Что понимается под техническими средствами информационной системы персональных данных

Техническая защита персональных данных

Защита персональных данных
с помощью DLP-системы

Для чего требуется техническая защита персональных данных

По своей правовой природе персональные данные относятся к конфиденциальной, охраняемой законом информации. Федеральный закон «О персональных данных» причисляет к ним любую информацию, которая прямо относится к тому или иному человеку. После того, как она доверена операторам-компаниям, осуществляющим ее обработку, сведения, переданные физическими лицами при условии оформления согласия на их обработку определенными способами и в определенных целях, получают охраняемый статус. В отличие от коммерческой тайны, способы защиты персональных данных устанавливаются государством. Перечень конкретных технических средств определяется ФСТЭК России в Приказе № 21. Рекомендации вводят 15 групп технических мер, в каждой группе прописаны базовые, обязательные для применения, меры и рекомендуемые, которые оператор может использовать по своему усмотрению, сравнивая с актуальной на текущий момент моделью угроз безопасности персональных данных.

Этапы создания системы защиты персональных данных

До направления уведомления о начале осуществления деятельности, связанной с защитой персональных данных, оператор должен позаботиться о том, чтобы его информационная система соответствовала установленным требованиям, и о выборе технических средств. Процесс внедрения делится на несколько последовательных этапов, их количество зависит от выбранного способа защиты, который, в свою очередь, зависит от типа информации, класса защищенности, определяемого по параметрам, устанавливаемым Постановлением Правительства РФ № 1119, наличия или отсутствия подключения системы к телекоммуникационным каналам связи.

Первичные организационные меры

Прежде чем переходить к реализации системы технических мер по защите персональных данных, необходимо осуществить некоторые организационные меры, относящиеся к классификации угроз и оценке имеющихся в наличии технических средств. Это потребуется для оценки необходимости установки и выбора антивирусных средств и средств криптографической защиты.

В рамках такого анализа устанавливаются:

После определения объекта технической защиты надо перейти к определению технических средств, необходимых для обеспечения защиты персональных данных.

Способы обработки персональных данных

На практике персональные данные на первом этапе обрабатываются вручную, и от оператора требуется только физическая защита материальных носителей, для которой используются такие средства, как пропускная система и оборудование помещений согласно определенному классу безопасности, и только на следующем этапе они поступают в автоматизированные информационные системы. В рамках ручного и технического методов обработки выделяется несколько отдельных способов, при автоматизированной обработке необходимо определить те элементы конфигурации системы, в которых происходит обработка. Это могут быть кадровый и бухгалтерский модуль, модуль по работе с клиентами.

Определение характеристик технических систем

Следующим этапом работы по обеспечению технической защиты персональных данных становится определение основных характеристик автоматизированных систем обработки, их конфигурации, потребности в генерации электронной подписи, установлении сертифицированных средств антивирусной или криптографической защиты. Далее проводится классификация системы в зависимости от качества данных. Выделяются такие группы, как:

При обработке данных 1-й категории автоматизированная система, в которой хранятся персональные данные, должна быть оборудована техническими средствами защиты как специальная, для остальных будет достаточно базовой модели. Кроме категории данных, на параметры системы влияет количество человек, чьи сведения обрабатываются. Исходя из этого, устанавливается четыре уровня защищенности системы – от максимального до низкого.

Оценка соответствия системы требованиям ФСТЭК России

После определения класса данных и требований к системе нужно установить, какие именно требования ФСТЭК России предъявляет в целях оценки соответствия применяемых для обеспечения безопасности персональных данных технических средств своим требованиям. Они выглядят следующим образом:

После того, как определено, каким параметрам должна отвечать система и какие технические средства для ее работоспособности и надлежащей защиты персональных данных необходимы, начинается построение ее конфигурации. Оценку правильности применяемых решений раз в три года проводит оператор, также соответствие системы требованиям может контролировать ФСТЭК РФ в рамках документарных или выездных проверок.

Установка технических средств защиты

После того, как параметры системы определены, начинается выбор необходимых программных и технических средств, соответствующих заявленному классу безопасности. При выборе базовых и компенсирующих средств необходимо соблюдать баланс между уровнем безопасности и финансовой целесообразностью. Иногда для такой оценки правильным решением будет привлечь специализированную организацию.

Качество средств, требования к их сертификации определяются согласно нормативным документам ФСТЭК Российской Федерации. Все технические средства делятся на две группы:

При привлечении специализированной организации для создания технической системы защиты персональных данных необходимо проконтролировать наличие у нее соответствующих лицензий, а также то, чтобы все применяемые средства были сертифицированы в установленном порядке.

Выбор технических средств защиты должен обусловливаться классом защищенности системы, тем, относится она к категории обычных или специальных, собственными возможностями.

Источник

Что понимается под техническими средствами информационной системы персональных данных

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Базовая архитектура защиты персональных данных

Information technology. Security techniques. Personal data protection architecture framework

Дата введения 2021-11-30

Предисловие

1 РАЗРАБОТАН Федеральным государственным учреждением «Федеральный исследовательский центр «Информатика и управление» Российской академии наук» (ФИЦ ИУ РАН), Обществом с ограниченной ответственностью «Информационно-аналитический вычислительный центр» (ООО «ИАВЦ») и Акционерным обществом «Аладдин Р.Д.» (АО «Аладдин Р.Д.»)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 «Информационные технологии»

ИСО/МЭК 29101 разработан подкомитетом ПК 27 «Методы и средства обеспечения безопасности ИТ» Совместного технического комитета СТК 1 «Информационные технологии» Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК)

6 Федеральное агентство по техническому регулированию и метрологии не несет ответственности за патентную чистоту настоящего стандарта. Патентообладатель может заявить о своих правах и направить в национальный орган по стандартизации аргументированное предложение о внесении в настоящий стандарт поправки для указания информации о наличии в стандарте объектов патентного права и патентообладателе

Введение

Настоящий стандарт предоставляет описания высокоуровневой базовой архитектуры и соответствующих мер защиты персональных данных в информационных системах персональных данных.

Описанная в настоящем стандарте архитектура защиты персональных данных:

— предоставляет последовательный высокоуровневый подход к реализации мер защиты при обработке персональных данных с использованием средств автоматизации;

— предоставляет руководство по планированию, проектированию и построению архитектур информационных систем персональных данных, которые обеспечивают защиту персональных данных путем контроля за их обработкой, доступом и передачей;

— показывает, как технологии, обеспечивающие конфиденциальность персональных данных действующих субъектов персональных данных, могут использоваться в качестве мер защиты.

Настоящий стандарт учитывает основные положения нормативных правовых актов Российской Федерации.

Положения настоящего стандарта не исключают применение криптографических методов (алгоритмов) при обеспечении безопасности персональных данных, в частности их шифрование, но не устанавливают требования по их реализации.

1 Область применения

Настоящий стандарт содержит описание базовой архитектуры защиты персональных данных, которая:

— определяет значимые вопросы, касающиеся информационных систем персональных данных;

— предоставляет перечень компонентов при реализации таких систем;

— предоставляет базовые архитектурные решения, рассматриваемые в контексте данных компонентов.

Настоящий стандарт применим для организаций, участвующих в определении, приобретении, разработке архитектуры, проектировании, тестировании, поддержке, администрировании и эксплуатации информационных систем персональных данных.

Основное внимание в настоящем стандарте уделено информационным системам персональных данных, предназначенным для взаимодействия с субъектами персональных данных.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ Р 50922 Защита информации. Основные термины и определения

ГОСТ Р 57100-2016/ISO/IEC/IEEE 42010:2011 Системная и программная инженерия. Описание архитектуры

ГОСТ Р 58833 Защита информации. Идентификация и аутентификация. Основные положения

ГОСТ Р 59382 Информационные технологии. Методы и средства обеспечения безопасности. Основы управления идентичностью. Часть 3. Практические приемы

3 Термины, определения и сокращения

3.1 Термины и определения

В настоящем стандарте применены термины по ГОСТ Р 50922 и ГОСТ 58833*, а также следующие термины с соответствующими определениями:

3.1.1 безопасность персональных данных: Состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.

информационная система персональных данных: Совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3.1.3 конфиденциальность персональных данных: Обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

3.1.4 нарушитель безопасности персональных данных: Физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных.

обезличивание персональных данных: Действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

обработка персональных данных: Любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

оператор: Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

3.1.8 персональные данные: Любая информация, относящаяся к прямо или косвенно определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных).

2 Персональными данными являются, например, фамилия, имя, отчество, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация физического лица.

предоставление персональных данных: Действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

3.1.10 распространение персональных данных: Действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

3.1.11 угрозы безопасности персональных данных: Совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

3.1.12 уничтожение персональных данных: Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3.2 Сокращения

В настоящем стандарте применены следующие сокращения:

4 Общий обзор базовой архитектуры защиты персональных данных

4.1 Элементы архитектуры

Представленная в настоящем стандарте базовая архитектура защиты ПДн предназначена для использования в качестве технического руководства для разработчиков ИСПДн. Настоящий стандарт не устанавливает требования для политик защиты ПДн; предполагается, что политики приняты и что в рамках ИСПДн определены требования защиты ПДн, а также реализованы соответствующие меры защиты ПДн.

Данная базовая архитектура направлена на защиту ПДн. Поскольку защита ПДн является целью обеспечения безопасности информации, то ИСПДн, обрабатывающие ПДн, должны следовать принципам проектирования систем безопасности информации. В данной базовой архитектуре определены некоторые компоненты обеспечения безопасности информации, которые имеют решающее значение для защиты ПДн. Представленная базовая архитектура основана на модели, приведенной в ГОСТ Р 57100.

Значимые вопросы, касающиеся базовой архитектуры защиты ПДн, приведены в разделе 6 и включают в себя принципы обеспечения безопасности ПДн, характерные для ИСПДн.

Базовая архитектура может быть представлена следующим образом:

— уровни технической базовой архитектуры, приведенные в 7.2, определяют ее с точки зрения компонентов. В каждом уровне сгруппированы компоненты, имеющие общую цель или сходную функцию;

— модель реализации, приведенная в 7.3, определяет базовую архитектуру с точки зрения автономной ИСПДн. Каждое представление показывает группировку компонентов в зависимости от их реализации в ИСПДн;

— представления, приведенные в 7.4, определяют базовую архитектуру с точки зрения взаимодействия. Эти представления демонстрируют взаимодействие компонентов между системами сторон, участвующих в обмене информацией.

Базовая архитектура предоставляет правила соответствия между значимыми вопросами и точками зрения посредством использования таблиц соответствия.

Источник

Средства обеспечения безопасности персональных данных

Защита персональных данных
с помощью DLP-системы

В опрос защиты информационных прав человека и его персональных данных уже не первый год стоит на повестке дня. Меняются модели угроз, меняются используемые технические и информационные средства. Документы, издаваемые государственными ведомствами, не только стараются успеть за меняющейся реальностью, но и предоставляют операторам возможность самостоятельно выбирать средства для защиты персональных данных.

Нормативно-правовая документация

Система обеспечения конфиденциальности персональных данных регулируется Федеральным законом «О персональных данных», Постановлением Правительства № 1119, рекомендациями ФСТЭК России. В законе описаны основные термины и определения, устанавливаются права и обязанности оператора, в том числе в области выбора средств обеспечения персональных данных, ответственность операторов. Постановление Правительства определяет, по каким критериям информационные системы персональных данных относятся к различным уровням защищенности. Приказ ФСТЭК России № 21 называет конкретные 15 групп технических мер, применяемых для обеспечения безопасности. В каждой группе определяются и средства, которые вправе использовать оператор.

Классификация систем защиты персональных данных

Информационные системы персональных данных подразделяются по уровням защищенности – от низкого до максимального. Зависит это ранжирование от количества человек, чьи данные обрабатываются, и от характеристики данных. По рангам системы обеспечения безопасности данных разделяются операторами на две группы:

К первой группе относятся системы, чьей задачей становится только обеспечение режима конфиденциальности и безопасности данных. Понятие конфиденциальности подразумевает соблюдение двух параметров:

Для специальных систем обеспечения безопасности данных, кроме характеристики конфиденциальности, требуется обеспечить дополнительные меры защиты, хотя бы одну из перечня. К ним относятся:

К специальным системам, требующим применения специальных средств обеспечения безопасности данных, относятся две группы:

Также системы защиты конфиденциальных данных можно разделить на автономные, без прямого подключения к телекоммуникационным сетям, и имеющие такие подключения, требующие повышенной заботы об обеспечении безопасности сведений.

Выбор технических средств защиты персональных данных

Выбор средств автоматизации, применяемых для обеспечения безопасности при обработке персональных данных, в конечном счете зависит от таких параметров:

Опираясь на эти параметры, оператор может к базовым средствам защиты безопасности персональных данных добавлять инициативные, для достижения системой уровня безопасности, релевантного актуальным угрозам субъектам персональных данных и их информационным правам.

Таким образом, оператору необходимо обеспечить наличие технических средств, которые способны:

От опыта и технической подготовки оператора зависят и выбор средств обеспечения безопасности персональных данных, и сама их защищенность. При возникновении сомнений в своей компетенции лучше обратиться за профессиональными услугами.

Источник

Что такое ИСПДн — информационные системы персональных данных, и зачем в них стоит разобраться

Если вы храните персональные данные, то обязаны их защищать. Для защиты нужно знать, насколько система, в которой они хранятся, подвержена угрозам. Чтобы это понять, надо определить, к какому виду и классу относится она и сами данные. Разберем, что такое ИСПДн и что полезно знать про такие системы, если вы работаете с персональными данными.

Что такое ИСПДн: раскладываем по полочкам

ИСПДн — это информационная система персональных данных. Она включает в себя сами персональные данные и средства, которые используют для их обработки и защиты.

Например, у вас интернет-магазин и вы собираете в базу персональные данные клиентов. В таком случае вы оператор персональных данных, а к вашей ИСПДн относят:

ИСПДн делят на виды и классы, в зависимости от разных параметров. При этом сами данные — обязательная часть системы. Поэтому когда мы говорим о видах и классах ИСПДн, мы можем говорить о видах и классах самих персональных данных.

Какие бывают виды ИСПДн

Согласно документу ФСТЭК об определении угроз, ИСПДн делят на несколько групп по разными критериям. У каждой группы есть базовая защищенность, которую нужно знать, чтобы определить общий уровень защищенности системы.

Общий уровень защищенности считается так:

Ниже расскажем, на какие группы ИСПДн делят, а также как оценить общий уровень защищенности системы с учетом базовой защищенности групп, к которым ее относят.

Группы ИСПДн по территориальному размещению:

Низкий уровень защищенности по какому-либо параметру не означает, что система всегда будет уязвима и данные в ней хранить опасно — это всего лишь накладывает на владельца системы дополнительные обязанности по защите данных.

Группы ИСПДн по наличию выхода в интернет:

Группы ИСПДн по доступным операциям с данными:

Группы ИСПДн по разграничению доступа к персональным данным:

Формально может существовать система, в которой доступ к персональным данным есть у любого постороннего человека. Но это запрещено законом — персональные данные не должны находиться в открытом доступе.

Группы ИСПДн по уровню обезличивания данных:

Группы ИСПДн по объему предоставления базы данных другим компаниям:

Предположим, у вашей компании филиалы в разных городах, доступ к интернету многоточечный, доступ к данным разрешен только некоторым сотрудникам, разрешены только чтение и поиск данных, система выдает обезличенные данные и компания хранит данные только для себя. Получается, что по одному критерию у вас низкий уровень защищенности, по двум средний, а по остальным трем — высокий. И у вашей ИСПДн будет средний общий уровень защищенности.

Но мало знать уровень защищенности ИСПДн и актуальные угрозы — конкретные технические требования к защите системы зависят еще и от уровня защищенности персональных данных.

Уровни защищенности персональных данных и классы защищенности ИСПДн

До 11 марта 2013 года все, кто работал с персональными данными, обязаны были провести классификацию своей ИСПДн. Для этого нужно было собрать специальную комиссию и тщательно проанализировать систему. Теперь приказ, который обязывал это делать, отменен. Соответственно, классификация ИСПДн по защищенности тоже больше не действует.

Зато теперь уровни защищенности появились у персональных данных. Всего их четыре — чем выше уровень, тем более серьезная защита нужна данным. Уровни защищенности описаны в 1119 постановлении Правительства, меры защиты — в 21 приказе ФСТЭК.

Как определить уровень защищенности персональных данных в зависимости от того, какие данные вы храните и какие угрозы актуальны для вашей ИСПДн

Мы подробно разбирали уровни защищенности, категории персональных данных и типы актуальных угроз в статье о защите персональных данных в облаке.

Если вам нужно хранить данные третьего уровня защищенности и выше, необходимо провести аттестацию ИСПДн во ФСТЭК. В ходе аттестации ФСТЭК проверяет вашу систему: смотрит, правильно ли вы оценили угрозы, используете ли подходящие технические средства защиты, обеспечили ли достаточную безопасность персональным данным. По итогам проверки выдается аттестат, который подтверждает, что ваша ИСПДн достаточно надежна.

Источник