Главная Коллекция "Revolution" Программирование, компьютеры и кибернетика Комплексное обеспечение безопасности персональных данных при их обработке в информационной системе персональных данных ООО "Арсенал+"

Комплексное обеспечение безопасности персональных данных при их обработке в информационной системе персональных данных ООО "Арсенал+"

Анализ понятий в области безопасности информационных технологий. Цель защиты автоматизированной системы и циркулирующей в ней информации. Правовые основы обеспечения безопасности информационных технологий и персональных данных. Сертификация и аттестация.

Рубрика Программирование, компьютеры и кибернетика
Вид дипломная работа
Язык русский
Дата добавления 31.05.2013
Размер файла 1,4 M
рефераты на заказ со скидкой

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Страница:

Объектами защиты при этом являются:

· средства и системы информатизации (СВТ, АС различного уровня и назначения на базе СВТ, в том числе информационно-вычислительные комплексы, сети и системы, средства и системы связи и передачи данных, технические средства приема, передачи и обработки информации (телефонии, звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных, другое общесистемное и прикладное программное обеспечение), средства защиты информации, используемые для обработки конфиденциальной информации;

· технические средства и системы, не обрабатывающие непосредственно конфиденциальную информацию, но размещенные в помещениях, где она обрабатывается (циркулирует);

· защищаемые помещения.

Защита информации на объекте информатизации достигается выполнением комплекса организационных мероприятий и применением средств защиты информации от утечки по техническим каналам, несанкционированного доступа, программно-технических воздействий с целью нарушения целостности (модификации, уничтожения) и доступности информации в процессе ее обработки, передачи и хранения, а также работоспособности технических средств.

При защите информации в локальных вычислительных сетях (ЛВС) конфиденциальная информация может обрабатываться только в ЛВС, расположенных в пределах контролируемой зоны.

Средства защиты информации от НСД должны использоваться во всех узлах ЛВС независимо от наличия (отсутствия) конфиденциальной информации в данном узле ЛВС и требуют постоянного квалифицированного контроля настроек СЗИ администратором безопасности информации. Класс защищенности ЛВС определяется в соответствии с требованиями действующих руководящих документов ФСТЭК России.

Для управления, контроля защищенности ЛВС и распределения системных ресурсов в ЛВС, включая управление средствами защиты информации, обрабатываемой (хранимой, передаваемой) в ЛВС, должны использоваться соответствующие сертифицированные по требованиям безопасности информации средства защиты.

2.7 Ответственность за нарушения в сфере защиты информации

Выдержки из статей Уголовного кодекса Российской Федерации:

Статья 272. Неправомерный доступ к компьютерной информации

1. Неправомерный доступ к охраняемой законом компьютерной информации, то есть информации на машинном носителе, в ЭВМ, системе ЭВМ или их сети, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети, -наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо лишением свободы на срок до двух лет.

2. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно имеющим доступ к ЭВМ, системе ЭВМ или их сети, - наказывается штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо исправительными работами на срок от одного года до двух лет, либо арестом на срок от трех до шести месяцев, либо лишением свободы на срок до пяти лет.

Статья 273. Создание, использование и распространение вредоносных программ для ЭВМ

1. Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами - наказываются лишением свободы на срок до трех лет со штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев.

2. Те же деяния, повлекшие по неосторожности тяжкие последствия, -наказываются лишением свободы на срок от трех до семи лет.

Статья 274. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети

1. Нарушение правил эксплуатации ЭВМ, системы ЭВМ или их сети лицом, имеющим доступ к ЭВМ, системе ЭВМ или их сети, повлекшее уничтожение, блокирование или модификацию охраняемой законом информации ЭВМ, если это деяние причинившего существенный вред, - наказывается лишением права занимать определенные должности или заниматься определенной деятельностью на срок до пяти лет, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо ограничением свободы на срок до двух лет.

2. То же деяние, повлекшее по неосторожности тяжкие последствия, - наказывается лишением свободы на срок до четырех лет.

Большое значение для лиц, занимающихся защитой информации, явилось появление в 2002 году новой редакции «Кодекса РФ об административных правонарушениях», в котором предусмотрена административная ответственность за конкретные нарушения в сфере защиты информации. Ниже приведены выдержки из наиболее «актуальных» статей этого документа.

Выдержки из статей Кодекса об административных правонарушениях Российской Федерации:

Статья 13.11. Нарушение установленного законом порядка сбора, хранения, использования или распространения информации

о гражданах (персональных данных).

Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных) - влечет предупреждение или наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц - от пятисот до одной тысячи рублей; на юридических лиц - от пяти тысяч до десяти тысяч рублей.

Статья 13.12. Нарушение правил защиты информации

1. Нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), - влечет наложение административного штрафа на граждан в размере от трехсот до пятисот рублей; на должностных лиц - от пятисот до одной тысячи рублей; на юридических лиц - от пяти тысяч до десяти тысяч рублей.

2. Использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации (за исключением средств защиты информации, составляющей государственную тайну), - влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей с конфискацией несертифицированных средств защиты информации или без таковой; на должностных лиц - от одной тысячи до двух тысяч рублей; на юридических лиц - от десяти тысяч до двадцати тысяч рублей с конфискацию несертифицированных средств защиты информации или без таковой.

3. Нарушение условии, предусмотренных лицензией на проведение работ, связанных с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятии и (или) оказанием услуг по защите информации, составляющей государственную тайну, - влечет наложение административного штрафа на должностных лиц в размере от двух тысяч до трех тысяч рублей; на юридических лиц - от пятнадцати тысяч до двадцати тысяч рублей.

4. Использование несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, - влечет наложение административного штрафа на должностных лиц в размере от трех тысяч до четырех тысяч рублей; на юридических лиц - от двадцати тысяч до тридцати тысяч рублей с конфискацией н несертифицированных средств, предназначенных для защиты информации, составляющей государственную тайну, или без таковой.

5. Грубое нарушение условий, предусмотренных лицензией на осуществление деятельности в области защиты информации (за исключением информации, составляющей государственную тайну), - влечет наложение административного штрафа на лиц, осуществляющих предпринимательскою деятельность без образования юридического лица, в размере от одной тысячи до одной тысячи пятисот рублей или административное приостановление деятельности на срок до девяноста суток; на должностных лиц - от одной тысячи до одной тысячи пятисот рублей; на юридических лиц - от десяти тысяч до пятнадцати тысяч рублей или административное приостановление деятельности на срок до девяноста суток.

Статья 13.13. Незаконная деятельность в области защиты информации.

1. Занятие видами деятельности в области защиты информации (за исключением информации, составляющей государственную тайну) без получения в установленном порядке специального разрешения (лицензии), если такое разрешение (такая лицензия) в соответствии с федеральным законом обязательно (обязательна), -влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей с конфискацией средств защиты информации или без таковой; на должностных лиц - от двух тысяч до трех тысяч рублей с конфискацией средств защиты информации или без таковой; на юридических лиц - от десяти тысяч до двадцати тысяч рублей с конфискацией средств защиты информации или без таковой.

2. Занятие видами деятельности, связанной с использованием и защитой информации, составляющей государственную тайну, созданием средств, предназначенных для защиты информации, составляющей государственную тайну, осуществлением мероприятии и (или) оказанием услуг по защите информации, составляющей государственную тайну, без лицензии, - влечет наложение административного штрафа на должностных лиц в размере от четырех тысяч до пяти тысяч рублей; на юридических лиц - от тридцати тысяч до сорока тысяч рублей с конфискацией созданных без лицензии средств защиты информации, составляющей государственную тайну, или без таковой.

Статья 13.14. Разглашение информации с ограниченным доступом.

Разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, если разглашение такой информации влечет уголовную ответственность), лицом, получившим доступ к такой информации в связи с исполнением служебных или профессиональных обязанностей, за исключением случаев, предусмотренных частью 1 статьи 14.33 настоящего Кодекса,- влечет наложение административного штрафа на граждан в размере от пятисот до одной тысячи рублей; на должностных лиц - от четырех тысяч до пяти тысяч рублей.

Выдержки из Федерального закона «О коммерческой тайне»:

Федеральный закон Российской Федерации от 29 июля 2004 г. № 98-ФЗ «О коммерческой тайне» (с изменениями от 2 февраля, 18 декабря 2006 г.) принят Государственной Думой 9 июля 2004 г., одобрен Советом Федерации 15 июля 2004 г., подписан Президентом Российской Федерации 29 июля 2004 г., опубликован 5 августа 2004 г.

Статья 11. Охрана конфиденциальности информации в рамках трудовых отношений

1. В целях охраны конфиденциальности информации работодатель обязан.

· ознакомить под расписку работника, доступ которого к информации, составляющей коммерческую тайну, необходим для выполнения им своих трудовых обязанностей, с перечнем информации, составляющей коммерческую тайну, обладателями которой является работодатель и его контрагенты;

· ознакомить под расписку работника с установленным работодателем режимом коммерческой тайны и с мерами ответственности за его нарушение;

· создать работнику необходимые условия для соблюдения им установленного работодателем режима коммерческой тайны.

2. Доступ работника к информации, составляющей коммерческую тайну, осуществляется с его согласия, если это не предусмотрено его трудовыми обязанностями.

3. В целях охраны конфиденциальности информации работник обязан.

· выполнять установленный работодателем режим коммерческой тайны;

· не разглашать информацию, составляющую коммерческую тайну, обладателями которой являются работодатель и его контрагенты, и без их согласия не использовать эту информацию в личных целях;

· передать работодателю при прекращении или расторжении трудового договора имеющиеся в пользовании работника материальные носители информации, содержащие информацию, составляющую коммерческую тайну.

· Трудовым договором с руководителем организации должны предусматриваться его обязательства по обеспечению охраны конфиденциальности информации, обладателем которой являются организация и ее контрагенты, и ответственность за обеспечение охраны ее конфиденциальности.

· Работник имеет право обжаловать в судебном порядке незаконное установление режима коммерческой тайны в отношении информации, к которой он получил доступ в связи с исполнением им трудовых обязанностей.

Глава 3. Подготовка информационной системы персональных данных ООО «Арсенал+» к аттестации на соответствие закону № 152-ФЗ «О персональных данных»

3.1 Анализ информационной системы (ИС) компании

На данной стадии дипломной работы необходимо проанализировать информационные потоки, циркулирующие в ИС компании. При этом из всей совокупности обрабатываемой информации определяются информационные ресурсы, содержащие в себе персональные данные, а также технические средства, позволяющие осуществлять обработку ПДн. Техническими средствами будем называть средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т. п.), средства защиты информации, применяемые в информационных системах. По результатам анализа составляется перечень ИСПДн, подлежащих защите, утверждаемый руководителем.

Результатом анализа ИС должен быть некий список, содержащий факты получения/обработки/хранения информации с ПДн. По каждому инциденту необходимо дать следующие описания:

· Цель получения ПДн;

· Механизм получения ПДн;

· Перечень получаемых ПДн;

· Механизм обработки ПДн;

· Место хранение ПДн в ИС;

· Сотрудники, обрабатывающие ПДн;

· Сотрудники, имеющие доступ к ПДн в ИС;

Далее осуществим анализ структуры информационной системы и определим:

· перечень автоматизированных рабочих мест, обрабатывающих ПДн;

· перечень серверного, коммутационного и сетевого оборудования;

· используемое в ИСПДн общесистемное и прикладное программное обеспечение;

· наличие и типы средств межсетевого экранирования в распределенных ИСПДн;

· наличие подключений ИСПДн к сетям связи общего пользования и (или) сетям международного информационного обмена.

3.1.1 Общее состояние процессов обработки ПДн в организации.

В результате проведённого анализа ИС было выявлено следующие факты обработки ПДн в ИС (Таблица 1):

Таблица 1.

№

п/п

Наименование подразделения

ПДн

Место обработки/хранения ПДн

1

Отдел маркетинга

ФИО, паспортные данные, дата рождения, сведения о работе (должность, место работы)

Анкета на получение дисконтной карты, анкета участника конференции

2

Отдел по работе с ключевыми клиентами

ФИО, паспортные данные

Сканированные копии паспортов сотрудников

3

Отдел продажи ПО

ФИО, паспортные данные

Сканированные копии паспортов сотрудников

4

Отдел бизнес-интеграции

ФИО, паспортные данные, дата рождения, сведения о работе (должность, место работы)

Таблицы в базах данных бизнес-приложения

5

Бухгалтерия

ФИО, паспортные данные, дата рождения, сведения о работе (должность, место работы), сведения о доходах

1С: Бухгалтерия

6

Отдел кадров

ФИО, паспортные данные, дата рождения, сведения о работе (должность, место работы), сведения о доходах

1С:Зарплата и Кадры, файловые ресурсы

В итоге, ИСПДн существуют в том или ином виде в 6 подразделениях, неавтоматизированная обработка ПДн производится в 3 подразделениях.

Основные виды нарушений неавтоматизированной обработки персональных данных:

· отсутствие обособления ПД в формах анкет и бланков;

· отсутствие документированного уведомления лиц обрабатывающих ПДн об ответственности за их разглашение;

· анкеты и бланки не содержат указания цели обработки ПДн, явного согласия владельца ПДн на их обработку ООО «Арсенал+» или его представителями;

· зачастую публичный доступ к документам содержащим ПДн;

· отсутствие процедуры транспортировки ПДн, исключающей их утерю.

Основные виды нарушений в информационных системах обработки ПДн (ИСПДн):

· зачастую публичный доступ к электронной копии ПДн (например, отсканированные копии паспортов) или к данным содержащим ПДн;

· отсутствие криптографической защиты мест хранения ПДн;

· отсутствие аудита доступа к ПДн в ИСПДн.

В целом же можно сказать, что нарушения в ИСПДн по факту обусловлены существующей архитектурой информационных систем общего назначения, в которых «попутно» ведется обработка персональных данных.

3.1.2 Анализ обработки ПДн в ИС

Функционально, ИСПДн можно выделить в три категории:

1. 1С - Зарплата и кадры, Бухгалтерия;

2. База данных бизнес-приложения;

3. Файловые ресурсы.

Обработка данных в 1С - Зарплата и кадры, Бухгалтерия.

Обработка данных первой категории ведется сотрудниками отдела кадров и бухгалтерии, объем ПДн порядка 400-500 записей, что позволяет квалифицировать их как ПДн третьего класса и уйти от использования оборудования РМ средствами защиты от ПЭМИН. Режим обработки ПДн - многопользовательский с разграничением прав доступа. РМ сотрудников, обрабатывающих ПДн, находятся в общей сети. Доступ к ПДн осуществляется через терминальный сервер. Сервер баз данных вынесен в отдельную подсеть и нуждается в защите межсетевым экраном не ниже 5 класса.

С точки зрения подзаконных актов и постановлений вышеупомянутая схема работы имеет несколько нарушений:

· Компьютеры, на которых производится обработка ПДн включены в общую сеть Компании, но при этом обрабатываемые ПДн не защищены от перехвата на уровне рабочего места пользователя;

· Доступ к данным имеется у всех сотрудников имеющих доступ в 1С:Зарплата и Кадры или 1С:Бухгалтерия, при этом не установлен нормативным документов перечень лиц обрабатывающих ПДн, и нет ознакомления указанных лиц о факте обработке ими ПДн;

· Контроль резервных копий БД, содержащих в том числе ПДн, осуществляется без ведения соответствующих журналов, нет ознакомления технического персонала с фактом резервного копирования ими ПДн;

· Данные хранятся на сервере в незашифрованном виде.

Обработка данных в Бизнес-приложении.

Обработка данных производится сотрудниками бухгалтерии, кассирами розничной сети, сотрудниками отдела маркетинга, сотрудниками сервисного центра. Режим обработки ПДн - многопользовательский с разграничением прав доступа. РМ сотрудников, обрабатывающих ПДн, находятся в общей сети. Доступ к ПДн осуществляется через терминальный сервер. Сервер баз данных вынесен в отдельную подсеть и нуждается в защите межсетевым экраном не ниже 4 класса.

На основании собранной информации о характере и объеме используемых персональных данных сформирована следующая аналитическая таблица оценки категории и класса обрабатываемых данных (Таблица 2):

Таблица 2.

№ п/п

Вид данных

Место хранения

Объем

Категория

Класс

1

ФИО, паспортные данные,

дата рождения, профессия,

адрес

БД RETAIL, таблица

DISCARDHOLDER

40000

3

3

2

ФИО, паспортные данные

БД RETAIL, таблица

CONTACTPERSON

550 000

2

2

3

ФИО, паспортные данные

БД RETAIL, таблица

EMPLTABLE

440

3

3

4

ФИО, паспортные данные

БД RETAIL, таблица

SERVICETABLE

7000

3

3

С точки зрения подзаконных актов и постановлений вышеупомянутая схема работы имеет несколько нарушений:

· Компьютеры, на которых производится обработка ПДн, включены в общую сеть Компании, но при этом обрабатываемые ПДн не защищены от перехвата на уровне рабочего места пользователя;

· Доступ к данным имеется у всех сотрудников имеющих доступ в ИС Бизнес-приложения, при этом не установлен нормативным документовм перечень лиц, обрабатывающих ПДн, и нет ознакомления указанных лиц с фактом обработки ими ПДн;

· Второй класс ПДн подразумевает защиту РМ от ПЭМИН, на которых производится обработка ПДн, данная защита не установлена;

· Контроль резервных копий БД, содержащих в том числе ПДн, осуществляется без ведения соответствующих журналов, нет ознакомления технического персонала с фактом резервного копирования ими ПДн;

· Данные хранятся на сервере в незашифрованном виде.

Хранение ПДн на файловых ресурсах.

Обработка данных производится сотрудниками отдела кадров, а также рядом других лиц для выполнения рабочих обязанностей. Режим обработки ПДн - многопользовательский с разграничением прав доступа. РМ сотрудников, обрабатывающих ПДн, находятся в общей сети. Доступ к ПДн осуществляется непосредственно с рабочего места сотрудника.

С точки зрения подзаконных актов и постановлений вышеупомянутая схема работы имеет несколько нарушений:

· Компьютеры, на которых производится обработка ПДн, включены в общую сеть Компании, но при этом обрабатываемые ПДн не защищены от перехвата на уровне рабочего места пользователя;

· Доступ к данным имеется у всех сотрудников, имеющих доступ к ИС Компании, при этом не установлен нормативным документов перечень лиц, обрабатывающих ПДн, и нет ознакомления указанных лиц с фактом обработки ими ПДн;

· Контроль резервных копий БД, содержащих в том числе ПДн, осуществляется без ведения соответствующих журналов, нет ознакомления технического персонала с фактом резервного копирования ими ПДн;

· Сервер, на котором расположен указанный файловый ресурс, находится в общей сети;

· Файлы, содержащие ПДн, находятся в незашифрованном состоянии, либо зашифрованы несоответствующим средством криптозащиты.

3.1.3 Предлагаемые меры по устранению нарушений

Неавтоматизированная обработка ПДн.

Для устранения нарушений предлагаются следующие мероприятия:

a) в анкетах, при оформлении дисконтной карты и предусматривающих не только статистическую обработку включить следующий пункт:

«Подписывая данную анкету, я даю согласие на обработку (сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение персональных данных) своих персональных данных (фамилия, имя, отчество, дата рождения, паспортные данные) оператором персональных данных ООО «Арсенал+», и/или его представителям в целях оформления дисконтной карты»;

b) разработать и утвердить следующие виды документов:

· «Положение о защите персональных данных»;

· «Положение о подразделении по защите информации»;

· Должностные регламенты лиц, ответственных за защиту ПДн;

· «План мероприятий по защите ПДн»;

· «План внутренних проверок состояния защиты ПДн»;

· «Приказ о назначении ответственных лиц по ПДн»;

· «Список лиц, обрабатывающих ПДн»;

· «Порядок хранения и обработки документов содержащих ПДн».

c) Изменить трудовые договоры с сотрудниками, обрабатывающими ПДн - внести пункт об ответственности сотрудника за разглашение ПДн:

«В случае установленного нарушения норм, регулирующих получение, обработку и защиту персональных данных, работник несет дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами».

ИСПДн, где ведётся обработка данных в 1С - Зарплата и кадры, Бухгалтерия.

Для устранения нарушений предлагаются следующие мероприятия:

· Вывести РМ, обрабатывающие ПДн, в отдельную сеть без выхода в Интернет, подсеть закрыть МСЭ 4 класса;

· Рассмотреть вопрос о выносе на зашифрованный спец. средствами носитель баз данных;

· Разработать и утвердить инструкцию по организации резервирования и восстановления программного обеспечения, баз персональных данных информационной системы персональных данных;

· Установить формат журнала учета машинных носителей ПДн;

· Осведомить сотрудников, обрабатывающих ПДн, об ответственности за разглашение ПДн.

Обработка данных в Бизнес-приложении.

Для устранения нарушений предлагаются следующие мероприятия:

· Изменить порядок выписки расходно-кассовых ордеров при возврате денег клиентам или при выдаче на подотчет сотрудника - исключить хранение и обработку ПДн в БД, свести хранение имеющихся ПДн к хранению твердых копий. Данная мера позволит избежать криптозащиты всех каналов связи с розничной сетью, защиты от ПЭМИН в розничной сети, т.е. уйти при обработке данных документов из ПДн 2-го класса;

· При выписке дисконтных карт исключить фиксацию паспортных данных, фиксация даты рождения и ФИО должна производиться отдельно установленным сотрудником во время пост-обработки присланных из розничной сети анкет. При этом производить обезличивание данных, что позволит: избежать их криптозащиты и избежать криптозащиты каналов связи Терминальный Сервер - Сервер БД. По сути - ПДн (ФИО и дата рождения) вносить в две разные таблицы, с использованием номера карты как ключевого поля;

· Разработать и утвердить инструкцию по организации резервирования и восстановления программного обеспечения, баз персональных данных информационной системы персональных данных;

· Установить формат журнала учета машинных носителей ПДн;

· Ознакомить сотрудников, обрабатывающих ПДн, с ответственностью сотрудника за разглашение ПДн.

Хранение ПДн на файловых ресурсах.

Для устранения нарушений предлагаются следующие мероприятия:

· В общем случае запретить хранение ПДн на файловых ресурсах, разработку приказов и пр. Обработку осуществлять на отдельных РМ, не подключенных к сети и защищенных специальным программным обеспечением (SecretDisk, SafeDisk, Аккорд);

· В особых случаях выносить места обработки ПДн в отдельную подсеть без выхода в Интернет, подсеть закрыть МСЭ 4 класса;

· Разработать и утвердить инструкцию по организации резервирования и восстановления программного обеспечения, баз персональных данных информационной системы персональных данных;

· Установить формат журнала учета машинных носителей ПДн;

· Ознакомить сотрудников, обрабатывающих ПДн, с ответственностью сотрудника за разглашение ПДн.

В итоге, вся ИС компании в совокупности имеет следующие характеристики:

· Категория персональных данных - ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию, за исключением ПДн, относящихся к категории 1, категория - 2;

· Объем обрабатываемых персональных данных - более 1000, но не превышает 100000, категория - 2;

· ИСПДн 2 класса - степень негативных последствий для субъектов ПДн при нарушении заданных характеристик безопасности характеризуется как негативные последствия.

· Заданные характеристики безопасности персональных данных, обрабатываемых в информационной системе - специальная.

· Структура информационной системы - распределенная информационная система.

· Многопользовательский режим обработки персональных данных.

· Режим разграничения прав доступа пользователей информационной системы - с разграничением прав доступа.

· местонахождение технических средств: в пределах Российской Федерации.

Основными выводами по данным результатам является то, что организация действительно является оператором персональных данных не только своих сотрудников, но и третьих лиц. При этом допускаются нарушения в соответствии ФЗ-152 «О персональных данных» при обработке ПДн. Так же стоит отметить, что защита данной ИС экономически нецелесообразна, поскольку существуют предпосылки к понижению класса системы. Понизить класс ИС можно следующими образами:

· Разделить ИС на несколько логических подсистем, тем самым получив несколько юридически разных ИСПДн, и далее организовывать их защиту исходя из получившегося класса каждой ИСПДн.

· Перейти на обезличивание в тех случаях, где это возможно.

· Запретить обработку ПДн, в тех подразделениях, где нет острой необходимости в этом.

3.2 Модернизация ИС

Чтобы минимизировать расходы для модернизации информационной системы, было решено использовать технические возможности существующей телекоммуникационной инфраструктуры компании.

Разделение ИС на несколько логических подсистем осуществляется на базе технологии виртуальных локальных компьютерных сетей (VLAN) для ИСПДн бухгалтерии и отдела кадров. ИСПД отдела маркетинга выделена из общей сети в автономное рабочее место. Выделение в отдельную сеть компьютеров бухгалтерии и отдела кадров осуществлено на базе технологии виртуальных локальных сетей, поскольку это не требует от компании дополнительных материальных затрат и заключается лишь в решении задачи переконфигурирования коммутационного оборудования. Также данная технология имеет следующий ряд преимуществ:

· VLAN позволяет изменять конфигурацию сети, объединять пользователей в отдельные рабочие группы, определять доступные сегменты для отдельно взятого порта.

· VLAN дает возможность значительно оптимизировать работу локальной сети за счет разгрузки отдельных ее сегментов от "лишнего" трафика.

· С помощью VLAN можно контролировать и эффективно подавлять широковещательные штормы, которые в больших сетях иногда останавливают работу целых сегментов.

· С помощью технологии VLAN обычно создаются рабочие группы. Пользователи одной рабочей группы не могут получить доступ к данным другой группы, потому что каждая VLAN - это закрытая и логически определенная группа[4].

Итак, изначально информационная система выглядела следующим образом (Рис. 5):

Все недостатки данной организации были перечислены в предыдущей части этой главы. На данном этапе нам необходимо выделить компьютеры оператора ПДн и Сервер, на котором производится обработка ПДн, в отдельную сеть. Для этого необходимо на коммутаторе Cisco Catalist 3750 создать два новых VLAN'а, указав для них адрес и маску сети, а также адрес DHCP-сервера:

interface Vlan133

description FINANCE - имя

ip address 192.168.2.97 255.255.255.224 - адрес интерфейса

ip helper-address 192.168.100.35 - адрес DHCP-сервера

!

interface Vlan134

description PERSONAL

ip address 192.168.2.129 255.255.255.224

ip helper-address 192.168.100.35

Создание VLAN'а и задание имени (использование команд в общем виде):

sw(config)# vlan 100

sw(config-vlan)# name N_VLAN

Назначение порта коммутатора в VLAN:

sw(config)# interface fa1/0/1

sw(config-if)# switchport mode access

sw(config-if)# switchport access vlan 100

или диапазона портов:

sw(config)# interface range fa1/0/4 - 5

sw(config-if-range)# switchport mode access

sw(config-if-range)# switchport access vlan 100

Задание адреса в VLAN. Этот адрес будет маршрутом по умолчанию для компьютеров в N_VLAN:

sw(config)#interface N_VLAN

sw(config-if)#ip address 192.168.0.1 255.255.255.0

sw(config-if)#no shutdown

Таким образом, мы получили две отдельные сети для бухгалтерии и отдела кадров, одновременно с этим исключив из сети компьютер оператора ПДн отдела маркетинга (ИСПДн - «Система обработки анкет»). Теперь все персональные данные обрабатываются отдельно от общей сети, а схема информационной системы имеет следующий вид (Рис. 6):

Фильтрации сетевого трафика осуществляются при помощи списков контроля доступа (Access Control List -- ACL), установленных на том же коммутаторе Cisco Catalist 3750, где ранее мы создавали VLAN'ы. Списки контроля доступа определяют то, каким образом трафик обрабатывается при прохождении через сетевое устройство. Как правило, списки ACL реализуются в маршрутизаторах, однако новое аппаратное обеспечение позволяет коммутаторам второго и третьего уровней перед отправкой пакетов обращаться к этим спискам. Списки ACL позволяют пользователям настраивать любой коммутатор для управления трафиком на основании третьего или вышестоящих уровней эталонной модели OSI[5].

К примеру, если нам необходимо разрешить подключение из сети бухгалтерии к терминальному серверу обработки ПДн по протоколу RDP(порт 3389), то этому будет соответствовать следующее правило:

permit tcp 192.168.2.96 0.0.0.31 host 192.168.2.1 eq 3389

или оператору ПДн необходимо осуществить подключение к SQL-серверу (порт 1433), то это будет разрешено следующим правилом:

permit tcp 192.168.2.96 0.0.0.31 host 192.168.2.1 eq 1433

Для организации сетевой печати с терминального сервера обработки ПДн оператором ПДн на принтер, находящийся в той же сети, что и оператор, необходимо двойное правило, разрешающее отправлять пакеты к серверу по порту сетевой печати (9100), а также пропускать ответы принтера из сети по тому же порту:

permit tcp 192.168.2.96 0.0.0.31 host 192.168.100.58 eq 9100

permit tcp 192.168.2.96 0.0.0.31 eq 9100 host 192.168.100.58

После того как все разрешающие правила описаны, добавим правило, явно указывающее на побитовое уничтожение тех пакетов, которые не подпадают ни под одного из выше перечисленных условий:

deny ip any any log

3.3 Нормативная документация по организации защиты ПДн

3.3.1 Классификация информационных систем персональных данных Компании

Для составления акта классификации необходимо рассмотреть исходные данные об информационной системе персональных данных. Такими данными является категория обрабатываемых в информационной системе персональных данных (Хпд):

· категория 1 - ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

· категория 2 - ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию, за исключением ПДн, относящихся к категории 1;

· категория 3 - ПДн, позволяющие идентифицировать субъекта ПДн;

· категория 4 - обезличенные и (или) общедоступные ПДн.

А также к исходным данным относится объем обрабатываемых ПДн (количество субъектов ПДн, персональные данные которых обрабатываются в информационной системе - Хнпд), который можно разделить на три части:

· менее 1000 субъектов ПДн или ПДн в пределах организации;

· от 1000 до 100000 субъектов ПДн или ПДн в отрасли экономики, органе государственной власти, проживающих в пределах муниципального образования;

· более 100000 субъектов ПДн или ПДн в пределах субъекта Российской Федерации или Российской Федерации в целом .

По результатам полученных исходных данных ИСПДн присваивается один из четырех классов в соответствии с приведённой ниже таблицей 3.

Таблица 3.

Категория обрабатываемых

ПДн

Объем обрабатываемых ПДн

менее 1000 субъектов ПДн или ПДн в пределах организации

от 1000 до 100000 субъектов ПДн или ПДн в отрасли экономики, органе государственной власти, проживающих в пределах муниципального образования

более 100000 субъектов ПДн или ПДн в пределах субъекта Российской Федерации или российской Федерации в целом

категория 4

класс 4

класс 4

класс 4

категория 3

класс 3

класс 3

класс 2

категория 2

класс 3

класс 2

класс 1

категория 1

класс 1

класс 1

класс 1

Полученный класс ИСПДн характеризует степень негативных последствий для субъектов ПДн при нарушении заданных характеристик безопасности:

ь для ИСПДн 1 класса - значительные негативные последствия;

ь для ИСПДн 2 класса - негативные последствия;

ь для ИСПДн 3 класса - незначительные последствия;

ь для ИСПДн 4 класса - не приводит к негативным последствиям.

Стоит отметить, что акты классификации и класс ИСПДн может быть пересмотрен в следующих случаях:

ь по решению оператора на основе проведенных им анализа и оценки угроз безопасности ПДн с учетом особенностей и (или) изменений конкретной ИСПДн;

ь по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности ПДн при их обработке в информационной системе.

В акте классификации также необходимо по заданным характеристикам безопасности ИСПДн определить тип ИС:

ь типовые информационные системы - ИСПДн, в которых требуется обеспечение только конфиденциальности ПДн;

ь специальные информационные системы - ИСПДН, в которых вне зависимости от необходимости обеспечения конфиденциальности ПДн требуется обеспечить хотя бы одну из характеристик безопасности ПДн, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

Далее определим ещё несколько параметров ИСПДн:

v Структурное построение ИСПДн:

Ш автономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки ПДн, т.е. автоматизированные рабочие места;

Ш комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа, т.е. локальные информационные системы;

Ш комплексы автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа, т.е. распределенные информационные системы.

v Режимы обработки ПДн:

Ш однопользовательские;

Ш многопользовательские.

v Режимы разграничения прав доступа пользователей:

Ш информационные системы без разграничений прав доступа пользователей;

Ш информационные системы с разграничениями прав доступа пользователей.

Например, для ИСПДн «Система обработки анкет» компании «Арсенал+» соответствуют следующие характеристики:

· категория обрабатываемых в информационной системе персональных данных (Хпд) - 3, ПДн, позволяющие идентифицировать субъекта ПДн;

· объем обрабатываемых ПДн (Хнпд) - от 1000 до 100000 субъектов ПДн или ПДн в отрасли экономики, органе государственной власти, проживающих в пределах муниципального образования;

· специальные информационные системы;

· автономный комплекс технических и программных средств;

· однопользовательские;

Из всего выше приведённого можно сделать вывод, что данная ИСПДн имеет класс 3. А это значит, что степень негативных последствий для субъектов ПДн при нарушении заданных характеристик безопасности является незначительной.

На основании данной методики классификации были составлены следующие акты:

· Акт классификации информационной системы персональных данных: 1С-Предприятие (Приложение 1);

· Акт классификации информационной системы персональных данных: 1С- Зарплата и кадры (Приложение 2);

· Акт классификации информационной системы персональных данных: Система обработки анкет (Приложение 3).

3.3.2 Модель угроз безопасности персональным данным при их обработке в информационных системах персональных данных Компании

Для создания частной модели угроз для ИСПДн компании, за основу необходимо брать:

· Базовую модель угроз безопасности персональным данным при обработке в информационных системах персональных данных, утвержденной 15 февраля 2008г. заместителем директора ФСТЭК России;

· Методику определения актуальных угроз безопасности персональных данных при обработке в информационных системах персональных данных, утвержденной 14 февраля 2008г. заместителем директора ФСТЭК России;

· ГОСТ Р 51275-2006 «Защита информации. Факторы, воздействующие на информацию. Общие положения».

В первую очередь необходимо определить перечень угроз, представляющих потенциальную опасность для персональных данных, обрабатываемых в ИСПДн. Перечень угроз составляется с использованием полученных исходных данных о ИСПДн из акта классификации и применения их к Базовой модели угроз безопасности. Конечной целью является список актуальных угроз выбранных из начального перечня угроз.

Первым параметром для выбора актуальных угроз является уровень исходной защищенности ИСПДн. Уровень исходной защищенности ИСПДн определен экспертным методом в соответствии с "Методикой определения актуальных угроз безопасности персональных данных при обработке в информационных системах персональных данных".

Под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, таких как:

Ш Территориальное размещение;

Ш Наличие соединения с сетями общего пользования;

Ш Встроенным (легальным) операциям с записями баз персональных данных;

Ш Разграничение доступа к персональным данным;

Ш Наличие соединений с другими базами ПДн иных ИСПДн;

Ш Уровень обобщения (обезличивания) ПДн;

Ш Объем ПДн, который предоставляется сторонним пользователям ИСПДн без предварительной обработки.

И так для каждого показателя определяем уровень защищенности (высокий, средний, низкий) в соответствии с таблицей «Показатели исходной защищенности ИСПДн» из "Методики определения актуальных угроз безопасности персональных данных при обработке в информационных системах персональных данных". Исходя из этих показателей определяется степень исходной защищенности, и каждой степени исходной защищенности ставится в соответствие числовой коэффициент , если:

· не менее 70% характеристик ИСПДн соответствуют уровню «высокий» - ИСПДн имеет высокий уровень исходной защищенности, =0;

· не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний» - ИСПДн имеет средний уровень исходной защищенности, =5;

· не выполняются условия по пунктам 1 и 2 - ИСПДн имеет низкую степень исходной защищенности, =10.

Например, мы определили, что ИСПДн «1С-Предприятие» компании «Арсенал+» имеет следующие показатели уровня защищенности:

· высокий - 42,86%;

· средний - 28,57%;

· низкий - 28,57%.

Суммируем значения для уровня «высокий» и «средний». Более 70% характеристик соответствуют уровню не ниже среднего, следовательно, ИСПДн имеет средний уровень исходной защищенности, а числовой коэффициент равен 5.

Следующим пунктом в поиске актуальных угроз будет определение частоты (вероятности) реализации угрозы. Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя, и каждой угрозе ставится в соответствие числовой коэффициент :

маловероятно(=0) - отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

низкая вероятность(=2) - объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

средняя вероятность(=5) - объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

высокая вероятность(=10) - объективные предпосылки для реализации угрозы существуют, и меры по обеспечению безопасности ПДн не приняты.

С учетом коэффициента реализуемости угрозы Y будет определяться по формуле соотношением .

По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом:

ь если , то возможность реализации угрозы признается низкой;

ь если , то возможность реализации угрозы признается средней;

ь если , то возможность реализации угрозы признается высокой;

ь если , то возможность реализации угрозы признается очень высокой.

Далее необходимо оценить опасность каждой угрозы. При оценке опасности на основе опроса экспертов определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения:

ь низкая опасность - если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;

ь средняя опасность - если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;

ь высокая опасность - если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.

Отнести угрозу к актуальной для данной ИСПДн из общего перечня можно использовав приведённую ниже таблицу 4 «Правила отнесения угрозы безопасности ПДн к актуальной».

Таблица 4 «Правила отнесения угрозы безопасности ПДн к актуальной».

Возможность реализации угрозы

Показатель опасности угрозы

Низкая

Средняя

Высокая

Низкая

неактуальная

неактуальная

актуальная

Средняя

неактуальная

актуальная

актуальная

Высокая

актуальная

актуальная

актуальная

Очень высокая

актуальная

актуальная

актуальная

Например, рассмотрим угрозу для ИСПДн «1С-Предприятие» и определим её актуальность для системы. Возьмём угрозу утечки видовой информации. Ранее мы уже рассчитали, что данная ИСПДн имеет уровень исходной защищенности средний, а числовой коэффициент =5. Далее определим частоту (вероятность) реализации угрозы (Значение коэффициента Y2 ). Она будет иметь значение - маловероятно(0), поскольку в организации введён пропускной режим и ограничен доступ в помещение, где обрабатываются персональные данные. А также рабочие места организованы так, что нет возможности съёма информации по оптическому каналу. Теперь мы можем рассчитать коэффициент реализуемости угрозы по формуле

.

Получаем Y=0.25 и определяем, что Y лежит в промежутке между 0 и 0.3, а, значит, возможность реализации угрозы признается низкой. Далее экспертным путём оцениваем опасность угрозы как среднюю - реализация угрозы может привести к негативным последствиям для субъектов персональных данных. Исходя из возможности реализации угрозы (низкая) и показателя опасности угрозы (средняя) делаем вывод, что данная угроза является неактуально для ИСПДн «1С-Предприятие».

На основании данной методики разработки модели угроз были созданы следующие документы:

· Модель угроз безопасности персональным данным при их обработке в информационной системе персональных данных «1С - Предприятие» (Приложение 4);

· Модель угроз безопасности персональным данным при их обработке в информационной системе персональных данных «1С - Зарплата и кадры» (Приложение 5);

· Модель угроз безопасности персональным данным при их обработке в информационной системе персональных данных «Система обработки анкет» (Приложение 6).

С использованием данных о классе ИСПДн и составленного перечня актуальных угроз на основе «Рекомендаций по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных» формулируются конкретные организационно-технические требования по защите ИСПДн от утечки информации по техническим каналам, от несанкционированного доступа, и осуществляется выбор программных и технических средств защиты информации, которые могут быть использованы при создании и дальнейшей эксплуатации ИСПДн.

3.3.3 Разработка требований по обеспечению безопасности персональных данных при их обработке в ИСПДн Компании

По результатам актов классификаций ИСПДн и моделей угроз разработаны требования по обеспечению безопасности на основании «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных при обработке в информационных системах персональных данных», утвержденных 15 февраля 2008г. заместителем директора ФСТЭК России, и «Частной модели угроз…», для следующих ИСПДн:

· «1С - Предприятие» (Приложение 7);

· «1С - Зарплата и кадры» (Приложение 8);

· «Система обработки анкет» (Приложение 9).

Так же в компании были разработаны и внедрены следующие нормативные документы, направленные на защиту персональных данных:

· Инструкция по учету лиц, допущенных к работе с персональными данными в информационных системах персональных данных в ООО «Арсенал+» (Приложение 10);

· Инструкция по организации антивирусной защиты (Приложение 11);

· Инструкция по организации парольной защиты (Приложение 12);

· Положение об обработке персональных данных работников, которое устанавливает порядок обработки персональных данных работников, обеспечение защиты прав и свобод работников при обработке их персональных данных, а также установление ответственности должностных лиц, имеющих доступ к персональным данным работников, за невыполнение требований норм, регулирующих обработку и защиту персональных данных.

· Приказ об организации работ по обеспечению безопасности ПДн.

3.4 Рекомендации и спецификация по закупке средств защиты

В компании присутствуют только ИСПДн 3 класса, поэтому должны быть реализованы мероприятия по защите ПДн от несанкционированного доступа, в соответствии с методическими рекомендациями по организации и проведению работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. При этом предъявляются требования к следующим подсистемам защиты ПДн от несанкционированного доступа:

подсистеме управления доступом;

подсистеме регистрации и учета;

подсистеме обеспечения целостности.

Соответствие предъявляемых к ИСПДн требований классам защищенности автоматизированных систем от несанкционированного доступа приведено в таблице 5.

Таблица 5.

Класс ИСПДн

Подсистемы

Управления доступом

Регистрации и учета

Обеспечения целостности

3

Однопользовательская

3Б

3Б

3Б

Многопользовательская с равными правами доступа

2Б

2Б

2Б

Многопользовательская с разными правами доступа

1Д

1Д

1Д

Исходя из приведенной таблицы для ИСПДн бухгалтерии и отдела кадров, все подсистемы нуждаются в защите средствами от НСД не ниже класса 1Д. А ИСПДн отдела маркетинга - 3Б.

Так же, если терминальный сервер обработки и хранения персональных данных для ИСПДн бухгалтерии и отдела кадров будет вынесен в отдельную подсеть, то сервера необходимо будет защищать межсетевым экраном (МЭ). Определить класс МЭ можно в соответствии таблицей 6.

Таблица 6.

Класс ИСПДн

Класс межсетевого экрана

3

Распределенные ИСПДн

4

ИСПДн, подключенные к сетям связи общего пользования и (или) сетям международного информационного обмена

2

В ИСПДн компании должны быть реализованы мероприятия по антивирусной защите и защите от программно-математических воздействий (несанкционированных воздействий на ресурсы автоматизируемой информационной системы, осуществляемые с использованием вредоносных программ). При этом предъявляются требования к следующим подсистемам защиты ПДн от программно-математических воздействий:

подсистеме управления доступом;

подсистеме регистрации и учета;

подсистеме обеспечения целостности.

Подробно требования по антивирусной защите и защите от программно-математических воздействий изложены в разработанных требованиях по обеспечению безопасности (Приложение 7, 8, 9)

При реализации мероприятий по антивирусной защите и защите от программно-математических воздействий необходимо использовать сертифицированные средства антивирусной защиты. При этом на этапе ввода в эксплуатацию средств антивирусной защиты должны быть установлены настройки данных средств, обеспечивающие выполнение требований, предъявляемых к установленному классу ИСПДн[20].

Из представленных выше требований по защите персональных данных и соответствующих этим требованиям классов средств защиты информации (СЗИ) необходимо составить перечень СЗИ, возможных для внедрения в ИСПДн. Перечень СЗИ составлен на основе государственного реестра сертифицированных средств защиты информации.

...

Страница:


Подобные документы

Работы в архивах красиво оформлены согласно требованиям ВУЗов и содержат рисунки, диаграммы, формулы и т.д.
PPT, PPTX и PDF-файлы представлены только в архивах.
Рекомендуем скачать работу.

© 2000 — 2023, ООО «Олбест» Все права защищены