Классификация информационных систем персональных данных

На основании  полученных данных каждой ИСПДн должен быть присвоен класс. Правильно классифицировать информационную систему персональных данных (ИСПДн) необходимо для того, чтобы определить минимальные необходимые  меры защиты. Классификация ИСПДн  проводится в соответствии с совместным приказом ФСТЭК №55, ФСБ №86, Минсвязи №20 от 13 февраля 2008 г. «Об утверждении порядка проведения классификации информационных систем персональных данных».

В акте указывается:

• Категория обрабатываемых в системе персональных данных;
• Объем обрабатываемых персональных данных;
• Тип ИСПДн;
• Структура информационной системы;
• Наличие подключений к сетям связи общего пользования и (или) сетям международного информационного обмена;
• Режим обработки персональных данных в системе;
• Разграничение прав доступа пользователей;
• Местонахождение ИСПДн;
• Класс ИСПДн.

Категории обрабатываемых в системе ПДн:

• категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;
• категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;
• категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных;
• категория 4 - обезличенные и (или) общедоступные персональные данные. Персональные данные 4 категории, как правило, представляют собой статистические данные. Защищать их нет никакой необходимости.

Довольно  редко встречаются системы, в  которых обрабатываются персональные данные 3 категории. Это связано с  тем, что для реальных задач нужны  не только данные идентифицирующие субъекта (ФИО, паспортные данные), но и дополнительная информация о нем (например, сведения о зарплате).

Наиболее  часто встречаются информационные системы, в которых обрабатываются персональные данные 2 категории. Например, системы расчета заработной платы  сотрудников.

Персональные  данные 1 категории, как правило, встречаются  в учреждениях здравоохранения.

Объем, обрабатываемых ПДн определяет количество субъектов, персональные данные которых обрабатываются в системе. Применяется следующая  градация:

• до 1000 (коэффициент ХНПД=3)
• от 1000 до 100 000 (коэффициент ХНПД=2)
• свыше 100 000 (коэффициент ХНПД=1)

Класс информационной системы персональных данных определяется на основании категории и объема.

По типу информационные системы персональных данных делятся на типовые и специальные. Типовые ИСПДн – информационные системы, в которых требуется  обеспечить только конфиденциальность ПДн. Специальные ИСПДн – информационные системы, в которых кроме конфиденциальности необходимо обеспечить еще хотя бы одну характеристику безопасности персональных данных (целостность, доступность)

Кроме того к специальным системам относятся  все ИСПДн, обрабатывающие данные о  здоровье субъектов и ИСПДн, в  которых предусмотрено принятие решений порождающих для субъекта юридические последствия на основании  автоматизированной обработки.

Большинство существующих ИСПДн - специальные. Это  связано с тем, что кроме конфиденциальности также важно, чтобы ПДн были всегда доступны для обработки, целостны и  достоверны. Для всех специальных  систем необходимо разработать «Частную модель актуальных угроз».

По структуре  информационные системы делятся  на:

• Автономные. Представляет собой одно автоматизированное рабочее место (компьютер)
• Локальные. Автоматизированные рабочие места (АРМ), объединенные в локальную сетью
• Распределенные. Автоматизированные рабочие места или локальные сети, связанные между собой при помощи технологий удаленного доступа.

Для удешевления  стоимости средств защиты информации рекомендуем преобразовать существующие в организации распределенные системы  в локальные, либо автономные.

По режиму обработки персональных данных в  системе ИСПДн делятся на однопользовательские и многопользовательские. Однопользовательские системы – большая редкость. Как  правило, даже за одним автономным рабочим  местом работают минимум два человека (на случай отпусков и болезней)

Многопользовательские ИСПДн делятся на:

• Без разграничения прав доступа. В таких системах все пользователи имеют доступ ко всей информации;
• С разграничением прав доступа. Каждый пользователь имеет доступ к строго определенной части информации в системе.

По месту  нахождения ИСПДн делятся на:

• Системы, которые полностью находятся в пределах РФ;
• Системы которые частично или целиком находятся за пределами РФ.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Общий порядок организации обеспечения  безопасности персональных данных в  информационных системах персональных данных

Под организацией обеспечения безопасности ПДн при  их обработке в ИСПДн понимается формирование совокупности мероприятий, осуществляемых на всех стадиях жизненного цикла ИСПДн, согласованных по цели, задачам, месту и времени, направленных на предотвращение (нейтрализацию) и парирование угроз безопасности ПДн в ИСПДн, на восстановление нормального функционирования ИСПДн после нейтрализации угрозы, с целью минимизации как непосредственного, так и опосредованного ущерба от возможной реализации таких угроз. Обеспечение безопасности ПДн при их обработке в автоматизированных ИСПДн должно проводиться путем выполнения комплекса организационных и технических мероприятий (применения технических средств) в рамках системы (подсистемы) защиты персональных данных, развертываемой в ИСПДн в процессе ее создания или модернизации.

Порядок организации обеспечения безопасности ПДн в ИСПДн должен предусматривать:

оценку  обстановки;

обоснование требований по обеспечению безопасности ПДн  
и формулирование задач защиты ПДн;

разработку  замысла обеспечения безопасности ПДн;

выбор целесообразных способов (мер и средств) защиты ПДн  
в соответствии с задачами и замыслом защиты;

решение вопросов управления обеспечением безопасности ПДн  
в динамике изменения обстановки и контроля эффективности защиты;

обеспечение реализации принятого замысла защиты;

планирование  мероприятий по защите ПДн;

организацию и проведение работ по созданию системы защиты персональных данных (СЗПДн) в рамках разработки (модернизации) ИСПДн,  
в том числе с привлечением специализированных сторонних организаций к разработке и развертыванию СЗПДн или ее элементов в ИСПДн, а также решение основных задач взаимодействия, определение их задач и функций на различных стадиях создания и эксплуатации ИСПДн;

разработку  документов, регламентирующих вопросы  организации обеспечения безопасности ПДн и эксплуатации СЗПДн в  ИСПДн;

развертывание и ввод в опытную эксплуатацию СЗПДн в ИСПДн;

доработку СЗПДн по результатам опытной  эксплуатации.

Оценка обстановки является этапом, во многом определяющим эффективность решения задач обеспечения безопасности ПДн. Она основывается на результатах комплексного обследования ИСПДн, в ходе которого, прежде всего, проводится определение защищаемой информации и ее категорирование по важности.

При оценке обстановки определяется необходимость обеспечения безопасности ПДн от угроз:

 

уничтожения, хищения аппаратных средств  ИСПДн, и (или) носителей информации путем физического доступа к элементам ИСПДн;

утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН);

перехвата информации при передаче по проводным (кабельным) линиям связи;

хищения, несанкционированной модификации  или блокирования информации за счет несанкционированного доступа (НСД) с  применением программно-аппаратных и программных средств (в том  числе программно-математических воздействий);

воспрепятствования функционированию ИСПДн путем преднамеренного  электромагнитного воздействия  на ее элементы;

непреднамеренных действий пользователей  и нарушений безопасности функционирования ИСПДн и СЗПДн в ее составе  из-за сбоев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера.

При оценке обстановки должна учитываться степень  ущерба, который может быть причинен в случае неправомерного использования  соответствующих ПДн.

Обоснование требований по обеспечению безопасности ПДн, обрабатываемых в ИСПДн, проводится в соответствии с нормативными и  методическими документами уполномоченных федеральных органов исполнительной власти, обязательными к применению стандартами и на основании «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных». При этом выявление и оценка актуальности угроз безопасности персональных данных при их обработке в ИСПДн осуществляется с использованием «Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных» и «Методики определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных».

Разработка  замысла обеспечения безопасности ПДн является важным этапом организации  обеспечения безопасности ПДн, в  ходе которого осуществляется выбор  основных способов защиты ПДн.

При выборе способов обеспечения безопасности ПДн, обрабатываемых в ИСПДн, необходимо определить организационные меры и технические (аппаратные, программные и программно-аппаратные) средства защиты. При выборе технических средств защиты следует использовать сертифицированные средства защиты информации.

Решение вопросов управления обеспечением безопасности ПДн в динамике изменения  обстановки и контроля эффективности  защиты является важным аспектом поддержания  требуемого уровня безопасности ПДн.

К основным вопросам управления относятся:

распределение функций управления доступом к данным и их обработкой между должностными лицами;

определение порядка изменения  правил доступа к защищаемой информации;

определение порядка изменения  правил доступа к резервируемым  информационным и аппаратным ресурсам;

определение порядка действий должностных  лиц в случае возникновения нештатных  ситуаций;

определение порядка проведения контрольных  мероприятий и действий по его  результатам.

Контроль заключается в проверке выполнения требований нормативных  документов по защите информации, а  также в оценке обоснованности и  эффективности принятых мер. Он может  проводиться оператором или на договорной основе сторонними организациями, имеющими лицензии на деятельность по технической  защите конфиденциальной информации.

Решение основных вопросов обеспечения  защиты ПДн должно предусматривать  подготовку кадров, выделение необходимых  финансовых и материальных средств, закупку и разработку программного и аппаратного обеспечения.

При подготовке документации по вопросам обеспечения  безопасности ПДн при их обработке  в ИСПДн и эксплуатации СЗПДн  в обязательном порядке разрабатываются:

положение по организации и проведению работ  по обеспечению безопасности ПДн  при их обработке в ИСПДн;

требования  по обеспечению безопасности ПДн  при обработке в ИСПДн;

должностные инструкции персоналу ИСПДн в  части обеспечения безопасности ПДн при их обработке в ИСПДн;

рекомендации (инструкции) по использованию программных  и аппаратных средств защиты информации.

Испытания СЗПДн проводятся в процессе развертывания и ввода в опытную эксплуатацию ИСПДн в соответствии с частным техническим заданием. Заключение по результатам испытаний должно содержать вывод о степени соответствия СЗПДн заданным требованиям по обеспечению безопасности ПДн.