– проверки пользователей ИСПДн при приеме на работу и первоначальном допуске к ПДн, в том числе:
изучение личного дела сотрудника;проверка правильности данных указанных в
документах, предоставляемых работником при приеме на работу;
– проверки администраторов ресурсов при назначении на соответствующую должность, в том числе:
изучение личного дела сотрудника;
проверка правильности данных указанных в документах, предоставляемых работником при приеме на работу;
получение (проверка) отзывов о работе данного сотрудника на предыдущих местах работы;
проверка личных и профессиональных характеристик посредством общения с руководителями с прошлых мест работы (по возможности);
тестирование квалификации работника, с использованием тестов;
периодический мониторинг действий пользователей и администраторов ресурсов (для администраторов ресурсов не реже 1 раза в год).
Факт и результаты проведения проверки администраторов ресурса должны документироваться. Наличие отрицательных результатов по каким-либо проведенным проверкам должны являться основанием для отстранения от выполнения функций администратора ресурса.
Обучение персонала, участвующего в обработке
ПДн
Должно проводиться обучение всех сотрудников организации, участвующих в процессе обработки ПДн, требованиям обеспечения безопасности ПДн персонала.
39
Контроль прохождения обучения, отправка работников на обучение осуществляется руководителями структурных подразделений участвующих в процессах обработки и защиты ПДн.
Обоснование выбора требований по безопасности ИСПДн
Выбор и реализация методов и способов защиты информации в ИСПДн осуществляются на основе определяемых угроз безопасности ПДн (модели угроз) и в зависимости от класса ИСПДн.
Реализация механизмов обеспечения безопасности ПДн в ИСПДн
Основным механизмом обеспечения безопасности ПДн в ИСПДн является защита ПДн от несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных.
Мероприятия по защите от несанкционированного физического доступа к компонентам ИСПДн включают:
–мероприятия по защите от несанкционированного физического доступа на территорию, на которой находятся компоненты ИСПДн;
–мероприятия по защите от несанкционированного физического доступа в помещения с компонентами ИСПДн;
–мероприятия по защите от несанкционированного физического доступа в спецпомещения;
–мероприятия по защите от несанкционированного физического доступа к кабельным коммуникациям, участвующим в процессах обработки ПДн;
–мероприятия по защите от несанкционированного физического доступа к компонентам ИСПДн;
–мероприятия по защите от несанкционированного физического доступа к носителям ПДн;
–мероприятия по контролю перемещений физических компонентов ИСПДн.
40
Реагирование на инциденты информационной безопасности ПДн
Для эффективного реагирования на инциденты, возникающие при обработке ПДн в организации, должны быть регламентированы следующие вопросы:
–порядок определения нештатной ситуации;
–порядок оповещения работников при возникновении различных нештатных ситуаций;
–порядок действий по нейтрализации нештатных ситуаций, сведения их негативных последствий к минимуму.
Ворганизации должны проводиться расследования инцидентов связанных с несанкционированным доступом и другими несанкционированными действиями.
Врамках данного процесса должны решаться следующие задачи:
– расследование инцидентов, связанных с безопасностью ПДн;
– ликвидация последствий инцидентов, связанных с безопасностью ПДн;
– принятие мер по недопущению возникновения подобных инцидентов в дальнейшем.
Оценка (аудит) соответствия процесса обеспечения безопасности ПДн требованиям нормативных документов
Для обеспечения эффективности процесса защиты ПДн проводится:
–контроль за соблюдением требований по обработке и обеспечению безопасности персональных данных;
–контроль за соблюдением условий использования средств защиты ПДн, предусмотренных эксплуатационной и технической документацией;
–контроль эффективности средств защиты ПДн.
41
Для контроля эффективности СЗПДн должны использоваться средства анализа защищенности.
При проведении контроля эффективности в общем случае должно проверяться:
–наличие установленных средств защиты информации;
–корректность настроек средств защиты информации;
–выполнение пользователями ИСПДн и администраторами ресурсов требований корпоративных нормативных документов по защите ПДн;
–соответствие системы защиты ПДн требованиям, предъявляемым к ней.
Выявленные несоответствия процессов защиты ПДн обязательны к устранению.
Совершенствование процесса обеспечения безопасности ПДн
Исходными данными указанного процесса является следующая информация:
–об изменениях ИСПДн;
–об изменениях процессов обработки ПДн;
–об инцидентах ИБ, связанных с обработкой ПДн;
–результаты проведения аудитов информационной безопасности;
–изменения законодательных и нормативно-правовых актов РФ.
Каждое определенное выше изменение должно анализироваться на предмет их влияния на процесс обеспечения безопасности ПДн. При необходимости должна производиться модернизация СЗПДн и предприниматься другие необходимые организационно-технические меры.
42
Контрольные вопросы
1.Опишите особенности следующих структурных подразделений и категорий сотрудников: Комитет по ИБ; Владельцы ИСПДн; Распорядители ИСПДн; Владельцы процессов обработки ПДн; Владельцы ресурсов обработки ПДн; Пользователи ИСПДн; Администраторы автоматизированных ресурсов обработки ПДн.
2.Продумайте и опишите правила расследования инцидентов, связанных с несанкционированным доступом и другими несанкционированными действиями, возникшими в ходе процесса обеспечения безопасности ПДн.
3.Как Вы понимаете понятие «аудит информационной безопасности»? В чем заключается его необходимость?
4.Как Вы считаете, на сколько значимые результаты несет периодический мониторинг действий пользователей и администраторов ресурсов? Как организовать подобную проверку, чтобы она носила результативный, а не формальный характер?
43