Размещено на http://www.allbest.ru/

РОССИЙСКАЯ ФЕДЕРАЦИЯ МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ ГОСУДАРСТВЕННОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ ТЮМЕНСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ

Институт математики и компьютерных наук

Кафедра информационной безопасности

Допустить к защите в ГАК

Заведующий кафедрой

информационной безопасности, д.т.н., профессор А.А. Захаров

Выпускная квалификационная работа

РАЗРАБОТКА И ВНЕДРЕНИЕ КОМПЛЕКСА МЕР ПО ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ В ГКУЗ «ЯМАЛО-НЕНЕЦКОГО ОКРУЖНОГО СПЕЦИАЛИЗИРОВАННОГО ДОМА РЕБЕНКА»

Автор работы:

Егорова И.С.

Научный руководитель

Широких А.В.

Тюмень - 2013

Содержание

Введение

1. Нормативно-методическая база

2. Обследование автоматизированных рабочих мест и общего состояния организации защиты информации в ИСПДн

2.1 Пред проектное обследование информационных систем

2.2 Анализ организации безопасности ПДн

2.3 Анализ обрабатываемых ПДн

2.4 Анализ сети

2.5 Сведения об ИСПДн

2.6 Классификация ИСПДн

2.7 План помещений

2.8 Частная модель угроз безопасности персональных данных

2.9 Выводы по пред проектному обследованию

3. Разработка комплекта организационно-распорядительной документации для ИСПДн

4. Техническое проектирование

4.1 Техническое задание

4.2 Проектное решение

4.3 Внедрение средств защиты информации

5. Аттестация информационных систем персональных данных

Заключение

Список литературы

Аннотация

Сокращенные обозначения

Введение

По законодательству Российской Федерации основным документом по обеспечению защиты персональных данных является ФЗ-152 от 27.07.2006 «О персональных данных», согласно которому любая организация-оператор должна защищать информацию о своих работниках и клиентах. В соответствии с требованиями законодательства необходимо проводить разработку комплекта организационно-распорядительной, технической и аттестационной документации, соответствующего нормативно-правовым актам Российской Федерации в области обеспечения защиты персональных данных.

В данной дипломной работе будет произведена разработка и внедрение комплекса мер по защите ПДн на примере государственного казенного учреждения здравоохранения «Ямало-Ненецкого окружного специализированного Дома ребенка» (далее ГКУЗ «ЯНОСДР»). ГКУЗ «ЯНОСДР» является оператором ПДн. Ранее организация заказывала работу по проведению аттестации информационной системы персональных данных (ИСПДн) и разработке документации. Но со временем организация расширила парк рабочих мест, и следовательно, потребовались повторные мероприятия по защите ПДн, которые будут осуществляться в соответствии в новым Приказом № 21.

Поэтому целью данной дипломной работы является разработка СЗПДн. Для реализации поставленной цели были выбраны следующие задачи:

Определить требования к организации защиты персональных данных в соответствии с нормативно-правовыми актами.

Обследование автоматизированных рабочих мест и общего состояния организации защиты информации в ИСПДн.

Комплексный анализ ИСПДн. Определить исходную защищенность учреждения.

Разработка комплекта организационно-распорядительной документации.

Привести документы и техническую защиту учреждения в соответствии с требованиями законодательства РФ в области защиты персональных данных.

Разработать систему защиты персональных данных.

Внедрение средств защиты информации.

Проведение аттестации.

1. Нормативно-методическая база

Федеральный закон Российской Федерации от 19 декабря 2005г. N 160-ФЗ «О Ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных».

Был принят Государственной Думой 25 ноября 2005 года и Одобрен Советом Федерации 7 декабря 2005 года.

Действие конвенции направлено на обеспечение прав и основных свобод физических лиц, в том числе права на неприкосновенность частной жизни, при автоматизированной обработке персональных данных независимо от национальности, места проживания и иных обстоятельств. Конвенция содержит нормы, регулирующие трансграничную передачу персональных данных.

Конвенцией определяются принципы сбора, обработки, хранения и использования информации личного характера, а также меры по защите лиц, к которым относится соответствующая информация, от ее незаконного использования. В соответствии с конвенцией возникло обязательство привести в соответствие область защиты прав субъектов персональных данных по европейским законам. Что бы соответствовать европейским стандартам в РФ был принят Федеральный закон № 152-ФЗ от 27.07.2006 г. «О персональных данных».

Федеральный закон Российской Федерации от 27 июля 2006 г. N 152-ФЗ "О персональных данных" (в редакции N 261-ФЗ от 25.07.2011).

Федеральный закон «О персональных данных» №152-ФЗ вступил в действие 27 июля 2006г. с целью привести Российское законодательство в соответствие с Конвенцией «О защите физических лиц при автоматизированной обработке персональных данных», принятой Советом Европы в 1981г. (ETS №108) и реализовать конституционные права на неприкосновенность частной жизни и свободу информации каждого гражданина России. Область действия Закона распространяется на физические и юридические лица, государственные органы всех уровней, занимающиеся управлением, накапливанием, учетом, передачей и обработкой персональных данных клиентов, сотрудников, партнеров и т.п.

Действие настоящего Федерального закона не распространяется на отношения, возникающие при:

1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;

2) организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных документов в соответствии с законодательством об архивном деле в Российской Федерации;

3) обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.

4) предоставлении уполномоченными органами информации о деятельности судов в Российской Федерации в соответствии с Федеральным законом от 22 декабря 2008 года N 262-ФЗ "Об обеспечении доступа к информации о деятельности судов в Российской Федерации.

Любые действия (операции) связанные с персональными данными представляют обработку ПДн, которая включает в себя сбор данных, а также их классификацию, сбор и сохранность, корректировку (изменение, в том числе обновление), распространение (передачу), использование, нивелирование, ограничение использования ПДн, уничтожение.

По 152-ФЗ на операторов персональных данных возложен ряд обязательных требований. В соответствии с которыми оператор обязуется проводить организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним от нарушителей, заинтересованных в получении доступа к таким данным. Также, оператор в обязательном порядке должен уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о намерении осуществлять обработку персональных данных, непосредственно перед этапом обработки. Оператор до начала обработки персональных данных обязан получить согласие на обработку их персональных данных у субъектов персональных данных. Вместе с тем оператор обязуется предоставить все имеющиеся у него сведения о субъекте персональных данных, целях, условиях обработки персональных данных, способах защиты персональных данных, по просьбе субъекта.

Информационная система персональных данных представляет собой такую информационную систему, которая содержит всю совокупность персональных данных, содержащихся в информационной базе, технических средств, которые позволяют осуществлять обработку подобных персональных данных с использованием автоматизированных средств или без использования таковых, также совокупность информационных технологий.

Основным нормативно-правовым актом об обеспечении безопасности персональных данных является Постановление Правительства РФ от 1 ноября 2012г. N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Данное постановление отменило Постановление Правительства «Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» от 17 ноября 2008г. N 781.

В соответствии с новым постановлением, требования по защите персональных данных в ИСПДн зависят от четырех уровней защищенности ИСПДн (вместо четырех классов информационных систем персональных данных, классификация которых закреплена в Трехглавом приказе, который на данный момент не утратил силу) необходимость обеспечения которых зависит от того, угрозы какого из трех типов угроз актуальны, а также от категории обрабатываемых персональных данных.

Все ИСПДн по категориям обрабатываемых данных делятся на:

ИСПДн-С - обрабатывающие специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни)

ИСПДн-Б - обрабатывающие биометрические категории персональных данных (сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта)

ИСПДн-И - обрабатывающие иные персональных данных.

Кроме того отдельно выделяют системы, обрабатывающие общедоступные персональные данные (данные субъектов персональных данных, полученные только из общедоступных источников) - ИСПДн-О

Также отдельно выделены информационные системы, обрабатывающие персональные данные только сотрудников оператора.

Система защиты персональных данных обрабатываемых в информационных системах персональных данных должна включать в себя организационные и технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах персональных данных. Постановление определяет актуальные угрозы безопасности персональных данных представляющие собой совокупность факторов и условий, которые создают актуальную опасность несанкционированного доступа, также доступа случайного к персональным данным при их обработке в информационной системе, в результате которого персональные даннные могут быть уничтожены, изменены, блокированы, копированы, переданы злоумышленнику, или иные подобные неправомерные действия.

В постановлении приведены три типа актуальных угроз.

- 1 тип. Угрозы, связанные с наличием недокументированных (не декларированных) возможностей в системном программном обеспечении (операционная система)

- 2 тип. Угрозы, связанные с наличием недокументированных (не декларированных) возможностей в прикладном программном обеспечении (программы обработки ПДн)

- 3 тип. Угрозы, не связанные с наличием недокументированных (не декларированных) возможностей

При этом в документе не дается указаний на способы выявления не декларированных возможностей программного обеспечения.

На основании указанных выше критериев определяется уровень защищенности ИСПДн.

Проецируя классификацию информационных систем персональных данных на уровни защищенности, получим таблицу:

Таблица 1. Классификация ИСПДн по уровням защищенности

Категория ПДн и количество	Актуальные угрозы первого типа	Актуальные угрозы второго типа	Актуальные угрозы третьего типа
Специальные категории ПДн более чем 100000 субъектов ПДн , не являющихся сотрудниками оператора	УЗ1	УЗ1	УЗ2
Специальные категории ПДн сотрудников оператора или специальные категории ПДн менее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора	УЗ1	УЗ2	УЗ3
Биометрические ПДн	УЗ1	УЗ2	УЗ3
Иные категории ПДн более чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора	УЗ1	УЗ2	УЗ3
Иные категории ПДн данных сотрудников оператора или иные категории ПДн менее чем 100000 субъектов ПДн, не являющихся сотрудниками оператора	УЗ1	УЗ3	УЗ4
Общедоступные ПДн более чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора	УЗ2	УЗ2	УЗ4
Общедоступные ПДн сотрудников оператора или общедоступные ПДн менее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора	УЗ2	УЗ3	УЗ4

Но, с принятием нового постановления № 1119 остались в «подвешенном» состоянии документы, такие как:

Приказ №58 ФСТЭК России о методах и способах защиты информации в ИСПДн (заменен приказом №21);

Методика определения актуальных угроз безопасности персональных данных;

Методические рекомендации по обеспечению безопасности ПДн с помощью крипто средств;

Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств

Но, так как сами акты не отменены, ими все еще можно руководствоваться, так альтернативы им пока еще нет.

Приказ ФСТЭК России от 18 февраля 2013г. «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» №21. Был зарегистрирован в Минюсте РФ 14 мая 2013 г. и вступил в силу 2 июня 2013 г.

Новый приказ отменяет Приказ ФСТЭК России от 5 февраля 2012г. «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных» №58

В настоящем документе не рассматриваются вопросы обеспечения безопасности персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну, а также меры, связанные с применением шифровальных (криптографических) средств защиты информации.

Настоящий документ предназначен для выбора операторами информационных систем и (или) уполномоченными лицами организационных и технических мер по обеспечению безопасности персональных данных и их реализации в системе защиты персональных данных, создаваемой в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012г. № 1119 в соответствии с установленным уровнем защищенности персональных данных.

Выбранные и реализованные в системе защиты персональных данных организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах должны обеспечивать нейтрализацию актуальных угроз безопасности персональных данных, определенных в соответствии с частью 5 статьи 19 Федерального закона «О персональных данных».

Для проведения работ по обеспечению безопасности персональных данных при их обработке в информационных системах операторами и (или) уполномоченными лицами в соответствии с законодательством Российской Федерации могут привлекаться организации, имеющие лицензию на деятельность по технической защите конфиденциальной информации.

Для обеспечения безопасности персональных данных при их обработке в информационных системах применяются средства защиты информации, прошедшие в соответствии с законодательством Российской Федерации оценку соответствия в форме обязательной сертификации на соответствие требованиям по безопасности информации.

Оценка достаточности выбранных и реализованных в системе защиты персональных данных организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах для нейтрализации актуальных угроз безопасности персональных данных осуществляется оператором (уполномоченным лицом) в

Ходе проводимого им контроля за выполнением Требований к защите при их обработке в иных информационных системах персональных данных утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012г. №1119.

По решению оператора (уполномоченного лица) оценка достаточности выбранных и реализованных в системе защиты персональных данных организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах может осуществляться в рамках аттестации информационной системы.

Меры по обеспечению безопасности персональных данных в государственных информационных системах принимаются в соответствии с требованиями о защите информации, не содержащей государственную тайну, содержащейся в государственных информационных системах, устанавливаемыми ФСТЭК России в пределах своих полномочий.

2. Обследование автоматизированных рабочих мест и общего состояния организации защиты информации в ИСПДн

2.1 Пред проектное обследование информационных систем

Общее число персонала и совокупность средств автоматизации ГКУЗ «ЯНОСДР», представленная информационными системами персональных данных представляет объект защиты.

На первом шаге исследования (осмотра) общего состояния защищенности информации в учреждении проводится обследование информационных систем персональных данных, состоящее из:

1. комплексный анализ процесса обработки информации направлен на обнаружение всех информационных систем и баз данных, хранящих и обрабатывающих персональные данные, а также объемов и категорий этих данных;

2. выявление действующего списка служащих и их автоматизированных рабочих мест (далее - АРМ), принимающих участие в процессе обработки персональных данных;

3. анализ структуры локальной вычислительной сети (далее - ЛВС), обеспечивающей работоспособность АРМ, конкретизацию методов подключения ЛВС к сетям общего доступа и/или международного информационного обмена;

4. сбор информации, необходимой для составления технического паспорта на ИСПДн - перечень программного обеспечения, установленного на каждом АРМ, обнаружение аспектов функционирования информационных систем, в которых непосредственно выполняется обработка персональных данных;

5. формирование планов помещений ГКУЗ «ЯНОСДР»,в которых непосредственно размещены аппаратные компоненты ИСПДн (АРМ, сетевое, серверное, коммутационное оборудование ЛВС);

6. указание месторасположения основных и вспомогательных средств и систем (далее ОТСС и ВТСС, соответственно) с привязкой к планам помещений, указанием пролегания слаботочных линий связи и линий электропитания;

7. анализ утвержденной и введенной организационно-распорядительной документации, согласно которой осуществляется безопасность информации в ГКУЗ «ЯНОСДР», проверка соответствия данной документации текущим требованиям нормативно-правовых актов и законодательных, актуальных на территории Российской Федерации.

2.2 Анализ организации безопасности ПДн

После сбора всех необходимых данных следует провести обработку собранных данных.

Первым шагом требуется провести анализ организации безопасности ПДн. Предназначение этого шага заключается в обнаружении «слабых мест» в процессе обработки ПДн. Были выявлены следующие нарушения не соответствующие требованиям нормативных правовых актов Российской Федерации и методических документов ФСТЭК и ФСБ России, которые были разделены на две группы:

По состоянию

По документации

По состоянию

Ответственные должностные лица за обеспечение безопасности персональных данных и за непосредственное выполнение работ по защите персональных данных при их обработке в информационных системах не назначены.

Средства контроля и разграничения доступа отсутствуют.

Отсутствуют средства защиты информации.

Антивирусная защита осуществляется польщователями с применением программного средства Kaspersky Endipoint Security 8 для Windows.

Выход в сети связи общего пользования осуществляется с АРМ социального работника.

Присутствует средство криптографической защиты информации КриптоПроCSP.

По документации

Перечень ПДн, подлежащих защите в ИСПДн, утвержден, но не соответствует действительности.

Правила учета носителей ПДн не утверждены.

Правила допуска лиц в помещения, в которых ведется работа с персональными данными, не определены.

Классификация ИСПДн не проведена.

Места размещения технических средств ИСПДн не определены.

Правила, определяющие порядок разбирательства по фактам несоблюдения условий хранения носителей ПДн, использования средств защиты информации, которые могут привести к нарушению уровня конфиденциальности ПДн или другим нарушениям, приводящим к снижению уровня защищенности ПДн, не предоставлены.

Правила, определяющие порядок приостановки предоставления ПДн в случае обнаружения нарушений требований по защите информации, не предоставлены.

Порядок обучения сотрудников правилам использования СЗИ не определен.

Правила (инструкции) по контролю за соблюдением условий использования СЗИ, предусмотренных эксплуатационной и технической документацией, не определены.

Инструкции, определяющие порядок резервирования и восстановления ПДн, не предоставлены.

Правила (инструкции), определяющие порядок восстановления работоспособности ИСПДн, баз данных и средств защиты, не определены.

Правила парольной защиты не определены.

Частная модель угроз для ИСПДн не составлена.

Требования по обеспечению безопасности ПДн при их обработке в ИСПДн не составлены.

2.3 Анализ обрабатываемых ПДн

В дальнейшем необходимо описать каким образом происходит обработка ПНд (приведен в таблице 2), цель обработки ПДн(табл. 3), правовое основание обработки ПДн(табл. 4), перечень обрабатываемых ПДн(табл. 5), объем ПДн(табл. 6), перечень осуществляемых действий в отношении ПДн в ИСПДн (табл. 7), сроки хранения ПДн (табл. 8), список сотрудников, осуществляющих обработку ПДн (табл. 9), способы поступления и ввода ПДн в ИСПДн (табл. 10), источники поступления ПДн (табл. 11), информация об организации передачи ПДн (табл. 12).

Таблица 2 - Процесс обработки ПДн.

ИСПДн	Способ обработки	Описание процесса обработки
«Кадровый учет»	Без автоматизации	Сотрудник составляет трудовые договоры
	С автоматизацией	Сотрудник ведет кадровый учет в программе «Microsoft Office профессиональный 2010».
«Бухгалтерский учет»	Без автоматизации	Сотрудники ведут бухгалтерский учет.
	С автоматизацией	Сотрудники ведут бухгалтерский учет в программе "ПАРУС ПРЕДПРИЯТИЕ 8", начисляют заработную плату, отправляют реестры заработной платы в банк.
«Медицинский персонал»	Без автоматизации	Не производится
	С автоматизацией	Сотрудник ведет реестры медицинских работников в программе «Медицинский персонал».
«Карта ребенка инвалида»	Без автоматизации	Не производится
	С автоматизацией	Сотрудник ведет реестры детей инвалидов в программе «Федеральный регистр детей-инвалидов»

Цель обработки ПДн приведена в таблице 3.

ИСПДн	Цель
«Кадровый учет»	Ведение кадрового учета
«Бухгалтерский учет»	Ведение бухгалтерского учета, выдача заработной платы
«Медицинский персонал»	Отправка реестров в страховые компании
«Карта ребенка инвалида»	Ведение реестра детей инвалидов

Работа с ПДн регламентируется нормативно-правовыми актами РФ. Правовое основание обработки ПДн приведено в таблице 4.

ИСПДн	Правовое основание обработки ПДн
«Кадровый учет»	Трудовой кодекс РФ
«Бухгалтерский учет»	Федеральный закон «О бухгалтерском учете» № 129-ФЗ
«Медицинский персонал»	Договор со страховыми компаниями
«Карта ребенка инвалида»	Федеральный закон «О социальной защите инвалидов в Российской Федерации» № 181-ФЗ

Перечень обрабатываемых ПДн в ИСПДн приведен в таблице 5.

ИСПДн	Обрабатываемые ПДн	Хпд
«Кадровый учет»	Фамилия, имя, отчество, паспортные данные, ИНН, СНИЛС, должность, данные об образовании, телефон, квалификация.	Категория 2: Данные, позволяющие идентифицировать субъекта и получить о нем дополнительную информацию
«Бухгалтерский учет»	ФИО, паспортные данные, страховой медицинский полис, страховое пенсионное свидетельство, ИНН, адрес фактический и регистрации, сведения об образовании, семейное положение, стаж работы, должность, сведения о зарплате, контактный телефон.	Категория 2: Данные, позволяющие идентифицировать субъекта и получить о нем дополнительную информацию
«Медицинский персонал»	Фамилия, имя, отчество, паспортные данные, ИНН, СНИЛС, должность, данные об образовании, телефон, квалификация.	Категория 2: Данные, позволяющие идентифицировать субъекта и получить о нем дополнительную информацию
«Карта ребенка инвалида»	Фамилия, имя, отчество, диагноз, инвалидность, год рождения, полис обязательного медицинского страхования, адрес проживания.	Категория 1: Данные, позволяющие идентифицировать субъекта и получить о нем дополнительную информацию, в том числе сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных убеждений, состояния здоровья, интимной жизни

Объем обрабатываемых ПДн в ИСПДн приведен в таблице 6.

ИСПДн	Обрабатываемые ПДн	Хнпд
«Кадровый учет»	Объем обрабатываемых персональных данных: одновременно обрабатываются данные до 100 000 субъектов персональных данных;	3
«Бухалтерский учет»	Объем обрабатываемых персональных данных: одновременно обрабатываются данные до 100 000 субъектов персональных данных;	3
«Медицинский персонал»	Объем обрабатываемых персональных данных: одновременно обрабатываются данные до 100 000 субъектов персональных данных;	3
«Карта ребенка инвалида»	Объем обрабатываемых персональных данных: одновременно обрабатываются данные до 100 000 субъектов персональных данных;	2

Перечень осуществляемых действий в отношении ПДн в ИСПДн приведен в таблице 7.

ИСПДн	Действия
«Кадровый учет»	Сбор, систематизация, накопление, хранение, уточнение (изменение, обновление), использование, уничтожение, передача.
«Бухгалтерский учет»	Сбор, систематизация, накопление, хранение, уточнение (изменение, обновление), использование, уничтожение, передача.
«Медицинский персонал»	Сбор, систематизация, накопление, хранение, уточнение (изменение, обновление), использование, уничтожение, передача
«Карта ребенка инвалида»	Сбор, систематизация, накопление, хранение, уточнение (изменение, обновление), использование, уничтожение, передача

Сроки хранения персональных данных указаны в таблице 8.

ИСПДн	Срок хранения
«Кадровый учет»	75 лет
«Бухгалтерский учет»	75 лет
«Медицинский персонал»	75 лет
«Карта ребенка инвалида»	До достижения целей обработки персональных данных

В таблице 9 приведен список сотрудников, осуществляющих обработку ПДн:

№п/п	Фамилия, имя, отчество	Наименование должности	Наименование ИСПДн
	Черепанова Нина Андреевна	Специалист отдела кадров	«Кадровый учет»
	Андреева Клавдия Васильевна	Сотрудник отдела кадров	«Кадровый учет»
	Чернова Светлана Сергеевна	Сотрудник отдела кадров	«Кадровый учет»
	Колчанова Татьяна Викторовна	Сотрудник отдела кадров	«Кадровый учет»
	Ашихнина Марина Сергеевна	оператор ЭВМ	«Кадровый учет»
	Плешков Павел Генадьевич	оператор ЭВМ	«Кадровый учет»
	Шматов Артем Витальевич	оператор ЭВМ	«Кадровый учет»
	Черепанов Константин Николаевич	Заместитель главного бухгалтера	«Бухгалтерский учет»
	Тонатова Валентина Андреевна	Главный бухгалтер	«Бухгалтерский учет»
	Васильева Нина Анатольевна	Бухгалтер	«Бухгалтерский учет»
	Глазырина Людмила Владимировна	Специалист по социальной работе	«Карта ребенка инвалида», «Медицинский персонал»
	Сизикова Людмила Александровна	Медицинский регистратор	«Карта ребенка инвалида», «Медицинский персонал»
	Лошакевич Ирина Леонидовна	Медицинский регистратор	«Карта ребенка инвалида», «Медицинский персонал»
	Чисталёва Нина Владимировна	Оператор льготных рецептов	«Карта ребенка инвалида», «Медицинский персонал»
	Бутуева Елена Юрьевна	Врач терапевт	«Карта ребенка инвалида», «Медицинский персонал»
	Курдюкова Галина Петровна	Врач терапевт	«Карта ребенка инвалида», «Медицинский персонал»
	Шнайдер Наталья Александровна	Заведующий терапевтическим отделением	«Карта ребенка инвалида», «Медицинский персонал»
	Дружинин Юрий Николаевич	Системный администратор	«Кадровый учет», «Бухгалтерский учет», «Карта ребенка инвалида», «Медицинский персонал», ПК-Администратор

Способы поступления и ввода ПДн в ИСПДн приведены в таблице 10:

ИСПДн	Ввод ПДн
«Кадровый учет»	С клавиатуры
«Бухгалтерский учет»	С клавиатуры
«Медицинский персонал»	С клавиатуры
«Карта ребенка инвалида»	С клавиатуры

Источники поступления ПДн приведены в таблице 11:

ИСПДн	Источники поступления ПДн
«Кадровый учет»	От сотрудников организации
«Бухгалтерский учет»	От сотрудников организации
«Медицинский персонал»	От сотрудников организации
«Карта ребенка инвалида»	Из личных дел

Информация об организации передачи ПДн приведена в таблице 12:

ИСПДн	Передача ПДн	Объем предоставляемых ПДн
«Кадровый учет»	Передаются в обслуживающий организацию банк, налоговую службу, пенсионный фонд.	Вся БД
«Бухгалтерский учет»	Передаются в обслуживающий организацию банк, налоговую службу, пенсионный фонд.	Вся БД
«Медицинский персонал»	Передаются в департамент здравоохранения ЯНАО	Вся БД
«Карта ребенка инвалида»	Передаются в департамент здравоохранения ЯНАО	Вся БД

2.4 Анализ сети

ГКУЗ «ЯНОСДР» -- занимается обработкой ПДн. Для обеспечения возможности обработки данных было выделены помещение («серверная») и средства на покупку вычислительной техники и программного обеспечения. ГКУЗ «ЯНОСДР» находится на втором этаже здания, содержит шестнадцать кабинетов, включая подсобные помещения.

Ключевым назначением имеющейся ЛВС является ведение реестра пациентов (детей - инвалидов), ведение бухгалтерского и кадрового учета, отправка реестров в страховые компании. Рабочие места системы оснащены персональными компьютерами, соединенными локальной вычислительной сетью с серверами, содержащими базы данных.

Рассмотрим структуру первоначальной ЛВС предприятия.

Пользовательская АРМ «Кадровый учет» подключена к сегменту сети со специальной автономной многопользовательской без разграничения прав доступа логической структурой. Не подключенная к сетям общего пользования.

Вторая совместная пользовательская АРМ «Медицинский персонал» и «Карта ребенка инвалида», подключена к сегменту сети со специальной локальной многопользовательской с разграничением прав доступа логической структурой. Имеет подключение к сетям общего пользования.

Сетевому оборудованию назначены следующие адреса:

192.168.0.1 - пограничный маршрутизатор на границе с интернетом (ГКУЗ «ЯНОСДР»)

192.168.0.2 - прокси-сервер (ГКУЗ «ЯНОСДР»)

192.168.0.3 - коммутатор-звезда(ГКУЗ «ЯНОСДР»)

192.168.0.4 - сервер AD (ГКУЗ «ЯНОСДР»)

192.168.0.5 - сервер ИСПДн «Кадровый учет» (ГКУЗ «ЯНОСДР»)

192.168.0.6 - совместный сервер ИСПДн «Медицинский персонал» и «Карта ребенка инвалида» (ГКУЗ «ЯНОСДР»)

192.168.0.7 - ПК «Администратор» (ГКУЗ «ЯНОСДР»)

192.168.0.8 - «Кадровый учет» пользовательская АРМ (ГКУЗ «ЯНОСДР»)

192.168.0.9 - «Медицинский персонал», «Карта ребенка инвалида» пользовательская АРМ (ГКУЗ «ЯНОСДР»)



Рис. 1. Первоначальная структура сети.

На компьютере специалиста по отделу кадров установлен пакет программ «Microsoft Office профессиональный 2010» в которой сотрудник ведет бухгалтерский и кадровый учет в программе, составляет трудовые договоры, также там хранится информация о всех сотрудниках системы.

На совместном компьютере сотрудника отдела «Медицинский персонал» и «Карта ребенка инвалида» также установлен пакет программ «Microsoft Office профессиональный 2010» в которой он ведет реестры медицинских работников в программе «Медицинский персонал» и реестры детей инвалидов в программе «Федеральный регистр детей-инвалидов», также там хранится информация о всех сотрудниках системы.

В качестве операционной системы на всех компьютерах используется Windows 7. Также на компьютерах локальной вычислительной сети установлена антивирусная программа Kaspersky Endpoint Security 8.

Рассмотрев первоначальную структуру сети ГКУЗ «ЯНОСДР». Перейдем к обзору реорганизованной структуры сети предприятия.

В связи с добавлением новых АРМ, сервера и последующей реорганизацией внутренней структуры сети ГКУЗ «ЯНОСДР» будет произведен ввод в эксплуатацию новых сегментов сети и добавление коммутирующего оборудования. Новым сегментом сети будет отдел «Бухгалтерского учета», в отдельные сегменты выделены отделы «Кадровый учет» и «Медицинский персонал».

АРМ и серверное оборудование сети при помощи телекоммуникационных узлов логически разделены на виртуальные сети по принципу выполняемых ими задач:

VLAN0 (trunk) - сервер AD, ПК-администратор, пограничный маршрутизатор на границе с интернетом D-Link.

VLAN1- сервер ИСПДн «Медицинский персонал» и «Карта ребенка инвалида», ПК- «Медицинский персонал» ,«Карта ребенка инвалида» в колличестве 7 АРМ, коммутатор №1, коммутатор-звезда и прокси-сервер.

VLAN2- сервер ИСПДн «Кадровый учет», ПК- «Кадровый учет» в колличестве 7 АРМ, коммутатор №2, коммутатор-звезда.

VLAN3- сервер ИСПДн «Бухгалтерский учет», ПК- «Бухгалтерский учет» в колличестве 3 АРМ, коммутатор №3, коммутатор-звезда и прокси-сервер.

Сетевеому оборудованию переназначены следующие адреса:

192.168.0.1 - пограничный маршрутизатор на границе с интернетом (ГКУЗ «ЯНОСДР»)

192.168.0.2 - прокси-сервер (ГКУЗ «ЯНОСДР»)

192.168.0.3 - коммутатор-звезда(ГКУЗ «ЯНОСДР»)

192.168.0.4 - коммутатор для отдела «Медицинский персонал», «Карта ребенка инвалида» (ГКУЗ «ЯНОСДР»)

192.168.0.5 - коммутатор для отдела «Кадровый учет» (ГКУЗ «ЯНОСДР»)

192.168.0.6 - коммутатор для отдела «Бухгалтерский учет» (ГКУЗ «ЯНОСДР»)

192.168.0.7 - сервер AD (ГКУЗ «ЯНОСДР»)

192.168.0.8 - сервер ИСПДн «Кадровый учет» (ГКУЗ «ЯНОСДР»)

192.168.0.9 - сервер ИСПДн «Бухгалтерский учет» (ГКУЗ «ЯНОСДР»)

192.168.0.10 - совместный сервер ИСПДн «Медицинский персонал» и «Карта ребенка инвалида» (ГКУЗ «ЯНОСДР»)

192.168.0.11 - ПК «Администратор» (ГКУЗ «ЯНОСДР»)

192.168.0.12…14 - «Бухгалтерский учет» пользовательские АРМ (ГКУЗ «ЯНОСДР»)

192.168.0.15...22 - «Кадровый учет» пользовательские АРМ (ГКУЗ «ЯНОСДР»)

192.168.0.23...30 - «Медицинский персонал», «Карта ребенка инвалида» пользовательские АРМ (ГКУЗ «ЯНОСДР»)

Рис. 2. Реорганизованная структура сети.

Для обеспечения безопасности работы в сети Интернет было принято решение о приобретении программного комплекса Security Studio Endpoint Protection: Personal Firewall, HIPS включающий в свой состав межсетевой экран, средство обнаружения вторжений и сертифицированный антивирус, который защищает от внешних атак и вирусов, а также систему защиты инфрмации от несанкционированного доступа «SecretNet 6.5-A» (автономный варант) и программу контроля сертифицированной версии ОС Windows XP Professional (XP_Cheeck 3.0). Сетевой сканер безопасности «XSpider 7.8» - сканер уязвимостей, проверяет все возможные уязвимости независимо от программной и аппаратной платформы узлов: начиная от рабочих станций под Windows и заканчивая сетевыми устройствами Cisco.

Конфигурация, логическая структура, наличие физических подключений ИСПДн приведены в таблице 13:

ИСПДн	Конфигурация, логическая структура	Состав ТС	Наличие физических подключений (ЛВС, Интернет, каналы связи провайдеров)
«Кадровый учет»	Специальная автономная многопользовательская без разграничения прав доступа	7 АРМ	ИСПДн не подключена к сетям общего пользования
«Бухгалтерский учет»	Специальная автономная многопользовательская без разграничения прав доступа	3 АРМ	ИСПДн подключена к сетям общего пользования
«Медицинский персонал»	Специальная локальная многопользовательская с разграничения прав доступа	7 АРМ (совместно с ИСПДн «Карта ребенка инвалида»)	ИСПДн подключена к сетям общего пользования
«Карта ребенка инвалида»	Специальная локальная многопользовательская с разграничения прав доступа	7 АРМ (совместно с ИСПДн «Медицинский персонал»)	ИСПДн подключена к сетям общего пользования

2.5 Сведения об ИСПДн

Перечень общесистемного ПО (операционных систем) приведен в таблице 14:

№ п/п	Наименование, версия ОС	Месторасположение	Примечание
1	Microsoft Windows XP Professional SP 3	г. Тюмень, ул. М. Горького, д. 28А, отдел кадров, приемная	АРМ. Сертификат ФСТЭК не предоставлен

Перечень прикладного ПО (используемого для обработки ПДн) приведен в таблице 15:

№ п/п	Наименование, версия	Возможности программного средства	Расположение ресурса
ИСПДн «Кадровый учет»
	Microsoft Office, для дома и бизнеса 2010	Текстовый редактор	Отдел кадров Системный блок Инв.№ 013660053
ИСПДн «Бухгалтерский учет»
	Microsoft Office профессиональный 2010	Текстовый редактор	Приемная Системный блок S/N 16219034900115
	ПАРУС БЮДЖЕТ [Русский]	Бухгалтерский и кадровый учет
ИСПДн «Медицинский персонал»
	Microsoft Office профессиональный 2010	Текстовый редактор	Приемная Системный блок S/N 16219034900115
	Медицинский персонал	Ведение реестра медицинских работников	Приемная Системный блок S/N 16219034900115
ИСПДн «Карта ребенка инвалида»
	Microsoft Office профессиональный 2010	Текстовый редактор	Приемная Системный блок S/N 16219034900115
	Федеральный регистр детей-инвалидов	Ведение реестра детей инвалидов	Приемная Системный блок S/N 16219034900115

2.6 Классификация ИСПДн

Следующий шаг - проведение классификации ИСПДн.

Классифицировать ИСПДн необходимо для того, чтобы определить минимальные необходимые меры защиты. Классификация ИСПДн проводится в соответствии со cсовместным приказом ФСТЭК №55, ФСБ №86, Минсвязи №20 от 13 февраля 2008 г. "Об утверждении порядка проведения классификации информационных систем персональных данных" и Постановлением Правительства «Об утверждении положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» от 17 ноября 2008г. N 781. Согласно данным нормативно-правовым актам ранее до реорганизации сети учреждения, ИСПДн были присвоенные классы.

Предварительная классификация ИСПДн приведена в таблице:

ИСПДн	Хпд	Хнпд	Класс
«Кадровый учет»	2	3	К3
«Бухгалтерский учет»	2	3	К3
«Медицинский персонал»	2	3	К3
«Карта ребенка инвалида»	1	2	К1

Но в связи с корректировкой законодательной базы в области безопасности ПДн, и принятием нового Постановления Правительства РФ от 1 ноября 2012г. N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» изменились термины информационной безопасности - «класс» заменен на «уровень защищенности».

ИСПДн «Кадровый учет»:

Объектом защиты являются ПДн, обрабатываемые в специальной ИСПДн «Кадровый учет».

Обработка ПДн в ИСПДн «Кадровый учет» осуществляется с использованием средств автоматизации.

В рассматриваемой ИСПДн «Кадровый учет» обрабатываются персональные данные относящиеся к категории иных, ИСПДн-И.

В рассматриваемой ИСПДн «Кадровый учет» обрабатываются персональные данные субъектов, являющихся сотрудниками оператора.

В рассматриваемой ИСПДн «Кадровый учет» одновременно обрабатывается персональные данные: объемом менее 100 000.

ИСПДн «Кадровый учет» относится к специальным, так как в ней существует необходимость обеспечить, кроме конфиденциальности, целостность и доступность.

ИСПДн «Кадровый учет» имеет автономную структуру.

ИСПДн «Кадровый учет» нет подключение к сетям связи общего пользования и сетям международного информационного обмена.

По режиму обработки ПДн ИСПДн «Кадровый учет» является многопользовательская, без разграничения прав доступа.

Все технические средства ИСПДн находятся на территории Российской Федерации.

Для ИСПДн «Кадровый учет» актуальны угрозы 3-го типа.

Актуальные угрозы информационной безопасности, которым подвержены ИСПДн, определяются и обосновываются в Частной модели угроз.

Частная модель угроз разрабатывается на основе РД ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных».

В соответствии с пунктами 14 и 15 «Порядка проведения классификации информационных систем персональных данных», утвержденного совместным приказом ФСТЭК России, ФСБ России, Министерства информационных технологий и связи Российской Федерации от 13.02.2008 № 55/86/20, в соответствии с постановлением Правительства Российской Федерации от 01.12.2013 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и на основании анализа исходных данных, комиссия решила в специальной информационной системе персональных данных «Кадровый учет» необходимо обеспечить 4-ый уровень защищенности (УЗ4) персональных данных.

ИСПДн «Бухгалтерский учет», «Медицинский персонал»:

Объектом защиты являются ПДн, обрабатываемые в специальной ИСПДн «Бухгалтерский учет», «Медицинский персонал».

Обработка ПДн в ИСПДн «Бухгалтерский учет», «Медицинский персонал» осуществляется с использованием средств автоматизации.

В рассматриваемой ИСПДн «Бухгалтерский учет», «Медицинский персонал» обрабатываются персональные данные относящиеся к категории иных, ИСПДн-И.

В рассматриваемой ИСПДн «Бухгалтерский учет», «Медицинский персонал» обрабатываются персональные данные субъектов, являющихся сотрудниками оператора.

В рассматриваемой ИСПДн «Бухгалтерский учет», «Медицинский персонал» одновременно обрабатывается персональные данные: объемом менее 100 000.

ИСПДн «Бухгалтерский учет» относится к специальным, так как в ней существует необходимость обеспечить, кроме конфиденциальности, целостность и доступность.

ИСПДн «Бухгалтерский учет», «Медицинский персонал» имеет локальную структуру.

ИСПДн «Бухгалтерский учет», «Медицинский персонал» имеет подключение к сетям связи общего пользования и сетям международного информационного обмена.

По режиму обработки ПДн ИСПДн «Бухгалтерский учет», «Медицинский персонал» является многопользовательская, без разграничения прав доступа.

Все технические средства ИСПДн находятся на территории Российской Федерации.

Для ИСПДн «Бухгалтерский учет», «Медицинский персонал» актуальны угрозы 3-го типа.

Актуальные угрозы информационной безопасности, которым подвержены ИСПДн, определяются и обосновываются в Частной модели угроз.

Частная модель угроз разрабатывается на основе РД ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных».

В соответствии с пунктами 14 и 15 «Порядка проведения классификации информационных систем персональных данных», утвержденного совместным приказом ФСТЭК России, ФСБ России, Министерства информационных технологий и связи Российской Федерации от 13.02.2008 № 55/86/20, в соответствии с постановлением Правительства Российской Федерации от 01.12.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и на основании анализа исходных данных, комиссия решила в специальной информационной системе персональных данных «Бухгалтерский учет» и «Медицинский персонал» необходимо обеспечить 4-ый уровень защищенности (УЗ4) персональных данных.

Для ИСПДн «Карта ребенка инвалида»:

Объектом защиты являются ПДн, обрабатываемые в специальной ИСПДн «Карта ребенка инвалида».

Обработка ПДн в ИСПДн «Карта ребенка инвалида» осуществляется с использованием средств автоматизации.

В рассматриваемой ИСПДн «Карта ребенка инвалида» обрабатываются персональные данные специальной категории, ИСПДн-С.

В рассматриваемой ИСПДн «Карта ребенка инвалида» обрабатываются персональные данные субъектов, не являющихся сотрудниками оператора.

В рассматриваемой ИСПДн «Карта ребенка инвалида» одновременно обрабатывается персональные данные: объемом менее 100 000.

ИСПДн «Карта ребенка инвалида» относится к специальным, так как в ней существует необходимость обеспечить, кроме конфиденциальности, целостность и доступность.

ИСПДн «Карта ребенка инвалида» имеет автономную структуру.

ИСПДн «Карта ребенка инвалида» нет подключение к сетям связи общего пользования и сетям международного информационного обмена.

По режиму обработки ПДн ИСПДн «Карта ребенка инвалида» является многопользовательская, без разграничения прав доступа.

Все технические средства ИСПДн находятся на территории Российской Федерации.

Для ИСПДн «Карта ребенка инвалида» актуальны угрозы 3-го типа.

Актуальные угрозы информационной безопасности, которым подвержены ИСПДн, определяются и обосновываются в Частной модели угроз.

Частная модель угроз разрабатывается на основе РД ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных».

В соответствии с пунктами 14 и 15 «Порядка проведения классификации информационных систем персональных данных», утвержденного совместным приказом ФСТЭК России, ФСБ России, Министерства информационных технологий и связи Российской Федерации от 13.02.2008 № 55/86/20, в соответствии с постановлением Правительства Российской Федерации от 01.12.2013 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и на основании анализа исходных данных, комиссия решила в специальной информационной системе персональных данных «Карта ребенка инвалида» необходимо обеспечить 3-ий уровень защищенности (УЗ3) персональных данных.

2.7 План помещений

Государственное казенное учреждение здравоохранения «Ямало-Ненецкий окружной специализированный Дом ребенка» находится по адресу: г. Тюмень, ул. М. Горького, д. 28А.

Помещения ГКУЗ «ЯНОСДР» расположены на втором этаже двухэтажного здания. В организации должно существовать специальное защищенное помещение, так называемое выделенное помещение.
При аттестации выделенного помещения необходимо:

определить уровни акустического сигнала и шумов в предполагаемых местах размещения прослушивающих устройств.

определить уровни вибрационного сигнала, шумов в предполагаемых местах размещения прослушивающих устройств контактного ти

измерить коэффициент звукоизоляции конструкций ограждения выделенного помещения (окна, двери, стены, пол, потолок).

измерить коэффициент виброизоляции конструкций ограждения выделенного помещения, включая всевозможные компоненты инженерно-технических систем и их коммуникации.

измерить уровни вибрационных и акустических шумов в предполагаемых местах размещения прослушивающих устройств, при применении в выделенном помещении систем виброакустической маскировки.

определить уровни информационных сигналов на выходе ВТСС, возникающих вследствие акустоэлектрического преобразования акустических сигналов элементами ВТСС.

определяется уровень слышимости речи.

Тестирование на присутствие внедренных специальных электронных устройств перехвата информации.

Список для обследования:

помещения для закрытых мероприятий;

технические средства для операций с информацией ограниченного доступа;

вспомогательные технические средства, находящиеся на объектах информатизации, а также в выделенных помещениях.

По итогам проверки технических средств на наличие электронных устройств перехвата данных создается акт, в соответствии с которым заказчик получает заключение.

После окончания специальной проверки выделенного помещения формируется акт, в котором указываются итоги проверки и рекомендации по защите помещения, утверждающийся руководителем, ответственным за проведение подобных проверок. Акт специальной проверки выполняется в двух экземплярах, один из них высылается по адресу владельца-заказчика помещения прошедшего проверку, а второй остается в организации исполнителя, проводившей специальную проверку.

По результатам аттестации оформляются протоколы испытаний и заключение с конкретными рекомендациями по устранению допущенных нарушений, приведению системы защиты объекта информатизации в соотве...