Приложение Ведомственная целевая программа «Обеспечение безопасности персональных данных на территории

Приложение
Ведомственная целевая программа
«Обеспечение безопасности персональных данных на территории
Ханты-Мансийского автономного округа – Югры на 2011-2013 годы».
ПАСПОРТ
ведомственной целевой программы
«Обеспечение безопасности персональных данных на территории
Ханты-Мансийского автономного округа – Югры на 2011-2013 годы».
Наименование
исполнительного
органа
государственной
власти автономного
округа (субъекта
бюджетного
планирования)
Наименование
Программы
Должностное лицо,
утвердившее
программу, дата
утверждения
Цели и задачи
Программы
Показатели
результатов
(непосредственные)
Департамент управления делами Губернатора ХантыМансийского автономного округа – Югры (далее –
Департамент управделами Югры)
Ведомственная целевая программа «Обеспечение
безопасности персональных данных на территории
Ханты-Мансийского автономного округа – Югры на
2011-2013 годы» (далее – Программа)
Директор Департамента – управляющий делами
Губернатора автономного округа
Распоряжение Департамента управделами Югры от
_____ декабря 2010 года № ___
Цель Программы:
Комплексная защита персональных данных в органах
государственной власти и бюджетных учреждениях
Ханты-Мансийского автономного округа – Югры.
Задачи Программы:
1. Создание необходимого уровня информационной
безопасности персональных данных за счет
современных способов защиты информации.
2. Организация работы информационных систем
персональных
данных
в
соответствии
с
нормативными требованиями по безопасности
информации.
3. Обеспечение гарантированной надежности и
сохранности персональных данных.
Количество информационных систем, защищенных
согласно требованиям по безопасности персональных
данных – 357.
Количество государственных гражданских служащих
Характеристика
программных
мероприятий
Сроки реализации
Объемы и источники
финансирования
Программы
и иных работников органов власти ХантыМансийского автономного округа – Югры,
ответственных за защиту персональных данных,
прошедших обучение – 575.
Программные мероприятия формируются из 3 (трех)
блоков:
I.
Организация
обеспечения
безопасности
персональных данных. (организационный блок,
включающий
работы
по
предпроектным
обследованиям,
аудиту,
экспертизам
информационных
систем,
обрабатывающим
персональные данные (далее – ИСПДн) и оценкам их
защищенности, классификации ИСПДн, выявлению и
учету угроз безопасности персональных данных
(далее также - ПДн), разработке технических
заданий на создание системы защиты ПДн
проектированию ИСПДн, разработке нормативной и
методической
документации,
а
также
формированию структуры системы защиты ПДн и
т.д.).
II. Техническая защита персональных данных.
(технико-внедренческий блок, включающий защиту
технических каналов утечки информации, защиту
ПДн от несанкционированного доступа, закупку,
монтаж и пуско-наладку средств защиты,
аттестацию ИСПДн согласно требованиям по
безопасности информации, внедрение систем
контроля
недекларированных
возможностей,
регистрации и учета, обеспечения целостности,
обнаружения вторжений, криптографической и
антивирусной защиты и т.д.).
III. Обучение кадров.
(образовательный блок, включающий организацию
курсов подготовки и переподготовки работников
органов государственной власти и бюджетных
учреждений автономного округа по вопросам
защиты ПДн, проведение обучающих семинаров,
конференций и т.д.).
2011-2013 годы
Объемы финансирования:
всего по Программе 53 697 тыс. рублей, в т.ч.:
2011 г. - 20 000 тыс. рублей,
2012 г. - 20 000 тыс. рублей,
2013 г. - 13 697 тыс. рублей.
Источник
финансирования:
бюджет
Ханты-
Ожидаемые конечные
результаты
реализации
Программы
(показатели
социальноэкономической
эффективности)
Мансийского автономного округа – Югры
- доля органов государственной власти и бюджетных
учреждений, обрабатывающих персональные данные
на защищенных информационных системах – 100%
- отсутствие судебных исков к органам власти
автономного округа в части нарушений прав
субъектов
персональных
данных
на
неприкосновенность частной жизни.
Раздел 1. Общие положения.
Основаниями для реализации Программы являются:
1. Федеральный закон от 27 июля 2006 года № 152-ФЗ «О персональных
данных», направленный на реализацию конституционных положений,
закрепляющих право каждого на неприкосновенность частной жизни и свободу
информации, а также на воплощение в жизнь международных обязательств
Российской Федерации, взятых на себя при ратификации Конвенции Совета
Европы о защите личности при обращении с персональными данными
от 28 января 1981 года.
2. Постановление Правительства Российской Федерации от 17 ноября
2007 года № 781 «Об утверждении Положения об обеспечении безопасности
персональных данных при их обработке в информационных системах
персональных данных».
3. Письмо Управления федеральной службы по техническому и экспортному
контролю по Уральскому федеральному округу от 26 августа 2009 года
№ П/367дсп.
В соответствии со статьей 19 Федерального закона от 27 июля 2006 года
№ 152-ФЗ «О персональных данных», ПДн должны быть защищены от
неправомерного или случайного доступа к ним, уничтожения, изменения,
блокирования, копирования и распространения, а также от иных неправомерных
действий.
Потребность в реализации мероприятий, предусмотренных в рамках
Программы, вызвана актуальностью проведения работ по оптимизации
деятельности в сфере защиты ПДн и связана с необходимостью выполнить
требования федерального законодательства в данной области.
В состав мероприятий предлагается включить комплекс работ по
обеспечению безопасности персональных данных путем формирования и
реализации согласованных по цели, задачам, месту и времени организационных и
технических мер, направленных на минимизацию ущерба от возможных угроз
безопасности ПДн.
Раздел 2. Характеристика задачи, решение которой осуществляется путем
реализации Программы.
2.1. Характеристика проблемы.
На территории Ханты-Мансийского автономного округа – Югры
(далее – автономного округа) системно повышается роль информационных
технологий в развитии взаимодействия между органами государственной власти,
местного самоуправления и гражданами. В связи с этим информационная
безопасность становится социально значимым фактором, обусловленным
недопущением разглашения информации ограниченного доступа, в том числе
информации, касающейся частной жизни граждан.
Доступность средств вычислительной техники привела к распространению
компьютерной грамотности в широких слоях населения, что закономерно
привело к увеличению числа попыток неправомерного вмешательства в работу
государственных автоматизированных систем. К сожалению, многие из этих
попыток имеют успех и наносят значительный урон всем заинтересованным
субъектам информационных отношений. Положение усугубляется тем, что
нормативное
правовое
обеспечение
защиты
интересов
субъектов
информационных отношений отстает от потребностей личности, общества и
государства. Отставание в области создания стройной и непротиворечивой
системы законодательно-правового регулирования отношений в сфере
использования информации создает условия для возникновения и
распространения «компьютерной преступности». Еще одним весомым
аргументом в пользу усиления внимания к вопросам защиты информации
является бурное развитие и распространение так называемых компьютерных
вирусов,
способных
скрытно
существовать
в
информационнотелекоммуникационных системах и совершать потенциально любые
несанкционированные действия. Особую опасность для таких систем
представляют также злоумышленники, специалисты-профессионалы в области
информационных технологий, досконально знающие все достоинства и слабые
места вычислительных систем и располагающие подробнейшей документацией, а
также самыми совершенными инструментальными и технологическими
средствами для анализа и взлома механизмов защиты. Все это требует усиления
государственного внимания к вопросам организации защиты персональных
данных, принятия дополнительных мер правового и технического характера,
сложных по реализации и затратных по исполнению.
Неправомерное искажение или фальсификация, уничтожение или
разглашение персональных данных, равно как и дезорганизация процессов их
обработки и передачи в информационно-управляющих системах наносят
серьезный материальный и моральный урон органам государственной власти,
бюджетным учреждениям и другим субъектам, участвующим в процессах
автоматизированного информационного взаимодействия. Жизненно важные
интересы этих субъектов, как правило, заключаются в том, чтобы персональная
информация была бы постоянно легко доступна и, в то же время, надежно
защищена от неправомерного ее использования, нежелательного разглашения,
фальсификации, незаконного тиражирования или уничтожения.
Безопасность персональных данных должна достигаться путем исключения
несанкционированного, в том числе случайного, доступа к персональным
данным, результатом которого может стать их уничтожение, изменение,
блокирование, копирование или несанкционированное распространение.
Безопасность персональных данных при их обработке в информационных
системах персональных данных (далее – ИСПДн) должна обеспечиваться с
помощью системы защиты персональных данных, включающей организационные
меры и средства защиты информации (в том числе шифровальные
(криптографические) средства, средства предотвращения несанкционированного
доступа, утечки информации по техническим каналам, программно-технических
воздействий на технические средства обработки персональных данных), а также
используемые в информационной системе информационные технологии.
Руководители органов государственной власти и бюджетных учреждений
автономного округа при обработке персональных данных обязаны принимать
необходимые организационные и технические меры по защите ПДн.
Конкретные методы и способы защиты информации в ИСПДн установлены
методическими документами Федеральной службы по техническому и
экспортному контролю и Федеральной службы безопасности Российской
Федерации. Средства защиты информации, применяемые в информационных
системах, в установленном порядке должны проходить процедуру оценки
соответствия. Оценку достаточности принятых мер по обеспечению безопасности
персональных данных при их обработке в информационных системах предписано
проводить на постоянной основе.
В настоящее время в вопросах защиты персональных данных в ряде органов
государственной власти автономного округа (далее – ОГВ) и бюджетных
(автономных) учреждениях автономного округа (далее – БУ) существует ряд
недостатков:
- в технических заданиях и проектной документации на введенные в
эксплуатацию системы ПДн отсутствуют требования по защите информации;
- не выполняются работы по анализу угроз безопасности ИСПДн (в результате
этого возможные каналы утечки информации не определены, мероприятия по их
закрытию не спланированы);
- не организованы необходимые меры защиты в ИСПДн;
- не внедряются сертифицированные программные и технические средства
защиты;
- не выполняются работы по аттестации ИСПДн, согласно требованиям по
безопасности информации;
- передача персональных данных осуществляется в открытом (незащищенном)
режиме;
- отсутствует достаточное количество квалифицированных специалистов,
ответственных за обеспечение безопасности ПДн.
В результате в ОГВ и БУ автономного округа создаются условия для:
- нарушения конфиденциальности персональных данных путем перехвата
техническими средствами разведки, хищения или копирования;
- блокирования информации (нарушения доступности к ПДн);
- уничтожения ПДн;
- модификации (искажения) ПДн;
- нарушения адресности при передаче ПДн по каналам связи;
- отрицания подлинности ПДн;
- навязывания ложной информации.
2.2. Угрозы безопасности персональным данным.
Выявление и учет угроз безопасности персональным данным в конкретных
условиях составляют основу для планирования и осуществления мероприятий,
направленных на обеспечение безопасности персональных данных при их
обработке в ИСПДн.
Угрозы безопасности ПДн при их обработке в ИСПДн могут быть связаны
как с непреднамеренными действиями персонала ИСПДн, так и со специально
осуществляемыми неправомерными действиями иностранных государств,
криминальных сообществ, отдельных организаций и граждан.
Угрозы безопасности ПДн могут быть реализованы за счет их утечки по
техническим каналам, либо за счет несанкционированного доступа к базам
данных с использованием штатного или специально разработанного
программного обеспечения.
Источниками угроз, реализуемых за счет несанкционированного доступа к
базам данных с использованием штатного или специально разработанного
программного обеспечения, являются субъекты, действия которых нарушают
регламентируемые в ИСПДн правила разграничения доступа к информации.
Этими субъектами могут быть:
- нарушитель (человек);
- программно-аппаратная закладка.
По
виду
несанкционированных
действий,
осуществляемых
с
персональными данными, выделяются следующие классы угроз:
- угрозы, приводящие к нарушению конфиденциальности персональных данных
(копированию или несанкционированному распространению);
- угрозы, приводящие к несанкционированному, в том числе случайному,
воздействию на содержание информации, в результате которого осуществляется
изменение или блокирование персональных данных, в т.ч. их уничтожение.
По виду каналов, с использованием которых реализуются угрозы
безопасности персональным данным, выделятся следующие классы угроз:
- угрозы, реализуемые через технические каналы утечки информации, то есть
каналы, возникающие за счет использования технических средств съема
(добывания) информации, обрабатываемой в технических средствах ИСПДн или
вспомогательных технических средствах и системах (ВТСС);
- угрозы, реализуемые за счет несанкционированного доступа к персональным
данным в ИСПДн с использованием штатного программного обеспечения ИСПДн
или специально разрабатываемого программного обеспечения.
Реализация угроз безопасности персональным данным может привести к
значительным негативным последствиям для органов государственной власти и
бюджетных учреждений автономного округа.
Возможными последствиями в случае реализации данных угроз могут стать:
• утечка персональных данных, ухудшение качества функционирования (сбои
в работе) ИСПДн в органах государственной власти и бюджетных
учреждениях;
• экономический, финансовый, моральный ущерб ОГВ и БУ;
• нарушения конституционных прав граждан;
• снижение авторитета, деловой репутации и, соответственно, степени
доверия к органам государственной власти (бюджетным учреждениям).
Раздел 3. Основные цели и задачи Программы.
Основной целью программных мероприятий является создание
комплексной системы защиты персональных данных в органах государственной
власти и бюджетных учреждениях автономного округа.
Задачи программных мероприятий:
1. Создание необходимого уровня информационной безопасности
персональных данных за счет современных способов защиты информации.
2. Организация работы информационных систем персональных данных в
соответствии с нормативными требованиями по безопасности информации.
3. Обеспечение гарантированной надежности и сохранности персональных
данных.
Сроки реализации Программы:
Программные мероприятия реализуются в течение 2011 – 2013 годов.
Раздел 4. Перечень и описание программных мероприятий.
Организация обеспечения безопасности персональных данных при их
обработке в ИСПДн обеспечивается путем формирования совокупности
осуществляемых на всех стадиях жизненного цикла ИСПДн согласованных по
цели, задачам, месту и времени мероприятий, направленных на предотвращение
(нейтрализацию) и парирование угроз безопасности персональных данных в
ИСПДн, на восстановление нормального функционирования ИСПДн после
нейтрализации угроз, с целью минимизации ущерба от возможной реализации
таких угроз.
Обеспечение безопасности персональных данных при их обработке в
автоматизированных ИСПДн должно проводиться путем выполнения комплекса
организационных и технических мероприятий (применения технических средств),
в рамках системы (подсистемы) защиты персональных данных, развертываемой в
ИСПДн в процессе ее создания или модернизации.
Порядок организации обеспечения безопасности персональных данных в
ИСПДн предусматривает:
- оценку обстановки;
- обоснование требований по обеспечению безопасности персональных данных и
формулирование задач защиты персональных данных;
- разработку замысла обеспечения безопасности персональных данных;
- выбор целесообразных способов (мер и средств) защиты персональных данных в
соответствии с задачами и замыслом защиты;
- решение вопросов управления обеспечением безопасности персональных
данных в динамике изменения обстановки и контроля эффективности защиты;
- обеспечение реализации принятого замысла защиты;
- планирование мероприятий по защите персональных данных;
- организацию и проведение работ по созданию системы защиты персональных
данных (далее – СЗПДн) в рамках разработки (модернизации) ИСПДн, в том
числе с привлечением специализированных сторонних организаций к разработке
и развертыванию СЗПДн или ее элементов в ИСПДн, решение основных задач
взаимодействия, определение их задач и функций на различных стадиях создания
и эксплуатации ИСПДн;
- разработку документов, регламентирующих вопросы организации обеспечения
безопасности персональных данных и эксплуатации СЗПДн в ИСПДн;
- развертывание и ввод в опытную эксплуатацию СЗПДн в ИСПДн;
- доработку СЗПДн по результатам опытной эксплуатации.
Оценка обстановки основывается на результатах комплексного
обследования ИСПДн, в ходе которого, прежде всего, проводится изучение
персональных данных по содержанию, а также их категорирование по важности.
При оценке обстановки определяется необходимость обеспечения
безопасности персональных данных от угроз:
- уничтожения, хищения аппаратных средств ИСПДн, носителей информации
путем физического доступа к элементам ИСПДн;
- утечки по каналам побочных электромагнитных излучений и наводок
(ПЭМИН);
- перехвата при передаче по проводным (кабельным) линиям связи;
- несанкционированной модификации или блокирования информации за счет
несанкционированного доступа (далее – НСД) с применением программноаппаратных и программных средств (в том числе программно-математических
воздействий);
- непреднамеренных действий пользователей и нарушений безопасности
функционирования ИСПДн из-за сбоев аппаратной части и программного
обеспечения, а также от угроз стихийного характера (ударов молний, пожаров,
затопления и т.п.).
На основе вышеизложенного, формируется следующий подход к
построению системы защиты ПДн:
- проводится анализ структурного построения и принципов функционирования
объекта защиты, выделяются на основе анализа уязвимые элементы, которые
влияют на безопасность объекта;
- определяются и анализируются возможные угрозы выделенным элементам и
формируется перечень требований к системе защиты;
- на основе опыта создания систем защиты информации определяются наиболее
подходящие варианты набора средств и мер защиты, методами экспертных
оценок определяются показатели эффективности составленных вариантов;
- на основе технико-экономических оценок средств и мер защиты определяются
размеры материальных и трудовых ресурсов.
4.1. Перечень мероприятий (состав работ) по защите персональных данных.
Мероприятия по обеспечению безопасности персональных данных при их
обработке в информационных системах включают в себя:
а) определение угроз безопасности персональных данных при их обработке,
формирование на их основе модели угроз;
б) разработку на основе модели угроз системы защиты персональных данных,
обеспечивающей нейтрализацию предполагаемых угроз с использованием
методов и способов защиты персональных данных, предусмотренных для
соответствующего класса информационных систем;
в) проверку готовности средств защиты информации к использованию с
составлением заключений о возможности их эксплуатации;
г) установку и ввод в эксплуатацию средств защиты информации в соответствии с
эксплуатационной и технической документацией;
д) обучение лиц, использующих средства защиты информации, применяемые в
информационных системах, правилам работы с ними;
е) учет применяемых средств защиты информации, эксплуатационной и
технической документации к ним, носителей персональных данных;
ж) учет лиц, допущенных к работе с персональными данными в информационной
системе;
з) контроль за соблюдением условий использования средств защиты информации,
предусмотренных эксплуатационной и технической документацией;
и) разбирательство и составление заключений по фактам несоблюдения условий
хранения носителей персональных данных, использования средств защиты
информации, которые могут привести к нарушению конфиденциальности
персональных данных или другим нарушениям, приводящим к снижению уровня
защищенности персональных данных, разработку и принятие мер по
предотвращению возможных опасных последствий подобных нарушений;
На стадии проектирования и создания ИСПДн проводятся следующие
мероприятия:
- разработка задания и проекта на строительно-монтажные работы (или
реконструкцию) ИСПДн в соответствии с требованиями технического задания на
разработку СЗПДн;
- разработка раздела технического проекта на ИСПДн в части защиты
информации;
- строительно-монтажные работы в соответствии с проектной документацией;
- закупка серийно выпускаемых технических средств обработки, передачи и
хранения информации;
- разработка мероприятий по защите информации в соответствии с
предъявляемыми требованиями;
- установка сертифицированных технических, программных и программнотехнических средств защиты информации;
- сертификация по требованиям безопасности информации программных средств
защиты информации в случае, когда на рынке отсутствуют требуемые
сертифицированные средства защиты информации;
- разработка и реализация разрешительной системы доступа пользователей к
обрабатываемой в ИСПДн информации;
- определение подразделений и назначение лиц, ответственных за эксплуатацию
средств защиты информации с их обучением по направлению обеспечения
безопасности персональных данных;
- разработка эксплуатационной документации на ИСПДн и средства защиты
информации, а также организационно-распорядительной документации по защите
информации (приказов, инструкций и других документов).
На стадии ввода в действие ИСПДн осуществляются:
- выполнение генерации пакета прикладных программ в комплексе с
программными средствами защиты информации;
- опытная эксплуатация средств защиты информации в комплексе с другими
техническими и программными средствами в целях проверки их
работоспособности в составе ИСПДн и отработки персональных данных;
- приемо-сдаточные испытания средств защиты информации по результатам
опытной эксплуатации;
- оценка соответствия ИСПДн требованиям безопасности ПДн.
Работы по созданию системы защиты ПДн проводятся в три этапа:
1. Предпроектный этап, включающий определение перечня защищаемых
информационных ресурсов и технических средств, классификацию и
категорирование объектов информатизации, разработку технического задания на
создание СЗПДн.
2. Стадия разработки СЗПДн;
3. Стадия ввода в действие СЗПДН, включающая закупку, установку,
опытную эксплуатацию и приемосдаточные испытания средств защиты
информации, а также аттестацию ИСПДн на их соответствие установленным
требованиям.
На первом этапе проводятся следующие работы:
- в органах государственной власти (бюджетных учреждениях) автономного
округа назначаются должностные лица, ответственные за организацию и
проведение работ по созданию системы защиты информации, определяются
подразделения или отдельные специалисты, непосредственно участвующие в
проведении указанных работ;
- определяются мероприятия по обеспечению режима конфиденциальности на
стадии создания СЗПДн;
- проводится анализ циркуляции ПДн в структурных подразделениях ОГВ и БУ
автономного округа, по результатам которого определяются состав технических
средств и объектов информатизации, участвующих в обработке ПДн, условия их
расположения, степень конфиденциальности и режимы обработки.
- определяются требования по защите персональных данных от
несанкционированного доступа (далее – НСД) при их обработке в ИСПДн;
- на основе исходных данных, полученных в результате обследования объектов
информатизации, и предъявляемых к ним требованиям по защите информации от
НСД, определяется класс защищенности автоматизированных систем,
участвующих в обработке персональных данных;
- распоряжением (приказом) руководителя определяется контролируемая зона
(КЗ), в пределах которой исключено пребывание посторонних лиц, не имеющих
постоянного или разового пропуска, а также транспортных средств;
- проводится анализ возможных технических каналов утечки информации;
- проводится оценка возможностей средств технических разведок и других
источников угроз, которые опасны для ОГВ или БУ автономного округа, в том
числе со стороны преступных группировок, частных лиц, организаций и т.п.
Указанная оценка производится на основе расчетных формул и данных,
приведенных в нормативных документах ФСТЭК (Гостехкомиссии) России, и
реально складывающейся оперативной обстановки;
- составляется перечень предполагаемых к использованию сертифицированных
средств защиты информации;
- проводится оценка материальных, трудовых и финансовых затрат на разработку
и внедрение системы защиты информации;
- обосновывается необходимость привлечения специализированных предприятий
для создания СЗПДн;
- разрабатывается техническое задание (ТЗ) на создание СЗПДн, в котором
должны найти отражение следующие вопросы:
-- исходные данные о создаваемой системы или иного объекта информатизации в
техническом, программном, информационном и организационном аспектах;
-- классы информационных систем персональных данных (ИСПДн);
-- классы защищенности автоматизированных систем (АС) по требованиям
защиты от НСД;
-- конкретизация требований к СЗПДн на основе нормативных документов,
установленных классов защищенности ИСПДн;
-- перечень выходных документов по окончании создания СЗПДн;
-- состав, содержание и сроки проведения работ по этапам разработки и
внедрения СЗПДн.
На втором этапе:
- разрабатывается перечень организационных и технических мероприятий по
защите объектов информатизации в соответствии с предъявляемыми в ТЗ
требованиями, направленных на предотвращение утечки персональных данных за
пределы контролируемой зоны. Указанные мероприятия должны обеспечить
устранение или ослабление (искажение) демаскирующих признаков и закрытие
возможных технических каналов утечки ПДн;
- определяется состав серийно выпускаемых в защищенном исполнении
технических средств обработки, передачи и хранения информации;
- определяется состав технических средств, подвергаемых специальным
исследованиям и проверке;
- разрабатывается технические паспорта на объекты информатизации;
- разрабатываются инструкции по обеспечению безопасности информации на
этапе эксплуатации технических средств;
- разрабатывается план выполнения организационных
мероприятий по защите ИСПДн;
- разрабатывается проектная документация.
и
технических
Третий этап включает в себя проведение следующих видов работ:
- проведение специальных исследований не сертифицированных технических
средств и получение предписаний на их эксплуатацию;
- проведение (по решению руководителя) специальной проверки основных
технических средств импортного производства;
- закупка сертифицированных серийно выпускаемых технических и программных
средств защиты информации и их установка;
- монтаж и пуско-наладка технических средств, входящих в состав ИСПДн;
- разработка и реализация разрешительной системы доступа к средствам
вычислительной техники и автоматизированным системам, участвующим в
обработке персональных данных;
- разработка организационно-распорядительной и рабочей документации по
эксплуатации ИСПДн;
- опытная эксплуатация средств защиты информации в комплексе с другими
техническими и программными средствами в целях проверки их
работоспособности в составе объектов информатизации;
- проведение инструментального контроля эффективности средств защиты,
внедренных на объектах информатизации;
- приемо-сдаточные испытания СЗПДн по результатам ее опытной
эксплуатации;их,
- аттестация ИСНДн по требованиям защиты информации.
При положительных результатах аттестации:
- владельцу ИСПДн выдается «Аттестат соответствия» этого объекта
требованиям безопасности информации;
- распоряжением (приказом) по органу государственной власти (бюджетному
учреждению) автономного округа вводится разрешение на обработку
персональных данных на тех объектах информатизации, на которые получены
аттестаты соответствия.
Обучение кадров.
В целях организации и подержания требуемого уровня безопасности
персональных данных необходим высококвалифицированный персонал.
Качество решений по защите информации во многом определяется уровнем
подготовки специалистов в области информационной безопасности.
За последние годы вопрос подготовки необходимого количества
высококвалифицированных
специалистов
в
сфере
информационной
безопасности, как государственной проблемы, существенно обострился в связи с
расширением информатизации всех сторон деятельности общества и государства,
ростом спектра угроз безопасности информации, возрастанием тяжести
последствий их реализации.
Действующая система подготовки кадров в области информационной
безопасности на территории автономного округа носит несистемный характер
(скорее отсутствует вообще). Поэтому дальнейшее развитие форм и методов
подготовки специалистов по защите информации на основе внедрения новых
информационных технологий, развития учебно-методической и материальной
базы может рассматриваться как одно из важнейших направлений в комплексе
мер по развитию системы защиты персональных данных.
В 2011-2013 годах необходимо организовать обучение руководителей ОГВ
и БУ автономного округа, обслуживающего персонала, ответственного за защиту
информации, в том числе пользователей на рабочих местах работе со средствами
защиты информации (ознакомление с организационно-распорядительной
документацией на систему защиты информации).
Систематизируя изложенное, мероприятия по обеспечению безопасности
персональных данных формируются из 3 (трех) блоков:
I. Организация обеспечения безопасности персональных данных.
(организационный блок, включающий работы по предпроектным обследованиям,
аудиту, экспертизам ИСПДн и оценкам их защищенности, классификации
ИСПДн, выявлению и учету угроз безопасности ПД, разработке технических
заданий на создание системы защиты персональных данных, проектированию
ИСПДн, разработке нормативной и методической документации, а также
формированию структуры системы защиты ПДн и т.д.).
II. Техническая защита персональных данных.
(технико-внедренческий блок, включающий защиту технических каналов утечки
информации, защиту ПДн от несанкционированного доступа, закупку, монтаж и
пуско-наладку средств защиты, аттестацию ИСПДн согласно требованиям по
безопасности информации, внедрение систем контроля недекларированных
возможностей, регистрации и учета, обеспечения целостности, обнаружения
вторжений, криптографической и антивирусной защиты и т.д.).
III. Обучение кадров.
(образовательный блок, включающий организацию курсов подготовки и
переподготовки работников ОГВ и БУ автономного округа по вопросам защиты
ПДн, проведение обучающих семинаров, конференций и т.д.).
Раздел 5. Ожидаемые конечные, а также непосредственные результаты
реализации Программы.
В рамках исполнения Программы предполагается достигнуть следующих
результатов:
Количество информационных систем, защищенных согласно требованиям
по безопасности персональных данных – 357.
Количество государственных гражданских служащих и иных работников,
ответственных за защиту персональных данных, прошедших обучение – 575.
Предполагается, что в 2011 году доля органов государственной власти и
бюджетных учреждений автономного округа, обрабатывающих персональные
данные на защищенных информационных системах, составит 37%. В 2012 году
этот показатель будет стремиться к 75%, а в 2013 году должен равняться 100%
Основные целевые показатели приведены в таблице № 1.
Раздел 6. Оценка результативности и эффективности реализации
Программы.
Оценка хода исполнения мероприятий Программы основана на
мониторинге ожидаемых непосредственных и конечных результатов Программы
как сопоставление фактически достигнутых с целевыми показателями. В
соответствии с данными мониторинга по фактически достигнутым результатам
реализации в Программу могут быть внесены корректировки. В случае изменения
требований нормативных правовых актов, а также методик реализации
программных мероприятий в Программу могут быть внесены корректировки.
В процессе оценки результативности реализации мероприятий Программы
соотносятся количество органов власти и бюджетных учреждений автономного
округа,
обрабатывающих
персональные
данные
на
защищенных
информационных системах, к общему количеству данных организаций.
Эффективность Программы будет анализироваться в процессе комплексных
проверок состояния системы и организации работ по защите персональных
данных следующими федеральными органами государственной власти:
- ФСБ России;
- Федеральной службой по техническому и экспортному контролю;
- Федеральной службой по надзору в сфере связи, информационных
технологий и массовых коммуникаций (уполномоченный орган в области
контроля защиты персональных данных).
Раздел 7. Описание системы управления Программой и механизма ее
реализации.
Департамент управления делами Губернатора Ханты-Мансийского
автономного округа – Югры осуществляет контроль за выполнением Программы,
выступает заказчиком выполнения работ, предусмотренных по Программе.
Обеспечение реализации программных мероприятий осуществляет
Управление специальных мероприятий Аппарата Губернатора ХантыМансийского автономного округа – Югры, которое осуществляет
организационное, техническое и методическое сопровождение выполнения
программных мероприятий, а также разрабатывает меры по повышению
эффективности их реализации.
Отчеты о выполнении Программы представляются Департаментом
управления делами Губернатора автономного округа в Департамент
экономического развития автономного округа и Департамент финансов
автономного округа не позднее 1 февраля года, следующего за отчетным годом.
Распоряжениями
Департамента
управления
делами
Губернатора
автономного округа может назначаться комплексная экспертиза по анализу
полноты и качества выполняемых работ независимыми специализированными
организациями.
Ведомственная целевая программа реализуется в соответствии с
постановлением Правительства Ханты-Мансийского автономного округа – Югры
от 30 ноября 2007 года № 306-п «О целевых и ведомственных целевых
программах
Ханты-Мансийского
автономного
округа
Югры»,
законодательством Российской Федерации и автономного округа в области
обеспечения безопасности персональных данных на основе государственных
контрактов (договоров), заключаемых Департаментом управления делами
Губернатора автономного округа в соответствии с Федеральным законом от
21 июля 2005 года № 94-ФЗ «О размещении заказов на поставки товаров,
выполнение работ, оказание услуг для государственных и муниципальных нужд».
Управление специальных мероприятий Аппарата Губернатора автономного
округа осуществляет меры по полному и качественному выполнению
мероприятий ведомственной целевой программы, осуществляет контроль за
целевым расходованием выделяемых финансовых средств и эффективностью их
использования, а также представляет отчет о состоянии системы и организации
работ по защите персональных данных в Управление федеральной службы по
техническому и экспортному контролю по Уральскому федеральному округу.
Механизм реализации Программы включает разработку и принятие
нормативных правовых актов автономного округа, необходимых для выполнения
Программы, ежегодное уточнение перечня программных мероприятий на
очередной финансовый год и плановый период с уточнением затрат по
программным мероприятиям в соответствии с мониторингом фактически
достигнутых целевых показателей реализации Программы.
Раздел 8. Обоснование потребностей в необходимых ресурсах.
Объем средств на реализацию Программы устанавливается ежегодно
законом Ханты-Мансийского автономного округа – Югры о бюджете на
очередной финансовый год.
Финансовые затраты на реализацию мероприятий по организации
обеспечения безопасности ПДн (предпроектное обследование ИСПДн,
классификации информационных систем персональных данных, формирование
общих и специальных требований к СЗИ ИСПДн, проектирование СЗИ ИСПДн,
разработке проектов организационно-распорядительной документации на СЗИ
ИСПДн) составят 6 503 тыс. рублей.
Финансовые затраты на реализацию мероприятий по технической защите
ПДн (стоимость технико-внедренческого блока) составит 45 466 тыс. рублей.
Финансовые затраты на организацию обучения кадров составит 1 728 тыс.
рублей.
Общий объем финансовых средств за счет средств бюджета автономного
округа, необходимых для реализации мероприятий Программы на 3 (три) года
составит 53 697 тыс. рублей, в том числе по годам :
в 2011 году - 20 000 тыс. рублей;
в 2012 году - 20 000 тыс. рублей;
в 2013 году - 13 697 тыс. рублей.
Финансовые затраты на реализацию мероприятий представлены в
таблице № 2.
Таблица № 1
Ожидаемые конечные результаты, а также непосредственные результаты реализации Программы
N п/п
1
1.
1.1
1.2
2.
2.1.
Наименование показателей
результатов
2
Показатели непосредственных
результатов
Количество информационных
систем, защищенных согласно
требованиям по безопасности
персональных данных (шт.)
Количество государственных
гражданских служащих и иных
работников, ответственных за
защиту персональных данных,
прошедших обучение (чел.)
Показатели конечных
результатов
доля органов государственной
власти
и
бюджетных
учреждений, обрабатывающих
персональные
данные
на
защищенных информационных
системах (%)
Базовый показатель на
начало реализации
Программы
3
Значения показателя по годам
2011 г.
2012 г.
2013 г.
4
5
6
Целевое значение показателя
на момент окончания
действия Программы
7
0
132
132
93
357
0
402
115
58
575
0
37
75
100
100
Таблица № 2
Перечень мероприятий ведомственной целевой программы
«Обеспечение безопасности персональных данных на территории Ханты-Мансийского автономного округа – Югры
на 2011-2013 годы».
N
п/п
1.
2.
3.
Мероприятия Программы
Организация обеспечения
безопасности
персональных данных
Техническая защита
персональных данных
Подготовка кадров по
вопросам защиты
персональных данных
ИТОГО
Финансовые затраты на реализацию (тыс. рублей)
всего
в том числе:
2011 г.
2012 г.
2013 г.
6 503
4 552
1 300
651
Срок
выполнения
2011-2013
45 466
14 238
18 354
12 874
2011-2013
1 728
1 210
346
172
2011-2013
53 697
20 000
20 000
13 697