Обеспечение информационной безопасности в автоматизированной системе учета населения города Нижнего Новгорода 8-ая межрегиональная научно-практическая конференция «Новые информационные технологии – инструмент повышения эффективности управления» г.Нижний Новгород 2009г. Корюкалов Алексей Викторович начальник отдела эксплуатации защищенных систем Нижегородского филиала ФГУП «Научно-технический центр «Атлас»

О ПРЕДПРИЯТИИ ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ УНИТАРНОЕ ПРЕДПРИЯТИЕ «НАУЧНО-ТЕХНИЧЕСКИЙ ЦЕНТР «АТЛАС» Филиал создан в 1996 году Филиал создан в 1996 году Богатые интеллектуальные ресурсы Богатые интеллектуальные ресурсы Лицензиат ФСБ, ФСТЭК, Россвязьнадзора Лицензиат ФСБ, ФСТЭК, Россвязьнадзора Системная интеграция в сфере IT Системная интеграция в сфере IT Комплексная защита информации Комплексная защита информации Аттестация объектов информатизации Аттестация объектов информатизации Удостоверяющий центр Удостоверяющий центр Электронная цифровая подпись Электронная цифровая подпись Технологии защищенного электронного документооборота Технологии защищенного электронного документооборота Проектирование, строительство, эксплуатация сетей связи Проектирование, строительство, эксплуатация сетей связи Телекоммуникации, доступ к сетям, Интернет Телекоммуникации, доступ к сетям, Интернет НИЖЕГОРОДСКИЙ ФИЛИАЛ

Основные функции системы учета населения г. Н. Новгорода Сбор, контроль и корректировка информации о проживающем на территории города населении Сбор, контроль и корректировка информации о проживающем на территории города населении Автоматизация деятельности органов местного самоуправления, связанной с учетом населения Автоматизация деятельности органов местного самоуправления, связанной с учетом населения Повышение уровня информационно- аналитического обеспечения подготовки управленческих решений за счет автоматизированного формирования различных аналитических отчетов на основе базы данных населения города Повышение уровня информационно- аналитического обеспечения подготовки управленческих решений за счет автоматизированного формирования различных аналитических отчетов на основе базы данных населения города Автоматизация работы пунктов паспортного учета граждан Автоматизация работы пунктов паспортного учета граждан Обеспечение электронного взаимодействия с государственными органами (ГАС «Выборы», ЗАГС, УФМС) Обеспечение электронного взаимодействия с государственными органами (ГАС «Выборы», ЗАГС, УФМС)

АДМИНИСТРАЦИИ РАЙОНОВ г. Н. Новгорода Локальная сеть администраци и района Архитектура системы учета населения г. Нижнего Новгорода Интернет АДМИНИСТРАЦИЯ г. Н. Новгорода Локальная сеть администрации города Нижнего Новгорода АДМИНИСТРАЦИИ РАЙОНОВ г. Н. Новгорода Локальная сеть администраци и района АДМИНИСТРАЦИИ РАЙОНОВ г. Н. Новгорода Локальная сеть администраци и района ЖИЛИЩНО- ЭКСПЛУАТАЦИОННАЯ ОРГАНИЗАЦИЯ (ЖЭО) Локальная сеть ЖЭО

Безопасность информационных потоков Интернет АДМИНИСТРАЦИЯ г. Н. Новгорода ЛВС АДМИНИСТРАЦИЯ РАЙОНА г. Н. Новгорода ЛВС ОСНОВНОЙ И РЕЗЕРВНЫЙ СЕРВЕРЫ БАЗ ДАННЫХ СЕРВЕР ПРИЛОЖЕНИЙ ЦЕНТР УПРАВЛЕНИЯ Застава-Сервер Крипто Про CSP Aladdin eToken Застава-Управление Крипто Про CSP Aladdin eToken ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken УДОСТОВЕРЯЮЩИЙ ЦЕНТР НФ ФГУП «НТЦ «Атлас» Архитектура системы обеспечения безопасности информации

Интернет Документооборот ЖЭО АДМИНИСТРАЦИЯ г. Н. Новгорода ЛВС АДМИНИСТРАЦИЯ РАЙОНА г. Н. Новгорода ЛВС ЖИЛИЩНО- ЭКСПЛУАТАЦИОННАЯ ОРГАНИЗАЦИЯ (ЖЭО) Локальная сеть ЖЭО ОСНОВНОЙ И РЕЗЕРВНЫЙ СЕРВЕРЫ БАЗ ДАННЫХ СЕРВЕР ПРИЛОЖЕНИЙ ЦЕНТР УПРАВЛЕНИЯ Застава-Сервер Крипто Про CSP Aladdin eToken Застава-Управление Крипто Про CSP Aladdin eToken ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken ПАСПОРТИСТ ЖЭО Крипто АРМ Крипто Про CSP Aladdin eToken УДОСТОВЕРЯЮЩИЙ ЦЕНТР НФ ФГУП «НТЦ «Атлас» Архитектура системы обеспечения безопасности информации

Интернет Управление доступом пользователей АДМИНИСТРАЦИЯ г. Н. Новгорода ЛВС АДМИНИСТРАЦИЯ РАЙОНА г. Н. Новгорода ЛВС ЖИЛИЩНО- ЭКСПЛУАТАЦИОННАЯ ОРГАНИЗАЦИЯ (ЖЭО) Локальная сеть ЖЭО ОСНОВНОЙ И РЕЗЕРВНЫЙ СЕРВЕРЫ БАЗ ДАННЫХ СЕРВЕР ПРИЛОЖЕНИЙ ЦЕНТР УПРАВЛЕНИЯ Застава-Сервер Крипто Про CSP Aladdin eToken Застава-Управление Крипто Про CSP Aladdin eToken ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken ПАСПОРТИСТ ЖЭО Крипто АРМ Крипто Про CSP Aladdin eToken УДОСТОВЕРЯЮЩИЙ ЦЕНТР НФ ФГУП «НТЦ «Атлас» Централизованное управления доступом ПАК СЗИ НСД рабочей станции ПАК СЗИ НСД сервера ПАК СЗИ НСД рабочей станции Архитектура системы обеспечения безопасности информации

Интернет Антивирусная защита АДМИНИСТРАЦИЯ г. Н. Новгорода ЛВС АДМИНИСТРАЦИЯ РАЙОНА г. Н. Новгорода ЛВС ЖИЛИЩНО- ЭКСПЛУАТАЦИОННАЯ ОРГАНИЗАЦИЯ (ЖЭО) Локальная сеть ЖЭО ОСНОВНОЙ И РЕЗЕРВНЫЙ СЕРВЕРЫ БАЗ ДАННЫХ СЕРВЕР ПРИЛОЖЕНИЙ ЦЕНТР УПРАВЛЕНИЯ Застава-Сервер Крипто Про CSP Aladdin eToken Застава-Управление Крипто Про CSP Aladdin eToken Управление подсистемой управления доступом ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken ПОЛЬЗОВАТЕЛИ СПУН Застава-Клиент Крипто Про CSP Aladdin eToken ПАСПОРТИСТ ЖЭО Крипто АРМ Крипто Про CSP Aladdin eToken УДОСТОВЕРЯЮЩИЙ ЦЕНТР НФ ФГУП «НТЦ «Атлас» Управление антивирусной защитой Антивирусные агенты Архитектура системы обеспечения безопасности информации

Документы, регламентирующие вопросы обеспечения безопасности персональных данных при обработке в информационных системах Федеральный закон от 27 июля 2006 г. 152-ФЗ «О персональных данных»; Федеральный закон от 27 июля 2006 г. 152-ФЗ «О персональных данных»; Указ Президента Российской Федерации от 06 марта 1997 г. 188 «Об утверждении перечня сведений конфиденциального характера»; Указ Президента Российской Федерации от 06 марта 1997 г. 188 «Об утверждении перечня сведений конфиденциального характера»; Постановление Правительства Российской Федерации от 17 ноября 2007г. 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»; Постановление Правительства Российской Федерации от 17 ноября 2007г. 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»; Приказ ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»; Приказ ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»; Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 15 февраля 2008 г.); Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 15 февраля 2008 г.); Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 15 февраля 2008 г.); Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 15 февраля 2008 г.);

Документы, регламентирующие вопросы обеспечения безопасности персональных данных при обработке в информационных системах Методика определения актуальных угроз безопасности персональных данных при их обработке и информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 14 февраля 2008г.); Методика определения актуальных угроз безопасности персональных данных при их обработке и информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 14 февраля 2008г.); Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 15 февраля 2008 г.); Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (утвержден заместителем директора ФСТЭК России 15 февраля 2008 г.); Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К) (утверждены Приказом Гостехкомиссии России от ) Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К) (утверждены Приказом Гостехкомиссии России от ) Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных (утверждены руководством 8 Центра ФСБ России 21 февраля 2008 года 149/6/6-622); Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных (утверждены руководством 8 Центра ФСБ России 21 февраля 2008 года 149/6/6-622); Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации (утверждены руководством 8 Центра ФСБ России 21 февраля 2008 года 149/5-144). Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации (утверждены руководством 8 Центра ФСБ России 21 февраля 2008 года 149/5-144).

Классификация ИСПДн Класс типовой системы - К1 Специальная Распределенная Имеющая подключения к сетям общего пользования Многопользовательский режим обработки с разными правами доступа пользователей Х НПД Х ПД 3 21 категория 4 К4 категория 3 КЗКЗ КЗК2 категория 2 КЗ К2К1 категория 1 К1

Необходимые мероприятия по приведению системы в соответствие с требованиями Проведение комплексного обследования на предмет обеспечения безопасности информации Проведение комплексного обследования на предмет обеспечения безопасности информации Разработка модели угроз безопасности Разработка модели угроз безопасности Классификация ИСПДн Классификация ИСПДн Определение требований к обеспечению безопасности Определение требований к обеспечению безопасности Выбор СЗИ Выбор СЗИ Разработка организационно-распорядительной документации Разработка организационно-распорядительной документации Подготовка к проведению оценки соответствия системы Подготовка к проведению оценки соответствия системы Оценка соответствия требованиям по безопасности информации: аттестация ИСПДн Оценка соответствия требованиям по безопасности информации: аттестация ИСПДн

Открытые вопросы Классификация ИСПДн: Классификация ИСПДн: можно ли представить систему как несколько систем, часть из которых будет иметь более низкий класс? Выбор СЗИ НСД Выбор СЗИ НСД

Спасибо за внимание Корюкалов Алексей Викторович начальник отдела эксплуатации защищенных систем Нижегородского филиала ФГУП «Научно-технический центр «Атлас» (831)