Санкт-Петербург 2013 год «Классификация информационных систем персональных данных»

Информационные системы (ИС) классифицируются операторами в зависимости от объема обрабатываемых ими персональных данных (ПДн) и угроз безопасности жизненно важным интересам личности, общества и государства Классификация ИС проводится оператором с целью установления методов и способов защиты информации, необходимых для обеспечения безопасности ПДн ПОЛОЖЕНИЕ об обеспечении безопасности персональных данных при их обработке в ИС персональных данных (постановление Правительства РФ от ) – отменено на основание постановления правительства РФ от 1 ноября 2012 г. N 1119 !!! Порядок проведения классификации ИС устанавливается совместно ФСТЭК России, ФСБ России, Мининформсвязи России в соответствии с приказом 55/86/20 от ) – действует, не отменен!!! Основания для осуществления классификации информационных систем персональных данных 1. Классификации ИСПДн. Информационная система персональных данных – совокупность персональных данных, содержащихся в базах данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации

- категория обрабатываемых в ИСПДн - Хпд; - объем обрабатываемых персональных данных (количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе) - Хнпд; - заданные оператором характеристики безопасности персональных данных, обрабатываемых в информационной системе; - структура информационной системы; - наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена; - режим обработки персональных данных; - режим разграничения прав доступа пользователей информационной системы; - местонахождение технических средств информационной системы. При проведении классификации ИСПДн учитываются следующие исходные данные:

Типовые информационные системы - информационные системы, в которых требуется обеспечение только конфиденциальности персональных данных. Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий). К специальным информационным системам должны быть отнесены: - информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных; - информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

- на автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (автоматизированные рабочие места); - на комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные информационные системы); - на комплексы автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределенные информационные системы). По структуре информационные системы подразделяются:

автоматизированные рабочие места (автономные) локальные информационные системы распределенные информационные системы Типы информационных систем, подлежащих классификации

По наличию подключений к сетям связи общего пользования и (или) сетям международного информационного обмена информационные системы подразделяются на: - системы, имеющие подключения; - системы, не имеющие подключений. По режиму обработки персональных данных в информационной системе информационные системы подразделяются на: - однопользовательские; - многопользовательские. По разграничению прав доступа пользователей информационные системы подразделяются на: - системы без разграничения прав доступа; - системы с разграничением прав доступа. Информационные системы в зависимости от местонахождения их технических средств подразделяются на: - системы, все технические средства которых находятся в пределах Российской Федерации, - системы, технические средства которых частично или целиком находятся за пределами Российской Федерации.

Определение категории обрабатываемых в ИС персональных данных (X пд = 1…4) Определение объема обрабатываемых в ИС персональных данных (X нпд = 1…3) Класс ИС (1 класс, 2 класс, 3 класс, 4 класс) Алгоритм классификации ИСПДн Акт оператора Хпд\Хпдн категорияК4 3 категорияК3 К2 2 категорияК3К2К1 1 категорияК1

ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни Категории обрабатываемых в ИС персональных данных Описание категории Категория 1 Категория 2 ПДн, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию Категория 3 ПДн, позволяющие идентифицировать субъекта персональных данных Категория 4 обезличенные и (или) общедоступные ПДн Х пд

в ИС одновременно обрабатываются персональные данные более чем субъектов персональных данных или персональные данные уровня: Объем обрабатываемых персональных данных Описание категории 1 2 в ИС одновременно обрабатываются персональных данные от 1000 до субъектов ПДн или персональные данные уровня: 3 в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные уровня: Х нпд субъект РФРоссийская Федерация отрасль экономики РФ орган государственной власти РФ муниципальное образование конкретная организация

Определение категории обрабатываемых в ИС персональных данных (X пд = 1…4) Определение объема обрабатываемых в ИС персональных данных (X нпд = 1…3) Класс ИС (1 класс, 2 класс, 3 класс, 4 класс) Алгоритм классификации ИСПДн Акт оператора Хпд\Хпдн категорияК4 3 категорияК3 К2 2 категорияК3К2К1 1 категорияК1

ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов ПДн Классы информационных систем персональных данных Описание класса Класс 1 (К1) Класс 2 (К2) ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к негативным последствиям для субъектов ПДн Класс 3 (К3) ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов ПДн Класс 4 (К4) ИС, для которых нарушение заданной характеристики безопасности ПД, обрабатываемых в них, не приводит к негативным последствиям для субъектов ПД

Особенности специальных информационных систем персональных данных: К специальным обязательно должны быть отнесены: - информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов; - информационные системы, в которых предусмотрено принятие решение на основании исключительно автоматизированной обработки персональных данных. Класс специальной информационной системы определяется по результатам типовой системы и модели угроз безопасности персональных данных Результаты классификации информационной системы оформляются актом оператора. В случае выделения в составе информационной системы подсистем, каждая из которых является информационной системой, общая информационная система имеет класс, соответствующий наиболее высокому классу подсистем. Класс информационной системы может быть пересмотрен по результатам контроля и по решению оператора

Рекомендации Минздравсоцразвития России по форме акта классификации ИСПДн медицинских учреждений Акт классификации составляется для каждой выявленной ИСПДн и прилагается к Уведомлению об обработке. Акт классификации ИСПДн должен утверждаться Председателем комиссии по классификации и подписан всеми членами комиссии. Для каждой ИСПДн должна быть определены: Категория обрабатываемых персональных данных ХПД. Объем обрабатываемых персональных данных: ХПДН. Заданные характеристики безопасности персональных данных. Типовая информационная система / специальная информационная система. Структура информационной системы Автоматизированное рабочее место/ Локальная информационная система / Распределенная информационная система Подключение информационной системы к сетям общего пользования и / или сетям международного информационного обмена. Имеется / не имеется. Режим обработки персональных данных. Однопользовательская / многопользовательская система. Режим разграничения прав доступа пользователей. Система с разграничение доступа / без разграничения доступа. Местонахождение технических средств информационной системы. Все технические средства находятся в пределах Российской Федерации / технические средства частично или целиком находятся за пределами Российской Федерации. Дополнительные информация: К персональным данным предъявляется требование целостности и / или доступности. Тип информационной системы персональных данных: Типовая/Специальная

Уведомление содержит следующие сведения: 1. Наименование (фамилия, имя, отчество), адрес оператора; 2. Цель обработки персональных данных; 3. Категории персональных данных; 4. Категории субъектов, ПДн которых обрабатываются; 5. Правовое основание обработки персональных данных; 6. Перечень действия с ПДн, общее описание используемых оператором способов обработки ПДн; 7. Описание мер, направленных на обеспечение выполнения оператором обязанностей и мер по обеспечению безопасности ПДн при их обработке, в том числе сведения о наличии шифровальных (криптографических) средств и наименование этих средств; 7.1. Фамилия, имя, отчество физического лица или наименование юридического лица, ответственных за организацию обработки ПДн, и номера их контактных телефонов, почтовые адреса и адреса электронной почты; 8. Дата начала обработки ПДн; 9. Срок или условие прекращения обработки ПДн; 10. Сведения о наличии или отсутствии трансграничной передачи ПДн; 11. Сведения об обеспечении безопасности ПДн в соответствии с требованиями к защите ПДн Уведомление направляется в виде документа на бумажном носителе или в форме электронного документа и подписывается уполномоченным лицом

ПРАВИТЕЛЬСТВО РОССИЙСКОЙ ФЕДЕРАЦИИ ПОСТАНОВЛЕНИЕ от 1 ноября 2012 г. N 1119 ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ В соответствии со статьей 19 Федерального закона "О персональных данных" Правительство Российской Федерации постановляет: 1. Утвердить прилагаемые требования к защите персональных данных при их обработке в информационных системах персональных данных. 2. Признать утратившим силу постановление Правительства Российской Федерации от 17 ноября 2007 г. N 781 "Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных" (Собрание законодательства Российской Федерации, 2007, N 48, ст. 6001). Председатель Правительства Российской Федерации Д.МЕДВЕДЕВ 2. Классификация угроз и уровней защищенности персональных данных.

Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия. Определяются 3 типа угроз: Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе. Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе. Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

Необходимость обеспечения 1-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий: а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных; б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных более чем субъектов персональных данных, не являющихся сотрудниками оператора. При обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности персональных данных

Необходимость обеспечения 2-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий: а) для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает общедоступные персональные данные; б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем субъектов персональных данных, не являющихся сотрудниками оператора; в) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает биометрические персональные данные;

Необходимость обеспечения 2-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий: г) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные более чем субъектов персональных данных, не являющихся сотрудниками оператора; д) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных более чем субъектов персональных данных, не являющихся сотрудниками оператора; е) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных более чем субъектов персональных данных, не являющихся сотрудниками оператора.

Необходимость обеспечения 3-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий: а) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные сотрудников оператора или общедоступные персональные данные менее чем субъектов персональных данных, не являющихся сотрудниками оператора; б) для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем субъектов персональных данных, не являющихся сотрудниками оператора;

Необходимость обеспечения 3-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий: в) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем субъектов персональных данных, не являющихся сотрудниками оператора; г) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные; д) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных более чем субъектов персональных данных, не являющихся сотрудниками оператора.

Необходимость обеспечения 4-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий: а) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает общедоступные персональные данные; б) для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем субъектов персональных данных, не являющихся сотрудниками оператора.

Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований: а) организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения; б) обеспечение сохранности носителей персональных данных; в) утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей; г) использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Для обеспечения 3-го уровня защищенности персональных данных при их обработке в информационных системах: помимо выполнения требований, предусмотренных пунктом 13 настоящего документа, необходимо, чтобы было назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.

Для обеспечения 2-го уровня защищенности персональных данных при их обработке в информационных системах: помимо выполнения требований, предусмотренных пунктом 14 настоящего документа, необходимо, чтобы доступ к содержанию электронного журнала сообщений был возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.

Для обеспечения 1-го уровня защищенности персональных данных при их обработке в информационных системах помимо требований, предусмотренных пунктом 15 настоящего документа, необходимо выполнение следующих требований: а) автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным, содержащимся в информационной системе; б) создание структурного подразделения, ответственного за обеспечение безопасности персональных данных в информационной системе, либо возложение на одно из структурных подразделений функций по обеспечению такой безопасности.