Проведение работ по подготовке и проведению аттестации по требованиям безопасности. Классификация ИС ПДн. Основные подходы. Руководитель проектов ЗАО «Калуга Астрал» Кухтинов Алексей Анатольевич Центр комплексной защиты информации

Терминология: ПДн – персональные данные ИС – информационная система ИСПДн – информационная система обработки персональных данных СЗПДн – система защиты персональных данных КЗ – контролируемая зона ВТСС – вспомогательные технические системы и средства ТЗКИ – техническая защита конфиденциальной информации НСД – несанкционированныйй доступ

Исходные данные для классификации в соответствии с Приказом 55/86/20 от г. 1. Категория обрабатываемых в информационной системе персональных данных – Хпд. 2. Объем обрабатываемых персональных данных (количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе) – Хнпд. 3. Заданные оператором характеристики безопасности персональных данных, обрабатываемых в ИС. 4. Структура информационной системы. 5. Наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена. 6. Режим обработки персональных данных. 7. Режим разграничения прав доступа пользователейинформационной системы. 8. Местонахождение технических средств ИС.

категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни; категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1; категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных; категория 4 - обезличенные и (или) общедоступные персональные данные. может принимать следующие значения:

1 - в информационной системе одновременно обрабатываются персональные данные более чем субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом; 2 - в информационной системе одновременно обрабатываются персональные данные от 1000 до субъектов персональных данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования; 3 - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.

По заданным оператором характеристикам безопасности персональных данных, обрабатываемых в информационной системе, информационные системы подразделяются на типовые и специальные информационные системы. Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных. Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий). К специальным информационным системам должны быть отнесены: информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных; информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

По структуре информационные системы подразделяются: на автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (автоматизированные рабочие места); на комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные информационные системы); на комплексы автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределенные информационные системы).

По наличию подключений к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы подразделяются на системы, имеющие подключения, и системы, не имеющие подключений. По режиму обработки персональных данных в информационной системе информационные системы подразделяются на однопользовательские и многопользовательские. По разграничению прав доступа пользователей информационные системы подразделяются на системы без разграничения прав доступа и системы с разграничением прав доступа. Информационные системы в зависимости от местонахождения их технических средств подразделяются на системы, все технические средства которых находятся в пределах Российской Федерации, и системы, технические средства которых частично или целиком находятся за пределами Российской Федерации.

класс 1 (К1) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных; класс 2 (К2) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных; класс 3 (К3) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных; класс 4 (К4) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных. Хнпд/Хпд 321 категория 4К4 категория 3КЗ К2 категория 2КЗК2К1 категория 1К1

СОЗДАНИЕ СЗПДн Работы по обеспечению безопасности ПДн при их обработке в ИСПДн являются неотъемлемой частью работ по созданию ИСПДн и должны осуществляться в виде создаваемой системы (подсистемы) защиты персональных данных (СЗПДн). Перечень обязательных организационных и технических мероприятий, направленных на обеспечение безопасности персональных данных, для типовых систем определяется категорией и объемом обрабатываемых в системе ПДн, а для специальных - совокупностью актуальных угроз. Мероприятия по обеспечению безопасности = совокупность мер: правовых, организационных, технических. Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных

Стадии создания СЗПДН 1. Предпроектная стадия 2. Стадия проектирования и реализации ИСПДн 3. Стадия ввода в действие СЗПДн предпроектное обследование ИСПДн разработка технического (частного технического) задания на ее создание разработка СЗПДн в составе ИСПДн опытная эксплуатация и приемо-сдаточные испытания СЗИ оценка соответствия ИСПДн требованиям безопасности информации Рекомендуются следующие стадии создания СЗПДн:

Мероприятия предпроектной стадии создания СЗПДн Устанавливается необходимость обработки ПДн в ИСПДн Определяется перечень ПДн, подлежащих защите от НСД Определяются условия расположения ИСПДн относительно границ контролируемой зоны (КЗ) Определяются конфигурация и топология ИСПДн в целом и ее отдельных компонент, физические, функциональные и технологические связи Определяются технические средства и системы, предполагаемые к использованию в разрабатываемой ИСПДн, условия их расположения, системное и прикладное ПО Определяются режимы обработки ПДн в ИСПДн в целом и в отдельных компонентах, определяется класс ИСПДн Уточняется степень участия персонала в обработке ПДн Определяются (уточняются) угрозы безопасности ПДн, обусловленные конкретными условиями функционирования (разработка частной модели угроз) Определяется класс ИСПДн

Алгоритм определения требований по обеспечению безопасности ПДн в ИСПДн Анализ реализуемости требований НЕТ ДА ИСПДн Анализ исходных данных об ИСПДн Анализ исходных данных об ИСПДн Корректировка и оптимизация Определение класса ИСПДн Завершение этапа Формирование модели угроз РД по ОБ ПДн Предварительный набор требований Окончательный набор требований

Разработка частного технического задания (ЧТЗ) на разработку СЗПДн Обоснование разработки СЗПДн Исходные данные создаваемой (модернизируемой) ИСПДн (техника, ПО, организационный и информационный аспекты) Класс ИСПДн Ссылки на нормативные документы которые будут использоваться при разработке и приемке в эксплуатацию Конкретизация мероприятий и требований к СЗПДн Перечень предполагаемых к использованию сертифицированных средств защиты информации Обоснование проведения разработок собственных средств защиты информации Состав, содержание и сроки проведения работ по этапам разработки и внедрения СЗПДн По результатам предпроектного обследования на основе РД ФСТЭК России с учетом установленного класса ИСПДн задаются конкретные требования по обеспечению безопасности ПДн, включаемые в техническое (частное техническое) задание на разработку СЗПДн.

Пути минимизации затрат на создание СЗПДн –максимальное использование возможностей уже имеющихся в ИС СЗИ, а также возможностей ОС и прикладного ПО, сертифицированных или имеющих перспективы сертификации в системах сертификации ФСТЭК России или ФСБ России; – принятие дополнительных мер, позволяющих снизить требования к части ИСПДн или сегментам сети, где такие ИСПДн расположены; – сокращение количества персонала (АРМ), обрабатывающих ПДн, разделение функций, снижающих возможность одновременной обработки ПДн из разных систем; – обезличивание части ИСПДн (переход на абонентские и табельные номера, номера лицевых счетов и т.п.); –разделение ИС сертифицированными межсетевыми экранами на отдельные сегменты, классификация каждого сегмента (ИСПДн) и снижения требований к части из них; – организация терминального доступа к ИСПДн; – исключение части ПДн, хранение их на бумажных или иных носителях вне ИСПДн; - максимальная унификация и интеграция используемых СЗИ Снижение уровней требований

Выполнение генерации (инсталляции) пакета прикладных программ в комплексе с программными средствами защиты информации Опытная эксплуатация средств защиты информации в комплексе с другими техническими и программными средствами в целях проверки их работоспособности в составе ИСПДн и отработки ПДн Приемосдаточные испытания средств защиты информации по результатам опытной эксплуатации Организация охраны и физической защиты помещений ИСПДн, исключающих несанкционированный доступ к техническим средствам ИСПДн, их хищение и нарушение работоспособности, хищение носителей информации Оценка соответствия ИСПДн требованиям безопасности ПДн Мероприятия стадии ввода в действие СЗПДн

Состав системы защиты ПДн Организационные меры Средства защиты информации Информационные технологии

Информационные технологии Информационная система персональных данных (ОС, СУБД, ППО) Подсистема регистрации и учета Подсистема криптографической защиты Подсистема антивирусной защиты Подсистема обеспечения целостности Подсистема управлением доступа Подсистема обнаружения вторжений Мероприятия по обнаружению вторжений в ИСПДн проводятся в соответствии с требованиями нормативных документов Федеральной службы безопасности Российской Федерации. В ИСПДн должен проводиться контроль на наличие недекларированных возможностей в программном и программно-аппаратном обеспечении и анализ защищенности системного и прикладного программного обеспечения. Анализ защищенности должен проводиться путем использования в составе ИСПДн программных или программно-аппаратных средств (систем) анализа защищенности (САЗ).

Состав системы защиты ПД Средства защиты информации Шифровальные (криптографические) средства Средства предотвращения несанкционированного доступа Средства предотвращения утечки информации по техническим каналам Средства предотвращения программно-технических воздействий на технические средства обработки персональных данных

Организационные меры Положение по организации и проведению работ по обеспечению безопасности ПДн при их обработке в ИСПДн Требования по обеспечению безопасности ПДн при обработке в ИСПДн План мероприятий по защите информации с ограниченным доступом в организации на год Заключение договоров со специализированными организациями Подготовка и обучение персонала Формирование комплекта инженерной документации (планы, схемы, чертежи)

Организационные меры (продолжение) Инструкция о порядке отнесения информационных ресурсов к защищаемым и организации доступа к ним Инструкция пользователю по соблюдению режима защиты информации при работе в автоматизированных системах Инструкция по организации парольной защиты в автоматизированных системах Инструкция пользователям автоматизированных систем по организации антивирусной защиты Инструкция пользователю в случае возникновения нештатных ситуаций Инструкция пользователю услугами электронной почты и Интернета Инструкция по внесению изменений в списки пользователей и наделению их полномочиями доступа к ресурсам автоматизированных систем Рекомендации (инструкции) по использованию программных и аппаратных средств защиты информации

Структура СЗИ СЗПДН

Основные технические решения

КОНТАКТЫ ЗАО «Калуга Астрал» г. Калуга, пер. Теренинский,6, г. Москва, Плеханова, 7 тел. (4842) , , , , , Кухтинов Алексей Анатольевич Руководитель проектов ?