времени организационных и технических мероприятий, направленных на минимизацию ущерба от возможной реализации угроз безопасности ПДн.
Распространение персональных данных – действия,
направленные на передачу ПДн определенному кругу лиц (передача ПДн) или на ознакомление с ПДн неограниченного круга лиц, в том числе обнародование ПДн в средствах массовой информации, размещение в информационнотелекоммуникационных сетях или предоставление доступа к ПДн каким-либо иным способом.
Угрозы безопасности персональных данных –
совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение ПДн, а также иных несанкционированных действий при их обработке в ИСПДн.
Также введем и опишем роли сотрудников организации (ролевая модель).
Для создания ролевой модели проводится комплексное обследование бизнес-процессов компании и задействованных в них ИТ-ресурсов, формируется структура прав доступа пользователей к информационным ресурсам (структура ролей пользователей), выявляются требования к условиям назначения ролей, закладываются механизмы развития ролевой модели при изменении бизнес-требований.
Назначение пользователю той или иной роли, как правило, зависит от его должности и места работы в компании. Поскольку данные параметры сотрудника являются обязательными и регистрируются в системе учета кадров, всегда может быть определен минимальный набор прав доступа сотрудника к информационным системам, что согласно ролевой модели определяется как ролевой профиль пользователя.
29
Профили пользователей могут иметь различную степень детализации, при этом ролевая модель может распространяться на все информационные ресурсы или только на базовые сервисы (почта, доступ к файловым каталогам, доступ в интернет, основные бизнес-приложения и.т.д.). При этом пользователи или их руководители получают возможность запроса доступа к информационным ресурсам, не входящим в типовой профиль, что позволяет начать внедрение системы до завершения работ по созданию всеобъемлющей ролевой модели в компании.
Определения ролей
Администратор ресурса – работник блока информационных технологий осуществляющий конфигурацию, настройку и управление программными, техническими, программно-аппаратными средствами ИСПДн, в том числе средствами защиты ПДн;
Владелец ИСПДн – должностное лицо, которое устанавливает цель обработки определенной Группы ПДн, ее состав, объем и порядок обработки в подконтрольной ИСПДн с учетом законодательных и корпоративных требований, а также управляет рисками, связанными с обработкой данной Группы ПДн;
Владелец процесса обработки ПДн – должностное лицо, управляющее процессом и несущее ответственность за внедрение, регулярный контроль и анализ хода процесса, реализацию мероприятий по улучшению процесса, соблюдение требований по обработке и защите ПДн, а также результаты реализации процесса в подконтрольном процессе обработки ПДн;
Владелец ресурса обработки персональных данных
– работник или подразделение, распоряжающийся информационным ресурсом, в том числе определяющий порядок доступа и его использования;
Распорядитель ИСПДн – должностное лицо,
назначаемое владельцем ИСПДн, координирующее
30
взаимодействия между всеми участниками процесса обработки ПДн в подконтрольной ИСПДн.
Выделим следующие разделы для будущего документа:
1.Общие положения;
2.Организационная структура обеспечения безопасности ПДн;
3.Требования по обеспечению безопасности ПДн;
4.Организация обеспечения безопасности ПДн;
5.Ответственность за нарушение норм, регулирующих обработку персональных данных.
Ниже подробно рассмотрим содержание перечисленных разделов с представленными в примерами.
Общие положения
В соответствии с законодательными и нормативноправовыми актами Российской Федерации оператор ПДн обязан обеспечить конфиденциальность персональных данных и безопасность персональных данных при их обработке в информационных системах.
Конфиденциальность персональных данных достигается организацией обработки ПДн в соответствии с Политикой «Обработка персональных данных в организации», рассмотренной в практическом занятии № 2.
Безопасность ПДн достигается реализацией организационных и технических мер защиты ПДн в бумажном документообороте и в информационных системах персональных данных (ИСПДн) от несанкционированного, в том числе случайного, доступа к ПДн, результатом которого может стать несанкционированное уничтожение, изменение, блокирование, копирование, распространение ПДн:
– обеспечение безопасности ПДн в бумажном документообороте достигается установлением режима безопасности информации для процессов
31
обработки ПДн и организацией документооборота
в подразделениях организации;
–обеспечение безопасности ПДн при их обработке в ИСПДн достигается установлением режима безопасности информации для процессов обработки ПДн, созданием системы защиты персональных данных (СЗПДн) в ИСПДн и выполнением комплекса сопутствующих организационно-технических мероприятий, с учетом особенностей защиты ПДн установленных требованиями подзаконных нормативно-правовых актов ФСТЭК и ФСБ России по технической и криптографической защите ПДн.
Работы по обеспечению безопасности ПДн в организации реализуются на всех этапах жизненного цикла ИСПДн и делопроизводства с материальными носителями информации.
Политика направлена на решение следующих задач:
–формирование и проведение единой политики в области обеспечения безопасности ПДн;
–координация деятельности структурных подразделений организации при проведении работ по созданию, развитию и эксплуатации ИСПДн с соблюдением требований по обеспечению безопасности ПДн;
–принятие управленческих решений и разработка практических мер по реализации согласованных мер организационно-технического характера, направленных на выявление, отражение и уменьшение вероятности реализации угроз безопасности ПДн.
32
Организационная структура обеспечения безопасности ПДн
В мероприятиях по защите ПДн участвуют следующие структурные подразделения и категории сотрудников:
–Комитет по информационной безопасности (ИБ);
–Владельцы ИСПДн;
–Распорядители ИСПДн;
–Владельцы процессов обработки ПДн;
–Владельцы ресурсов обработки ПДн;
–Пользователи ИСПДн;
–Администраторы автоматизированных ресурсов обработки ПДн;
–Отдел по работе с персоналом;
–Отдел информационной безопасности и технической защиты информации.
Комитет по ИБ выполняет функции утверждения перечней объектов защиты ПДн («Перечня ПДн,
обрабатываемых в ОАО», «Перечня процессов обработки ПДн», «Перечня ресурсов автоматизированной обработки ПДн» и т.п.), владельцев ИСПДн, процессов и ресурсов обработки ПДн.
Владельцы ИСПДн утверждают требования к уровню защиты ПДн, а также согласуют решения по созданию или модернизации подсистемы защиты ПДн.
Распорядители ИСПДн готовят проекты решений для владельцев ИСПДн по защите ПДн.
Владельцы процессов обработки ПДн согласуют с владельцами ресурсов обработки ПДн и владельцами ИСПДн создание или изменение процессов обработки ПДн в части соблюдения требований по защите ПДн при их обработке в ИСПДн.
Владельцы ресурсов обработки ПДн обеспечивают эксплуатацию подсистем защиты ПДн в подконтрольных ресурсах обработки ПДн.
33