Требования и методы защиты персональных данных ООО "МКЦ "АСТА-информ", (351) 222-45-00, www.asta74.ru. - презентация

1 Требования и методы защиты персональных данных ООО "МКЦ "АСТА-информ", (351) ,

2 Приказ РНК 996 (обезличивание ПДн) Приказ РНК 996 (обезличивание ПДн) Требования ФСБ (тех.средства) Обработка ПДн в ИСПДн ООО "МКЦ "АСТА-информ", (351) , ru ПП РФ 512 (Требования к машиночитаемым материальным носителям биометрических ПДн) ПП РФ 512 (Требования к машиночитаемым материальным носителям биометрических ПДн) ПП РФ 687 (Обработка ПДн «без использования средств автоматизации») ПП РФ 687 (Обработка ПДн «без использования средств автоматизации») ПП РФ 211 (Перечень мер) ПП РФ 211 (Перечень мер) ФЗ 152 (Защита персональных данных) ФЗ 152 (Защита персональных данных) Требования ФСТЭК (Приказы 17 и 21) ПП РФ 1119 (Обработка ПДн в информационных системах персональных данных) ПП РФ 1119 (Обработка ПДн в информационных системах персональных данных)

3 Новые подходы ФСТЭК России к защите информации ООО "МКЦ "АСТА-информ", (351) ,

4 Где и зачем нужно защищать персональных данных? ООО "МКЦ "АСТА-информ", (351) ,

5 Где и зачем нужно защищать персональных данных? ООО "МКЦ "АСТА-информ", (351) , ru Медик Плюс Барс Office (пакет офисных программы) VipNet. Деловая почта Медицинские карты Талоны, листы

6 Кому могут быть доступны персональных данных? ООО "МКЦ "АСТА-информ", (351) ,

7 Потоки персональных данных (МИС) ООО "МКЦ "АСТА-информ", (351) , ru Учреждение здравоохранения ЦОД

8 Общая структура ИСПДн (МИС) ООО "МКЦ "АСТА-информ", (351) , ru Сервер ЦОД 0 АРМ Криптошлюз

9 Приказы ФСТЭК России по защите ПДн ПРИКАЗ от 11 февраля 2013 г. N 17 Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах ПРИКАЗ от 18 февраля 2013 г. N 21 Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных ООО "МКЦ "АСТА-информ", (351) ,

10 Что именно защищать по приказам ФСТЭК России по защите ПДн ПРИКАЗ от 11 февраля 2013 г. N 17 ГИС – государственная информационная система МИС – муниципальная информационная система РИС – региональная информационная система ПРИКАЗ от 18 февраля 2013 г. N 21 Остальные (например ИСПДн «Бухгалтерия», «Кадры», собственные ИСПДн оператора) ООО "МКЦ "АСТА-информ", (351) ,

11 Этапы защиты персональных данных Обследование ИС Разработка Модели угроз и нарушителя безопасности Разработка Технического задания на создание СЗ ИСПДн Разработка Технического проекта СЗИ (Приказ 17 ФСТЭК) Разработка организационно-распорядительной документации по обработке и защите ПДн Внедрение СЗИ (закуп, настройка СрЗИ, обучение) Аттестация ИСПДн (Приказ 17 ФСТЭК) Эксплуатация (Обеспечение требований безопасности) ООО "МКЦ "АСТА-информ", (351) ,

100 000УЗ-1 УЗ-2 Нет< 100" title="Определение уровня защищенности персональных данных (ПП РФ от 01.11.2012 1119) ООО "МКЦ "АСТА-информ", (351) 222-45-00, www.asta74. ru Тип ИСПДн Сотрудники оператора Количество субъектов Тип актуальных угроз 123 ИСПДн-С Нет> 100 000УЗ-1 УЗ-2 Нет< 100" class="link_thumb"> 12 Определение уровня защищенности персональных данных (ПП РФ от ) ООО "МКЦ "АСТА-информ", (351) , ru Тип ИСПДн Сотрудники оператора Количество субъектов Тип актуальных угроз 123 ИСПДн-С Нет> УЗ-1 УЗ-2 Нет< УЗ-1УЗ-2УЗ-3 Да ИСПДн-Б УЗ-1УЗ-2УЗ-3 ИСПДн-И Нет> УЗ-1УЗ-2УЗ-3 Нет< УЗ-2УЗ-3УЗ-4 Да ИСПДн-О Нет> УЗ-2 УЗ-4 Нет< УЗ-2УЗ-3УЗ-4 Да 100 000УЗ-1 УЗ-2 Нет< 100"> 100 000УЗ-1 УЗ-2 Нет< 100 000 УЗ-1УЗ-2УЗ-3 Да ИСПДн-Б УЗ-1УЗ-2УЗ-3 ИСПДн-И Нет> 100 000УЗ-1УЗ-2УЗ-3 Нет< 100 000 УЗ-2УЗ-3УЗ-4 Да ИСПДн-О Нет> 100 000 УЗ-2 УЗ-4 Нет< 100 000 УЗ-2УЗ-3УЗ-4 Да"> 100 000УЗ-1 УЗ-2 Нет< 100" title="Определение уровня защищенности персональных данных (ПП РФ от 01.11.2012 1119) ООО "МКЦ "АСТА-информ", (351) 222-45-00, www.asta74. ru Тип ИСПДн Сотрудники оператора Количество субъектов Тип актуальных угроз 123 ИСПДн-С Нет> 100 000УЗ-1 УЗ-2 Нет< 100">

13 Требования к безопасности уровня защищенности персональных данных (ПП РФ от ) ООО "МКЦ "АСТА-информ", (351) , ru Требования Уровни защищенности 1234 Режим обеспечения безопасности помещений, где обрабатываются персональные данных ++++ Сохранность носителей персональных данные ++++ Перечень лиц, допущенных к персональным данным ++++ СЗИ, прошедшие процедуру оценки соответствия ++++ Должностное лицо, ответственное за обеспечение безопасности персональных данных в ИСПДн +++- Ограничение доступа к содержанию электронного журнала сообщений ++-- Автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным +--- Структурное подразделение, ответственное за обеспечение безопасности персональных данных +---

14 Приказ 21 ФСТЭК России по защите ПДн ПРИКАЗ от 18 февраля 2013 г. N 21 Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных ООО "МКЦ "АСТА-информ", (351) ,

15 Состав и содержание мер по, обеспечению безопасности персональных данных, необходимых для обеспечения каждого из уровней защищенности персональных данных ООО "МКЦ "АСТА-информ", (351) , ru Условное обозначение и номер меры Содержание мер по обеспечению безопасности персональных данных Уровни защищенности персональных данных 4321 I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ) ИАФ.1 Идентификация и аутентификация пользователей, являющихся работниками оператора ++++ ИАФ.2 Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных ++ ….….. ….….. II. Управление доступом субъектов доступа к объектам доступа (УПД) УПД.1 Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей ++++ …. …….…..…. …

16 Система защиты информации (Приказ 21 ФСТЭК) Средство защиты информации от несанкционированного доступа Антивирусное средство защиты (средство защиты информации от вредоносного ПО) При взаимодействии ИСПДн с иными сетями Межсетевой экран (средство защиты информации от сетевых угроз) При передаче персональных данных по сети Интернет Средство криптографической защиты ООО "МКЦ "АСТА-информ", (351) ,

17 Система защиты информации (Приказ 21 ФСТЭК) При уровне защищенности 3 (УЗ3) : Сканер сетевой безопасности (средство контроля (анализа) защищенности персональных данных) При уровне защищенности 2 (УЗ2) : Средство обнаружения вторжений + иные средства защиты ООО "МКЦ "АСТА-информ", (351) ,

18 Таблица по сертифицированным СЗИ по Приказу 21 ФСТЭК ООО "МКЦ "АСТА-информ", (351) , ru Уровни защищенности ПДн 1234 СВТ5+ 6+ СОВ4+ 4+/5+5+ АВЗ4+ 4+/5+5+ МСЭ3+/4+ 5 НДВ4+ -/4+, если АУ2 -

19 Приказ 17 ФСТЭК России по защите ПДн ПРИКАЗ от 11 февраля 2013 г. N 17 Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах Методический документ ФСТЭК России 11 февраля 2014 г. «Меры защиты информации в государственных информационных системах» ООО "МКЦ "АСТА-информ", (351) ,

20 Класс защищенности информационной системы определяется в соответствии с таблицей: ООО "МКЦ "АСТА-информ", (351) , ru Уровень значимости информации Масштаб информационной системы Федеральный РегиональныйОбъектовый УЗ 1К1 УЗ 2К1К2 УЗ 3К2К3 УЗ 4К3 К4

21 Состав мер защиты информации и их базовые наборы для соответствующего класса защищенности информационной системы ООО "МКЦ "АСТА-информ", (351) , ru Условное обозначение и номер меры Меры защиты информации в информационных системах Классы защищенности информационной системы 4321 I. Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ) ИАФ.1 Идентификация и аутентификация пользователей, являющихся работниками оператора ++++ ИАФ.2 Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных ++ …. ………… II. Управление доступом субъектов доступа к объектам доступа (УПД) УПД.1 Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей ++++ ………………

22 Система защиты информации (Приказ 17 ФСТЭК) Средство защиты информации от несанкционированного доступа Антивирусное средство защиты (средство защиты информации от вредоносного ПО) При взаимодействии ИСПДн с иными сетями Межсетевой экран (средство защиты информации от сетевых угроз) При передаче персональных данных по сети Интернет Средство криптографической защиты ООО "МКЦ "АСТА-информ", (351) ,

23 Система защиты информации (Приказ 17 ФСТЭК) При классе защищенности 3 (К3) : Сканер сетевой безопасности (средство контроля (анализа) защищенности персональных данных) При классе защищенности 2 (К2) : Средство обнаружения вторжений + иные средства защиты ООО "МКЦ "АСТА-информ", (351) ,

24 Таблица по сертифицированным СЗИ по Приказу 17 ФСТЭК ООО "МКЦ "АСТА-информ", (351) , ru Классы защищенности ИС 1234 СВТ5+ СОВ4+ 4+/5+5+ АВЗ4+ 4+/5+5+ МСЭ3+/4+ 4+ НДВ4+ --

25 Общая структура ИСПДн (МИС) ООО "МКЦ "АСТА-информ", (351) , ru Сервер ЦОД 0 АРМ Криптошлюз

26 Измененная структура ИСПДн (МИС) ООО "МКЦ "АСТА-информ", (351) , ru Сервер ЦОД 0 АРМ Криптошлюз АРМ

27 Измененная структура ИСПДн (МИС) ООО "МКЦ "АСТА-информ", (351) , ru Сервер ЦОД 0 АРМ Криптошлюз Принтер

28 Измененная структура ИСПДн (МИС) ООО "МКЦ "АСТА-информ", (351) , ru Сервер ЦОД 0 АРМ Криптошлюз ЛВС учреждения АРМ

29 Документация и требования по защите персональных данных Модель угроз и нарушителя безопасности Техническое задание на создание СЗ ИСПДн Технический проект СЗИ Не актуальна организационно-распорядительная документация по обработке и защите ПДн Отсутствие СрЗИ СЗИ Не действителен Аттестат на ИСПДн Эксплуатация без обеспечения требований безопасности ООО "МКЦ "АСТА-информ", (351) ,

30 Этапы защиты персональных данных Обследование ИС Разработка Модели угроз и нарушителя безопасности Разработка Технического задания на создание СЗ ИСПДн Разработка Технического проекта СЗИ (Приказ 17 ФСТЭК) Разработка организационно-распорядительной документации по обработке и защите ПДн Внедрение СЗИ (закуп, настройка СрЗИ, обучение) Аттестация ИСПДн (Приказ 17 ФСТЭК) Эксплуатация (Обеспечение требований безопасности) ООО "МКЦ "АСТА-информ", (351) ,

31 Обследование ИСПДн с учетом изменений Актуализация Модели угроз и нарушителя безопасности Актуализация Технического задания на создание СЗ ИСПДн Актуализация Технического проекта СЗИ (Приказ 17 ФСТЭК) Актуализация организационно-распорядительной документации по обработке и защите ПДн Внедрение СЗИ (закуп, настройка СрЗИ, обучение) Переаттестация ИСПДн (Приказ 17 ФСТЭК) Эксплуатация обновленной ИСПДн (Обеспечение требований безопасности) ООО "МКЦ "АСТА-информ", (351) , ru Мероприятия при изменениях в ИСПДн (законодательство РФ в сфере защиты ПДн)

32 Вопросы? ООО "МКЦ "АСТА-информ", (351) ,