.8. Угрозы удаленного запуска приложений; 2.5.9. Угрозы внедрения по сети вредоносных программ. Актуальность определяется для каждой вышеперечисленной угрозы. Актуальные угрозы заносятся отдельным списком в модель угроз. Образец модели угроз – ПРИЛОЖЕНИЕ № 9. 5 Разработка и утверждение положения, определяющего организацию и порядок проведения работ по обеспечению безопасности персональных данных при их обработке в ИСПДн Разработка положения включает в себя несколько этапов. Разработать положение могут как специалисты Учреждения, так и специальные организации, имеющие лицензию на осуществление деятельности по защите персональных данных. Утверждается положение руководителем Учреждения, согласовывается со специальными уполномоченными организациями. Образец положения – ПРИЛОЖЕНИЕ № 9. 1 Общий порядок организации работ по обеспечению безопасности персональных данных при их обработке в ИСПДн Под организацией обеспечения безопасности ПДн при их обработке в ИСПДн понимается формирование и реализация совокупности согласованных по цели, задачам, месту и времени организационных и технических мероприятий, направленных на минимизацию ущерба от возможной реализации угроз безопасности ПДн. Ответственным по обеспечению безопасности ПДн при их обработке в ИСПДн рекомендуется назначить системного администратора или специалиста по защите информации Учреждения. Функции по разработке и осуществлению мероприятий по организации и обеспечению безопасности ПДн при их обработке в ИСПДн рекомендуется возлагать на старшего системного администратора или специалиста по защите информации Учреждения. Сотрудники предприятия, ответственные за хранение персональных данных, а также сотрудники предприятия, владеющие персональными данными в силу своих должностных обязанностей, подписывают Обязательство о конфиденциальности - Приложение № 10. 2 Организационные мероприятия по обеспечению безопасности персональных данных Организационные мероприятия являются обязательными для выполнения всеми Учреждениями, эксплуатирующими ИСПДн, и могут быть выполнены специалистами Учреждений без привлечения сторонних организаций и без выделения дополнительного финансирования со стороны Минздравсоцразвития, или специальными организациями, имеющими лицензии на осуществление деятельности по защите ПДн. Все организационные мероприятия необходимо выполнять в соответствии с Планом организационных мероприятий по обеспечению защиты персональных данных в информационных системах персональных данных Учреждения. Образец плана представлен в ПРИЛОЖЕНИИ № 11. Образец Концепции информационной безопасности, политики информационной безопасности приведены в ПРИЛОЖЕНИИ № 19, 20. 3 Обязанности должностных лиц, эксплуатирующих ИСПДн, в части обеспечения безопасности персональных данных при их обработке в ИСПДн Пользователь ИСПДн осуществляет обработку персональных данных в информационной системе персональных данных. Пользователем является каждый сотрудник Учреждения, участвующий в рамках своих функциональных обязанностей в процессах автоматизированной обработки информации и имеющий доступ к аппаратным средствам, программному обеспечению, данным и средствам защиты. Обязанности должностных лиц, эксплуатирующих ИСПДн, в части обеспечения безопасности персональных данных при их обработке в ИСПДн описаны в 4 пункте Положения (приложение № 9). 4 Порядок предоставления информации органам государственной власти и местного самоуправления, физическим и юридическим лицам Порядок предоставления информации органам государственной власти и местного самоуправления, физическим и юридическим лицам описан в пункте 5 Положения (приложение № 9). 5 Порядок приостановки предоставления персональных данных в случае обнаружения нарушений порядка их предоставления Порядок приостановки предоставления персональных данных в случае обнаружения нарушений порядка их предоставления описаны в 7 и 14 пунктах Положения (приложение № 9). Рекомендуется назначить председателем комиссии ответственного за обеспечение безопасности ПДн, членами комиссии – специалистов по разработке и осуществлению мероприятий по организации и обеспечению безопасности ПДн при их обработке в ИСПДн. 6 Порядок обучения администраторов средств (систем) защиты информации, в том числе средств антивирусной защиты, и первичного инструктажа пользователей Учреждениям рекомендуется не реже одного раза в год проводить обучение администраторов ИСПДн по вопросам информационной безопасности с доведением под подпись требований нормативных документов по защите ПДн. 7 Порядок организации ведения и периодической проверки электронного журнала обращений пользователей информационной системы персональных данных Порядок организации ведения и периодической проверки электронного журнала обращений пользователей информационной системы персональных данных описан в пункте 8 Положения (приложение № 9). Рекомендуется проверять содержание электронного журнала обращений периодически, но не реже одного раза в месяц. Проверку проводить администратору информационной безопасности. 8 Правила парольной защиты Правила парольной защиты описаны в пункте 9 (приложение № 9). Рекомендуется регулярно не реже 1 раза в 3 месяца проводить смену паролей. При увольнении работника немедленно провести смену пароля. Администратор ведет "Журнал принудительной смены личных паролей" – ПРИЛОЖЕНИЕ № 12, в котором отмечает причины внеплановой смены паролей пользователей. Пример заполнения журнала: п/п ФИО пользователя Имя учётной записи Причина смены пароля Дата и время принудите льной смены пароля 1 2 3 4 5 № Подписи Пользоват ель Админист ратор 6 7 1 Иванов В.П. Adm_bezopasnosti Переход на другую должность 25.04.2012 12.15 Срочная (внеплановая) полная смена пароля должна производится в случае прекращения полномочий (увольнение или переход на другую работу) администраторов информационной системы и других сотрудников, которым по роду работы были предоставлены полномочия по управлению системой парольной защиты. Периодический контроль за соблюдением требований парольной защиты рекомендуется возлагается на системного администратора. 9 Правила антивирусной защиты Правила антивирусной защиты описаны в пункте 10 (приложение № 9). Необходимо помнить, что антивирусное и другое программное обеспечение, используемое для защиты от вредоносных программ, должно быть лицензированным и приобретенным на законном основании. Обязательным условием полноценного функционирования указанного ПО является заключение договоров на его обновление и сопровождение. Пользователям ИСПДн запрещено самостоятельное копирование и установка ПО любого назначения. Копирование или установка какого-либо ПО должны производиться исключительно администратором ИБ. 10 Правила обновления общесистемного и прикладного программного обеспечения информационных систем персональных данных Правила обновления общесистемного и прикладного программного обеспечения информационных систем персональных данных описаны в пункте 11 (приложение № 9). Обновления общесистемного и прикладного программного обеспечения ИСПДн осуществляются под контролем системного администратора или специалиста по защите информации, при необходимости – специализированных организаций. 6 Оформление и регистрация журнала учета средств защиты информации с указанием индексов, наименований, серийных номеров средств защиты информации, номеров специальных защитных знаков, номеров и сроков действия сертификатов на средства защиты, мест установки средств защиты информации. Журнал учета средств защиты информации оформляется в соответствии с ПРИЛОЖЕНИЕМ № 13. В журнал необходимо заносить не только СЗИ, но и сопровождающие их документы, например, инструкции по эксплуатации. Пример заполнения журнала: № п/п Индекс и наименование средства защиты информации Серийный (заводской) номер Номер специального защитного знака Наименование организации, установившей СЗИ Место установки Примечание 1 2 3 4 5 6 7 1 СЗИ 1 12345 456 ООО «Дельта» ИСПДн 2 Инструкция по эксплуатации СЗИ 1 13 Выдана ответственному 7 Разработка и утверждение инструкции по порядку резервирования и восстановления персональных данных Инструкция по порядку резервирования и восстановления ПДн приведена в ПРИЛОЖЕНИИ № 14. Рекомендуемый срок резервирования данных на локальные дисковые массивы – 1 неделя. Рекомендуемый срок создавать резервирования копий путем копирования информации на компактный оптический диск (далее – КОД) или флеш-накопитель – 2 раза в месяц. 8 Оформление и регистрация журнала учета машинных носителей персональных данных с указанием типа, емкости, учетного номера, места установки (использования), даты установки носителей, ответственного должностного лица, сведений о списании носителя и уничтожения информации Журнал учета средств машинных носителей ПДн оформляется в соответствии с ПРИЛОЖЕНИЕМ № 15. Пример заполнения журнала: № п/ п Тип Место машинно установки Регистраци го (использо онный носителя вания)/дат номер/дата персонал а ьных установки данных Ёмкость машинно го носителя персонал ьных данных Номер экземпл яра/ количес тво экземпл яров Серий ный номер Ответств енное должност ное лицо (ФИО) Расписка в получени и (ФИО, подпись, дата) Расписка в обратном приеме (ФИО, подпись, дата) Место хранения машинно го носителя персонал ьных данных Сведения об уничтоже нии машинн ых носителе й персонал ьных данных, стирании информа ции (подпись, дата) 9 10 11 12 1 2 3 4 5 6 7 8 1 1234/15.04. 2012 АРМ № 1/19.04. 2012 HDD 1 Гбайт 2/10 AZ1234 Иванов В.П Сейф отдела 9 Настройка средств защиты информации от НСД в соответствии с методами и способами защиты информации в зависимости от класса ИСПДн, утвержденными приказом ФСТЭК России от 5 февраля 2010 г. №58 Методами и способами защиты информации от несанкционированного доступа на основании приказа ФСТЭК России от 5 февраля 2010г. №58 являются: реализация разрешительной системы допуска пользователей (обслуживающего персонала) к информационным ресурсам, информационной системе и связанным с ее использованием работам, документам; ограничение доступа пользователей в помещения, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители информации; разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации; регистрация действий пользователей и обслуживающего персонала, контроль несанкционированного доступа и действий пользователей, обслуживающего персонала и посторонних лиц; учет и хранение съемных носителей информации и их обращение, исключающее хищение, подмену и уничтожение; резервирование технических средств, дублирование массивов и носителей информации; использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия; использование защищенных каналов связи; размещение технических средств, позволяющих осуществлять обработку персональных данных, в пределах охраняемой территории; организация физической защиты помещений и собственно технических средств, позволяющих осуществлять обработку персональных данных; предотвращение внедрения в информационные системы вредоносных программ (программ-вирусов) и программных закладок. В системе защиты персональных данных информационной системы в зависимости от класса информационной системы и исходя из угроз безопасности персональных данных, структуры информационной системы, наличия межсетевого взаимодействия и режимов обработки персональных данных с использованием соответствующих методов и способов защиты информации от несанкционированного доступа реализуются функции управления доступом, регистрации и учета, обеспечения целостности, анализа защищенности, обеспечения безопасного межсетевого взаимодействия и обнаружения вторжений. Методы и способы защиты информации от несанкционированного доступа, обеспечивающие функции управления доступом, регистрации и учета, обеспечения целостности, анализа защищенности, обеспечения безопасного межсетевого взаимодействия в зависимости от класса информационной системы определяются оператором (уполномоченным лицом). В информационных системах, имеющих подключение к информационнотелекоммуникационным сетям международного информационного обмена (сетям связи общего пользования), или при функционировании которых предусмотрено использование съемных носителей информации, используются средства антивирусной защиты. Основными способами защиты таких информационных систем от несанкционированного доступа являются: межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры информационной системы; обнаружение вторжений в информационную систему, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных; анализ защищенности информационных систем, предполагающий применение специализированных программных средств (сканеров безопасности); защита информации при ее передаче по каналам связи; использование смарт-карт, электронных замков и других носителей информации для надежной идентификации и аутентификации пользователей; использование средств антивирусной защиты; централизованное управление системой защиты персональных данных информационной системы. Программное обеспечение средств защиты информации, применяемых в информационных системах 1 класса (к которым относятся ИСПДН Учреждений здравоохранения), проходит контроль отсутствия недекларированных возможностей. Настройка СЗИ от НСД проводится специалистами организации или организациями, имеющими лицензию на проведение работ по защите информации. 10 Проведение оценки готовности используемых в ИСПДн средств защиты информации с составлением заключений о возможности их эксплуатации Проведение оценки готовности используемых СЗИ проводится на этапе аттестации объекта защита. Готовность используемых средств защиты и их достаточность проводится организациями, имеющими лицензию на проведение работ по защите информации. Заключение о возможности эксплуатации выдаётся ими же. III МЕРОПРИЯТИЯ ПО ОЦЕНКЕ СООТВЕТСТВИЯ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕБОВАНИЯМ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ Оформление и утверждение программ и методик аттестационных испытаний информационных систем персональных данных. Оформление протоколов аттестационных испытаний, подтверждающих полученные при испытаниях результаты. Аттестационные испытания проводятся организациями, имеющими необходимые лицензии ФСТЭК России. 1) Размещение государственного заказа на выполнение аттестационных работ на сайте goszakaz.ru. После того, как была выбрана организация, происходит подача и рассмотрение заявки на аттестацию. Учреждение заблаговременно направляет в орган по аттестации заявку на проведение аттестации с исходными данными по аттестуемому объекту информатизации по форме, приведенной в ПРИЛОЖЕНИИ № 16. 2) После рассмотрения заявки, специалисты выбранной организации на месте знакомятся с объектом защиты, выявляя особенности, которые были ранее не замечены. 3) При использовании на аттестуемом объекте информатизации несеpтифициpованных средств и систем защиты информации в схему аттестации могут быть включены работы по их испытаниям в испытательных центрах (лабораториях) по сертификации средств защиты информации по требованиям безопасности информации или непосредственно на аттестуемом объекте информатизации с помощью специальной контрольной аппаратуры и тестовых средств. Решение о сертификации принимает руководитель учреждения или специалист по защите информации при предварительном ознакомлении с объектом. В этом случае заявителем к началу аттестационных испытаний должны быть представлены заключения органов по сертификации средств защиты информации по требованиям безопасности информации и сертификаты. 4) По результатам рассмотрения заявки и анализа исходных данных, а также предварительного ознакомления с аттестуемым объектом органом по аттестации разрабатываются программа аттестационных испытаний, предусматривающая перечень работ и их продолжительность, методики испытаний (или используются типовые методики), определяются количественный и профессиональный состав аттестационной комиссии, назначаемой органом по аттестации объектов информатизации, необходимость использования контрольной аппаратуры и тестовых средств на аттестуемом объекте информатизации или привлечения испытательных центров (лабораторий) по сертификации средств защиты информации по требованиям безопасности информации. Методики, состав комиссии, использование контрольной аппаратуры и тестовых средств определяются специалистом органа аттестации, согласовываются с руководителем органа аттестации и утверждаются руководителем Учреждения. 5) Этап подготовки завершается заключением договора между заявителем и органом по аттестации на проведение аттестации, заключением договоров (контрактов) органа по аттестации с привлекаемыми экспертами и оформлением предписания о допуске аттестационной комиссии к проведению аттестации. 6) На этапе аттестационных испытаний объекта информатизации: осуществляется анализ организационной структуры объекта информатизации, информационных потоков, состава и структуры комплекса технических средств и программного обеспечения, системы защиты информации на объекте, разработанной документации и ее соответствия требованиям нормативной документации по защите информации; определяется правильность категорирования объектов ЭВТ и классификации АС (при аттестации автоматизированных систем), выбора и применения сертифицированных и несеpтифициpованных средств и систем защиты информации; - проводятся испытания несертифицированных средств и систем защиты информации на аттестуемом объекте или анализ результатов их испытаний в испытательных центрах (лабораториях) по сертификации; проверяется уровень подготовки кадров и распределение ответственности персонала за обеспечение выполнения требований по безопасности информации; проводятся комплексные аттестационные испытания объекта информатизации в реальных условиях эксплуатации путем проверки фактического выполнения установленных требований на различных этапах технологического процесса обработки защищаемой информации; оформляются протоколы испытаний и заключение по результатам аттестации с конкретными рекомендациями по устранению допущенных нарушений, приведению системы защиты объекта информатизации в соответствие с установленными требованиями и совершенствованию этой системы, а функционированием объекта информатизации. также рекомендациями по контролю за Все вышеперечисленные испытания проводятся специалистами органа аттестации. Заключение по результатам аттестации с краткой оценкой соответствия объекта информатизации требованиям по безопасности информации, выводом о возможности выдачи "Аттестата соответствия" и необходимыми рекомендациями подписывается членами аттестационной комиссии и доводится до сведения заявителя. К заключению прилагаются протоколы испытаний, подтверждающие полученные при испытаниях результаты и обосновывающие приведенный в заключении вывод. Протоколы испытаний подписываются экспертами - членами аттестационной комиссии, проводившими испытания. 7) Заключение и протоколы испытаний подлежат утверждению органом по аттестации."Аттестат соответствия" на объект информатизации, отвечающий требованиям по безопасности информации, выдается органом по аттестации по форме, приведенной в ПРИЛОЖЕНИИ № 17. "Аттестат соответствия" оформляется и выдается заявителю после утверждения заключения по результатам аттестации. Регистрация "Аттестатов соответствия" осуществляется по отраслевому или территориальному признакам органами по аттестации с целью ведения информационной базы аттестованных объектов информатизации и планирования мероприятий по контролю и надзору. "Аттестат соответствия" выдается владельцу аттестованного объекта информатизации органом по аттестации на период, в течение которого обеспечивается неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, определяющие безопасность информации (состав и структура технических средств, условия размещения, используемое программное обеспечение, режимы обработки информации, средства и меры защиты), но не более чем на 3 года. Владелец аттестованного объекта информатизации несет ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки защищаемой информации и требований по безопасности информации. В случае изменения условий и технологии обработки защищаемой информации владельцы аттестованных объектов обязаны известить об этом орган по аттестации, который принимает решение о необходимости проведения дополнительной проверки эффективности системы защиты объекта информатизации. При несоответствии аттестуемого объекта требованиям по безопасности информации и невозможности оперативно устранить отмеченные аттестационной комиссией недостатки, орган по аттестации принимает решение об отказе в выдаче "Аттестата соответствия". При этом может быть предложен срок повторной аттестации при условии устранения недостатков. При наличии замечаний непринципиального характера "Аттестат соответствия" может быть выдан после проверки устранения этих замечаний. Почти все мероприятия данной главы выполняют специальные органы, поэтому от Учреждения не требуется каких-либо специальных знаний. Руководителю Учреждения необходимо грамотно разместить заявку на сайте Госзаказа и правильно оформить заявку в орган аттестации на проведение аттестационных испытаний. Необходимо помнить, что после прохождения процедуры аттестации и получения «Аттестата соответствия», руководитель Учреждения несёт ответственность за выполнение установленных условий функционирования объекта информатизации, технологии обработки защищаемой информации и требований по безопасности информации. ПРИЛОЖЕНИЕ 1 ПОЛНОЕ НАИМЕНОВАНИЕ МЕДИЦИНСКОГО УЧРЕЖДЕНИЯ место нахождения учреждения ПРИКАЗ от хх.хх.хх Об № хх организации работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных В соответствии с требованиями Федерального закона от 27.07.2006г. №152-ФЗ "О персональных данных", положения "Об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных", утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781 "Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных" и в целях организации работ по обеспечению безопасности персональных данных (ПДн) при их обработке в информационных системах персональных данных ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, ПРИКАЗЫВАЮ: 1. Ввести в учреждении ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ режим обработки персональных данных. 2. Назначить ответственным за обеспечение безопасности персональных данных в организации - ДОЛЖНОСТЬ ФИО. Возложить на ДОЛЖНОСТЬ ФИО следующие обязанности: представление на утверждение списка лиц, доступ которых к персональным данным, обрабатываемым в информационных системах, необходим для выполнения служебных (трудовых) обязанностей, а также изменений к нему; организация работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных; проведение разбирательств по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных; приостановка предоставления персональных данных пользователям информационной системы при обнаружении нарушений порядка предоставления персональных данных. 3. Выполнение работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных возложить на ДОЛЖНОСТЬ ФИО. В рамках проведения данных работ возложить на ДОЛЖНОСТЬ ФИО следующие функции: учет лиц, допущенных к работе с персональными данными в информационных системах; администрирование информационных систем персональных данных; администрирование средств антивирусной защиты информационных систем персональных данных; администрирование средств и систем защиты персональных данных в информационных системах персональных данных. 4. Осуществлять режим защиты персональных данных на основании принципов и положений: Концепции информационной безопасности; Политики информационной безопасности. 5. Осуществлять режим защиты персональных данных в отношении данных перечисленных в Перечне персональных данных, подлежащих защите. 6. Руководителям структурных подразделений представлять ответственному за обеспечение безопасности персональных данных списки сотрудников, доступ которых к персональным данным, обрабатываемым в информационных системах, необходим для выполнения ими служебных (трудовых) обязанностей, по приведенной форме. 7. Ответственному за обеспечение безопасности персональных данных ежемесячно представлять Директору на утверждение список лиц, доступ которых к персональным данным, обрабатываемым в информационных системах, необходим для выполнения служебных (трудовых) обязанностей. 8. Разработать и утвердить "Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. 9. Сотрудникам, при определении персональных данных, подлежащих защите, использовать "Перечень ПДн", утвержденный соответствующим приказом. 10. Организовать учет носителей персональных данных в соответствии с правилами ведения делопроизводства. Использование для хранения и обработки персональных данных машинных носителей информации, не поставленных на учет в установленном порядке, ЗАПРЕЩАЕТСЯ. 11. С целью проведения классификации информационных систем персональных данных создать комиссию в составе: Председатель комиссии - ФИО - ДОЛЖНОСТЬ; Члены комиссии - ФИО - ДОЛЖНОСТЬ. Комиссии в СРОК срок осуществить классификацию информационных систем персональных данных, эксплуатирующихся в организации. 12. Приказ довести до заинтересованных лиц, в части их касающейся. Контроль за выполнением настоящего приказа оставляю за собой. Директор Исполнитель ФИО тел. ХХХ-ХХ-ХХ ФИО ПРИЛОЖЕНИЕ 2 Таблица 4 № п/п Отдел АРМ, находящиеся в отделе (полное имя компьютера) 1 2 3 Информация, Специальные обрабатываемая в программные средства, каждом используемые для специализированном сбора и обработки ПДн программном средстве 4 5 ПРИЛОЖЕНИЕ 3 Таблица 5 № п/п 1 АРМ (полное наименование) 2 ФИО сотрудника, работающего на данном АРМ 3 ПРИЛОЖЕНИЕ 4 Таблица 6 № п/п 1 ИСПДн Обрабатываемая информация 2 3 ПРИЛОЖЕНИЕ 5 ПОЛНОЕ НАЗВАНИЕ УЧРЕЖДЕНИЯ УТВЕРЖДАЮ _______________________ _______________________ "__" ____________ 2009 г. Перечень персональных данных, подлежащих защите в информационных системах персональных данных учреждения здравоохранения, социальной сферы, труда и занятости СОГЛАСОВАНО _______________________ ___________________ подпись _______________________ ________________ подпись _______________________ ________________ подпись МЕСТО СОСТАВЛЕНИЯ ____________ дата ____________ дата ___________ дата ВВЕДЕНИЕ Настоящий Перечень персональных данных, подлежащих защите в информационных системах персональных данных (ИСПДн) ПОЛНОЕ НАЗВАНИЕ УЧРЕЖДЕНИЯ (далее Перечень) разработан ПОЛНОЕ НАЗВАНИЕ УЧРЕЖДЕНИЯ. Перечень разработан в соответствии со списком объектов защиты, изложенных в Концепции информационной безопасности ИСПДн ПОЛНОЕ НАЗВАНИЕ УЧРЕЖДЕНИЯ. Перечень содержит полный список категорий данных, безопасность которых должна обеспечиваться системой защиты персональных данных (СЗПДн). 1 Общие положения Объектами защиты являются - информация, обрабатываемая в ИСПДн, и технические средства ее обработки и защиты. Перечень объектов защиты определен по результатам Отчета о результатах работы комиссии. Объекты защиты каждой ИСПДн включают: 1) Обрабатываемая информация: персональные данные субъектов ПДн (посетителей учреждения); персональные данные сотрудников. 2 ИСПДн (Полное название ИСПДН) 2.1 Обрабатываемая информация 2.1.1 Перечень персональных данных субъектов ПДн Персональные данные субъектов ПДн (пациентов) включают: ФИО; Дата рождения; Контактный телефон; Адрес прописки; Адрес фактического проживания; Паспортные данные; Данные о состоянии здоровья (история болезни). Перечень персональных данных сотрудников Учреждения Персональные данные сотрудников Учреждения включают: Фамилия, имя, отчество; Место, год и дата рождения; Адрес по прописке; Паспортные данные (серия, номер паспорта, кем и когда выдан); Информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность); Информация о трудовой деятельности до приема на работу; Информация о трудовом стаже (место работы, должность, период работы, период работы, причины увольнения); Адрес проживания (реальный); Телефонный номер (домашний, рабочий, мобильный); Семейное положение и состав семьи (муж/жена, дети); Информация о знании иностранных языков; Форма допуска; Оклад; Данные о трудовом договоре (№ трудового договора, дата его заключения, дата начала и дата окончания договора, вид работы, срок действия договора, наличие испытательного срока, режим труда, длительность основного отпуска, длительность дополнительного отпуска, длительность дополнительного отпуска за ненормированный рабочий день, обязанности работника, дополнительные социальные льготы и гарантии, № и число изменения к трудовому договору, характер работы, форма оплаты, категория персонала, условия труда, продолжительность рабочей недели, система оплаты); Сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета); ИНН; Данные об аттестации работников; Данные о повышении квалификации; Данные о наградах, медалях, поощрениях, почетных званиях; Информация о приеме на работу, перемещении по должности, увольнении; Информация об отпусках; Информация о командировках; Информация о болезнях; Информация о негосударственном пенсионном обеспечении. ПРИЛОЖЕНИЕ 6 УТВЕРЖДАЮ РУКОВОДИТЕЛЬ ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ ___________________ ФИО « » __________ г. М.П. АКТ классификации информационной системы персональных данных «ПОЛНОЕ НАИМЕНОВАНИЕ ИСПДн» Наименование Учреждения (АДРЕС УЧРЕЖДЕНИЯ) Комиссия, назначенная приказом Руководителя от № , в составе: председатель комиссии – ФИО – ДОЛЖНОСТЬ; члены комиссии: ФИО – ДОЛЖНОСТИ, провела классификацию информационной системы персональных данных (ПДн) «ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ». В ходе работы комиссия установила: 1) категория персональных данных (ПД) –Хпд = ; объем обрабатываемых персональных данных – от 1000 до 100 000 субъектов ПДн – Xнпд = ; 2) по заданным характеристикам безопасности персональных данных, обрабатываемых в информационной системе в соответствии с требованиями подпункта г) пункта 11 «Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденного Постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781 информационная система: 3) структура информационной системы: ; ; 4) наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена: 5) режим обработки персональных данных: ; ; 6) режим разграничения прав доступа пользователей информационной системы_______________; 7) местонахождение технических средств: В соответствии с пунктами 14 и . 15 «Порядка проведения классификации информационных систем персональных данных», утвержденного совместным приказом ФСТЭК России, ФСБ России, Министерства информационных технологий и связи Российской Федерации от 13.02.2008 № 55/86/20 и на основании анализа исходных данных, РЕШИЛА: информационной системе персональных данных «ПОЛНОЕ НАИМНОВАНИЕ ИСПДн» установить класс: . Председатель: ФИО Члены комиссии: ФИО « » __________ 20 г. ПРИЛОЖЕНИЕ 7 ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ УТВЕРЖДАЮ _______________________ _______________________ «__» ____________ 20 г. ПОЛОЖЕНИЕ О РАЗГРАНИЧЕНИИ ПРАВ ДОСТУПА К ОБРАБАТЫВАЕМЫМ ПЕРСОНАЛЬНЫМ ДАННЫМ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ УЧРЕЖДЕНИЯ СОГЛАСОВАНО _______________________ ________________ подпись, дата _______________ _______________________ ________________ подпись, дата _______________ _______________________ ________________ подпись, дата _______________ МЕСТО СОСТАВЛЕНИЯ ИСПДн «ПОЛНОЕ НАИМЕНОВАНИЕ ИСПДн» Перечень групп, участвующих в обработке персональных данных в ИСПДн Таблица 7 № п/п 1 Группа Уровень доступа к ПДн Разрешенные действия 2 3 4 Перечень лиц, получивших доступ к персональным данным Таблица 8 № 1 Роль 2 ФИО сотрудника 3 Подразделение 4 ПРИЛОЖЕНИЕ 8 НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ УТВЕРЖДАЮ _______________________ _______________________ «__» ____________ 20 г. ЖУРНАЛ ПО УЧЕТУ МЕРОПРИЯТИЙ ПО КОНТРОЛЮ ОБЕСПЕЧЕНИЯ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИСПД УЧРЕЖДЕНИЯ СОГЛАСОВАНО _______________________ ________________ подпись, дата _______________ _______________________ ________________ подпись, дата _______________ _______________________ ________________ подпись, дата _______________ МЕСТО СОСТАВЛЕНИЯ Таблица 9 № п/п 1 Группа Уровень доступа к Разрешенные ПДн действия 2 3 4 ФИО сотрудника / Логин 5 НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ УТВЕРЖДАЮ _______________________ _______________________ «__» ____________ 20 г. ПОЛОЖЕНИЕ ПО ОРГАНИЗАЦИИ И ПОРЯДКУ ПРОВЕДЕНИЯ РАБОТ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ (ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ) АДРЕС УЧРЕЖДЕНИЯ Термины и определения Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Оператор (персональных данных) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных). Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных. Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. Угроза или опасность утраты персональных данных – единичное или комплексное, реальное или потенциальное, активное или пассивное проявление злоумышленных возможностей внешних или внутренних источников угрозы создавать неблагоприятные события, оказывать дестабилизирующее воздействие на защищаемую информацию. 1. Общие положения Настоящее положение разработано на основе Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», в соответствии с «Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденным Постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781 и в соответствии с Федеральным законом Российской Федерации от 25 июля 2011 г. N 261-ФЗ "О внесении изменений в Федеральный закон "О персональных данных"". 1.2. Обеспечение безопасности ПДн при их обработке в ИСПДн достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иные несанкционированные действия. Для защиты ПДн создаются целенаправленные неблагоприятные условия и труднопреодолимые препятствия для лица, пытающегося совершить несанкционированный доступ и овладение информацией. Мероприятия по обеспечению безопасности ПДн формулируются в зависимости от класса ИСПДн, определяемого с учетом возможного возникновения угроз безопасности жизненно важным интересам личности, общества и государства. 1.1. Для обеспечения безопасности ПДн при их обработке в ИСПДн осуществляется защита информации, обрабатываемой техническими средствами, а также информации, представленной в виде информативных электрических сигналов, физических полей, носителей на бумажной, магнитной, оптической и иной основе, в виде информационных массивов и баз данных в ИСПДн. 1.4. Для защиты персональных данных необходимо соблюдать ряд мер: ограничение и регламентация состава сотрудников, функциональные обязанности которых требуют работы с персональными данными; строгое избирательное и обоснованное распределение документов и информации между работниками; рациональное размещение рабочих мест, при котором исключалось бы бесконтрольное использование защищаемой информации; знание сотрудниками предприятия требований нормативно-методических документов по защите информации; наличие необходимых условий в помещениях для работы с конфиденциальными документами и базами данных; определение и регламентация состава сотрудников, имеющих право доступа (входа) в помещения, в которых функционируют ИСПДн; организация порядка уничтожения информации; своевременное выявление нарушений требований разрешительной системы доступа к ПДн; обучение сотрудников, воспитательная и разъяснительная работа по вопросам информационной безопасности; определение и регламентация состава сотрудников, имеющих право доступа к информационным ресурсам ИСПДн. 1.3. 2. Основные мероприятия по организации обеспечения безопасности персональных данных Под организацией обеспечения безопасности ПДн при их обработке в ИСПДн понимается формирование и реализация совокупности согласованных по цели, задачам, месту и времени организационных и технических мероприятий, направленных на минимизацию ущерба от возможной реализации угроз безопасности ПДн. 2.2. Обязанности по реализации необходимых организационных и технических мероприятий для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПДн, а также иных неправомерных действий с ними, возлагаются на ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ как оператора, осуществляющего обработку персональных данных. 2.3. Ответственным за обеспечение безопасности ПДн при их обработке в информационных системах персональных данных ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ назначен ДОЛЖНОСТЬ ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Функции по разработке и осуществлению мероприятий по организации и обеспечению безопасности ПДн при их обработке в информационных системах персональных данных возложены на ДОЛЖНОСТЬ ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. 2.4. Технические и программные средства, используемые для обработки ПДн в ИСПДн, должны удовлетворять установленным в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации. Средства защиты информации, применяемые в ИСПДн, в установленном порядке проходят процедуру оценки соответствия, включая сертификацию на соответствие требованиям по безопасности информации. 2.5. Обработка персональных данных должна осуществляться на основе принципов: законности целей и способов обработки персональных данных и добросовестности; соответствия целей обработки персональных данных целям, заранее определенным и заявленным при сборе персональных данных; соответствия объема и характера обрабатываемых персональных данных, способов обработки целям обработки персональных данных; достоверности персональных данных, их достаточности для целей обработки, недопустимости обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных; недопустимости объединения созданных для несовместимых между собой целей баз данных информационных систем персональных данных. 2.6. Обеспечение безопасности ПДн осуществляется путем выполнения комплекса организационных и технических мероприятий, реализуемых в рамках создаваемой системы (подсистемы) защиты персональных данных (СЗПДн). Структура, состав и основные функции СЗПДн определяются исходя из класса ИСПДн. СЗПДн включает организационные меры и технические средства защиты информации, а также используемые в информационной системе информационные технологии. 2.7. Сотрудники предприятия, ответственные за хранение персональных данных, а также сотрудники предприятия, владеющие персональными данными в силу своих должностных обязанностей, подписывают Обязательство о конфиденциальности (Приложение 10). 2.8. Помещения, в которых хранятся и обрабатываются персональные данные, должны быть оборудованы надежными замками и сигнализацией на вскрытие помещений, в рабочее время данные помещения при отсутствии в них работников должны быть закрыты, проведение уборки помещений должно производиться в присутствии работников подразделений, ответственных за данные помещения. 2.1. 3. Обязанности должностных лиц, эксплуатирующих ИСПДн, в части обеспечения безопасности персональных данных при их обработке в ИСПДн 4.1 Оператор при обработке персональных данных обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. 4.2 Обеспечение безопасности персональных данных достигается, в частности: 1) определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных; 2) применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных; 3) применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; 4) оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных; 5) учетом машинных носителей персональных данных; 6) обнаружением фактов несанкционированного доступа к персональным данным и принятием мер; 7) восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним; 8) установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных; 9) контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных. 4.3 Правительство Российской Федерации с учетом возможного вреда субъекту персональных данных, объема и содержания обрабатываемых персональных данных, вида деятельности, при осуществлении которого обрабатываются персональные данные, актуальности угроз безопасности персональных данных устанавливает: 1) уровни защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных; 2) требования к защите персональных данных при их обработке в информационных системах персональных данных, исполнение которых обеспечивает установленные уровни защищенности персональных данных; 3) требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных. 4.4 Состав и содержание необходимых для выполнения установленных Правительством Российской Федерации в соответствии с частью 3 Федерального закона N 261-ФЗ требований к защите персональных данных для каждого из уровней защищенности, организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных устанавливаются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий. 4.5 Федеральные органы исполнительной власти, осуществляющие функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности, в пределах своих полномочий принимают нормативные правовые акты, в которых определяют угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки. 4.6 Наряду с угрозами безопасности персональных данных, определенных в нормативных правовых актах, принятых в соответствии с частью 5 Федерального закона N 261ФЗ, операторы вправе определить дополнительные угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении определенных видов деятельности операторов, с учетом содержания персональных данных, характера и способов их обработки. 4.7 Контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при обработке персональных данных в государственных информационных системах персональных данных осуществляются федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий и без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных. 4.9 Федеральный орган исполнительной власти, уполномоченный в области обеспечения безопасности, и федеральный орган исполнительной власти, уполномоченный в области противодействия техническим разведкам и технической защиты информации, решением Правительства Российской Федерации с учетом значимости и содержания обрабатываемых персональных данных могут быть наделены полномочиями по контролю за выполнением организационных и технических мер по обеспечению безопасности персональных данных, установленных в соответствии с настоящей статьей, при их обработке в информационных системах персональных данных, эксплуатируемых при осуществлении определенных видов деятельности и не являющихся государственными информационными системами персональных данных, без права ознакомления с персональными данными, обрабатываемыми в информационных системах персональных данных. 4.10Использование и хранение биометрических персональных данных вне информационных систем персональных данных могут осуществляться только на таких материальных носителях информации и с применением такой технологии ее хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, их уничтожения, изменения, блокирования, копирования, предоставления, распространения. 4.11Под угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных. Под уровнем защищенности персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах персональных данных". 4. Порядок предоставления информации, содержащей персональные данные 5.1 При сборе персональных данных оператор обязан предоставить субъекту персональных данных по его просьбе информацию, предусмотренную частью 7 статьи 14 Федерального закона N 261-ФЗ г. Москва "О внесении изменений в Федеральный закон "О персональных данных"". Если предоставление персональных данных является обязательным в соответствии с федеральным законом, оператор обязан разъяснить субъекту персональных данных юридические последствия отказа предоставить его персональные данные. Если персональные данные получены не от субъекта персональных данных, оператор, за исключением случаев, предусмотренных частью 4 Федерального закона N 261-ФЗ настоящей статьи, до начала обработки таких персональных данных обязан предоставить субъекту персональных данных следующую информацию: 1) наименование либо фамилия, имя, отчество и адрес оператора или его представителя; 2) цель обработки персональных данных и ее правовое основание; 3) предполагаемые пользователи персональных данных; 4) установленные настоящим Федеральным законом права субъекта персональных данных; 5) источник получения персональных данных. Передача информации, содержащей персональные данные субъекта ПДн, другим учреждениям и организациям, осуществляется только при наличии правомерных письменных запросов и с письменного разрешения заместителя председателя Комитета в размере, который позволяет не разглашать излишний объем персональных сведений. 5.2 Оператор освобождается от обязанности предоставить субъекту персональных данных сведения, в случаях, если: 1) субъект персональных данных уведомлен об осуществлении обработки его персональных данных соответствующим оператором; 2) персональные данные получены оператором на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных; 3) персональные данные сделаны общедоступными субъектом персональных данных или получены из общедоступного источника; 4) оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных; 5) предоставление субъекту персональных данных сведений, нарушает права и законные интересы третьих лиц" 5.3 Оператор обязан сообщить в порядке, предусмотренном статьей 14 Федерального закона N 261-ФЗ, субъекту персональных данных или его представителю информацию о наличии персональных данных, относящихся к соответствующему субъекту персональных данных, а также предоставить возможность ознакомления с этими персональными данными при обращении субъекта персональных данных или его представителя либо в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя. 5.4 В случае отказа в предоставлении информации о наличии персональных данных о соответствующем субъекте персональных данных или персональных данных субъекту персональных данных или его представителю при их обращении либо при получении запроса субъекта персональных данных или его представителя оператор обязан дать в письменной форме мотивированный ответ, содержащий ссылку на положение части 8 статьи 14 Федерального закона N 261-ФЗ или иного федерального закона, являющееся основанием для такого отказа, в срок, не превышающий тридцати дней со дня обращения субъекта персональных данных или его представителя либо с даты получения запроса субъекта персональных данных или его представителя. 5.5 Оператор обязан предоставить безвозмездно субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту персональных данных. В срок, не превышающий семи рабочих дней со дня предоставления субъектом персональных данных или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, оператор обязан внести в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить субъекта персональных данных или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы. 5.6 Оператор обязан сообщить в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимую информацию в течение тридцати дней с даты получения такого запроса". 5. Обеспечения защиты персональных данных, хранящихся в личных делах сотрудников предприятия В целях обеспечения защиты персональных данных, хранящихся в личных делах сотрудников предприятия, сотрудники имеют право: получать полную информацию о своих персональных данных и обработке этих данных (в том числе автоматизированной); осуществлять свободный бесплатный доступ к своим персональным данным, включая право получать копии любой записи, содержащей персональные данные сотрудника, за исключением случаев, предусмотренных Федеральным законом «О персональных данных»; требовать исключения или исправления неверных или неполных персональных данных, а также данных, обработанных с нарушением Федеральных законов. Сотрудник при отказе оператора исключить или исправить его персональные данные имеет право заявить в письменной форме работодателю о своем несогласии, обосновав соответствующим образом такое несогласие. Персональные данные оценочного характера сотрудник имеет право дополнить заявлением, выражающим его собственную точку зрения; требовать от работодателя уведомления всех лиц, которым ранее были сообщены неверные или неполные их персональные данные, обо всех произведенных в них изменениях или исключениях из них; обжаловать действия или бездействие работодателя в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке, если гражданский служащий, являющийся субъектом персональных данных, считает, что оператор осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы. 5.2. В целях обеспечения достоверности персональных данных, хранящихся в личных делах сотрудников предприятия, сотрудники обязаны: передавать работодателю или его представителю комплекс достоверных, документированных персональных данных, состав которых установлен ТК РФ; при изменении сведений, содержащих персональные данные (фамилия, имя, отчество, адрес, паспортные данные, сведения об образовании, семейном положении, состоянии здоровья, при выявлении противопоказаний для выполнения служебных обязанностей), своевременно (как правило, в 3-дневный срок) сообщать о таких изменениях. 5.1. 6. Порядок приостановки предоставления ПДн в случае обнаружения нарушения порядка их предоставления В случае обнаружения нарушений порядка предоставления ПДн ответственным за обеспечение безопасности ПДн выносится предписание, по которому приостанавливается обработка ПДн до выяснения и устранения причин нарушений. 6.2. Регистрация и расследование фактов нарушения порядка предоставления ПДн проводится в соответствии с разделом 14 данного Положения. 6.1. 7. Порядок организации ведения и периодической проверки электронного журнала обращений пользователей информационной системы к ПДн Запросы пользователей информационных систем ПДн предприятия на получение персональных данных, включая лиц, доступ которых к персональным данным необходим для выполнения служебных (трудовых) обязанностей, а также факты предоставления персональных данных по этим запросам регистрируются автоматизированными средствами информационной системы в электронном журнале обращений. 7.2. Содержание электронного журнала обращений периодически, но не реже одного раза в месяц, проверяется администратором информационной безопасности. 7.1. 8. Правила парольной защиты 8.1. В системе управления доступом должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в операционную систему ИСПДн. Возможно применение двух вариантов авторизации: по паролю условно-постоянного действия, длиной не менее семи буквенно-цифровых символов; с использованием электронного идентификатора, который служит для авторизации пользователя на компьютерах с установленным СЗИ. 8.2. Персональные пароли должны выбираться следующих требований: в составе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы; при смене пароля новое значение должно отличаться от предыдущего не менее чем в 4 (2,3..,7,8) позициях; личный пароль пользователь не имеет права сообщать никому; пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, известные названия, словарные и жаргонные слова и т.д.), последовательности символов и знаков (111, qwerty, abcd и т.д.), общепринятые сокращения (ЭВМ, ЛВС, USER и т.п.), аббревиатуры, клички домашних животных, номера автомобилей, телефонов и другие значимые сочетаний букв и знаков, которые можно угадать, основываясь на информации о пользователе. 8.3. При вводе пароля пользователю необходимо исключить возможность его подсматривания посторонними лицами (человек за спиной, наблюдение человеком за движением пальцев в прямой видимости или в отраженном свете) и техническими средствами (стационарными и встроенными в мобильные телефоны видеокамерам и т.п.). 8.4. Порядок смены личных паролей: смена паролей должна проводиться регулярно, не реже 1 раза в 3 месяца. в случае прекращения полномочий пользователя (увольнение, либо переход на другую работу) производится немедленное удаление его идентификационных данных. срочная (внеплановая) полная смена паролей должна производится в случае прекращения полномочий (увольнение или переход на другую работу) администраторов информационной системы и других сотрудников, которым по роду работы были предоставлены полномочия по управлению системой парольной защиты. администратор ведет "Журнал принудительной смены личных паролей", в котором отмечает причины внеплановой смены паролей пользователей. временный пароль, заданный администратором при регистрации нового пользователя, следует изменить при первом входе в систему. 8.5. Хранение пароля. запрещается записывать пароли на бумаге, в файле, электронной записной книжке и других носителях информации, в том числе на предметах. запрещается оставлять без присмотра рабочее место с незаблокированным монитором; запрещается сообщать другим пользователям личный пароль и регистрировать их в системе под своим паролем. хранение пользователем своего пароля на бумажном носителе допускается только в личном, опечатанном владельцем пароля сейфе, либо в сейфе у администратора или руководителя подразделения. 8.6. Ответственность при организации парольной защиты. владельцы паролей должны быть ознакомлены под подпись с перечисленными выше требованиями и предупреждены об ответственности за использование паролей, не соответствующих данным требованиям, а также за разглашение парольной информации. ответственность за организацию парольной защиты в организации возлагается на администраторов. периодический контроль за соблюдением требований парольной защиты возлагается на ДОЛЖНОСТЬ ГУП ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ. 8.7. В том случае, если на ПК пользователя установлена СЗИ, оснащенная электронными идентификаторами, то пароль записывается в персональный идентификатор пользователя. в идентификатор записывается имя пользователя и его пароль. Пользователь не знает и не должен знать свой пароль. Пользователь осуществляет вход в систему с использованием идентификатора. Идентификатор также может хранить в своей памяти и криптоключ пользователя. Запись пароля в идентификатор производится администратором: администратор производит генерацию новых паролей к учетным записям и выдачу ключей пользователям; администратор по согласованию с администратором информационной безопасности осуществляет запись криптографического ключа в идентификатор пользователя. 8.8. Устанавливаются следующие парольные политики: Таблица 10 Политика Параметр безопасности Максимальный срок действия пароля 3 месяца Минимальная длина пароля 7 символов Минимальный срок действия пароля 0 дней Пароль должен отвечать требованиям сложности Включен Требовать неповторяемости паролей 1 хранимых паролей Хранить пароли всех пользователей в домене, используя обратимое шифрование Отключен 8.9. Пользователь, получивший электронный идентификатор для доступа к ИСПДн, обязан: обязательно использовать идентификатор для входа в систему; не передавать идентификатор другим пользователям; хранить идентификатор в “надежном месте” – например на связке ключей, в сейфе, в шкафу; не хранить идентификатор рядом со считывателем, на столе\системном блоке, в первом ящике стола, на видном месте; бережно хранить идентификатор, избегать падений идентификатора, воздействий сильных электромагнитных полей, попадания жидкости на идентификатор; если идентификатор содержит криптоключ, быть аккуратным при шифровании и расшифровке папок и файлов; в случае утери идентификатора немедленно сообщить об этом одному из администраторов информационной безопасности, а в случае их отсутствия – администраторам. 8.10. Порядок хранения и смены личных паролей: смена пароля проводится один раз в год, так как, пароль пользователя, хранящийся в памяти идентификатора, представляет собой набор случайных символов, например 62oqi51v4e0p, такой пароль очень сложно подобрать, пользователь не может изменить свой пароль т.к. не знает его; смену пароля производит администратор; список паролей пользователей хранится у администраторов; изменение пароля производится локально, пользователь должен принести ключ администратору для смены пароля, администратор изменяет пароль пользователя и записывает новый пароль в идентификатор; администратор, в случае необходимости (фиксация нарушений, увольнение сотрудника и т.п.), может принудительно изменить пароль пользователя. Тогда пароль пользователя в системе не совпадет с паролем в идентификаторе и пользователь не сможет войти в систему. 9. Правила антивирусной защиты 9.1. Антивирусное и другое программное обеспечение, используемое для защиты от вредоносных программ, должно быть лицензированным и приобретенным на законном основании. 9.2. Обязательным условием полноценного функционирования указанного ПО является заключение договоров на его обновление и сопровождение 9.3. Пользователям ИСПДн запрещено самостоятельное копирование и установка ПО любого назначения. Копирование или установка какого-либо ПО должны производиться исключительно администратором ИБ. 9.4. Для правильной работы необходимо: настроить внутренний планировщик антивирусного ПО на автоматическую загрузку обновлений. При невозможности автоматической загрузки ежедневно производить загрузку обновлений антивирусного ПО и производить обновления. настройку антивирусного ПО выполнить в соответствии с утвержденным «Регламентом настройки политик безопасности при эксплуатации СЗИ». не запускать файлы, полученные от ненадежного источника, прежде чем они не будут проверены антивирусной программой с последними обновлениями. в обязательном порядке проверять антивирусным ПО все внешние накопители информации (оптические диски, флэш-накопители, карты памяти, сменные и внешние жесткие диски). 10. Правила обновления общесистемного и прикладного программного обеспечения ИСПДн 10.1. Для функционирующих ИСПДн доработка (модернизация, обновления ПО) СЗПДн должна проводиться в случае, если: изменился состав или структура самой ИСПДн или технические особенности ее построения (изменился состав или структура программного обеспечения, технических средств обработки ПДн, топологии ИСПДн); изменился состав угроз безопасности ПДн в ИСПДн; изменился класс ИСПДн. 10.2. Обновления общесистемного и прикладного программного обеспечения ИСПДн осуществляются под контролем ДОЛЖНОСТЬ ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ, при необходимости – специализированных организаций. 11. Порядок обучения администраторов ИСПДн 11.1. ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ не реже одного раза в год проводит обучение администраторов ИСПДн по вопросам информационной безопасности с доведением под подпись требований нормативных документов по защите ПДн. 12. Требования к помещениям, в которых располагаются ИСПДн 12.1. ПДн, обрабатываемые в ИСПДн, являются информационными данными, защищаемыми в соответствии с требованиями, установленными законодательством Российской Федерации. 12.2. В соответствии с требованиями ИБ, архивы ПДн и ИСПДн (как на электронных, бумажных, так и на иных носителях), оборудование, доступ к которому должен быть ограничен в силу его важности для технологического цикла предприятия (помещения серверных, АТС, АРМов и т.п.), а также обработка ПДн в ИСПДн должны производиться в помещениях, относящихся к категории «помещения ограниченного доступа». 12.3. Помещения ограниченного доступа должны располагаться в контролируемой зоне. 12.4. Пребывание посторонних лиц в помещениях разрешено только в сопровождении сотрудников, работающих в указанных помещениях, и только с разрешения руководства вышеупомянутых сотрудников. 12.5. Допуск в помещения ограниченного доступа вспомогательного и обслуживающего персонала (уборщиц, электромонтеров, сантехников и т.д.) производится только в случае служебной необходимости. 12.6. В случае, когда помещения ограниченного доступа располагаются на первых и последних этажах здания, их окна должны быть оснащены сигнализацией. 12.7. Двери помещений ограниченного доступа не должны отличаться от дверей других помещений и не должны иметь обозначающих и предупреждающих надписей и табличек. 12.8. Внутренняя планировка и расположение рабочих мест в помещениях ограниченного доступа должны обеспечивать исполнителям работ недоступность и сохранность доверенных им ПДн. 12.9. На случай пожара, аварии или стихийного бедствия должны быть разработаны специальные инструкции, в которых предусматривается порядок вызова администрации, должностных лиц, вскрытие помещений ограниченного доступа, очередность и порядок спасения документов, материалов и изделий, содержащих ПДн, а также порядок дальнейшего их хранения. 12.10. Помещения ограниченного доступа, предназначенные для размещения архивов ПДн, предназначенные для размещения АРМ выработки ключей шифрования и ЭЦП, предназначенные для размещения оборудования, доступ к которому должен быть ограничен, должны отвечать следующим требованиям: помещение должно располагаться в контролируемой зоне; двери помещения должны иметь надежные запоры, приспособления для опечатывания, либо должны быть оснащены контроллерами, включенными в систему контроля ограничения доступа; желательно наличие видеокамеры включенной в систему видеозаписи, контролирующей вход в помещение; должны быть задействованы все меры, исключающие неконтролируемое пребывание в помещении любых лиц, включая сотрудников организации, не допущенных к работе с ПДн; помещение должно быть оборудовано датчиками пожарной и охранной сигнализации, желательно имеющими отдельные (не связанные с другими помещениями) шлейфы сигнализации, включенные в пульты охранно-пожарной сигнализации; помещение должно быть оборудовано средствами пожаротушения, желательно наличие автономной автоматической системы пожаротушения; помещение должно быть оборудовано необходимым количеством стеллажей и/или шкафов для хранения архивных носителей; микроклимат (температурно-влажностный режим) помещения должен отвечать требованиям по сохранности архивных носителей, а условия хранения должны исключать возможность их повреждения (коробления, пересыхания, изгиба и вредного воздействия пыли, магнитных и электрических полей или ультрафиолета); от двери помещения должны быть резервные ключи; помещение, предназначенное для хранения резервных копий, не должно совмещаться с помещением, в котором размещается оборудование, создающее и (или) использующее указанные резервные копии. размещение в помещении оборудования и вспомогательных технических средств должно отвечать санитарно-гигиеническим нормам, а также требованиям техники безопасности и пожарной безопасности. 12.11. Работник, осуществляющий хранение архивов и/или резервных копий ИСПДн, должен иметь печать для опечатывания дверей и сейфа или металлического хранилища. 12.12. Выполнение требований по обеспечению ИБ на рабочих местах осуществляется работниками, работающими в помещениях ограниченного доступа. 12.13. Ответственность за невыполнение требований по ИБ для помещений ограниченного доступа несут руководители структурных подразделений, работники которых работают в этих помещениях. 13. Порядок проведения служебной проверки при нарушениях режима безопасности при обработке ПДн в ИСПДн 13.1. Служебная проверка при нарушениях режима безопасности при обработке ПДн в ИСПДн (далее – служебная проверка) проводится для определения уровня защищенности ИСПДн и мер по возможному предотвращению инцидентов ИБ. 13.2. Служебная проверка назначается по нарушениям 1 и 2 категорий по каждому отдельному факту нарушения. 13.3. Основаниями для назначения служебной проверки являются устное заявление, докладная или служебная записка работника ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ, а также выявление факта одного или нескольких нарушений. 13.4. Состав комиссии, а также сроки проведения служебного расследования назначаются распоряжением руководителя, ответственного за обеспечение безопасности ПДн, по каждому отдельному факту нарушения или по факту группы нарушений. 13.5. В состав комиссии в обязательном порядке входят: председатель комиссии – ответственный за обеспечение безопасности члены комиссии – специалисты по разработке и осуществлению ПДн. мероприятий по организации и обеспечению безопасности ПДн при их обработке в информационных системах персональных данных 13.6. В случае необходимости Председатель комиссии может привлекать к работе: непосредственного начальника нарушителя; экспертов из других подразделений: специалистов организаций-лицензиатов. 13.7. Члены комиссии имеют право: требовать документального подтверждения факта нарушений информационной безопасности ИСПДн; устанавливать причины допущенных нарушений любым из способов, не противоречащих законодательству РФ; брать письменные объяснения по поводу выявленных нарушений у любого сотрудника ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ. 13.8. По результатам работы комиссии оформляется акт о результатах служебной проверки, в котором указывается: документальное подтверждение факта нарушений ИБ ИСПДн; установленные причины выявленных нарушений в ИБ ИСПДн; предложения по устранению причин выявленных инцидентов ИБ в ИСПДн; предложения по дополнению Перечня нарушений ИБ. 13.9. Акт о результатах служебной проверки подписывается членами комиссии и направляется руководителю, назначившему служебную проверку. 14. Перечень нарушений ИБ ИСПДн К нарушениям 1 категории относятся события, повлекшие за собой разглашение (утечку) защищаемых ПДн и/или утрату содержащих их отчуждаемых носителей, уничтожение (искажение) баз данных ИСПДн, выведение из строя технических и программных средств, а именно: несанкционированная переконфигурация параметров ИСПДн; утрата или кража резервной копии базы данных ИСПДн; необоснованная передача базы данных ИСПДн; организация утечки ПДн ИСПДн по техническим каналам; умышленное нарушение работоспособности ИСПДн; НСД к ПДн ИСПДн; несанкционированное внесение изменений в базу данных ИСПДн; умышленное заражение компьютеров и серверов ИСПДн вирусами; проведение работ с ИСПДн, повлекшее за собой необратимую потерю данных; другие действия, подпадающие под действия статей 272, 273, 274 УК РФ. 14.2. К нарушениям 2 категории относятся события, в результате которых возникают предпосылки к разглашению (утечке) защищаемых ПДн, утрате содержащих их отчуждаемых носителей, уничтожению (искажению) баз данных ИСПДн, выведению из строя технических и программных средств, а именно: подбор административного пароля (успешный); ошибка при входе в ИСПДн (набор не назначенного пароля, более трех раз подряд, периодически); несанкционированное (неоднократное) оставление включенного ПК; утрата учтенного отчуждаемого съемного носителя; попытка входа под чужим именем, паролем, многократная неудачная; попытка входа под чужим именем, паролем, удачная; 14.1. несанкционированная очистка журналов аудита; несанкционированное копирование ПДн на внешние носители; несанкционированная установка (удаление) ПО на ПК ИСПДн; несанкционированное изменение конфигурации ПО ПК ИСПДн; попытка получения прав администратора на локальном ПК (увеличения собственных прав, получение прав на отладку программ), удачная и неудачная; попытка получения прав администратора в домене или на удаленной машине, удачная и неудачная; неумышленное заражение локального или сетевого ПК компьютерными вирусами. несанкционированное использование сканирующего ПО; несанкционированное использование анализаторов протоколов (снифферов); несанкционированный просмотр, вывод на печать ПДн. 14.3. К нарушениям 3 категории относятся события, не несущие признаков нарушений 1 и 2 категорий, а именно: ошибка при входе в ИСПДн (набор неправильного пароля, сетевого имени более трех раз подряд); попытка неудачного доступа к ПДн ИСПДн (периодическая); перевод времени на ПК; работа на ПК в неразрешенное время; перезагрузка компьютера при сбоях в работе ПК (однократная), в т.ч. аварийная перезагрузка, путем нажатия кнопки RESET; нецелевое использование корпоративных ресурсов (печать, Internet, mail, и др). 15. Порядок контроля за соблюдением условий использования средств защиты информации Контроль за соблюдением условий использования СЗИ осуществляет старший системный администратор ГУП СО «Свердловская областная стоматологическая поликлиника». в соответствии с выработанным регламентом. 15.2. Контроль осуществляется посредством плановых проверок, мониторинга, тестирования СЗИ ИСПДн. 15.3. По результатам проверок составляется акт, при выявлении замечаний – предписание на устранение выявленных замечаний. 15.1. 16. Государственный контроль и надзор за эксплуатацией аттестованных ИСПДн 16.1. Государственный контроль и надзор за проведением аттестации ИСПДн по требованиям безопасности информации, а также за соблюдением правил эксплуатации аттестованных ИСПДн и эффективностью принятых мер защиты некриптографическими методами проводятся ФСТЭК России и ее территориальными органами. 16.2. Объем, содержание и порядок государственного контроля и надзора устанавливаются нормативными и методическими документами по обеспечению безопасности ПДн при их обработке в ИСПДн. Контрольные мероприятия проводятся в соответствии с утвержденными планами работ. 16.3. Государственный контроль и надзор за соблюдением правил аттестации включает проверку правильности и полноты проводимых мероприятий по аттестации ИСПДн, проверку правильности оформления отчетных документов и протоколов аттестационных испытаний, проверку своевременности внесения изменений в организационно-распорядительные документы по обеспечению безопасности ПДн, а также контроль за эксплуатацией аттестованных ИСПДн. При выявлении нарушения правил эксплуатации аттестованных по требованиям безопасности информации ИСПДн, нарушения технологии обработки ПДн и требований по обеспечению безопасности ПДн Управлением ФСТЭК России по Уральскому федеральному округу может быть приостановлено действие аттестата. 16.5. В случае, когда в результате оперативного принятия организационно-технических мер защиты не может быть восстановлен требуемый уровень безопасности ПДн, может быть принято решение об аннулировании действия аттестата соответствия. 16.6. При выявлении в ходе контроля и надзора грубых нарушения требований нормативных и методических документов по обеспечению безопасности ПДн, допущенных организацией-лицензиатом, оператор вправе требовать от организации-лицензиата безвозмездного проведения повторной аттестации в соответствии со статьями 723, 783 Гражданского кодекса Российской Федерации. 16.4. 17. Порядок взаимодействия с вышестоящими службами и федеральными органами Уведомление об обработке персональных данных направляется в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор). 17.2. Получение Выписки регламентируется Приказом Федеральной службы по надзору в сфере массовых коммуникаций, связи и охраны культурного наследия от 28.03.2008 г. №154 «Об утверждении положения о ведении реестра операторов, осуществляющих обработку персональных данных»: 17.3. Операторы, включенные в Реестр, вправе получить выписку из Реестра по письменному обращению в Службу в срок не позднее тридцати дней. 17.1. 18. Общедоступные источники персональных данных сотрудников предприятия 18.1. В целях информационного обеспечения на предприятии могут создаваться общедоступные источники персональных данных сотрудников (далее – Справочники), в которые с письменного согласия субъекта персональных данных включаются его фамилия, имя, отчество, сведения о занимаемой им должности, номер служебного телефона, иные персональные данные, предоставленные субъектом персональных данных. 18.2. Формирование, ведение и иные действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных, содержащихся в Справочниках, а также получение письменного согласия субъекта персональных данных осуществляются подразделениями предприятия, ответственными за ведение каждого Справочника. 19. Ответственность за нарушение требований, регулирующих получение, обработку и хранение персональных данных сотрудника 19.1. Лица, виновные в нарушении требований, регулирующих получение, обработку и хранении персональных данных сотрудника несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством РФ ответственность. 19.2. Персональная ответственность – одно из главных требований к организации функционирования системы защиты персональной информации и обязательное условие обеспечения эффективности этой системы: руководитель, разрешающий доступ сотрудника к персональным данным несет персональную ответственность за данное разрешение; каждый сотрудник несет единоличную ответственность за сохранность носителей персональных данных и соблюдение конфиденциальности информации; сотрудник ГУП СО «Свердловская областная стоматологическая поликлиника», предоставивший работодателю подложные документы или заведомо ложные сведения о себе, либо своевременно не сообщивший об изменениях персональных данных, несет дисциплинарную ответственность, вплоть до увольнения. 19.3. Лица, виновные в нарушении условий использования средств защиты информации или нарушении режима защиты персональных данных, несут ответственность в соответствии с законодательством Российской Федерации. ПРИЛОЖЕНИЕ 10 ОБЯЗАТЕЛЬСТВО о неразглашении конфиденциальной информации (персональных данных), не содержащих сведений, составляющих государственную тайну. Я,___________________________________________________________________________ ФИО государственного гражданского служащего) исполняющий(ая) должностные обязанности по занимаемой должности _____________________________________________________________________________ (должность, наименование структурного подразделения) предупрежден(а), что на период исполнения должностных обязанностей в соответствии с должностным регламентом, мне будет предоставлен допуск к конфиденциальной информации (персональным данным), не содержащим сведений, составляющих государственную тайну. Настоящим добровольно принимаю на себя обязательства: 1. Не разглашать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных обязанностей. 2. Не передавать и не раскрывать третьим лицам конфиденциальные сведения, которые мне доверены (будут доверены) или станут известными в связи с выполнением должностных обязанностей. З. в случае попытки третьих лиц получить от меня конфиденциальные сведения, сообщать непосредственному руководителю. 4. Не использовать конфиденциальные сведения с целью получения выгоды. 5. Выполнять требования нормативных правовых актов, регламентирующих вопросы защиты конфиденциальных сведений. 6. в течение года после прекращения права на допуск к конфиденциальным сведениям не разглашать и не передавать третьим лицам известные мне конфиденциальные сведения. Я предупрежден (а), что в случае нарушения данного обязательства буду привлечен (а) к дисциплинарной ответственности и/или иной ответственности в соответствии с законодательством Российской Федерации. ___________________________________ (фамилия, инициалы) _______________________ (подпись) «______» _______________ 20___г. ПРИЛОЖЕНИЕ 11 ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ УТВЕРЖДАЮ _______________________ _______________________ «__» ____________ 20___ г. ПЛАН ОРГАНИЗАЦИОННЫХ МЕРОПРИЯТИЙ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ УЧРЕЖДЕНИЯ СОГЛАСОВАНО _______________________ ________________ подпись, дата _______________ _______________________ ________________ подпись, дата _______________ _______________________ ________________ подпись, дата _______________ МЕСТО СОСТАВЛЕНИЯ Таблица 11 Мероприятие ИСПДн 1 Первичная внутренняя проверка Определение перечня ИСПДн Определение обрабатываемых ПДн и объектов защиты Определение круга лиц участвующих в обработке ПДн Определение ответственности лиц участвующих в обработке Определение прав разграничения доступа пользователей ИСПДн, необходимых для выполнения должностных обязанностей Назначение ответственного за безопасность ПДн Введение режима защиты ПДн Утверждение Концепции информационной безопасности Утверждение Политики информационной безопасности Собрание коллегиального органа по классификации ИСПДн Классификация всех выявленных ИСПДн Первичный анализ актуальности УБПДн Установление контролируемой зоны вокруг ИСПДн Выбор помещений для установки аппаратных средств ИСПДн в помещениях, с целью исключения НСД лиц не допущенных к обработке ПДн Организация режима и контроля доступа (охраны) в помещения, в которых установлены аппаратные средства ИСПДн. Организация порядка резервного копирования защищаемой информации на твердые носители Организация порядка восстановления работоспособности технических средств, ПО, баз данных с подсистем СЗПДн Введение в действие инструкции по порядку формирования, распределения и применения Периодичность Разовое срок до 01.01.2013 г. Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Исполнитель/ Ответственный паролей Организация информирования и обучения сотрудников о порядке обработки ПДн Организация информирования и обучения сотрудников о введенном режиме защиты ПДн Разработка должностных инструкций о порядке обработки ПДн и обеспечении введенного режима защиты Разработка инструкций о порядке работы при подключении к сетям общего пользования и (или) международного обмена Разработка инструкций о действии в случае возникновения внештатных ситуаций Разработка положения о внесении изменения в штатное программное обеспечение элементов ИСПДн Разработка положения о порядке внесения изменений в программное обеспечение собственной разработки или штатное ПО специально дорабатываемое собственными разработчиками или сторонними организациями. Положение должно включать в себя техническое задание на изменения, технический проект, приемо-сдаточные испытания, акт о введении в эксплуатацию. Организация журнала учета обращений субъектов ПДн Организация перечня по учету технических средств и средств защиты, а так же документации к ним Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до Разовое срок до ПРИЛОЖЕНИЕ 12 УТВЕРЖДАЮ РУКОВОДИТЕЛЬ ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ __________________ФИО « » __________ 20___ г. М.П. Журнал принудительной смены личных паролей РУКОВОДИТЕЛЬ Таблица 12 п/п ФИО пользователя Имя учётной записи Причина смены пароля Дата и время принудите льной смены пароля 1 2 3 4 5 № Подписи Пользоват ель Админист ратор 6 7 ПРИЛОЖЕНИЕ 13 УТВЕРЖДАЮ РУКОВОДИТЕЛЬ ПОЛНОЕ НАТМЕНОВАНИЕ ОРГАНИЗАЦИИ ФИО « » __________ 20___ г. М.П. Журнал учета средств защиты информации, эксплуатационной и технической документации к ним Таблица 13 № п/п Индекс и наименование средства защиты информации Серийный (заводской) номер Номер специального защитного знака Наименование организации, установившей СЗИ Место установки Примечание 1 2 3 4 5 6 7 ПРИЛОЖЕНИЕ 14 УТВЕРЖДАЮ РУКОВОДИТЕЛЬ ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ ФИО « » __________ 20___ г. М.П. ИНСТРУКЦИЯ по организации резервирования и восстановления программного обеспечения, баз данных информационных систем персональных данных 1. Общие положения Настоящая инструкция разработана в соответствии с требованиями подпункта «г» пункта 11 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 г. № 781, с целью обеспечения возможности незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним. Инструкция определяет правила и объемы резервирования, а также порядок восстановления работоспособности информационных систем персональных данных РУКОВОДИТЕЛЬ (далее – ИСПДн). 2. Резервируемой информацией следует считать любые персональные данные в электронном виде. Резервируемые персональные данные (далее – ПДн) разделяются по способу обработки (по способу хранения) на две категории: обработка (хранение) в базе данных и в любом другом виде. Резервирование ПДн осуществляется в автоматическом режиме на локальном дисковом массиве сервера. Необходимо два раза в месяц создавать резервные копии путем копирования информации на КОД или флеш накопитель. 3. Резервное копирование операционной системы выполняется штатным средством архивирования системы и данных “ntbackup”, производится сохранение состояния системы (system state), периодичность архивирования – СРОК АРХИВИРОВАНИЯ, архив создается на локальном дисковом массиве. Ответственный за процедуру архивирования назначается соответствующим распоряжением. 4. Восстановление файлов ИСПДн производится путем разархивирования файлов базы данных в исходный каталог. 5. Необходимо регулярно (СРОК) создавать резервные копии путем копирования информации на компактный оптический диск (далее – КОД) или флеш накопитель. Ключи от сейфа должны храниться у администратора информационной безопасности (далее – АИБ). Ответственным за хранение ПДн назначается АИБ. 6. При искажении, модификации, блокировании, удалении ПДн необходимо руководствоваться следующим порядком восстановления. В случае возникновения инцидента информационной безопасности, связанного с ПДн, следует незамедлительно сообщить об этом администратору информационной безопасности. Ответственным за восстановление ПДн является администратор информационной безопасности и начальник подразделения, в котором произошел инцидент. В случае необходимости восстановления ПДн администратор информационной безопасности должен воспользоваться резервной копией ПДн. Администратор информационной безопасности должен оценить причину возникновения неисправности. Недоступность ПДн может быть вызвана неисправностью программного или аппаратного обеспечения компьютера. В случае проблем, связанных с аппаратной или программной частью компьютера, не связанной с обработкой ПДн, необходимо обратиться в технический отдел. В случае проблем связанных с ПДн необходимо воспользоваться резервной копией. ПРИЛОЖЕНИЕ 15 УТВЕРЖДАЮ РУКОВОДИТЕЛЬ ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ ФИО « » __________ 20___ г. М.П. Журнал учета машинных носителей РУКОВОДИТЕЛЬ Таблица 14 № п/п Регистрационный номер/дата 1 2 Место Тип установки машинного (использовани носителя я)/дата персональных установки данных 3 4 Ёмкость машинного носителя персональных данных Номер экземпляра/ количество экземпляров 5 6 Серийный номер Ответственное должностное лицо (ФИО) Расписка в получении (ФИО, подпись, дата) Расписка в обратном приеме (ФИО, подпись, дата) Место хранения машинного носителя персональных данных Сведения об уничтожении машинных носителей персональных данных, стирании информации (подпись, дата) 7 8 9 10 11 12 ПРИЛОЖЕНИЕ № 16 Кому:________________________________________________ (наименование органа по аттестации и его адрес) ЗАЯВКА на проведение аттестации объекта информатизации 1. (наименование Учреждения) просит провести аттестацию (наименование объекта информатизации (ИСПДн)) на соответствие требованиям по безопасности информации:____________________________ 2. Необходимые исходные данные по аттестуемому объекту информатизации прилагаются. 3. Заявитель готов предоставить необходимые документы и условия для проведения аттестации. 4. Заявитель согласен на договорной основе оплатить расходы по всем видам работ и услуг по аттестации указанного в данной заявке объекта информатизации. 5. Дополнительные условия или сведения для договора: 5.1. Предварительное ознакомление с аттестуемым объектом предлагаю провести в период ________ 5.2. Аттестационные испытания объекта информатики предлагаю провести в период ____________ 5.3. Испытания несертифицированных средств и систем информатизации (наименование сpедств и систем) предусмотрено провести в испытательных центрах (лабораториях)(наименование испытательных центров) в период ____________ (или предлагается провести непосредственно на аттестуемом объекте в период _____) Другие условия (предложения). печать Руководитель (органа заявителя) (подпись, дата) (Фамилия, И.О.) ПРИЛОЖЕНИЕ 17 Таблица 15 ОПИСАНИЕ АРМ АРМ № Расположение (улица, дом, этаж, отдел, кабинет) ФИО, должность работающих на данной АРМ Наличие подключения к локальной сети (Да/Нет) Наличие подключения к сети Интернет (Да/Нет) Наличие охранной сигнализации (Да/Нет) Наличие пожарной сигнализации (Да/Нет) Наличие решеток на окнах (Да/Нет) Наличие металлической двери в помещении (Да/Нет) Наличие штор, жалюзи (Шторы/Жалюзи) Наличие источника бесперебойного питания(Да/Нет) Сетевое имя компьютера Инвентарный № Краткие технические характеристики (процессор, ОЗУ) Операционная система (Пример: MS Windows XP Pro SP3) Наличие пароля на учетную запись ОС (при входе в Windows) (Да/Нет) Антивирус (также указать наличие либо отсутствие сертификата ФСТЭК) Средства ЗИ (Пример: Secret Net 6.5 автономный вариант, сертификат ФСТЭК) ОПИСАНИЕ ИСПДн Наименование ИСПДн Цель обработки ИСПДн Список обрабатываемых ПДн Объем (до 1000 / от 1000 до 100000 / более 100000) Передача ПДн в сторонние организации (какие) Структура ИСПДн (автономная, локальная или распределенная) Режим обработки (одно- или многопользовательский; Наличие администратора и пользователя означает многопользовательский режим) Разграничение прав доступа (да / нет) Наличие пароля (при запуске приложения) Резервное копирование Действие с ПДн (чтение и поиск / запись, удаление и сортировка / модификация и передача) ПРИЛОЖЕНИЕ 18 "У Т В Е Р Ж Д А Ю " (должность руководителя органа по аттестации) м.п. Ф.И.О. "____" _________ 19___г. АТТЕСТАТ СООТВЕТСТВИЯ (указывается полное наименование объекта инфоpматизации) ТРЕБОВАНИЯМ БЕЗОПАСНОСТИ ИНФОРМАЦИИ № _________ Действителен до "____" _________ 19___г. 1. Настоящим АТТЕСТАТОМ удостоверяется, что: (приводится полное наименование объекта информатизации) ________ категории ____________ класса соответствует требованиям нормативной и методической документации по безопасности информации. Состав комплекса технических средств объекта информатизации (с указанием заводских номеров, модели, изготовителя, номеров сертификатов), схема размещения в помещениях и относительно границ контролируемой зоны, перечень используемых программных средств, а также средств защиты (с указанием изготовителя и номеров сертификатов) прилагаются. 2. Организационная структура, уровень подготовки специалистов, нормативное, методическое обеспечение и техническая оснащенность службы безопасности информации обеспечивают контроль эффективности мер и средств защиты и поддержание уровня защищенности объекта информатизации в процессе эксплуатации в соответствии с установленными требованиями. 3. Аттестация объекта информатизации выполнена в соответствии с программой и методиками аттестационных испытаний, утвержденными "____"__________ 19__г. №______ 4. С учетом результатов аттестационных испытаний на объекте информатизации разрешается обработка (указывается высшая степень секретности, конфиденциальности)информации. 5. При эксплуатации объекта информатизации запрещается: (указываются ограничения, которые могут повлиять на эффективность мер и средств защиты информации) 6. Контроль за эффективностью реализованных мер и средств защиты возлагается на службу безопасности информации. 7. Подробные результаты аттестационных испытаний приведены в заключении аттестационной комиссии ( № _____ "___"________19___ г.) и протоколах испытаний. 8. "Аттестат соответствия" выдан на _____ года, в течение которых должна быть обеспечена неизменность условий функционирования объекта информатизации и технологии обработки защищаемой информации, могущих повлиять на характеристики, указанные в п.9. 9. Перечень характеристик, об изменениях которых требуется обязательно извещать орган по аттестации 9.1__________________________________________ 9.2__________________________________________ Руководитель аттестационной комиссии (должность с указанием наименования предприятия) Ф.И.О. "____" Отметки органа _________________________________________________________ __________19___г. надзора: Примечание. Под объектами информатизации, аттестуемыми по требованиям безопасности информации, понимаются автоматизированные системы различного уровня и назначения, системы связи, отображения и размножения вместе с помещениями, в которых они установлены, предназначенные для обработки и передачи информации, подлежащей защите, а также сами помещения, предназначенные для ведения конфиденциальных переговоров. ПРИЛОЖЕНИЕ 19 УТВЕРЖДАЮ РУКОВОДИТЕЛЬ ПОЛНОЕ НАИМЕНВАНИЕ ОРГАНИЗАЦИИ _______________ФИО « » __________ 20___ г. М.П. Концепция информационной безопасности информационных систем персональных данных ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ» АДРЕС ОРГАНИЗАЦИИ Содержание Определения 101 Обозначения и сокращения Введение 107 108 1 Общие положения 110 2 Объекты защиты 115 2.1 Перечень информационных систем115 2.2 Перечень объектов защиты 115 3 Классификация пользователей ИСПДн 116 4 Основные принципы построения системы комплексной защиты информации 4.1 Законность 117 4.2 Системность 117 4.3 Комплексность 118 4.4 Непрерывность защиты ПДн 117 118 4.5 Своевременность 119 4.6 Преемственность и совершенствование 4.7 Персональная ответственность 119 119 4.8 Принцип минимизации полномочий 119 4.9 Взаимодействие и сотрудничество 119 4.10 Гибкость системы защиты ПДн 120 4.11 Открытость алгоритмов и механизмов защиты 4.12 Простота применения средств защиты 120 120 4.13 Научная обоснованность и техническая реализуемость 4.14 Специализация и профессионализм 120 121 4.15 Обязательность контроля 121 5 Меры, методы и средства обеспечения требуемого уровня защищенности 5.1 Законодательные (правовые) меры защиты 122 5.2 Морально-этические меры защиты 122 5.3 Организационные (административные) меры защиты 123 5.4 Физические меры защиты 124 5.5 Аппаратно-программные средства защиты ПДн 125 6 Контроль эффективности системы защиты ИСПДн Учреждения 127 7 Сферы ответственности за безопасность ПДн 8 Модель нарушителя безопасности 9 Модель угроз безопасности 128 129 130 10 Механизм реализации Концепции 131 11 Ожидаемый эффект от реализации Концепции 132 12 Список использованных источников 133 122 ОПРЕДЕЛЕНИЯ В настоящем документе используются следующие термины и их определения. Автоматизированная система – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций. Аутентификация отправителя данных – подтверждение того, что отправитель полученных данных соответствует заявленному. Безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных. Биометрические персональные данные – сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность, включая фотографии, отпечатки пальцев, образ сетчатки глаза, особенности строения тела и другую подобную информацию. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных). Вирус (компьютерный, программный) – исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению. Вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных. Вспомогательные технические средства и системы – технические средства и системы, не предназначенные для передачи, обработки и хранения персональных данных, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки персональных данных или в помещениях, в которых установлены информационные системы персональных данных. Доступ в операционную среду компьютера (информационной системы персональных данных) – получение возможности запуска на выполнение штатных команд, функций, процедур операционной системы (уничтожения, копирования, перемещения и т.п.), исполняемых файлов прикладных программ. Доступ к информации – возможность получения информации и ее использования. Закладочное устройство – элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации). Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации. Идентификация – присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов. Информативный сигнал – электрические сигналы, акустические, электромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация (персональные данные) обрабатываемая в информационной системе персональных данных. Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. Информационные технологии – процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов. Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц. Источник угрозы безопасности информации – субъект доступа, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации. Контролируемая зона – пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств. Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания. Межсетевой экран – локальное (однокомпонентное) или функционально- распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и (или) выходящей из информационной системы. Нарушитель безопасности персональных данных – физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных. Неавтоматизированная обработка персональных данных – обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. Недекларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Несанкционированный доступ (несанкционированные действия) – доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных. Носитель информации – физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. Оператор (персональных данных) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Технические средства информационной системы персональных данных – средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах. Перехват (информации) – неправомерное получение информации с ис- пользованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Побочные электромагнитные излучения и наводки – электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания. Политика «чистого стола» – комплекс организационных мероприятий, контролирующих отсутствие записывания на бумажные носители ключей и атрибутов доступа (паролей) и хранения их вблизи объектов доступа. Пользователь информационной системы персональных данных – лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования. Правила разграничения доступа – совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа. Программная закладка – код программы, преднамеренно внесенный в программу с целью осуществить утечку, изменить, блокировать, уничтожить информацию или уничтожить и модифицировать программное обеспечение информационной системы персональных данных и (или) блокировать аппаратные средства. Программное (программно-математическое) воздействие – несанкцио- нированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ. Раскрытие персональных данных – умышленное или случайное нарушение конфиденциальности персональных данных. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Ресурс информационной системы – именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы. Специальные категории персональных данных – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни субъекта персональных данных. Средства вычислительной техники – совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем. Субъект доступа (субъект) – лицо или процесс, действия которого регламентируются правилами разграничения доступа. Технический канал утечки информации – совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных. Уничтожение становится персональных невозможным данных – восстановить действия, содержание в результате персональных которых данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных. Утечка (защищаемой) информации по техническим каналам – некон- тролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации. Учреждение – учреждения здравоохранения, социальной сферы, труда и занятости. Уязвимость – слабость в средствах защиты, которую можно использовать для нарушения системы или содержащейся в ней информации. Целостность информации – способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения). ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ АВС – антивирусные средства АРМ – автоматизированное рабочее место ВТСС – вспомогательные технические средства и системы ИСПДн – информационная система персональных данных КЗ – контролируемая зона ЛВС – локальная вычислительная сеть МЭ – межсетевой экран НСД – несанкционированный доступ ОС – операционная система ПДн – персональные данные ПМВ – программно-математическое воздействие ПО – программное обеспечение ПЭМИН – побочные электромагнитные излучения и наводки САЗ – система анализа защищенности СЗИ – средства защиты информации СЗПДн – система (подсистема) защиты персональных данных СОВ – система обнаружения вторжений ТКУИ – технические каналы утечки информации УБПДн – угрозы безопасности персональных данных ВВЕДЕНИЕ Настоящая Концепция информационной безопасности ИСПДн, разработана ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, является официальным документом, в котором определена система взглядов на обеспечение информационной безопасности ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Необходимость разработки Концепции обусловлена стремительным расширением сферы применения новейших информационных технологий и процессов в ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, при обработке информации вообще, и персональных данных в частности. Настоящая Концепция определяет основные цели и задачи, а также общую стратегию построения системы защиты персональных данных (СЗПДн) ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Концепция определяет основные требования и базовые подходы к их реализации, для достижения требуемого уровня безопасности информации. Концепция разработана в соответствии с системным подходом к обеспечению информационной безопасности. Системный подход предполагает проведение комплекса мероприятий, включающих исследование угроз информационной безопасности и разработку системы защиты ПДн, с позиции комплексного применения технических и организационных мер и средств защиты. Под информационной безопасностью ПДн понимается защищенность персональных данных и обрабатывающей их инфраструктуре от любых случайных или злонамеренных воздействий, результатом которых может явиться нанесение ущерба самой информации, ее владельцам (субъектам ПДн) или инфраструктуре. Задачи информационной безопасности сводятся к минимизации ущерба от возможной реализации угроз безопасности ПДн, а также к прогнозированию и предотвращению таких воздействий. Концепция служит основой для разработки комплекса организационных и технических мер по обеспечению информационной безопасности ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, а также нормативных и методических документов, обеспечивающих ее реализацию, и не предполагает подмены функций государственных органов власти Российской Федерации, отвечающих за обеспечение безопасности информационных технологий и защиту информации. Концепция является методологической основой для: формирования и проведения единой политики в области обеспечения безопасности ПДн в ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ; принятия управленческих решений и разработки практических мер по воплощению политики безопасности ПДн и выработки комплекса согласованных мер нормативно-правового, технологического и организационно-технического характера, направленных на выявление, отражение и ликвидацию последствий реализации различных видов угроз ПДн; координации деятельности структурных ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ при проведении работ по развитию и эксплуатации ИСПДн с соблюдением требований обеспечения безопасности ПДн; разработки предложений по совершенствованию правового, нормативного, методического, технического и организационного обеспечения безопасности ПДн в ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Правовой базой для разработки настоящей Концепции служат требования действующих в России законодательных и нормативных документов по обеспечению безопасности персональных данных (ПДн). 1 Общие положения Настоящая Концепция определяет основные цели и задачи, а также общую стратегию построения системы защиты персональных данных (СЗПДн) ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Концепция определяет основные требования и базовые подходы к их реализации, для достижения требуемого уровня безопасности информации. СЗПДн представляет собой совокупность организационных и технических мероприятий для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения ПДн, а также иных неправомерных действий с ними. Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий. Структура, состав и основные функции СЗПДн определяются исходя из класса ИСПДн. СЗПДн включает организационные меры и технические средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки ПДн), а также используемые в информационной системе информационные технологии. Эти меры призваны обеспечить: конфиденциальность информации (защита от несанкционированного ознакомления); целостность информации (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения); доступность информации (возможность за приемлемое время получить требуемую информационную услугу). Стадии создания СЗПДн включают: предпроектная стадия, включающая предпроектное обследование ИСПДн, разработку технического задания на ее создание; стадия проектирования, включающая разработку СЗПДн в составе ИСПДн; стадия ввода в действие СЗПДн, включающая опытную эксплуатацию и приемосдаточные испытания средств защиты информации, а также оценку соответствия ИСПДн требованиям безопасности информации. Организационные меры предусматривают создание и поддержание правовой базы безопасности ПДн и разработку (введение в действие) предусмотренных следующих организационно-распорядительных документов: Разработка положения по организации и порядку проведения работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных: Термины и определения. Общие положения. Основные мероприятия по организации обеспечения безопасности персональных данных. Обязанности должностных лиц, эксплуатирующих ИСПДн, в части обеспечения безопасности персональных данных при их обработке в ИСПДн. Порядок предоставления информации, содержащей персональные данные. Обеспечения защиты персональных данных, хранящихся в личных делах сотрудников предприятия. Порядок приостановки предоставления ПДн в случае обнаружения нарушения порядка их предоставления. Порядок организации ведения и периодической проверки электронного журнала обращений пользователей информационной системы к ПДн. Правила парольной защиты. Правила антивирусной защиты. Правила обновления общесистемного и прикладного программного обеспечения ИСПДн. Порядок обучения администраторов ИСПДн. Требования к помещениям, в которых располагаются ИСПДн. Порядок проведения служебной проверки при нарушениях режима безопасности при обработке ПДн в ИСПДн. Перечень нарушений ИБ ИСПДн. Порядок контроля за соблюдением условий использования средств защиты информации. Государственный контроль и надзор за эксплуатацией аттестованных ИСПДн. Порядок взаимодействия с вышестоящими службами и федеральными органами. Общедоступные источники персональных данных сотрудников предприятия. Ответственность за нарушение требований, регулирующих получение, обработку и хранение персональных данных сотрудника. Разработка приказов по защите ПДн в учреждениях. Приказ об организации работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. Приказ о порядке обращения с информацией, содержащей ПДн. Приказ об определении границ КЗ при обработке ПДн. Разработке акта обследования учреждения. Описание информационных систем. Описание ИСПДн. Оформление акта классификации ИСПДн. Разработка модели угроз безопасности персональных данных. Разработка требований по обеспечению безопасности персональных данных при их обработке в ИСПДн. Разработка типовых форм журналов (без заполнения): Журнал учета прохождения первичного инструктажа сотрудников, допущенных к работе с ПДн в ИСПДн Журнал учета логинов сотрудников, допущенных к работе с ПДн в ИСПДн Журнал учета прав к ИСПДн Журнал принудительной смены личных паролей Журнал учета лиц, допущенных к работе с персональными данными в информационных системах. Журнал регистрации фактов нарушения и восстановления работоспособности оборудования или ИСПДн Журнал учёта машинных носителей Журнал учета средств защиты информации, эксплуатационной и технической документации к ним. Матрица доступа. Оформление типовых инструкций: Инструкция по учету лиц, допущенных к работе с персональными данными в информационных системах персональных данных. Инструкция администратора ИСПДн. Инструкция администратора безопасности при использовании ресурсов объекта вычислительной техники Инструкция пользователя ИСПДн. Инструкция пользователя по обеспечению безопасности обработки ПДн, при возникновении внештатных ситуаций. Инструкция по организации резервирования и восстановления программного обеспечения, баз данных ИСПДн. Разработка технического задания для применения программных средств защиты ПДн в ИСПДн и проведения аттестационных испытаний. Разработка политика ИБ. Рекомендации по использованию программных и аппаратных средств защиты информации. Технические меры защиты реализуются при помощи соответствующих программно-технических средств и методов защиты. Перечень необходимых мер защиты информации определяется по результатам обследования ИСПДн. Задачи СЗПДн Основной целью СЗПДн является минимизация ущерба от возможной реализации угроз безопасности ПДн. Для достижения основной цели система безопасности ПДн ИСПДн должна обеспечивать эффективное решение следующих задач: защиту от вмешательства в процесс функционирования ИСПДн посторонних лиц (возможность использования АС и доступ к ее ресурсам должны иметь только зарегистрированные установленным порядком пользователи); разграничение доступа зарегистрированных пользователей к аппаратным, программным и информационным ресурсам ИСПДн (возможность доступа только к тем ресурсам и выполнения только тех операций с ними, которые необходимы конкретным пользователям ИСПДн для выполнения своих служебных обязанностей), то есть защиту от несанкционированного доступа: а) к информации, циркулирующей в ИСПДн; б) средствам вычислительной техники ИСПДн; в) аппаратным, программным и криптографическим средствам защиты, используемым в ИСПДн; регистрацию действий пользователей при использовании защищаемых ресурсов ИСПДн в системных журналах и периодический контроль корректности действий пользователей системы путем анализа содержимого этих журналов; контроль целостности (обеспечение неизменности) среды исполнения программ и ее восстановление в случае нарушения; защиту от несанкционированной модификации и контроль целостности используемых в ИСПДн программных средств, а также защиту системы от внедрения несанкционированных программ; защиту ПДн от утечки по техническим каналам при ее обработке, хранении и передаче по каналам связи; защиту ПДн, хранимой, обрабатываемой и передаваемой по каналам связи, от несанкционированного разглашения или искажения; обеспечение живучести криптографических средств защиты информации при компрометации части ключевой системы; своевременное выявление источников угроз безопасности ПДн, причин и условий, способствующих нанесению ущерба субъектам ПДн, создание механизма оперативного реагирования на угрозы безопасности ПДн и негативные тенденции; создание условий для минимизации и локализации наносимого ущерба неправомерными действиями физических и юридических лиц, ослабление негативного влияния и ликвидация последствий нарушения безопасности ПДн. 2 Объекты защиты 2.1 Перечень информационных систем В ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ производится обработка персональных данных в информационных система обработки персональных данных (ИСПДн). Перечень ИСПДн определяется на основании Акта обследования ИСПДн. 2.2 Перечень объектов защиты Объектами защиты являются – информация, обрабатываемая в ИСПДн, и технические средства ее обработки и защиты. Перечень персональных данных, подлежащие защите, определен в Приложении 1 Приказа № 29 от 06 февраля 2012 года «О порядке обращения с информацией, содержащей ПДн» Объекты защиты включают: 1) Обрабатываемая информация. 2) Технологическая информация. 3) Программно-технические средства обработки. 4) Средства защиты ПДн. 5) Каналы информационного обмена и телекоммуникации. 6) Объекты и помещения, в которых размещены компоненты ИСПДн. 3 Классификация пользователей ИСПДн Пользователем ИСПДн является лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования. Пользователем ИСПДн является любой сотрудник ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, имеющий доступ к ИСПДн и ее ресурсам в соответствии с установленным порядком, в соответствии с его функциональными обязанностями. Пользователи ИСПДн делятся на три основные категории: 1) Администратор ИСПДн. Сотрудники ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, которые занимаются настройкой, внедрением и сопровождением системы. Администратор ИСПДн обладает следующим уровнем доступа: обладает полной информацией о системном и прикладном программном обеспечении ИСПДн; обладает полной информацией о технических средствах и конфигурации ИСПДн; имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн; обладает правами конфигурирования и административной настройки технических средств ИСПДн. 2) Оператор ИСПДн. Сотрудники ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ участвующих в процессе эксплуатации ИСПДн. Оператор ИСПДн обладает следующим уровнем доступа: обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн; располагает конфиденциальными данными, к которым имеет доступ. 4 Основные принципы построения системы комплексной защиты информации Построение системы обеспечения безопасности ПДн ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ и ее функционирование должны осуществляться в соответствии со следующими основными принципами: законность; системность; комплексность; непрерывность; своевременность; преемственность и непрерывность совершенствования; персональная ответственность; минимизация полномочий; взаимодействие и сотрудничество; гибкость системы защиты; открытость алгоритмов и механизмов защиты; простота применения средств защиты; научная обоснованность и техническая реализуемость; специализация и профессионализм; обязательность контроля. 4.1 Законность Предполагает осуществление защитных мероприятий и разработку СЗПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ в соответствии с действующим законодательством в области защиты ПДн и других нормативных актов по безопасности информации, утвержденных органами государственной власти и управления в пределах их компетенции. Пользователи и обслуживающий персонал ПДн ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ должны быть осведомлены о порядке работы с защищаемой информацией и об ответственности за защиты ПДн. 4.2 Системность Системный подход к построению СЗПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ предполагает учет всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы обеспечения безопасности ПДн ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. При создании системы защиты должны учитываться все слабые и наиболее уязвимые места системы обработки ПДн, а также характер, возможные объекты и направления атак на систему со стороны нарушителей (особенно высококвалифицированных злоумышленников), пути проникновения в распределенные системы и НСД к информации. Система защиты должна строиться с учетом не только всех известных каналов проникновения и НСД к информации, но и с учетом возможности появления принципиально новых путей реализации угроз безопасности. 4.3 Комплексность Комплексное использование методов и средств защиты предполагает согласованное применение разнородных средств при построении целостной системы защиты, перекрывающей все существенные (значимые) каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонентов. Защита должна строиться эшелонировано. Для каждого канала утечки информации и для каждой угрозы безопасности должно существовать несколько защитных рубежей. Создание защитных рубежей осуществляется с учетом того, чтобы для их преодоления потенциальному злоумышленнику требовались профессиональные навыки в нескольких невзаимосвязанных областях. 4.4 Непрерывность защиты ПДн Защита ПДн – не разовое мероприятие и не простая совокупность проведенных мероприятий и установленных средств защиты, а непрерывный целенаправленный процесс, предполагающий принятие соответствующих мер на всех этапах жизненного цикла ИСПДн. ИСПДн должны находиться в защищенном состоянии на протяжении всего времени их функционирования. В соответствии с этим принципом должны приниматься меры по недопущению перехода ИСПДн в незащищенное состояние. Большинству физических и технических средств защиты для эффективного выполнения своих функций необходима постоянная техническая и организационная (административная) поддержка (своевременная смена и обеспечение правильного хранения и применения имен, паролей, ключей шифрования, переопределение полномочий и т.п.). Перерывы в работе средств защиты могут быть использованы злоумышленниками для анализа применяемых методов и средств защиты, для внедрения специальных программных и аппаратных "закладок" и других средств преодоления системы защиты после восстановления ее функционирования. 4.5 Своевременность Предполагает упреждающий характер мер обеспечения безопасности ПДн, то есть постановку задач по комплексной защите ИСПДн и реализацию мер обеспечения безопасности ПДн на ранних стадиях разработки ИСПДн в целом и ее системы защиты информации, в частности. Разработка системы защиты должна вестись параллельно с разработкой и развитием самой защищаемой системы. Это позволит учесть требования безопасности при проектировании архитектуры и, в конечном счете, создать более эффективные (как по затратам ресурсов, так и по стойкости) защищенные системы. 4.6 Преемственность и совершенствование Предполагают постоянное совершенствование мер и средств защиты информации на основе преемственности организационных и технических решений, кадрового состава, анализа функционирования ИСПДн и ее системы защиты с учетом изменений в методах и средствах перехвата информации, нормативных требований по защите, достигнутого отечественного и зарубежного опыта в этой области. 4.7 Персональная ответственность Предполагает возложение ответственности за обеспечение безопасности ПДн и системы их обработки на каждого сотрудника в пределах его полномочий. В соответствии с этим принципом распределение прав и обязанностей сотрудников строится таким образом, чтобы в случае любого нарушения круг виновников был четко известен или сведен к минимуму. 4.8 Принцип минимизации полномочий Означает предоставление пользователям минимальных прав доступа в соответствии с производственной необходимостью, на основе принципа «все, что не разрешено, запрещено». Доступ к ПДн должен предоставляться только в том случае и объеме, если это необходимо сотруднику для выполнения его должностных обязанностей. 4.9 Взаимодействие и сотрудничество Предполагает создание благоприятной атмосферы в коллективах подразделений, обеспечивающих деятельность ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, для снижения вероятности возникновения негативных действий связанных с человеческим фактором. В такой обстановке сотрудники должны осознанно соблюдать установленные правила и оказывать содействие в деятельности подразделений технической защиты информации. 4.10 Гибкость системы защиты ПДн Принятые меры и установленные средства защиты, особенно в начальный период их эксплуатации, могут обеспечивать как чрезмерный, так и недостаточный уровень защиты. Для обеспечения возможности варьирования уровнем защищенности, средства защиты должны обладать определенной гибкостью. Особенно важным это свойство является в тех случаях, когда установку средств защиты необходимо осуществлять на работающую систему, не нарушая процесса ее нормального функционирования. 4.11 Открытость алгоритмов и механизмов защиты Суть принципа открытости алгоритмов и механизмов защиты состоит в том, что защита не должна обеспечиваться только за счет секретности структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления (даже авторам). Однако, это не означает, что информация о конкретной системе защиты должна быть общедоступна. 4.12 Простота применения средств защиты Механизмы защиты должны быть интуитивно понятны и просты в использовании. Применение средств защиты не должно быть связано со знанием специальных языков или с выполнением действий, требующих значительных дополнительных трудозатрат при обычной работе зарегистрированных установленным порядком пользователей, а также не должно требовать от пользователя выполнения рутинных малопонятных ему операций (ввод нескольких паролей и имен и т.д.). Должна достигаться автоматизация максимального числа действий пользователей и администраторов ИСПДн. 4.13 Научная обоснованность и техническая реализуемость Информационные технологии, технические и программные средства, средства и меры защиты информации должны быть реализованы на современном уровне развития науки и техники, научно обоснованы с точки зрения достижения заданного уровня безопасности информации и должны соответствовать установленным нормам и требованиям по безопасности ПДн. СЗПДн должна быть ориентирована на решения, возможные риски для которых и меры противодействия этим рискам прошли всестороннюю теоретическую и практическую проверку. 4.14 Специализация и профессионализм Предполагает привлечение к разработке средств и реализации мер защиты информации специализированных организаций, наиболее подготовленных к конкретному виду деятельности по обеспечению безопасности ПДн, имеющих опыт практической работы и государственную лицензию на право оказания услуг в этой области. Реализация административных мер и эксплуатация средств защиты должна осуществляться профессионально подготовленными специалистами ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. 4.15 Обязательность контроля Предполагает обязательность и своевременность выявления и пресечения попыток нарушения установленных правил обеспечения безопасности ПДн на основе используемых систем и средств защиты информации при совершенствовании критериев и методов оценки эффективности этих систем и средств. Контроль за деятельностью любого пользователя, каждого средства защиты и в отношении любого объекта защиты должен осуществляться на основе применения средств оперативного контроля и регистрации и должен охватывать несанкционированные, так и санкционированные действия пользователей. как 5 Меры, методы и средства обеспечения требуемого уровня защищенности Обеспечение требуемого уровня защищенности должности достигаться с использованием мер, методов и средств безопасности. Все меры обеспечения безопасности ИСПДн подразделяются на: законодательные (правовые); морально-этические; организационные (административные); физические; технические (аппаратные и программные). 5.1 Законодательные (правовые) меры защиты К правовым мерам защиты относятся действующие в стране законы, указы и нормативные акты, регламентирующие правила обращения с ПДн, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию ПДн и являющиеся сдерживающим фактором для потенциальных нарушителей. Правовые меры защиты носят в основном упреждающий, профилактический характер и требуют постоянной разъяснительной работы с пользователями и обслуживающим персоналом системы. 5.2 Морально-этические меры защиты К морально-этическим мерам относятся нормы поведения, которые традиционно сложились или складываются по мере распространения ЭВМ в стране или обществе. Эти нормы большей частью не являются обязательными, как законодательно утвержденные нормативные акты, однако, их несоблюдение ведет обычно к падению авторитета, престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаные (например, общепризнанные нормы честности, патриотизма и т.п.), так и писаные, то есть оформленные в некоторый свод (устав) правил или предписаний. Морально-этические меры защиты являются профилактическими и требуют постоянной работы по созданию здорового морального климата в коллективах подразделений. Морально-этические меры защиты снижают вероятность возникновения негативных действий связанных с человеческим фактором. 5.3 Организационные (административные) меры защиты Организационные (административные) меры защиты - это меры организационного характера, регламентирующие процессы функционирования ИСПДн, использование ресурсов ИСПДн, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с ИСПДн таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации. Реализация Политики информационной безопасности ПДн в ИСПДн состоят из мер административного уровня и организационных (процедурных) мер защиты информации. К административному уровню относятся решения руководства, затрагивающие деятельность ИСПДн в целом. Эти решения закрепляются в Политике информационной безопасности. Примером таких решений могут быть: принятие решения о формировании или пересмотре комплексной программы обеспечения безопасности ПДн, определение ответственных за ее реализацию; формулирование целей, постановка задач, определение направлений деятельности в области безопасности ПДн; принятие решений по вопросам реализации программы безопасности, которые рассматриваются на уровне Учреждения в целом; обеспечение нормативной (правовой) базы вопросов безопасности и т.п. Политика верхнего уровня должна четко очертить сферу влияния и ограничения при определении целей безопасности ПДн, определить какими ресурсами (материальные, персонал) они будут достигнуты и найти разумный компромисс между приемлемым уровнем безопасности и функциональностью ИСПДн. На организационном уровне определяются процедуры и правила достижения целей и решения задач Политики информационной безопасности ПДн. Эти правила определяют: какова область применения политики безопасности ПДн; каковы роли и обязанности должностных лиц, отвечающие за проведение политики безопасности ПДн, а так же их установить ответственность; кто имеет права доступа к ПДн; какими мерами и средствами обеспечивается защита ПДн; какими мерами и средствами обеспечивается контроль за соблюдением введенного режима безопасности. Организационные меры должны: предусматривать регламент информационных отношений, исключающих возможность несанкционированных действий в отношении объектов защиты; определять коалиционные и иерархические принципы и методы разграничения доступа к ПДн; определять порядок работы с программно-математическими и техническими (аппаратные) средствами защиты и криптозащиты и других защитных механизмов; организовать меры противодействия НСД пользователями на этапах аутентификации, авторизации, идентификации, обеспечивающих гарантии реализации прав и ответственности субъектов информационных отношений. В организационные меры должны состоять из: регламента доступа в помещения ИСПДн; порядок допуска сотрудников к использованию ресурсов ИСПДн; регламента процессов ведения баз данных и осуществления модификации информационных ресурсов; регламента процессов обслуживания и осуществления модификации аппаратных и программных ресурсов ИСПДн; Инструкция по учету лиц, допущенных к работе с персональными данными в информационных системах персональных данных. Инструкция администратора ИСПДн. Инструкция администратора безопасности при использовании ресурсов объекта вычислительной техники Инструкция пользователя ИСПДн. Инструкция пользователя по обеспечению безопасности обработки ПДн, при возникновении внештатных ситуаций. 5.4 Физические меры защиты Физические меры защиты основаны на применении разного рода механических, электро- или предназначенных электронно-механических для создания устройств физических и сооружений, препятствий на специально возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации. Физическая защита зданий, помещений, объектов и средств информатизации должна осуществляться путем установления соответствующих постов охраны, с помощью технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими проникновение в здание, помещения посторонних лиц, хищение информационных носителей, самих средств информатизации, исключающими нахождение внутри контролируемой (охраняемой) зоны технических средств разведки. 5.5 Аппаратно-программные средства защиты ПДн Технические (аппаратно-программные) меры защиты основаны на использовании различных электронных устройств и специальных программ, входящих в состав ИСПДн и выполняющих (самостоятельно или в комплексе с другими средствами) функции защиты (идентификацию и аутентификацию пользователей, разграничение доступа к ресурсам, регистрацию событий, криптографическое закрытие информации и т.д.). С учетом всех требований и принципов обеспечения безопасности ПДн в ИСПДн по всем направлениям защиты в состав системы защиты должны быть включены следующие средства: средства идентификации (опознавания) и аутентификации (подтверждения подлинности) пользователей ИСПДн; средства разграничения доступа зарегистрированных пользователей системы к ресурсам ИСПДн; средства обеспечения и контроля целостности программных и информационных ресурсов; средства оперативного контроля и регистрации событий безопасности; криптографические средства защиты ПДн. Успешное применение технических средств защиты на основании принципов (раздел 5) предполагает, что выполнение перечисленных ниже требований обеспечено организационными (административными) мерами и используемыми физическими средствами защиты: обеспечена физическая целостность всех компонент ИСПДн; каждый сотрудник (пользователь ИСПДн) или группа пользователей имеет уникальное системное имя и минимально необходимые для выполнения им своих функциональных обязанностей полномочия по доступу к ресурсам системы; в ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ разработка и отладка программ осуществляется за пределами ИСПДн, на испытательных стендах; все изменения конфигурации технических и программных средств ИСПДн производятся строго установленным порядком (регистрируются и контролируются) только на основании распоряжений руководства Учреждения; сетевое оборудование (концентраторы, коммутаторы, маршрутизаторы и т.п.) располагается в местах, недоступных для посторонних (специальных помещениях, шкафах, и т.п.). специалистами осуществляется непрерывное управление и административная поддержка функционирования средств защиты. 6 Контроль эффективности системы защиты ИСПДн Учреждения Контроль эффективности СЗПДн должен осуществляется на основе. Целью контроля эффективности является периодической своевременное выявление ненадлежащих режимов работы СЗПДн (отключение средств защиты, нарушение режимов защиты, несанкционированное изменение режима защиты и т.п.), а так прогнозирование и превентивное реагирование на новые угрозы безопасности ПДн. Контроль может проводиться как администраторами безопасности ИСПДн (оперативный контроль в процессе информационного взаимодействия в ИСПДн), так и привлекаемыми для этой цели компетентными организациями, имеющими лицензию на этот вид деятельности, а также ФСТЭК России и ФСБ России в пределах их компетенции. Контроль может осуществляться администратором безопасности как с помощью штатных средств системы защиты ПДн, так и с помощью специальных программных средств контроля. Оценка эффективности мер защиты ПДн проводится с использованием технических и программных средств контроля на предмет соответствия установленным требованиям. 7 Сферы ответственности за безопасность ПДн Ответственным за разработку мер и контроль над обеспечением безопасности персональных данных является руководитель ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Руководитель может делегировать часть полномочий по обеспечению безопасности персональных данных. Сфера ответственности руководителя включает следующие направления обеспечения безопасности ПДн: Планирование и реализация мер по обеспечению безопасности ПДн; Анализ угроз безопасности ПДн; Разработку, внедрение, контроль исполнения и поддержание в актуальном состоянии политик, руководств, концепций, процедур, регламентов, инструкций и других организационных документов по обеспечению безопасности; Контроль защищенности ИТ инфраструктуры Компании от угроз ИБ путем; Обучение и информирование пользователей ИСПДн, о порядке работы с ПДн и средствами защиты; Предотвращение, выявление, реагирование и расследование нарушений безопасности ПДн. При взаимодействии со сторонними организациями в случаях, когда сотрудникам этих организаций предоставляется доступ к объектам защиты (раздел 3), с этими организациями должно быть заключено «Соглашение о конфиденциальности», либо «Соглашение о соблюдении режима безопасности ПДн при выполнении работ в ИСПДн». Подготовка типовых Юридическим отделом. вариантов этих соглашений осуществляется совместно с 8 Модель нарушителя безопасности Под нарушителем в ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ понимается лицо, которое в результате умышленных или неумышленных действий может нанести ущерб объектам защиты (раздел 3). Нарушители подразделяются по признаку принадлежности к ИСПДн. Все нарушители делятся на две группы: внешние нарушители – физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн; внутренние нарушители – физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн. 9 Модель угроз безопасности Для ИСПДн ГУП СО «Свердловская областная стоматологическая поликлиника» выделяются следующие основные категории угроз безопасности персональных данных: 1) Угрозы от утечки по техническим каналам. 2) Угрозы несанкционированного доступа к информации: Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн. Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программноаппаратных и программных средств (в том числе программно-математических воздействий). Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и СЗПДн в ее составе из-за сбоев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера. Угрозы преднамеренных действий внутренних нарушителей. Угрозы несанкционированного доступа по каналам связи. Описание представлены угроз, в вероятность Моделях их угроз реализации, безопасности опасность и актуальность персональных данных при их обработке в соответствующей информационной системе персональных данных. 10 Механизм реализации Концепции Реализация Концепции должна осуществляться на основе перспективных программ и планов, которые составляются на основании и во исполнение: федеральных законов в области обеспечения информационной безопасности и защиты информации; постановлений Правительства Российской Федерации; руководящих, организационно-распорядительных и методических документов ФСТЭК России; потребностей ИСПДн в средствах обеспечения безопасности информации. 11 Ожидаемый эффект от реализации Концепции Реализация Концепции безопасности ПДн в ИСПДн позволит: оценить состояние безопасности информации ИСПДн, выявить источники внутренних и внешних угроз информационной безопасности, определить приоритетные направления предотвращения, отражения и нейтрализации этих угроз; разработать распорядительные и нормативно-методические документы применительно к ИСПДн; провести классификацию и сертификацию ИСПДн; провести организационно-режимные и технические мероприятия по обеспечению безопасности ПДн в ИСПДн; обеспечить необходимый уровень безопасности объектов защиты. Осуществление этих мероприятий обеспечит создание единой, целостной и скоординированной системы информационной безопасности ИСПДн и создаст условия для ее дальнейшего совершенствования. 12 Список использованных источников Основными нормативно-правовыми и методическими документами, на которых базируется настоящее Положение являются: 1 Федеральный Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн. 2 «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденное Постановлением Правительства РФ от 17.11.2007 г. № 781. 3 «Порядок проведения классификации информационных систем персональных данных», утвержденный совместным Приказом ФСТЭК России № 55, ФСБ России № 86 и Мининформсвязи РФ № 20 от 13.02.2008 г. 4 «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденное Постановлением Правительства РФ от 15.09.2008 г. № 687. 5 «Требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных», утвержденные Постановлением Правительства РФ от 06.07.2008 г. № 512. 6 Нормативно-методические документы Федеральной службы по техническому и экспертному контролю Российской Федерации (далее - ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн: 7 Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. 8 Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП) ПРИЛОЖЕНИЕ 20 УТВЕРЖДАЮ РУКОВОДИТЕЛЬ ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ _______________ФИО « » __________ 20___ г. М.П. ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ ПОЛНОЕ НАИМЕНОВАНИЕ ОРГАНИЗАЦИИ (АДРЕС ОРГАНИЗАЦИИ) CОДЕРЖАНИЕ Определения...............................................................................Error! Bookmark not defined. Введение .................................................................................................................................. 143 1 Общие положения ............................................................................................................... 144 2 Область действия ................................................................................................................. 145 3 Система защиты персональных данных............................................................................ 146 4 Требования к подсистемам СЗПДн ................................................................................... 147 4.1 Подсистемы управления доступом, регистрации и учета 147 4.2 Подсистема обеспечения целостности и доступности 151 4.3 Подсистема антивирусной защиты 154 4.4 Подсистема межсетевого экранирования 4.5 Подсистема анализа защищенности 157 4.6 Подсистема обнаружения вторжений 157 155 4.7 Подсистема криптографической защиты Error! Bookmark not defined. 5 Пользователи ИСПДн ......................................................................................................... 158 5.1 Администратор ИСПДн 158 5.2 Администратор безопасности 5.3 Оператор АРМ 158 159 6 Требования к персоналу по обеспечению защиты ПДн .................................................. 160 7 Должностные обязанности пользователей ИСПДн ......................................................... 162 8 Ответственность сотрудников ИСПДн Учреждения ....................................................... 163 9 Список использованных источников ................................................................................ 164 Определения В настоящем документе используются следующие термины и их определения. Автоматизированная система – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций. Аутентификация отправителя данных – подтверждение того, что отправитель полученных данных соответствует заявленному. Безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных. Биометрические персональные данные – сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность, включая фотографии, отпечатки пальцев, образ сетчатки глаза, особенности строения тела и другую подобную информацию. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных). Вирус (компьютерный, программный) – исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению. Вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных. Вспомогательные технические средства и системы – технические средства и системы, не предназначенные для передачи, обработки и хранения персональных данных, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки персональных данных или в помещениях, в которых установлены информационные системы персональных данных. Доступ в операционную среду компьютера (информационной системы персональных данных) – получение возможности запуска на выполнение штатных команд, функций, процедур операционной системы (уничтожения, копирования, перемещения и т.п.), исполняемых файлов прикладных программ. Доступ к информации – возможность получения информации и ее использования. Закладочное устройство – элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации). Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации. Идентификация – присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов. Информативный сигнал – электрические сигналы, акустические, электромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация (персональные данные) обрабатываемая в информационной системе персональных данных. Информационная система персональных данных (ИСПДн) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств. Информационные технологии – процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов. Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц. Источник угрозы безопасности информации – субъект доступа, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации. Контролируемая зона – пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств. Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания. Межсетевой экран – локальное (однокомпонентное) или функционально- распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и (или) выходящей из информационной системы. Нарушитель безопасности персональных данных – физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных. Неавтоматизированная обработка персональных данных – обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека. Недекларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Несанкционированный доступ (несанкционированные действия) – доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных. Носитель информации – физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин. Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности. Оператор (персональных данных) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Технические средства информационной системы персональных данных – средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах. Перехват (информации) – неправомерное получение информации с ис- пользованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов. Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Побочные электромагнитные излучения и наводки – электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания. Политика «чистого стола» – комплекс организационных мероприятий, контролирующих отсутствие записывания на бумажные носители ключей и атрибутов доступа (паролей) и хранения их вблизи объектов доступа. Пользователь информационной системы персональных данных – лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования. Правила разграничения доступа – совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа. Программная закладка – код программы, преднамеренно внесенный в программу с целью осуществить утечку, изменить, блокировать, уничтожить информацию или уничтожить и модифицировать программное обеспечение информационной системы персональных данных и (или) блокировать аппаратные средства. Программное (программно-математическое) воздействие – несанкцио- нированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ. Раскрытие персональных данных – умышленное или случайное нарушение конфиденциальности персональных данных. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Ресурс информационной системы – именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы. Специальные категории персональных данных – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни субъекта персональных данных. Средства вычислительной техники – совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем. Субъект доступа (субъект) – лицо или процесс, действия которого регламентируются правилами разграничения доступа. Технический канал утечки информации – совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных. Уничтожение становится персональных невозможным данных – восстановить действия, содержание в результате персональных которых данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных. Утечка (защищаемой) информации по техническим каналам – некон- тролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации. Учреждение – учреждения здравоохранения, социальной сферы, труда и занятости. Уязвимость – слабость в средствах защиты, которую можно использовать для нарушения системы или содержащейся в ней информации. Целостность информации – способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения). ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ АВС – антивирусные средства АРМ –-автоматизированное рабочее место ВТСС – вспомогательные технические средства и системы ИСПДн – информационная система персональных данных КЗ – контролируемая зона ЛВС – локальная вычислительная сеть МЭ – межсетевой экран НСД – несанкционированный доступ ОС – операционная система ПДн – персональные данные ПМВ – программно-математическое воздействие ПО – программное обеспечение ПЭМИН – побочные электромагнитные излучения и наводки САЗ – система анализа защищенности СЗИ – средства защиты информации СЗПДн – система (подсистема) защиты персональных данных СОВ – система обнаружения вторжений ТКУ И – технические каналы утечки информации УБПДн – угрозы безопасности персональных данных ВВЕДЕНИЕ Настоящая Политика информационной безопасности ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ (далее – Политика), разработана ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Политика разработана в соответствии с целями, задачами и принципами обеспечения безопасности персональных данных изложенных в Концепции информационной безопасности информационных систем персональных данных ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Политика разработана в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и Постановления Правительства Российской Федерации от 11 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», на основании: Федеральный закон Российской Федерации от 27 июля 2006 года № 152-ФЗ «О персональных данных»; Указ Президента РФ от 6 марта 1997 года № 188 «Об утверждении перечня сведений конфиденциального характера»; «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденное Постановлением Правительства Российской Федерации от 17 ноября 2007 года № 781; Приказ ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. № 55/86/20; «Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации» (от 21 февраля 2008 года № 149/5-144); «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных») (от 21 февраля 2008 года № 149/6/6-622). Приказ ФСТЭК России от 5 февраля 2010 года №58 «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных» В Политике определены требования к персоналу ИСПДн, степень ответственности персонала, структура и необходимый уровень защищенности, статус и должностные обязанности сотрудников, ответственных за обеспечение безопасности персональных данных в ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. 13 Общие положения Целью настоящей Политики является обеспечение безопасности объектов защиты ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ от всех видов угроз, внешних и внутренних, умышленных и непреднамеренных, минимизация ущерба от возможной реализации угроз безопасности ПДн (УБПДн). Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий. Информация и связанные с ней ресурсы должны быть доступны для авторизованных пользователей. Должно осуществляться своевременное обнаружение и реагирование на УБПДн. Должно осуществляться предотвращение преднамеренных или случайных, частичных или полных несанкционированных модификаций или уничтожения данных. Состав объектов защиты и состав ИСПДн, подлежащих защите, представлен в Положение по организации и порядку проведения работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Эта Политика информационной безопасности была утверждена руководителем ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ и введена в действие приказом НОМЕР ПРИКАЗА ДАТА. 14 Область действия Требования настоящей Политики распространяются на всех ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ (штатных, временных, работающих по контракту и т.п.), а также всех прочих лиц (подрядчики, аудиторы и т.п.). 15 Система защиты персональных данных Система защиты персональных данных (СЗПДн), строится на основании: Акта обследования информационных систем персональных данных; Приказа от «__» ________ 20___г. «О порядке обращения с информацией, содержащей ПДн» №___; Актами классификаций информационных систем персональных данных; Моделями угроз безопасности персональных данных при их обработке в информационной системе персональных данных; Положение по организации и порядку проведения работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных; Руководящих документов ФСТЭК и ФСБ России. На основании защищенности этих ПДн документов каждой определяется ИСПДн ПОЛНОЕ необходимый уровень НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. На основании анализа актуальных угроз безопасности ПДн описанного в Модели угроз и Акт обследования информационных систем персональных данных, делается заключение о необходимости использования технических средств и организационных мероприятий для обеспечения безопасности ПДн. Выбранные необходимые мероприятия отражаются в Техническом задании «ИНФОРМАЦИОННАЯ СИСТЕМА ПЕРСОНАЛЬНЫХ ДАННЫХ ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ. Для каждой ИСПДн должен быть составлен список используемых технических средств защиты, а так же программного обеспечения участвующего в обработке ПДн, на всех элементах ИСПДн: АРМ пользователей; Сервера приложений; СУБД; Граница ЛВС; Каналов передачи в сети общего пользования и (или) международного обмена, если по ним передаются ПДн. В зависимости от уровня защищенности ИСПДн и актуальных угроз, СЗПДн может включать следующие технические средства: антивирусные средства для рабочих станций пользователей и серверов; средства защиты от несанкционированного доступа средства межсетевого экранирования. Так же в список должны быть включены функции защиты, обеспечиваемые штатными средствами обработки ПДн операционными системами (ОС), прикладным ПО и специальными комплексами, реализующими средства защиты. Список функций защиты может включать: управление и разграничение доступа пользователей; регистрацию и учет действий с информацией; обеспечивать целостность данных; производить обнаружений вторжений. Список используемых технических средств отражается в журнале учета средств защиты информации, эксплуатационной и технической документации к ним. Список используемых средств должен поддерживаться в актуальном состоянии. При изменении состава технических средств защиты или элементов ИСПДн, соответствующие изменения должны быть внесены в журнал учета средств защиты информации, эксплуатационной и технической документации к ним. Требования к подсистемам СЗПДн СЗПДн включает в себя следующие подсистемы: управления доступом, регистрации и учета; обеспечения целостности и доступности; антивирусной защиты; межсетевого экранирования; анализа защищенности; обнаружения вторжений. Подсистемы СЗПДн имеют различный функционал в зависимости от класса ИСПДн, определенного в актах классификаций информационных систем персональных данных. Список соответствия функций подсистем СЗПДн классу защищенности представлен в требованиях по обеспечению безопасности персональных данных. 15.1 Подсистемы управления доступом, регистрации и учета Подсистема управления доступом, регистрации и учета предназначена для реализации следующих функций: 2-3 класс ИСПДн при однопользовательском режиме обработки персональных данных: В подсистеме управления доступом: идентификация и проверка подлинности пользователя при входе в систему информационной системы по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов; В подсистеме регистрации и учета: регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы; учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета; 2-3 класс ИСПДн при многопользовательском режиме обработки персональных данных и равных правах: В подсистеме управления доступом: идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов; В подсистеме регистрации и учета: регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная); учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета; 2-3 класс ИСПДн при многопользовательском режиме обработки персональных данных и разных правах: В подсистеме управления доступом: идентификация и проверка подлинности пользователя при входе в систему по паролю условно-постоянного действия длинной не менее шести буквенноцифровых символов; В подсистеме регистрации и учета: регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа; учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче (приеме); 1 класс ИСПДн при однопользовательском режиме обработке персональных данных: В подсистеме управления доступом: идентификация и проверка подлинности пользователя при входе в систему по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов; В подсистеме регистрации и учета: регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная); регистрация выдачи печатных (графических) документов на бумажный носитель. В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), краткое содержание документа (наименование, вид, код), спецификация устройства выдачи (логическое имя (номер) внешнего устройства); учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета; дублирующий учет защищаемых носителей информации; очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационной системы и внешних носителей информации; 1 класс ИСПДн при многопользовательском режиме обработки персональных данных и равных правах: В подсистеме управления доступом: идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов; идентификация технических средств информационных систем и каналов связи, внешних устройств информационных систем по их логическим адресам (номерам); идентификация программ, томов, каталогов, файлов, записей, полей записей по именам; В подсистеме регистрации и учета: регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа; регистрация выдачи печатных (графических) документов на бумажный носитель. В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), спецификация устройства выдачи (логическое имя (номер) внешнего устройства), краткое содержание документа (наименование, вид, шифр, код), идентификатор пользователя, запросившего документ; регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки персональных данных. В параметрах регистрации указываются дата и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор пользователя, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный); регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам. В параметрах регистрации указываются дата и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого файла; регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа (терминалам, техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей). В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого объекта (логическое имя (номер)); учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче (приеме); дублирующий учет защищаемых носителей информации; очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационных систем и внешних носителей информации; 1 класса при многопользовательском режиме обработки персональных данных и разных правах В подсистеме управления доступом: идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов; идентификация терминалов, технических средств, узлов сети, каналов связи, внешних устройств по логическим именам; идентификация программ, томов, каталогов, файлов, записей, полей записей по именам; контроль доступа пользователей к защищаемым ресурсам в соответствии с матрицей доступа; В подсистеме регистрации и учета: регистрация входа (выхода) пользователей в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа, код или пароль, предъявленный при неуспешной попытке; регистрация выдачи печатных (графических) документов на бумажный носитель. В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), спецификация устройства выдачи (логическое имя (номер) внешнего устройства), краткое содержание документа (наименование, вид, шифр, код), идентификатор пользователя, запросившего документ; регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки персональных данных. В параметрах регистрации указываются дата и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор пользователя, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный); регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам. В параметрах регистрации указываются дата и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого файла; регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа (терминалам, техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей). В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого объекта (логическое имя (номер)); учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче (приеме); очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационной системы и внешних накопителей; Подсистема управления доступом может быть реализована с помощью штатных средств обработки ПДн (операционных систем, приложений и СУБД). Так же может быть внедрено специальное техническое средство или их комплекс осуществляющие дополнительные меры по аутентификации и контролю. Например, применение единых хранилищ учетных записей пользователей и регистрационной информации, использование биометрических и технических (с помощью электронных пропусков) мер аутентификации и других. 15.2 Подсистема обеспечения целостности и доступности Подсистема обеспечения целостности и доступности предназначена для обеспечения целостности и доступности ПДн, программных и аппаратных средств ИСПДн Учреждения, а так же средств защиты, при случайной или намеренной модификации. 2-3 класс ИСПДн при однопользовательском режиме обработки персональных данных: обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации; физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации; периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа; наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонент средств защиты информации, их периодическое обновление и контроль работоспособности. 2-3 класс ИСПДн при многопользовательском режиме обработки персональных данных и равных правах: обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации; физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации; периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа; наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонент средств защиты информации, их периодическое обновление и контроль работоспособности. 2-3 класс ИСПДн при многопользовательском режиме обработки персональных данных и разных правах: обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации; физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации; периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа; наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонент средств защиты информации, их периодическое обновление и контроль работоспособности. 1 класс ИСПДн при однопользовательском режиме обработке персональных данных: обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов средств защиты информации, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ; физическая охрана технических средств информационных систем (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания; периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа; наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности. 1 класс ИСПДн при многопользовательском режиме обработки персональных данных и равных правах: обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность системы защиты персональных данных проверяется при загрузке системы по наличию имен (идентификаторов) ее компонент, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ; физическая охрана технических средств информационной системы (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания; периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа; наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности. 1 класса при многопользовательском режиме обработки персональных данных и разных правах: обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность системы защиты персональных данных проверяется при загрузке системы по контрольным суммам компонентов системы защиты, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения персональных данных; физическая охрана технических средств информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения и хранилище носителей информации; периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа; наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности. 15.3 Подсистема антивирусной защиты Подсистема антивирусной защиты предназначена для обеспечения антивирусной защиты серверов и АРМ пользователей ИСПДн ГУП СО «Свердловская областная стоматологическая поликлиника». Средства антивирусной защиты предназначены для реализации следующих функций: резидентный антивирусный мониторинг; антивирусное сканирование; скрипт-блокирование; централизованную/удаленную установку/деинсталляцию антивирусного продукта, настройку, администрирование, просмотр отчетов и статистической информации по работе продукта; автоматизированное обновление антивирусных баз; ограничение прав пользователя на остановку исполняемых задач и изменения настроек антивирусного программного обеспечения; автоматический запуск сразу после загрузки операционной системы. Подсистема реализуется путем внедрения специального антивирусного программного обеспечения на все элементы ИСПДн. 15.4 Подсистема межсетевого экранирования Подсистема межсетевого экранирования предназначена для реализации следующих функций: 3 класс ИСПДн: фильтрацию на сетевом уровне для каждого сетевого пакета независимо (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов); идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условнопостоянного действия; регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана); контроль целостности своей программной и информационной части; фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств; восстановление свойств межсетевого экрана после сбоев и отказов оборудования; регламентное тестирование реализации правил фильтрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления. 2 класс ИСПДн: фильтрацию на сетевом уровне независимо для каждого сетевого пакета (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов); фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств; фильтрацию с учетом входного и выходного сетевого интерфейса как средства проверки подлинности сетевых адресов; фильтрацию с учетом любых значимых полей сетевых пакетов; регистрацию и учет фильтруемых пакетов (в параметры регистрации включаются адрес, время и результат фильтрации); идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условнопостоянного действия; регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана); регистрацию запуска программ и процессов (заданий, задач); контроль целостности своей программной и информационной части; восстановление свойств межсетевого экрана после сбоев и отказов оборудования; регламентное тестирование реализации правил фильтрации, процесса регистрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления. 1 класс ИСПДн: фильтрацию на сетевом уровне для каждого сетевого пакета независимо (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов); фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств; фильтрацию с учетом входного и выходного сетевого интерфейса как средства проверки подлинности сетевых адресов; фильтрацию с учетом любых значимых полей сетевых пакетов; фильтрацию на транспортном уровне запросов на установление виртуальных соединений с учетом транспортных адресов отправителя и получателя; фильтрацию на прикладном уровне запросов к прикладным сервисам с учетом прикладных адресов отправителя и получателя; фильтрацию с учетом даты и времени; аутентификацию входящих и исходящих запросов методами, устойчивыми к пассивному и (или) активному прослушиванию сети; регистрацию и учет фильтруемых пакетов (в параметры регистрации включаются адрес, время и результат фильтрации); регистрацию и учет запросов на установление виртуальных соединений; локальную сигнализацию попыток нарушения правил фильтрации; идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условнопостоянного действия; предотвращение доступа неидентифицированного пользователя или пользователя, подлинность идентификации которого при аутентификации не подтвердилась; идентификацию и аутентификацию администратора межсетевого экрана при его удаленных запросах методами, устойчивыми к пассивному и активному перехвату информации; регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана); регистрацию запуска программ и процессов (заданий, задач); регистрацию действия администратора межсетевого экрана по изменению правил фильтрации; возможность дистанционного управления своими компонентами, в том числе возможность конфигурирования фильтров, проверки взаимной согласованности всех фильтров, анализа регистрационной информации; контроль целостности своей программной и информационной части; контроль целостности программной и информационной части межсетевого экрана по контрольным суммам; восстановление свойств межсетевого экрана после сбоев и отказов оборудования; регламентное тестирование реализации правил фильтрации, процесса регистрации, процесса идентификации и аутентификации запросов, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления. 15.5 Подсистема анализа защищенности Подсистема анализа защищенности, должна обеспечивать выявления уязвимостей, связанных с ошибками в конфигурации ПО ИСПДн, которые могут быть использованы нарушителем для реализации атаки на систему. Функционал подсистемы может быть реализован программными и программно-аппаратными средствами. 15.6 Подсистема обнаружения вторжений Подсистема обнаружения вторжений, должна обеспечивать выявление сетевых атак на элементы ИСПДн подключенные к сетям общего пользования и (или) международного обмена. Функционал подсистемы может быть реализован программными и программно-аппаратными средствами. 16 Пользователи ИСПДн В ИСПДн ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ можно выделить следующие группы пользователей, участвующих в обработке и хранении ПДн: Администратора ИСПДн; Администратора безопасности; Оператора АРМ. Данные о группах пользователях, уровне их доступа и информированности должен быть отражен в Матрице доступа для соответствующей ИСПДн. 16.1 Администратор ИСПДн Администратор ИСПДн, сотрудник ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, ответственный за настройку, внедрение и сопровождение ИСПДн. Обеспечивает функционирование подсистемы управления доступом ИСПДн и уполномочен осуществлять предоставление и разграничение доступа конечного пользователя (Оператора АРМ) к элементам хранящим персональные данные. Администратор ИСПДн обладает следующим уровнем доступа и знаний: обладает полной информацией о системном и прикладном программном обеспечении ИСПДн; обладает полной информацией о технических средствах и конфигурации ИСПДн; имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн; обладает правами конфигурирования и административной настройки технических средств ИСПДн. 16.2 Администратор безопасности Администратор безопасности, сотрудник ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, ответственный за функционирование СЗПДн, включая обслуживание и настройку административной, серверной и клиентской компонент. Администратор безопасности обладает следующим уровнем доступа и знаний: обладает правами Администратора ИСПДн; обладает полной информацией об ИСПДн; имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн; не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных). Администратор безопасности уполномочен: реализовывать политики безопасности в части настройки СКЗИ, межсетевых экранов и систем обнаружения атак, в соответствии с которыми пользователь (Оператор АРМ) получает возможность работать с элементами ИСПДн; осуществлять аудит средств защиты; устанавливать доверительные отношения своей защищенной сети с сетями других Учреждений. 16.3 Оператор АРМ Оператор АРМ, сотрудник ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, осуществляющий обработку ПДн. Обработка ПДн включает: возможность просмотра ПДн, ручной ввод ПДн в систему ИСПДн, формирование справок и отчетов по информации, полученной из ИСПД. Оператор не имеет полномочий для управления подсистемами обработки данных и СЗПДн. Оператор ИСПДн обладает следующим уровнем доступа и знаний: обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн; располагает конфиденциальными данными, к которым имеет доступ. 17 Требования к персоналу по обеспечению защиты ПДн Все сотрудники ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, являющиеся пользователями ИСПДн, должны четко знать и строго выполнять установленные правила и обязанности по доступу к защищаемым объектам и соблюдению принятого режима безопасности ПДн. При вступлении в должность нового сотрудника непосредственный начальник подразделения, в которое он поступает, обязан организовать его ознакомление с должностной инструкцией и необходимыми документами, регламентирующими требования по защите ПДн, а также обучение навыкам выполнения процедур, необходимых для санкционированного использования ИСПДн. Сотрудник должен быть ознакомлен со сведениями настоящей Политики, принятых процедур работы с элементами ИСПДн и СЗПДн. Сотрудники ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, использующие технические средства аутентификации, должны обеспечивать сохранность идентификаторов (электронных ключей) и не допускать НСД к ним, а так же возможность их утери или использования третьими лицами. Пользователи несут персональную ответственность за сохранность идентификаторов. Сотрудники ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ должны обеспечивать надлежащую защиту оборудования, оставляемого без присмотра, особенно в тех случаях, когда в помещение имеют доступ посторонние лица. Все пользователи должны знать требования по безопасности ПДн и процедуры защиты оборудования, оставленного без присмотра, а также свои обязанности по обеспечению такой защиты. Сотрудникам запрещается устанавливать постороннее программное обеспечение, подключать личные мобильные устройства и носители информации, а так же записывать на них защищаемую информацию. Сотрудникам запрещается разглашать защищаемую информацию, которая стала им известна при работе с информационными системами ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ, третьим лицам. При работе с ПДн в ИСПДн сотрудники ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ обязаны обеспечить отсутствие возможности просмотра ПДн третьими лицами с мониторов АРМ или терминалов. При завершении работы с ИСПДн сотрудники обязаны защитить АРМ или терминалы с помощью блокировки ключом или эквивалентного средства контроля, например, доступом по паролю, если не используются более сильные средства защиты. Сотрудники ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ должны быть проинформированы об угрозах нарушения режима безопасности ПДн и ответственности за его нарушение. Они должны быть ознакомлены с утвержденной формальной процедурой наложения дисциплинарных взысканий на сотрудников, которые нарушили принятые политику и процедуры безопасности ПДн. Сотрудники обязаны без промедления сообщать обо всех наблюдаемых или подозрительных случаях работы ИСПДн, могущих повлечь за собой угрозы безопасности ПДн, а также о выявленных ими событиях, затрагивающих безопасность ПДн, руководству подразделения и лицу, отвечающему за немедленное реагирование на угрозы безопасности ПДн. 18 Должностные обязанности пользователей ИСПДн Должностные обязанности пользователей ИСПДн описаны в следующих документах: Инструкция администратора безопасности при использовании ресурсов объекта вычислительной техники; Инструкция администратора ИСПДн; Инструкция пользователя по обеспечению безопасности обработки персональных данных при возникновении внештатных ситуаций; Инструкция пользователя информационной системы персональных данных. 19 Ответственность сотрудников ИСПДн Учреждения В соответствии со ст. 24 Федерального закона Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных» лица, виновные в нарушении требований данного Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность. Действующее законодательство РФ позволяет предъявлять требования по обеспечению безопасной работы с защищаемой информацией и предусматривает ответственность за нарушение установленных правил эксплуатации ЭВМ и систем, неправомерный доступ к информации, если эти действия привели к уничтожению, блокированию, модификации информации или нарушению работы ЭВМ или сетей (статьи 272,273 и 274 УК РФ). Администратор ИСПДн и администратор безопасности несут ответственность за все действия, совершенные от имени их учетных записей или системных учетных записей, если не доказан факт несанкционированного использования учетных записей. При нарушениях сотрудниками ПОЛНОЕ НАИМЕНОВАНИЕ УЧРЕЖДЕНИЯ – пользователей ИСПДн правил, связанных с безопасностью ПДн, они несут ответственность, установленную действующим законодательством Российской Федерации. 20 Список использованных источников Основными нормативно-правовыми и методическими документами, на которых базируется настоящее Положение являются: 9 Федеральный Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн. 10 «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденное Постановлением Правительства РФ от 17.11.2007 г. № 781. 11 «Порядок проведения классификации информационных систем персональных данных», утвержденный совместным Приказом ФСТЭК России № 55, ФСБ России № 86 и Мининформсвязи РФ № 20 от 13.02.2008 г. 12 «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденное Постановлением Правительства РФ от 15.09.2008 г. № 687. 13 «Требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных», утвержденные Постановлением Правительства РФ от 06.07.2008 г. № 512. 14 Нормативно-методические документы Федеральной службы по техническому и экспертному контролю Российской Федерации (далее - ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн: 15 Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП) 16 Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП) 17 Приказ ФСТЭК России от 5 февраля 2010 года №58 «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных»
