Материал: Методические указания к практическим занятиям по дисциплине «Основы информационной безопасности» для студентов специальностей. Чопоров О.Н., Корнеева Н.Н

Пользователи ИСПДн выполняют требования по использованию средств защиты ПДн при обработке ПДн, которые предусмотрены для использования на автоматизированных рабочих местах пользователей.

Администраторы автоматизированных ресурсов обработки ПДн обеспечивают правильное использование средств и подсистем защиты ПДн для защиты ПДн в подконтрольных ИСПДн по указанию владельцев ресурсов обработки ПДн.

Отдел по работе с персоналом отвечает за: организацию обучения работников по вопросам обеспечения безопасности ПДн; организацию переподготовки работников подразделений безопасности и администраторов ресурсов обработки ПДн по вопросам защиты ПДн.

Отдел информационной безопасности и технической защиты информации отвечает за:

–организацию режима безопасности информации, в том числе ПДн, в процессах обработки ПДн;

–актуализацию лицензий ФСТЭК и ФСБ России по технической и криптографической защите информации;

–развертывание и эксплуатацию подсистем и средств защиты ПДн;

–контроль выполнения требований по защите ПДн и мониторинг безопасности;

–аудит безопасности и оценку защищенности ПДн, подготовку заключений о состоянии защиты ПДн.

Требования по обеспечению безопасности ПДн

Методы и способы защиты информации в ИСПДн устанавливаются Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в пределах их полномочий.

Мероприятия по защите ПДн при их обработке в ИСПДн от несанкционированного доступа и неправомерных действий определяются в соответствующих технических

34

проектах, внутренней технической документации на ИСПДн

идолжны включать в себя:

–управление доступом;

–регистрацию и учет;

–обеспечение целостности;

–антивирусную защиту;

–криптографическую защиту;

–анализ защищенности;

–обнаружение вторжений;

–контроль межсетевого взаимодействия;

–управление безопасностью процессов обработки информации.

Организация обеспечения безопасности ПДн

Работы по обеспечению безопасности ПДн при их обработке в ИСПДн реализуются в рамках единой политики обеспечения информационной безопасности на основе процессного подхода. В интересах данного подхода в организации реализуются следующие процессы по обеспечению безопасности ПДн:

–инвентаризация ресурсов автоматизированной обработки ПДн, используемых в ИСПДн;

–документирование сведений об ИСПДн;

–классификация ИСПДн;

–анализ рисков безопасности ПДн в ИСПДн (разработка модели угроз и модели нарушителя безопасности ПДн);

–оценка возможности оптимизации ИСПДн;

–реализация мероприятий по обеспечению безопасности ПДн:

–допуск персонала к обработке ПДн;

–обучение персонала, участвующего в обеспечении безопасности ПДн;

–обоснование выбора требований по безопасности ПДн в ИСПДн;

35

–реализация механизмов обеспечения безопасности ПДн в ИСПДн;

–реагирование на инциденты безопасности ПДн;

–оценка (аудит) соответствия процесса обеспечения безопасности ПДн требованиям нормативных документиов

(НД);

–совершенствование процесса обеспечения безопасности ПДн.

Инвентаризация и классификация ИСПДн

Классификация ИСПДн проводятся в соответствии с «Порядком проведения классификации информационных систем персональных данных» (утвержденным приказом ФСТЭК России от 13 февраля 2008 года №55, ФСБ России №86 и Министерства информационных технологий и связи №20 и моделью угроз безопасности ПДн в ИСПДн ОАО «»).

Результатом классификации ИСПДн является акт классификации.

Оценка необходимости пересмотра класса ИСПДн должна осуществляться каждый раз, когда изменились характеристики, учитываемые при классификации ИСПДн.

Анализ рисков безопасности ПДн в ИСПДн

Методической базой для разработки Модели угроз и нарушителя безопасности ПДн является [4, 5, 6].

Результатом разработки Модели угроз и нарушителя безопасности ПДн должно являться:

–перечень актуальных угроз;

–вывод о классе специальной ИСПДн;

–вывод о типе нарушителя безопасности ПДн, существующем в ИСПДн и требуемом классе средств

криптографической защиты информации.

Модель угроз и нарушителя безопасности ПДн должна содержать:

– описание структуры и состава ИСПДн (состав обрабатываемых ПДн, состав технических средств и

36

программного обеспечения, существующие процессы обработки ПДн, схему организации связи и т.п.);

–обоснование характеристик безопасности ПДн (конфиденциальность, целостность, доступность и т.п.), нарушение которых ведет к ущербу для субъектов ПДн;

–модель угроз (перечень угроз, оценку вероятностей угроз, показатели опасности угроз для ИСПДн, оценки возможностей реализации угроз, выводы об актуальности угроз);

–модель нарушителя (объекты атак, возможные типы нарушителей, предположения о возможностях нарушителей, предположения об ограничениях на эти возможности, предположения о каналах атак и средствах атак, выводы о типе нарушителя).

Модель угроз и нарушителя безопасности ПДн должна пересматриваться каждый раз, когда изменяются характеристики, влияющие на актуальность угроз, класс ИСПДн, тип нарушителя.

Оценка возможности оптимизации ресурсов и ИСПДн

Данный процесс организуется в целях снижения правоприменительных рисков вероятности реализации инцидентов безопасности с ПДн за счет снижения числа и типов обрабатываемых ПДн, процессов и ресурсов обработки ПДн, внешних и внутренних лиц, допущенных к обработке ПДн. Критериями оптимизации являются снижение рисков предъявления претензий регуляторами, повышение безопасности ПДн и снижение затрат на обеспечение безопасности ПДн.

При проведении оптимизации должна оцениваться возможность:

–исключения обработки ПДн, не имеющих законодательных целей обработки;

–снижения количества и категорий пользователей ИСПДн;

37

–снижения числа потоков ПДн передаваемых внешним физическим и юридическим лицам;

–снижения категории, объемов и сроков хранения обрабатываемых ПДн;

–обезличивания ПДн;

–придания ПДн статуса общедоступных;

–изменения процесса обработки ПДн в целях повышения безопасности ПДн;

–оптимизации структуры и состава технических и программных средств ИСПДн, технологических процессов обработки ПДн по критерию безопасности ПДн.

Оптимизация в общем случае позволяет снизить класс защиты ИСПДн и уровень требований по безопасности ПДн, а также вероятность нарушения безопасности ПДн.

Результаты оценки оформляются в виде соответствующего отчета, включающего, как минимум:

–варианты оптимизации;

–технический анализ вариантов оптимизации;

–стоимостной анализ вариантов оптимизации;

–выводы об оптимальном варианте оптимизации.

Доступ персонала к обработке ПДн

Доступ к ПДн предоставляется только лицам,

указанным в «Перечнях лиц, допущенных к обработке персональных данных» (далее Перечень лиц).

Перечни лиц составляются и ведутся руководителями структурных подразделений, на основании данных о лицах, допущенных к обработке ПДн.

Доступ лиц к конкретным ПДн осуществляется на основании соответствующих заявок.

В организации должен проводиться комплекс мероприятий, направленных на исключение присутствия злоумышленников среди Администраторов ресурсов, а также возможность сговора двух и более злоумышленников.

Комплекс мероприятий может включать, в том числе:

38