«Проблемы защиты персональных данных«Проблемы защиты персональных данных в информационных системах Тамбовского ГТУ»в информационных системах Тамбовского ГТУ»

Тамбов, 23 апреля 2009 годаТамбов, 23 апреля 2009 года

Нормативная базаНормативная базаУказ Президента РФ от 6 марта 1997 г. № 188 "Об утверждении перечня сведений конфиденциального характера";

ФЗ от 19 декабря 2005 г. №160-ФЗ «О ратификации Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных»;

ФЗ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;

Постановление Правительства РФ от 17 ноября 2007 г. № 781, утверждающее «Положение об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;

Совместный приказ от 13. 02. 2008 г. № 55/86/20 ФСТЭК, ФСБ, Мининформсвязь, утверждающий «Порядок проведения классификации информационных систем персональных данных»; Постановление Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

Нормативная базаНормативная база Документы ФСТЭК России:

«Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных»;

«Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных»;

«Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных»;

«Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Нормативная базаНормативная база Документы ФСБ России:

«Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных»;

«Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации».

Нормативная базаНормативная база Документы Россвязькомнадзора:

Положение о Федеральной службе по надзору в сфере связи и массовых коммуникаций (Постановление Правительства РФ от 2 июня 2008 г. №419 «О федеральной службе по надзору в сфере связи и массовых коммуникаций»)                             Приказ Россвязькомнадзора от 28 марта 2008 г. № 154 «Об утверждении положения о ведении реестра операторов, осуществляющих обработкуперсональных данных»

Приказ Россвязькомнадзора от 17 июля 2008 г. №8 «Об утверждении образца формы уведомления об обработке персональных данных»                         

Цель классификацииЦель классификации

«ИСПДн класса К с уровнем криптографической защиты по «ИСПДн класса К с уровнем криптографической защиты по классу АК»классу АК»

Выбор мер и средств защиты

Требования к средствам защиты

Класс системы (ФСТЭК + ФСБ)Класс системы (ФСТЭК + ФСБ)

Системы информацииСистемы информации организацииорганизации

Идентификация систем обработки персональных данных

Определение характеристик ПДн

Первичная классификация систем обработки ПДн

Система обработки ПДн Система обработки ПДн с использованием с использованием

средств автоматизациисредств автоматизации

Система обработки ПДн Система обработки ПДн без использования без использования

средств автоматизациисредств автоматизации

Определение типа системы обработки ПДн

Система обработки ПДн с использованием средств автоматизацииСистема обработки ПДн с использованием средств автоматизации

Типовая ИСПДнТиповая ИСПДн(ФСТЭК)(ФСТЭК)

Специальная ИСПДнСпециальная ИСПДн(ФСТЭК)(ФСТЭК)

Автоматизированная информационная системаАвтоматизированная информационная система(ФСБ)(ФСБ)

Типовая ИСПДн (ФСТЭК)Типовая ИСПДн (ФСТЭК)

Требования ФСТЭК, ФСБ

Классификация ИСПДн

Документальное оформление

Акт оператора

Определение актуальных угроз

Специальная ИСПДн (ФСТЭК)Специальная ИСПДн (ФСТЭК)

Требования ФСТЭК и ФСБ к ИСПДн

Документальное оформление

Специальные требования к системе защиты информации

Классификация ИСПДн

Разработка модели нарушителя АИС

Автоматизированная информационная системаАвтоматизированная информационная система (ФСБ)(ФСБ)

Требования ФСБ к ИСПДн и АИС («К»)

Требования ФСБ к АИС

Классификация АИС

Определение перечня «материальных носителей» для хранения ПДн

Система обработки ПДн без использования средств автоматизации Система обработки ПДн без использования средств автоматизации

Требования законодательство РФ,ФСТЭК и ФСБ

Постановление Правительства РФ №687

Определение угроз «материальным носителям» и ПДн

Выработка требований операторапо защите ПДн

Категории персональных данныхКатегории персональных данных

категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных;

категория 4 - обезличенные и (или) общедоступные персональные данные.

Объем персональных данных1 - в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;

2 - в информационной системе одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов персональных.данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования;

3 - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.

Характеристики безопасностиОСНОВНЫЕ: КОНФИДЕНЦИАЛЬНОСТЬ ЦЕЛОСТНОСТЬ

ДОСТУПНОСТЬ

ДОПОЛНИТЕЛЬНЫЕ: НЕОТКАЗУЕМОСТЬ

УЧЕТНОСТЬ (ПОДКОНТРОЛЬНОСТЬ)

АУТЕНТИЧНОСТЬ (ДОСТОВЕРНОСТЬ)

АДЕКВАТНОСТЬ

Структура системыавтономные (не подключенные к иным информационным системам) комплексы технических и программных средств, предназначенные для обработки персональных данных (автоматизированные рабочие места);

на комплексы автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа (локальные информационные системы);

на комплексы автоматизированных рабочих мест и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа (распределенные информационные системы).

Режим обработки

ОДНОПОЛЬЗОВАТЕЛЬСКИЙ

МНОГОПОЛЬЗОВАТЕЛЬСКИЙ

Режим разграничения прав доступа

БЕЗ РАЗГРАНИЧЕНИЯ ПРАВ ДОСТУПА

С РАЗГРАНИЧЕНИЕМ ПРАВ ДОСТУПА

Классификация типовой системы класс 1 (К1) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных;

класс 2 (К2) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;

класс 3 (К3) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;

класс 4 (К4) - информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных.

Таблица классификации

Типовая информационная системаТиповая информационная система

Информационные системы, требующие только конфиденциальности ПДн.

Специальная система

Помимо конфиденциальности:

2. Информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;

3. Информационные системы, в которых, на основании исключительно автоматизированной обработки персональных данных, предусмотрено принятие решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

Система моделей угроз

Базовая модель угроз

Типовая отраслевая модель угроз

Частная/детализированная модель угроз ИСПДн

Оценка актуальных угрозОценка актуальных угрозоценка уровня исходной защищенности Y1(0;5;10;)

Технические и эксплуатационные характеристики ИСПДн Уровень защищенности

Высокий Средний Низкий

1. По территориальному размещению

2. По наличию соединения с сетями общего пользования

3. По встроенным (легальным) операциям с записями баз персональных данных

4. По разграничению доступа к персональным данным

5. По наличию соединения с другими базами ПДн иных ИСПДн

6. По уровню обобщения (обезличивания) ПДн

7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки

Оценка актуальных угрозОценка актуальных угроз

экспертное оценивание вероятности реализации угрозы Y2 (0;2;5;10;)

МАЛОВЕРОЯТНО

НИЗКАЯ ВЕРОЯТНОСТЬ

СРЕДНЯЯ ВЕРОЯТНОСТЬ

ВЫСОКАЯ ВЕРОЯТНОСТЬ

Оценка актуальных угрозОценка актуальных угроз

оценка реализуемости угрозы Y

Y = ( Y1+Y2 )/20

0<Y<0,3 НИЗКАЯ

0,3 <Y< 0,6 СРЕДНЯЯ

0,6<Y<0,8 ВЫСОКАЯ

Y>0,8 ОЧЕНЬ ВЫСОКАЯ

Оценка актуальных угрозОценка актуальных угроз

экспертное оценивание опасности угрозы

НИЗКАЯ ОПАСНОСТЬ

СРЕДНЯЯ ОПАСНОСТЬ

ВЫСОКАЯ ОПАСНОСТЬ

Оценка актуальных угрозОценка актуальных угроз

оценка актуальности угрозы

Возможность реализации угрозы

Показатель опасности угрозы

Низкий Средний Высокий

Низкая неактуально неактуально актуальноСредняя неактуально актуально актуальноВысокая актуально актуально актуально

Очень высокая актуально актуально актуально

Организационно-нормативные документыОрганизационно-нормативные документы

Базовый комплект включает:•Положение по организации и проведению работ по обеспечению безопасности;

•Требования по обеспечению безопасности ПДн при их обработке;

•Должностные инструкции персоналу;

•Инструкции по использованию программно-аппаратных средств защиты;

•Уведомление об обработке ПДн;

•Положение о ПДн;

•Технологический регламент обработки ПДн;

•Акт классификации информационной системы ПДн;

•Технический паспорт на информационную систему ПДн;

Система защиты ИСПДнСистема защиты ИСПДн

Интернет

Средства предотвращения утечки информации по техническим каналам

Средства предотвращения программно-технических воздействий на технические средства обработки персональных данных1. Антивирусные средства:DrWed, Антивирус Касперского…2. Программное обеспечение, сертифицированное на отсутствие НДВ.3. Системы обнаружения вторженийи компьютерных атак:ФОРПОСТ, Proventia Network…

Средства защиты информации, представленной в виде информативных электрических сигналов, физических полей:Гном-3, ГШ-1000, ГШ-1000К, ГШ-2500, Октава-РС1,Гром-ЗИ-4БМП-2, МП-3, МП-5, ЛФС-10-1Ф…

Средства защитыносителей информациина бумажной, магнитной, магнитооприческойи иной основе:eToken PRO 64Kи eToken NG-OTP,Secret Disk 4…

Средства защиты речевой информации:Барон, ЛГШ-402(403),SEL SP-21B1 Баррикада,Шорох-2, Соната-АВ,Шторм-105…

Средства предотвращения несанкционированного доступа к информации:1. Защищенные ОС:Red Hat Enterprise Linux, QNX, МСВС 3.0.2.Блокхост-сеть, Аккорд-Рубеж,Аккорд-NT/2000, Secret Net 5.0, Соболь, Dallas Lock 7.0, Лабиринт-М, Страж NT

Используемые в информационной системе информационные технологии

.

Межсетевые экраны Шлюзы безопасности:Cisco, Z-2,WatchGuard Firebox…

CSP VPN Gate, CSP RVPN…

Шифровальные(криптографические)средства защитыинформации

Персональные данные в ТГТУ

Управление кадров

Финансово-экономическое управление

Бухгалтерия

Приемная комиссия

Сотрудники Студенты

Деканаты

Кафедры

Категория ПД в ТГТУкатегория 1. ПД, касающиеся расовой, национальной принадлежности,

политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни

категория 2. ПД, позволяющие идентифицировать субъекта ПД и получить о нем дополнительную информацию, за исключением ПД, относящихся к категории 1

категория 3. ПД, позволяющие идентифицировать субъекта ПД

Необходимо шифрование данных на всех этапах хранения и обработки

Шифрование данных не требуется. Соответствует ПД в ТГТУ

класс 1. ИС, для которых нарушения могут привести к значительным негативным последствиям для субъектов ПД

класс 2. ИС, для которых нарушения могут привести к негативным последствиям для субъектов ПД

класс 3. ИС, для которых нарушения могут привести к незначительным негативным последствиям для субъектов ПД

Обязательна сертификация информационной системы

Классы информационных систем (ИС)

класс 4. ИС, для которых нарушения не приводят к негативным последствиям для субъектов ПД

ТГТУ

Принимаемые меры защиты

Физическая защита внутренней сети административного корпуса

РАЗГРАНИЧЕНИЕ Доступа к ПДн

Шифрование данных при передаче по сети в органы ФНС и ПФР

От несанкционированного доступа

Периодическое резервное копирование

От искажений и потерь

Использование средств ЭЦП при передаче по сети в органы ФНС и ПФР

• Спасибо за внимание