Определение уровня защищенности информационной системы персональных данных. Определение исходного уровня защищенности испдн

Определение необходимого уровня защищенности персональных данных. Кратко о выборе сертифицированных сзи от нсд

Определение уровня защищенности информационной системы персональных данных. Определение исходного уровня защищенности испдн

Под уровнем исходной защищенности информационной системы персональных данных (ИСПДн) понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, а именно:

  • территориальное размещение;
  • наличие соединению сетями общего пользования;
  • встроенные (легальные) операции с записями баз персональных данных;
  • разграничение доступа к персональным данным;
  • наличие соединений с другими базами персональных данных иных ИСПДн;
  • уровень обобщения (обезличивания) персональных данных;
  • объем персональных данных, который предоставляется сторонним пользователям ИСПДн без предварительной обработки.

Определяется уровень исходной защищенности ИСПДн (Y₁) в соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденных ФСТЭК России в 2008 году. Уровень исходной защищенности ИСПДн (Y₁) применяется для оценки возможности реализации угроз безопасности персональных данных и .

ФСТЭК России выделило 3 (три) уровня исходной защищенности ИСПДн (Y₁):

  • высокий;
  • средний;
  • низкий.

Уровень исходной защищенности ИСПДн определяется по таблице 1

Таблица 1. Показатель исходного уровня защищенности ИСПДн

Уровень защищенности
ВысокийСреднийНизкий
1. По территориальному размещению:
распределенная ИСПДн, которая охватывает несколько областей, краев, округов или государство в целом;+
городская ИСПДн, охватывающая не более одного населенного пункта (города, поселка);+
корпоративная распределенная ИСПДн, охватывающая многие подразделения одной организации;+
локальная (кампусная) ИСПДн, развернутая в пределах нескольких близко расположенных зданий;+
+
ИСПДн, имеющая многоточечный выход в сеть общего пользования;+
ИСПДн, имеющая одноточечный выход в сеть общего пользования;+
ИСПДн, физически отделенная от сети общего пользования+
чтение, поиск;+
запись, удаление, сортировка;+
модификация, передача+
ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем ИСПДн, либо субъект персональных данных;+
ИСПДн, к которой имеют доступ все сотрудники организации, являющейся владельцем ИСПДн;+
ИСПДн с открытым доступом+
5. По наличию соединений с другими базами персональных данных иных ИСПДн:
интегрированная ИСПДн (организация использует несколько баз персональных данных ИСПДн, при этом организация не является владельцем всех используемых баз персональных данных);+
ИСПДн, в которой используется одна база персональных данных, принадлежащая организации – владельцу данной ИСПДн+
6. По уровню обобщения (обезличивания) персональных данных:
ИСПДн, в которой предоставляемые пользователю данные являются обезличенными (на уровне организации, отрасли, области, региона и т.д.);+
ИСПДн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации;+
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта персональных данных)+
7. По объему персональных данных, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки:
ИСПДн, предоставляющая всю базу данных с персональными данными;+
ИСПДн, предоставляющая часть персональных данных;+
ИСПДн, не предоставляющая никакой информации.+

Правила определения исходного уровня защищенности ИСПДн

Исходная уровень защищенности ИСПДн определяется следующим образом.

1. ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню «высокий» (суммируются положительные решения по первому столбцу, соответствующему высокому уровню защищенности), а остальные – среднему уровню защищенности (положительные решения по второму столбцу).

Таблица 2. Условия определения высокого уровня исходной защищенности

Технические и эксплуатационные характеристики ИСПДнУровень защищенности
ВысокийСреднийНизкий
∑ ≥ 70%∑ ≤ 30% 0%

2. ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний» (берется отношение суммы положительные решений по второму столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные – низкому уровню защищенности.

Таблица 3. Условия определения среднего уровня исходной защищенности

Технические и эксплуатационные характеристики ИСПДнУровень защищенности
ВысокийСреднийНизкий
∑ < 70% ∑ ≥ 70% ∑ ≤ 30%

3. ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия по пунктам 1 и 2.

Таблица 4. Условия определения низкого уровня исходной защищенности

Технические и эксплуатационные характеристики ИСПДнУровень защищенности
ВысокийСреднийНизкий
∑ < 70%∑ < 70%∑ > 0%

При составлении перечня актуальных угроз безопасности персональных данных каждой степени исходного уровня защищенности ИСПДн ставится в соответствие числовой коэффициент Y₁, а именно:

  • 0 – для высокой степени исходной защищенности;
  • 5 – для средней степени исходной защищенности;
  • 10 – для низкой степени исходной защищенности.

Пример определения уровня исходной защищенности ИСПДн

Требуется определить уровень исходной защищенности автоматизированного рабочего места пользователя управляющей компании, которая взаимодействует через сеть общего пользования “Интернет” с ГИС ЖКХ, с учетом правил определения исходного уровня защищенности ИСПДн (таблицы 2, 3, 4), результаты занесем в таблицу 5.

Таблица 5. Исходная степень защищенности автоматизированного рабочего места пользователя

Технические и эксплуатационные характеристики ИСПДнУровень защищенности
ВысокийСреднийНизкий
1. По территориальному размещению:+
локальная ИСПДн, развернутая в пределах одного здания+
2. По наличию соединения с сетями общего пользования:+
ИСПДн, имеющая одноточечный выход в сеть общего пользования+
3. По встроенным (легальным) операциям с записями баз персональных данных:+
модификация, передача+
4. По разграничению доступа к персональным данным:+
ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем ИСПДн, либо субъект персональных данных+
5. По наличию соединений с другими базами персональных данных иных ИСПДн+
интегрированная ИСПДн (организация использует несколько баз персональных данных ИСПДн, при этом организация не является владельцем всех используемых баз персональных данных)+
6. По уровню обобщения (обезличивания) ПДн: +
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн) +
7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки: +
ИСПДн, предоставляющая часть ПДн+

В данном посте хотелось бы осветить такой документ, как Акт определения уровня защищенности ПДн при их обработке в ИСПДн. Это, если можно так сказать, перерождение Акта классификации ИСПДн. Основной камень преткновения, который я встретил, это не совсем понятная картина в том, что является законодательным инструментом в написании данного акта.

Дело в том, что ранее этот акт классификации ИСПДн писался на основании приказа ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20 «Об утверждении порядка проведения классификации информационных систем персональных данных», который и утверждает порядок классификации.

Но издан этот приказ в соответствии с пунктом 6 Постановления Правительства №781 от 17 ноября 2007 г., которое утратило силу в связи с выходом Постановления Правительства № 1119 от 1 ноября 2012. Таким образом, приказ действующий, а вышестоящий документ – нет.

В свою очередь в ПП 1119 нет привязки к категории ИСПДн, однако есть привязка к уровню защищенности персональных данных, который должен быть обеспечен при их обработке в ИСПДн.

Источник: https://www.adminpz.ru/agreement/opredelenie-neobhodimogo-urovnya-zashchishchennosti-personalnyh.html

/ 2008 / Февраль / 14 / “Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных”

Документ по состоянию на август 2014 г.

Утверждена Заместителем директора ФСТЭК России

14 февраля 2008 г.

Введение

Методика определения актуальных угроз безопасности персональных данных (ПДн) при их обработке в информационных системах персональных данных (ИСПДн) разработана ФСТЭК России на основании Федерального закона от 27 июля 2006 г.

N 152-ФЗ “О персональных данных” и “Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных”, утвержденного Постановлением Правительства Российской Федерации от 17 ноября 2007 г. N 781, с учетом действующих нормативных документов ФСТЭК России по защите информации.

Методика предназначена для использования при проведении работ по обеспечению безопасности персональных данных при их обработке в следующих автоматизированных информационных системах персональных данных:

государственных или муниципальных ИСПДн;

ИСПДн, создаваемых и (или) эксплуатируемых предприятиями, организациями и учреждениями (далее – организациями) независимо от форм собственности, необходимых для выполнения функций этих организаций в соответствии с их назначением;

ИСПДн, создаваемых и используемых физическими лицами, за исключением случаев, когда последние используют указанные системы исключительно для личных и семейных нужд.

Документ предназначен для специалистов по обеспечению безопасности информации, руководителей организаций и предприятий, организующих и проводящих работы по обработке ПДн в ИСПДн.

1. Общие положения

Под угрозами безопасности ПДн при их обработке в ИСПДн понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

В соответствии со статьей 19 Федерального закона N 152-ФЗ от 27 июля 2006 г. “О персональных данных” ПДн должны быть защищены от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Угрозы безопасности ПДн при их обработке в ИСПДн могут быть связаны как с непреднамеренными действиями персонала ИСПДн и(или) потребителей, пользующихся услугами, предоставляемыми ИСПДн в соответствии с ее назначением, так и со специально осуществляемыми неправомерными действиями иностранных государств, криминальных сообществ, отдельных организаций и граждан, а также иными источниками угроз.

Угрозы безопасности ПДн могут быть реализованы за счет утечки ПДн по техническим каналам (технические каналы утечки информации, обрабатываемой в технических средствах ИСПДн, технические каналы перехвата информации при ее передаче по каналам связи, технические каналы утечки акустической (речевой) информации) либо за счет несанкционированного доступа с использованием соответствующего программного обеспечения.

Детальное описание угроз, связанных с утечкой ПДн по техническим каналам, приведено в “Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных”. Выявление технических каналов утечки ПДн осуществляется на основе нормативных и методических документов ФСТЭК России.

Источниками угроз, реализуемых за счет несанкционированного доступа к базам данных с использованием штатного или специально разработанного программного обеспечения, являются субъекты, действия которых нарушают регламентируемые в ИСПДн правила разграничения доступа к информации. Этими субъектами могут быть:

нарушитель;

носитель вредоносной программы;

аппаратная закладка.

Под нарушителем здесь и далее понимается физическое лицо (лица), случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПДн при их обработке техническими средствами в информационных системах. С точки зрения наличия права легального доступа в помещения, в которых размещены аппаратные средства, обеспечивающие доступ к ресурсам ИСПДн, нарушители подразделяются на два типа:

нарушители, не имеющие доступа к ИСПДн, реализующие угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена, – внешние нарушители;

нарушители, имеющие доступ к ИСПДн, включая пользователей ИСПДн, реализующие угрозы непосредственно в ИСПДн, – внутренние нарушители.

Для ИСПДн, предоставляющих информационные услуги удаленным пользователям, внешними нарушителями могут являться лица, имеющие возможность осуществлять несанкционированный доступ к информации с использованием специальных программных воздействий, алгоритмических или программных закладок через автоматизированные рабочие места, терминальные устройства ИСПДн, подключенные к сетям общего пользования.

Возможности внутреннего нарушителя существенным образом зависят от установленного порядка допуска физических лиц к информационным ресурсам ИСПДн и мер по контролю порядка проведения работ.

Угрозы несанкционированного доступа от внешних нарушителей реализуются с использованием протоколов межсетевого взаимодействия.

Детальное описание угроз, связанных с несанкционированным доступом в ИСПДн персональных данных, приведено в “Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных”.

Выявление угроз НСД к ПДн, реализуемых с применением программных и программно-аппаратных средств, осуществляется на основе экспертного метода, в том числе путем опроса специалистов, персонала ИСПДн, должностных лиц, при этом могут использоваться специальные инструментальные средства (сетевые сканеры) для подтверждения наличия и выявления уязвимостей программного и аппаратного обеспечения ИСПДн. Для проведения опроса составляются специальные опросные листы.

Наличие источника угрозы и уязвимого звена, которое может быть использовано для реализации угрозы, свидетельствует о наличии данной угрозы.

Формируя на основе опроса перечень источников угроз ПДн, на основе опроса и сетевого сканирования перечень уязвимых звеньев ИСПДн, а также по данным обследования ИСПДн – перечень технических каналов утечки информации, определяются условия существования в ИСПДн угроз безопасности информации и составляется их полный перечень. На основании этого перечня в соответствии с описанным ниже порядком формируется перечень актуальных угроз безопасности ПДн.

2. Порядок определения актуальных угроз безопасности персональных данных в информационных системах персональных данных

Актуальной считается угроза, которая может быть реализована в ИСПДн и представляет опасность для ПДн. Подход к составлению перечня актуальных угроз состоит в следующем.

Для оценки возможности реализации угрозы применяются два показателя: уровень исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы.

Под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, приведенных в таблице 1.

Таблица 1

Показатели исходной защищенности ИСПДн

———————————+—————————————– ¦ Технические и эксплуатационные ¦ Уровень защищенности ¦ ¦ характеристики ИСПДн +————-+————+————-+ ¦ ¦ высокий ¦ средний ¦ низкий ¦ +——————————–+————-+————+————-+ ¦1.

По территориальному ¦ ¦ ¦ ¦ ¦размещению: ¦ ¦ ¦ ¦ ¦распределенная ИСПДн, которая¦ – ¦ – ¦ + ¦ ¦охватывает несколько областей,¦ ¦ ¦ ¦ ¦краев, округов или государство¦ ¦ ¦ ¦ ¦в целом; ¦ ¦ ¦ ¦ ¦городская ИСПДн, охватывающая¦ – ¦ – ¦ + ¦ ¦не более одного населенного¦ ¦ ¦ ¦ ¦пункта (города, поселка); ¦ ¦ ¦ ¦ ¦корпоративная распределенная¦ – ¦ + ¦ – ¦ ¦ИСПДн, охватывающая многие¦ ¦ ¦ ¦ ¦подразделения одной¦ ¦ ¦ ¦ ¦организации; ¦ ¦ ¦ ¦ ¦локальная (кампусная) ИСПДн,¦ – ¦ + ¦ – ¦ ¦развернутая в пределах¦ ¦ ¦ ¦ ¦нескольких близко расположенных¦ ¦ ¦ ¦ ¦зданий; ¦ ¦ ¦ ¦ ¦локальная ИСПДн, развернутая в¦ + ¦ – ¦ – ¦ ¦пределах одного здания ¦ ¦ ¦ ¦ +——————————–+————-+————+————-+ ¦2. По наличию соединения с¦ ¦ ¦ ¦ ¦сетями общего пользования: ¦ ¦ ¦ ¦ ¦ИСПДн, имеющая многоточечный¦ – ¦ – ¦ + ¦ ¦выход в сеть общего¦ ¦ ¦ ¦ ¦пользования; ¦ ¦ ¦ ¦ ¦ИСПДн, имеющая одноточечный¦ – ¦ + ¦ – ¦ ¦выход в сеть общего¦ ¦ ¦ ¦ ¦пользования; ¦ ¦ ¦ ¦ ¦ИСПДн, физически отделенная от¦ + ¦ – ¦ – ¦ ¦сети общего пользования ¦ ¦ ¦ ¦ +——————————–+————-+————+————-+ ¦3. По встроенным (легальным)¦ ¦ ¦ ¦ ¦операциям с записями баз¦ ¦ ¦ ¦ ¦персональных данных: ¦ ¦ ¦ ¦ ¦чтение, поиск;¦ + ¦ – ¦ – ¦ ¦запись, удаление, сортировка;¦ – ¦ + ¦ – ¦ ¦модификация, передача¦ – ¦ – ¦ + ¦ +——————————–+————-+————+————-+ ¦4. По разграничению доступа к¦ ¦ ¦ ¦ ¦персональным данным: ¦ ¦ ¦ ¦ ¦ИСПДн, к которой имеют доступ¦ – ¦ + ¦ – ¦ ¦определенные перечнем¦ ¦ ¦ ¦ ¦сотрудники организации,¦ ¦ ¦ ¦ ¦являющейся владельцем ИСПДн,¦ ¦ ¦ ¦ ¦либо субъект ПДн; ¦ ¦ ¦ ¦ ¦ИСПДн, к которой имеют доступ¦ – ¦ – ¦ + ¦ ¦все сотрудники организации,¦ ¦ ¦ ¦ ¦являющейся владельцем ИСПДн; ¦ ¦ ¦ ¦ ¦ИСПДн с открытым доступом ¦ – ¦ – ¦ + ¦ +——————————–+————-+————+————-+ ¦5. По наличию соединений с¦ ¦ ¦ ¦ ¦другими базами ПДн иных ИСПДн: ¦ ¦ ¦ ¦ ¦интегрированная ИСПДн¦ – ¦ – ¦ + ¦ ¦(организация использует¦ ¦ ¦ ¦ ¦несколько баз ПДн ИСПДн, при¦ ¦ ¦ ¦ ¦этом организация не является¦ ¦ ¦ ¦ ¦владельцем всех используемых¦ ¦ ¦ ¦ ¦баз ПДн); ¦ ¦ ¦ ¦ ¦ИСПДн, в которой используется¦ + ¦ – ¦ – ¦ ¦одна база ПДн, принадлежащая¦ ¦ ¦ ¦ ¦организации – владельцу данной¦ ¦ ¦ ¦ ¦ИСПДн ¦ ¦ ¦ ¦ +——————————–+————-+————+————-+ ¦6. По уровню обобщения¦ ¦ ¦ ¦ ¦(обезличивания) ПДн: ¦ ¦ ¦ ¦ ¦ИСПДн, в которой¦ + ¦ – ¦ – ¦ ¦предоставляемые пользователю¦ ¦ ¦ ¦ ¦данные являются обезличенными¦ ¦ ¦ ¦ ¦(на уровне организации,¦ ¦ ¦ ¦ ¦отрасли, области, региона и¦ ¦ ¦ ¦ ¦т.д.); ¦ ¦ ¦ ¦ ¦ИСПДн, в которой данные¦ – ¦ + ¦ – ¦ ¦обезличиваются только при¦ ¦ ¦ ¦ ¦передаче в другие организации и¦ ¦ ¦ ¦ ¦не обезличены при¦ ¦ ¦ ¦ ¦предоставлении пользователю в¦ ¦ ¦ ¦ ¦организации; ¦ ¦ ¦ ¦ ¦ИСПДн, в которой¦ – ¦ – ¦ + ¦ ¦предоставляемые пользователю¦ ¦ ¦ ¦ ¦данные не являются¦ ¦ ¦ ¦ ¦обезличенными (т.е.¦ ¦ ¦ ¦ ¦присутствует информация,¦ ¦ ¦ ¦ ¦позволяющая идентифицировать¦ ¦ ¦ ¦ ¦субъекта ПДн) ¦ ¦ ¦ ¦ +——————————–+————-+————+————-+ ¦7. По объему ПДн, которые¦ ¦ ¦ ¦ ¦предоставляются сторонним¦ ¦ ¦ ¦ ¦пользователям ИСПДн без¦ ¦ ¦ ¦ ¦предварительной обработки: ¦ ¦ ¦ ¦ ¦ИСПДн, предоставляющая всю базу¦ – ¦ – ¦ + ¦ ¦данных с ПДн; ¦ ¦ ¦ ¦ ¦ИСПДн, предоставляющая часть¦ – ¦ + ¦ – ¦ ¦ПДн; ¦ ¦ ¦ ¦ ¦ИСПДн, не предоставляющая¦ + ¦ – ¦ – ¦ ¦никакой информации ¦ ¦ ¦ ¦ ———————————+————-+————+————–

Исходная степень защищенности определяется следующим образом.

1. ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню “высокий” (суммируются положительные решения по первому столбцу, соответствующему высокому уровню защищенности), а остальные – среднему уровню защищенности (положительные решения по второму столбцу).

2. ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70% характеристик ИСПДн соответствуют уровню не ниже “средний” (берется отношение суммы положительные решений по второму столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные – низкому уровню защищенности.

3. ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия по пунктам 1 и 2.

При составлении перечня актуальных угроз безопасности ПДн каждой степени исходной защищенности ставится в соответствие числовой коэффициент Y , а именно: 1

0 – для высокой степени исходной защищенности;

5 – для средней степени исходной защищенности;

10 – для низкой степени исходной защищенности.

Под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки. Вводятся четыре вербальных градации этого показателя:

маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

средняя вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

высокая вероятность – объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y , а именно: 2

0 – для маловероятной угрозы;

2 – для низкой вероятности угрозы;

5 – для средней вероятности угрозы;

10 – для высокой вероятности угрозы.

С учетом изложенного коэффициент реализуемости угрозы Y будет определяться соотношением

Y = (Y + Y ) / 20 1 2

По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом:

если 0

Источник: https://www.lawru.info/dok/2008/02/14/n58455.htm

Составление модели актуальных угроз ИСПДн юридической фирмы «Грантум». Классификация ИСПДн

Определение уровня защищенности информационной системы персональных данных. Определение исходного уровня защищенности испдн

< Предыдущая СОДЕРЖАНИЕ Следующая >

Перейти к загрузке файла

В соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных разработанной ФСТЭК, определение уровня исходной защищённости производится на основании анализа технических и эксплуатационных характеристик ИСПДн, в таблице (5.1) представлены характеристики ИСПДн, определена степень исходной защищенности ИСПДн клиентов и сотрудников юридической фирмы «Грантум».Исходный уровень защищенности определяется следующим образом:1. ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню «высокий» (суммируются положительные решения по первому столбцу, соответствующему высокому уровню защищенности), а остальные – среднему уровню защищенности (положительные решения по второму столбцу).2. ИСПДн имеет средний уровень исходной защищенности, если не выполняются условия по пункту 1 и не менее 70% характеристик ИСПДн соответствуют уровню не ниже «средний» (берется отношение суммы положительные решений по второму столбцу, соответствующему среднему уровню защищенности, к общему количеству решений), а остальные – низкому уровню защищенности.3. ИСПДн имеет низкую степень исходной защищенности, если не выполняются условия по пунктам 1 и 2.При составлении перечня актуальных угроз безопасности ПДн каждой степени исходной защищенности ставится в соответствие числовой коэффициентY1, а именно:0 – для высокой степени исходной защищенности;5 – для средней степени исходной защищенности;10 – для низкой степени исходной защищенности.Таблица 5.1 – определение уровня исходной защищенности ИСПДн юридической фирмы «Грантум»
Технические и эксплуатационные характеристики ИСПДнУровень защищенности
ВысокийСреднийНизкий
По территориальному размещению
распределенная ИСПДн, которая охватывает несколько областей, краев, округов или государство в целом
городская ИСПДн, охватывающая не более одного населенного пункта (города, поселка)
корпоративная распределенная ИСПДн, охватывающая многие подразделения одной организации
локальная (кампусная) ИСПДн, развернутая в пределах нескольких близко расположенных зданий
локальная ИСПДн, развернутая в пределах одного здания+
По наличию соединения с сетями общего пользования
ИСПДн, имеющая многоточечный выход в сеть общего пользования
ИСПДн, имеющая одноточечный выход в сеть общего пользования+
ИСПДн, физически отделенная от сети общего пользования
По встроенным (легальным) операциям с записями баз персональных данных
чтение, поиск
запись, удаление, сортировка+
модификация, передача
По разграничению доступа к персональным данным
ИСПДн, к которой имеют доступ определенные переченем сотрудники организации, являющейся владельцем ИСПДн, либо субъект ПДн;+
ИСПДн, к которой имеют доступ все сотрудники организации, являющейся владельцем ИСПДн;
ИСПДн с открытым доступом
По наличию соединений с другими базами ПДн иных ИСПДн
интегрированная ИСПДн (организация использует несколько баз ПДн ИСПДн, при этом организация не является владельцем всех используемых баз ПДн);
ИСПДн, в которой используется одна база ПДн, принадлежащая организации – владельцу данной ИСПДн+
По уровню обобщения (обезличивания) ПДн
ИСПДн, в которой предоставляемые пользователю данные являются обезличенными (на уровне организации, отрасли, области, региона и т.д.);
ИСПДн, в которой данные обезличиваются только при передаче в другие организации и не обезличены при предоставлении пользователю в организации;
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПДн+
По объему ПДн, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки
ИСПДн, предоставляющая всю базу данных с ПДн
ИСПДн, предоставляющая часть ПДн
ИСПДн, не предоставляющая никакой информации+
Количество баллов по уровням331
Процент характеристик ИСПДн по уровням42,8%42,8%14,4%
Уровень исходной защищённости ИСПДнСредний
Коэффициент защищённости ИСПДн (Y1)5

Определение вероятности реализации угроз безопасности в информационной системе персональных данных.

В соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, разработанной ФСТЭК, под частотой (вероятностью) реализации угрозы понимается определяемый экспертным путем показатель, характеризующий, насколько вероятным является реализация конкретной угрозы безопасности ПДн для данной ИСПДн в складывающихся условиях обстановки.

Вводятся четыре вербальных градации показателя «Вероятность реализации угрозы»:

– маловероятно – отсутствуют объективные предпосылки для осуществления угрозы (например, угроза хищения носителей информации лицами, не имеющими легального доступа в помещение, где последние хранятся);

– низкая вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры существенно затрудняют ее реализацию (например, использованы соответствующие средства защиты информации);

– средняя вероятность – объективные предпосылки для реализации угрозы существуют, но принятые меры обеспечения безопасности ПДн недостаточны;

– высокая вероятность – объективные предпосылки для реализации угрозы существуют и меры по обеспечению безопасности ПДн не приняты.

При составлении перечня актуальных угроз безопасности ПДн каждой градации вероятности возникновения угрозы ставится в соответствие числовой коэффициент Y2, а именно:

0 – для маловероятной угрозы;

2 – для низкой вероятности угрозы;

5 – для средней вероятности угрозы;

10 – для высокой вероятности угрозы.

Определение коэффициента реализуемости угрозы.

С учетом изложенного, коэффициент реализуемости угрозы Y будет определяться соотношением (2.1)

, (2.1)

где:

.

По значению коэффициента реализуемости угрозы Y формируется вербальная интерпретация реализуемости угрозы следующим образом:

– если , то возможность реализации угрозы признается низкой;

– если , то возможность реализации угрозы признается средней;

– если , то возможность реализации угрозы признается высокой;

– если , то возможность реализации угрозы признается очень высокой.

Далее оценивается опасность каждой угрозы. При оценке опасности на основе опроса экспертов (специалистов в области защиты информации) определяется вербальный показатель опасности для рассматриваемой ИСПДн. Этот показатель имеет три значения:

– низкая опасность – если реализация угрозы может привести к незначительным негативным последствиям для субъектов персональных данных;

– средняя опасность – если реализация угрозы может привести к негативным последствиям для субъектов персональных данных;

– высокая опасность – если реализация угрозы может привести к значительным негативным последствиям для субъектов персональных данных.

Затем осуществляется выбор из общего (предварительного) перечня угроз безопасности тех, которые относятся к актуальным для данной ИСПДн, в соответствии с правилами, приведенными в таблице 5.2.

Таблица 5.2 Правила отнесения угрозы безопасности ПДн к актуальной

Возможность реализации угрозыПоказатель опасности угрозы
НизкаяСредняяВысокая
Низкаянеактуальнаянеактуальнаяактуальная
Средняянеактуальнаяактуальнаяактуальная
Высокаяактуальнаяактуальнаяактуальная
Очень высокаяактуальнаяактуальнаяактуальная

Исходя из составленной модели угроз, перечень актуальных угроз ИСПДн юридической фирмы «Грантум» имеет следующий вид:

1. Угрозы утечки информации по техническим каналам:

– угрозы утечки видовой информации.

2. Угрозы преднамеренных действий внутренних нарушителей:

– разглашение информации, модификация, уничтожение сотрудниками, допущенными к ее обработке;

– применение отчуждаемых носителей вредоносных программ.

3. Угрозы НСД:

– угрозы, реализуемые в ходе загрузки операционной системы и направленные на перехват паролей или идентификаторов;

– угрозы, реализуемые после загрузки операционной системы и направленные на выполнение несанкционированного доступа с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.);

– угрозы внедрения вредоносных программ.

4. Угрозы, реализуемые с использованием протоколов межсетевого взаимодействия:

– угрозы “Анализа сетевого трафика” с перехватом передаваемой во внешние сети и принимаемой из внешних сетей информации

– угрозы сканирования, направленные на выявление типа операционной системы АРМ, открытых портов и служб, открытых соединений и др.;

– угрозы выявления паролей;

– угрозы внедрения по сети вредоносных программ.

Классификация ИСПДн юридической фирмы «Грантум»

Субъектами персональных данных являются как сотрудники фирмы, так и клиенты, общей численностью не более 100 тыс. субъектов.

В соответствии с постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 г. Москва “Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных”, ИСПДн юридической фирмы «Грантум» является информационной системой, обрабатывающей категорию персональных данных «иные».

Используя метод экспертных установим, что для ИСПДн юридической фирмы «Грантум» актуальны угрозы 3-го типа, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

Уровень защищённости ИСПДн определяется на основании количества субъектов персональных данных, категории ПДн, типа актуальных угроз, а также того, являются субъекты ПДн сотрудниками фирмы или нет. Из приведённых выше значений характеристик, используя таблицу (5.3), следует отнести ИСПДн юридической фирмы «Грантум» к четвёртому уровню защищённости.

Таблица 5.3 – Критерии определения уровня защищённости ИСПДн

Категории ПДНСпециальныеБиометрическиеИные Общедоступные
Собственные работникинетнетданетнетданетнетда
Количество субъектовболее 100 тыс.менее 100 тыс.более 100 тыс.менее 100 тыс.более 100 тыс.менее 100 тыс.
Тип актуальных угроз11 УЗ1 УЗ1 УЗ1 УЗ1 УЗ2 УЗ2 УЗ2 УЗ2 УЗ2 УЗ
21 УЗ2 УЗ2 УЗ2 УЗ2 УЗ3 УЗ3 УЗ2 УЗ3 УЗ3 УЗ
32 УЗ3 УЗ3 УЗ3 УЗ3 УЗ4 УЗ4 УЗ4 УЗ4 УЗ4 УЗ

Источник: https://studbooks.net/2249797/informatika/sostavlenie_modeli_aktualnyh_ugroz_ispdn_yuridicheskoy_firmy_grantum_klassifikatsiya_ispdn

Классы защиты персональных данных | Уровни защищенности персональных данных

Определение уровня защищенности информационной системы персональных данных. Определение исходного уровня защищенности испдн

Параметры защиты персональных данных (ПД) – это некоторая совокупность определенных условий по соблюдению требований правовых норм, позволяющая эффективно защитить информационные системы, содержащие, перерабатывающие и использующие эту информацию, от несанкционированного доступа.

Категории ИСПДн

К основным данным персонального характера относятся ФИО, дата рождения, адрес проживания, имущественное состояние, наличие образования, принадлежность к какой-либо профессии. Операторами этих и многих других данных являются госорганы, муниципальные органы, физические и юридические лица, обрабатывающие ПД.

Субъектами ПД являются физические лица. Оператор обязан создать необходимые условия по защите этой информации в соответствии с нормами законодательства РФ.

Постановлением № 1119 от 1 декабря 2012 г. вместо применяемых в России ранее классов информационных систем персональных данных (ИСПДн) применяются уровни защищенности ПД. Этот документ определяет конкретные требования к защите ПД при работе с ними в информсистемах и к уровням их защищенности.

Уровень защищенности зависит от:

  • категорий данных;
  • актуальных угроз;
  • числа людей, обработка ПД которых осуществляется;
  • контингента граждан – субъектов этих данных.

Информсистемы ПД делятся на четыре категории:

  1. Биометрические содержат информацию о биологии и физиологии субъекта, с помощью которой становится возможной идентификация его персоны.
  2. Специальные включают в себя расовую и национальную принадлежность, политические предпочтения, религиозные или философские верования и убеждения, информацию о состоянии физического и психического здоровья, сексуальном выборе и жизни.
  3. К общедоступным отнесены сведения об основных персональных данных, являющихся достоянием широких масс благодаря легкодоступным источникам, в которых они хранятся и обрабатываются.
  4. Иные ИСПДн используют данные, отсутствующие в предыдущих группах.

Объемы обрабатываемых личных данных в ИСПДн делятся на две группы: до 100 000 человек и более 100 000.

По форме взаимодействия между оператором и субъектами работа с ПД делится на два вида:

  • работа с ПД сотрудников;
  • работа с ПД других людей.

К числу актуальных угроз безопасности ПД можно отнести намеренный или случайный несанкционированный доступ, в результате чего данные могут быть уничтоженными, сфальсифицированными, измененными, блокированными, скопированными, распространенными средствами массовой информации и т. п.

Возможность устанавливать типы существующих актуальных угроз предоставляется самому оператору с привлечением специалистов по информационной безопасности.

К актуальным типам угроз относят:

  • недокументированные возможности системного программного обеспечения ИСПДн, которые позволяют осуществлять несанкционированный вход;
  • недокументированные возможности прикладного ПО;
  • другие угрозы.

Уровни защищенности ИСПДн

Всего существует четыре уровня защищенности (УЗ) ПД.

УЗ-1 устанавливается:

  • если существуют угрозы I типа и информсистема работает со специальными, биометрическими или иными категориями ПД;
  • если существуют угрозы II типа и информсистема работает со специальными категориями ПД свыше 100 тысяч граждан.

УЗ-2 устанавливается при угрозах типов:

  • I и работе с общедоступными личными данными;
  • II и работе с личными данными служащих оператора или при работе со специальной категорией ниже 100 тысяч человек;
  • II и работе с использованием биометрических личных данных;
  • II и обработке общедоступных личных данных при количестве от 100 тысяч человек (без персонала оператора); 
  • II и работе с другими видами ПД с количеством от 100 тысяч человек (без учета работников оператора); 
  • III и работе со специальной категорией более чем 100 тысяч человек (не считая персонала оператора). 

УЗ-3 устанавливается при наличии угроз следующих типов:

  • II, включая работу с ПД общедоступного характера с количеством людей до 100 тысяч человек;
  • II с работой с другими категориями до 100 тысяч человек;
  • III с обработкой специальных категорий до 100 тысяч человек;
  • III с использованием биометрических ПД;
  • III с работой с другими категориями, превышающими 100 тысяч человек (кроме персонала оператора).

УЗ-4 устанавливается при угрозах:

  • III типа и работе с общедоступной информацией;
  • III типа и обработке других категорий меньше 100 тысяч человек.

Требования к защите личных данных для существующих уровней защищенности

ТребованияУровни защищенности
1234
Запрет присутствия посторонних личностей в местах обработки ПД++++
Сохранность носителей данных++++
Составление руководством списка работников, которые имеют свободный доступ к личным данным++++
Использование сертифицированных, согласно законодательству, устройств защиты данных++++
Назначение ответственного сотрудника за надлежащее обеспечение защиты ПД+++
Ограничение доступности электронного журнала сообщений++
Если служебные полномочия сотрудника изменяются, то делается автоматическая запись в электронный журнал безопасности+
В составе учреждения, обрабатывающего ПД, должен быть отдел, занимающийся вопросами безопасности +

Если уровень защищенности ПД уже установлен, становится возможным подбор подходящих мер организационного и технического характера обеспечения безопасности ПД в соответствии с приказом № 21 от 18.02.2013 ФСТЭК РФ.

Требования приводятся в исполнение самим оператором, или к этой работе привлекаются по договорам юридические или физические лица, имеющие лицензию на технические способы защиты конфиденциальной информации. Оператор ИСПДн определяет уровень защищенности ПД и оформляет соответствующий акт.

Проверка выполнения предусмотренных норм безопасности должна осуществляться не реже одного раза в три года.

Источник: https://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/realizaciya-zashchity-personalnyh-dannyh/klassy-zashchity-personalnyh-dannyh/

Как определить уровень защищенности информационных систем

Определение уровня защищенности информационной системы персональных данных. Определение исходного уровня защищенности испдн

Правительство Российской Федерации устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных».

На данный момент требования к защите персональных данных при их обработке в информационных системах установлены постановлением Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

Постановление пришло на смену утратившему силу постановлению Правительства РФ от 17.11.2007 N 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» и приказу ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г.

N 55/86/20, который утверждал порядок классификации ИСПДн.

Таким образом, сейчас перечень обязательных организационных и технических мер по обеспечению безопасности персональных данных определяется в соответствии с установленным для информационной системы уровнем защищенности персональных данных.

В свою очередь уровни защищенности персональных данных при их обработке в информационных системах определяются исходя из следующих условий:

1) категория субъектов персональных данных, чьи персональные данные обрабатываются в информационной системе: сотрудники или иные лица;

2) количество субъектов персональных данных, чьи персональные данные обрабатываются в информационной системе: до 100 000 или более 100 000;

3) категория персональных данных, обрабатываемых в информационной системе:

  • специальные,
  • биометрические,
  • общедоступные,
  • иные;

4) тип актуальных угроз безопасности персональных данных:

  • актуальны угрозы, связанные с наличием недокументированных возможностей в системном программном обеспечении;
  • актуальны угрозы, связанные с наличием недокументированных возможностей в прикладном программном обеспечении;
  • актуальны угрозы, не связанные с наличием недокументированных возможностей в системном и прикладном программном обеспечении.

Чем выше определен уровень защищенности персональных данных, тем больше мер по обеспечению безопасности персональных данных требуется выполнить.

Если по ошибке определить более высокий уровень защищенности, то, соответственно, придется строить более дорогую систему защиты персональных данных.

Рассмотрим типовые варианты информационных систем, которые используются в большинстве медицинских учреждений.

Защита типовой системы: скромно и со вкусом

Организация защиты информации в медицинском учреждении строится на общих принципах защиты ИСПДн. Например, практически в любом учреждении здравоохранения установлена типовая информационная система персональных данных для учета кадров и расчета зарплаты.

Субъекты обработки персональных данных в этом случае — сотрудники организации, а цель обработки ПДн — обеспечение соблюдения в отношении сотрудника законодательства Российской Федерации в сфере трудовых и непосредственно связанных с ними отношений.

В такой информационной системе не ведется обработка биометрических или специальных категорий персональных данных, а значит, определение уровня защищенности будет зависеть от актуальных угроз безопасности персональных данных, определенных для данной информационной системы.

В большинстве случаев для подобного рода информационных систем актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, а следовательно, в информационной системе необходимо будет обеспечить четвертый уровень защищенности персональных данных, т. е. потребуется выполнение минимального перечня организационных и технических мер.

ИС федерального масштаба: все, как у людей

Федеральный регистр медицинских работников (ФРМР) — система, предназначенная для сбора, хранения и обработки данных учета медицинского персонала субъектов Российской Федерации, а также для контроля распределения и перемещений медперсонала. Как и в описанной выше информационной системе, в ФРМР не ведется обработка биометрических или специальных категорий персональных данных, и при схожих характеристиках в ФРМР требуется обеспечить такой же уровень защищенности.

Несмотря на то что категория субъектов ПДн и обрабатываемые данные в обеих системах практически аналогичны, объединять их в одну ИС все же не стоит, поскольку цели обработки ПДн в первом случае — это исполнение требований трудового законодательства, а во втором — требований Министерства здравоохранения и социального развития Российской Федерации.

Медицинские информационные системы: зона особого внимания

С помощью медицинских информационных систем сотрудники медицинских организаций решают целый ряд задач:

  • ведут электронные амбулаторные карты, электронную регистратуру;
  • обрабатывают данные медицинских исследований в цифровой форме;
  • собирают и хранят данные мониторинга состояния пациента с медицинских приборов;
  • используют как средство общения между сотрудниками;
  • анализируют финансовую и административную информацию.

При определении уровня защиты для медицинских информационных систем следует принимать во внимание ряд факторов:

  • в МИС обрабатываются ПДн специальной категории (состояние здоровья, диагнозы, данные с медицинских приборов и т. д.);
  • субъекты ПДн не являются сотрудниками организации, и их количество может варьироваться.

В зависимости от количества обрабатываемых субъектов персональных данных и типа актуальных угроз безопасности в МИС требуется обеспечить второй или третий уровень защищенности персональных данных.

Прочие информационные системы в сфере здравоохранения

В зависимости от инфраструктуры и задач учреждения в организации могут функционировать и иные ИС. Для них действует точно такой же алгоритм определения требуемого уровня защищенности ПДн, что и для систем, речь о которых шла выше.

Если субъекты и цель обработки ПДн в нескольких информационных системах совпадают, то их можно объединить и выстроить для них единую систему защиты персональных данных.

В заключение напомним, что уровень защищенности персональных данных в информационных системах определяется оператором персональных данных самостоятельно, а следовательно, и выбор организационных и технических мер по защите персональных данных лежит на плечах оператора.

Однако не стоит забывать, что завышение уровня защищенности приведет к увеличению стоимости системы защиты персональных данных, а занижение уровня защищенности персональных данных является нарушением.

Дабы не ломать себе голову вопросом «а правильно ли я классифицировал ИС?», доверьтесь профессионалам.

Специалисты «Контур-Безопасность»

  • составят модель угроз
  • классифицируют информационную систему
  • помогут выбрать оптимальные средства защиты
  • грамотно выстроят систему защиты

Узнать больше

Максим Малкиев, эксперт по защите информационных систем персональных данных компании «СКБ Контур», проект «Контур-Безопасность»

Источник: https://kontur.ru/articles/1940

Граждан вопрос
Добавить комментарий