Распоряжение Администрации г. Киселевска от 09.06.2012 № 721-р
Об утверждении концепции информационной безопасности в администрации Киселевского городского округа
РОССИЙСКАЯ ФЕДЕРАЦИЯ КЕМЕРОВСКАЯ ОБЛАСТЬ АДМИНИСТРАЦИЯ ГОРОДА КИСЕЛЕВСКА РАСПОРЯЖЕНИЕот 09.06.12 N 721-рг. КиселевскОб утверждении концепцииинформационной безопасностив администрации Киселевскогогородского округа В соответствии с Федеральным законом от 27.07.2006 N 152-ФЗ"О персональных данных", Федеральным законом от 27.07.2006 N 149-ФЗ"Об информации, информационных технологиях и о защите информации" вадминистрации Киселевского городского округа: 1. Утвердить концепцию информационной безопасности администрацииКиселевского городского округа согласно приложению N 1 к настоящемураспоряжению. 2. Опубликовать настоящее распоряжение в средствах массовойинформации и разместить на сайте администрации Киселевского городскогоокруга в сети Интернет. 3. Контроль за исполнением настоящего распоряжения возложить назаместителя Главы города - управляющего делами В.А. Лата. Глава города Киселевска С.С. Лаврентьев Приложение 1 к распоряжению администрации Киселевского городского округа от 09 июня 2012 г. N 721-р Концепция информационной безопасности администрации Киселевского городского округа ОПРЕДЕЛЕНИЯ В настоящем документе используются следующие термины и ихопределения. Автоматизированная система - система, состоящая из персонала икомплекса средств автоматизации его деятельности, реализующаяинформационную технологию выполнения установленных функций. Аутентификация отправителя данных - подтверждение того, чтоотправитель полученных данных соответствует заявленному. Безопасность персональных данных - состояние защищенностиперсональных данных, характеризуемое способностью пользователей,технических средств и информационных технологий обеспечитьконфиденциальность, целостность и доступность персональных данных приих обработке в информационных системах персональных данных. Биометрические персональные данные - сведения, которыехарактеризуют физиологические особенности человека и на основе которыхможно установить его личность, включая фотографии, отпечатки пальцев,образ сетчатки глаза, особенности строения тела и другую подобнуюинформацию. Блокирование персональных данных - временное прекращение сбора,систематизации, накопления, использования, распространения,персональных данных, в том числе их передачи. Вирус (компьютерный, программный) - исполняемый программный кодили интерпретируемый набор инструкций, обладающий свойстваминесанкционированного распространения и самовоспроизведения. Созданныедубликаты компьютерного вируса не всегда совпадают с оригиналом, носохраняют способность к дальнейшему распространению исамовоспроизведению. Вредоносная программа - программа, предназначенная дляосуществления несанкционированного доступа и (или) воздействия наперсональные данные или ресурсы информационной системы персональныхданных. Вспомогательные технические средства и системы - техническиесредства и системы, не предназначенные для передачи, обработки ихранения персональных данных, устанавливаемые совместно с техническимисредствами и системами, предназначенными для обработки персональныхданных или в помещениях, в которых установлены информационные системыперсональных данных. Доступ в операционную среду компьютера (информационной системыперсональных данных) - получение возможности запуска на выполнениештатных команд, функций, процедур операционной системы (уничтожения,копирования, перемещения и т.п.), исполняемых файлов прикладныхпрограмм. Доступ к информации - возможность получения информации и ееиспользования. Закладочное устройство - элемент средства съема информации,скрытно внедряемый (закладываемый или вносимый) в места возможногосъема информации (в том числе в ограждение, конструкцию, оборудование,предметы интерьера, транспортные средства, а также в техническиесредства и системы обработки информации). Защищаемая информация - информация, являющаяся предметомсобственности и подлежащая защите в соответствии с требованиямиправовых документов или требованиями, устанавливаемыми собственникоминформации. Идентификация - присвоение субъектам и объектам доступаидентификатора и (или) сравнение предъявляемого идентификатора сперечнем присвоенных идентификаторов. Информативный сигнал - электрические сигналы, акустические,электромагнитные и другие физические поля, по параметрам которых можетбыть раскрыта конфиденциальная информация (персональные данные)обрабатываемая в информационной системе персональных данных. Информационная система персональных данных (ИСПДн) -информационная система, представляющая собой совокупность персональныхданных, содержащихся в базе данных, а также информационных технологийи технических средств, позволяющих осуществлять обработку такихперсональных данных с использованием средств автоматизации или безиспользования таких средств. Информационные технологии - процессы, методы поиска, сбора,хранения, обработки, предоставления, распространения информации испособы осуществления таких процессов и методов. Использование персональных данных - действия (операции) сперсональными данными, совершаемые оператором в целях принятия решенийили совершения иных действий, порождающих юридические последствия вотношении субъекта персональных данных или других лиц либо инымобразом затрагивающих права и свободы субъекта персональных данных илидругих лиц. Источник угрозы безопасности информации - субъект доступа,материальный объект или физическое явление, являющиеся причинойвозникновения угрозы безопасности информации. Контролируемая зона - пространство (территория, здание, частьздания, помещение), в котором исключено неконтролируемое пребываниепосторонних лиц, а также транспортных, технических и иных материальныхсредств. Конфиденциальность персональных данных - обязательное длясоблюдения оператором или иным получившим доступ к персональным даннымлицом требование не допускать их распространение без согласия субъектаперсональных данных или наличия иного законного основания. Межсетевой экран - локальное (однокомпонентное) илифункционально-распределенное программное (программно-аппаратное)средство (комплекс), реализующее контроль за информацией, поступающейв информационную систему персональных данных и (или) выходящей изинформационной системы. Нарушитель безопасности персональных данных - физическое лицо,случайно или преднамеренно совершающее действия, следствием которыхявляется нарушение безопасности персональных данных при их обработкетехническими средствами в информационных системах персональных данных. Неавтоматизированная обработка персональных данных - обработкаперсональных данных, содержащихся в информационной системеперсональных данных либо извлеченных из такой системы, считаетсяосуществленной без использования средств автоматизации(неавтоматизированной), если такие действия с персональными данными,как использование, уточнение, распространение, уничтожениеперсональных данных в отношении каждого из субъектов персональныхданных, осуществляются при непосредственном участии человека. Недекларированные возможности - функциональные возможностисредств вычислительной техники, не описанные или не соответствующиеописанным в документации, при использовании которых возможно нарушениеконфиденциальности, доступности или целостности обрабатываемойинформации. Несанкционированный доступ (несанкционированные действия) -доступ к информации или действия с информацией, нарушающие правиларазграничения доступа с использованием штатных средств,предоставляемых информационными системами персональных данных. Носитель информации - физическое лицо или материальный объект, втом числе физическое поле, в котором информация находит свое отражениев виде символов, образов, сигналов, технических решений и процессов,количественных характеристик физических величин. Обезличивание персональных данных - действия, в результатекоторых невозможно определить принадлежность персональных данныхконкретному субъекту персональных данных. Обработка персональных данных - действия (операции) сперсональными данными, включая сбор, систематизацию, накопление,хранение, уточнение (обновление, изменение), использование,распространение (в том числе передачу), обезличивание, блокирование,уничтожение персональных данных. Общедоступные персональные данные - персональные данные, доступнеограниченного круга лиц к которым предоставлен с согласия субъектаперсональных данных или на которые в соответствии с федеральнымизаконами не распространяется требование соблюдения конфиденциальности. Оператор (персональных данных) - государственный орган,муниципальный орган, юридическое или физическое лицо, организующее и(или) осуществляющее обработку персональных данных, а такжеопределяющие цели и содержание обработки персональных данных. Технические средства информационной системы персональных данных -средства вычислительной техники, информационно-вычислительныекомплексы и сети, средства и системы передачи, приема и обработки ПДн(средства и системы звукозаписи, звукоусиления, звуковоспроизведения,переговорные и телевизионные устройства, средства изготовления,тиражирования документов и другие технические средства обработкиречевой, графической, видео- и буквенно-цифровой информации),программные средства (операционные системы, системы управления базамиданных и т.п.), средства защиты информации, применяемые винформационных системах. Перехват (информации) - неправомерное получение информации сиспользованием технического средства, осуществляющего обнаружение,прием и обработку информативных сигналов. Персональные данные - любая информация, относящаяся копределенному или определяемому на основании такой информациифизическому лицу (субъекту персональных данных), в том числе егофамилия, имя, отчество, год, месяц, дата и место рождения, адрес,семейное, социальное, имущественное положение, образование, профессия,доходы, другая информация. Побочные электромагнитные излучения и наводки - электромагнитныеизлучения технических средств обработки защищаемой информации,возникающие как побочное явление и вызванные электрическими сигналами,действующими в их электрических и магнитных цепях, а такжеэлектромагнитные наводки этих сигналов на токопроводящие линии,конструкции и цепи питания. Политика "чистого стола" - комплекс организационных мероприятий,контролирующих отсутствие записывания на бумажные носители ключей иатрибутов доступа (паролей) и хранения их вблизи объектов доступа. Пользователь информационной системы персональных данных - лицо,участвующее в функционировании информационной системы персональныхданных или использующее результаты ее функционирования. Правила разграничения доступа - совокупность правил,регламентирующих права доступа субъектов доступа к объектам доступа. Программная закладка - код программы, преднамеренно внесенный впрограмму с целью осуществить утечку, изменить, блокировать,уничтожить информацию или уничтожить и модифицировать программноеобеспечение информационной системы персональных данных и (или)блокировать аппаратные средства. Программное (программно-математическое) воздействие -несанкционированное воздействие на ресурсы автоматизированнойинформационной системы, осуществляемое с использованием вредоносныхпрограмм. Раскрытие персональных данных - умышленное или случайноенарушение конфиденциальности персональных данных. Распространение персональных данных - действия, направленные напередачу персональных данных определенному кругу лиц (передачаперсональных данных) или на ознакомление с персональными данныминеограниченного круга лиц, в том числе обнародование персональныхданных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональнымданным каким-либо иным способом. Ресурс информационной системы - именованный элемент системного,прикладного или аппаратного обеспечения функционированияинформационной системы. Специальные категории персональных данных - персональные данные,касающиеся расовой, национальной принадлежности, политическихвзглядов, религиозных или философских убеждений, состояния здоровья иинтимной жизни субъекта персональных данных. Средства вычислительной техники - совокупность программных итехнических элементов систем обработки данных, способныхфункционировать самостоятельно или в составе других систем. Субъект доступа (субъект) - лицо или процесс, действия которогорегламентируются правилами разграничения доступа. Технический канал утечки информации - совокупность носителяинформации (средства обработки), физической среды распространенияинформативного сигнала и средств, которыми добывается защищаемаяинформация. Трансграничная передача персональных данных - передачаперсональных данных оператором через Государственную границуРоссийской Федерации органу власти иностранного государства,физическому или юридическому лицу иностранного государства. Угрозы безопасности персональных данных - совокупность условий ифакторов, создающих опасность несанкционированного, в том числеслучайного, доступа к персональным данным, результатом которого можетстать уничтожение, изменение, блокирование, копирование,распространение персональных данных, а также иных несанкционированныхдействий при их обработке в информационной системе персональныхданных. Уничтожение персональных данных - действия, в результате которыхневозможно восстановить содержание персональных данных винформационной системе персональных данных или в результате которыхуничтожаются материальные носители персональных данных. Утечка (защищаемой) информации по техническим каналам -неконтролируемое распространение информации от носителя защищаемойинформации через физическую среду до технического средства,осуществляющего перехват информации. Уязвимость - слабость в средствах защиты, которую можноиспользовать для нарушения системы или содержащейся в ней информации. Целостность информации - способность средства вычислительнойтехники или автоматизированной системы обеспечивать неизменностьинформации в условиях случайного и/или преднамеренного искажения(разрушения). ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ АВС - антивирусные средства АРМ - автоматизированное рабочее место ВТСС - вспомогательные технические средства и системы ИСПДн - информационная система персональных данных КЗ - контролируемая зона ЛВС - локальная вычислительная сеть МЭ - межсетевой экран НСД - несанкционированный доступ ОС - операционная система ПДн - персональные данные ПМВ - программно-математическое воздействие ПО - программное обеспечение ПЭМИН - побочные электромагнитные излучения и наводки САЗ - система анализа защищенности СЗИ - средства защиты информации СЗПДн - система (подсистема) защиты персональных данных СОВ - система обнаружения вторжений ТКУИ - технические каналы утечки информации УБПДн - угрозы безопасности персональных данных ВВЕДЕНИЕ Настоящая Концепция информационной безопасности ИСПДнадминистрации Киселевского городского округа является официальнымдокументом, в котором определена система взглядов на обеспечениеинформационной безопасности. Необходимость разработки Концепции обусловлена стремительнымрасширением сферы применения новейших информационных технологий ипроцессов в администрации Киселевского городского округа, приобработке информации вообще, и персональных данных в частности. Настоящая Концепция определяет основные цели и задачи, а такжеобщую стратегию построения системы защиты персональных данных (СЗПДн)администрации Киселевского городского округа. Концепция определяетосновные требования и базовые подходы к их реализации, для достижениятребуемого уровня безопасности информации. Концепция разработана в соответствии с системным подходом кобеспечению информационной безопасности. Системный подход предполагаетпроведение комплекса мероприятий, включающих исследование угрозинформационной безопасности и разработку системы защиты ПДн, с позициикомплексного применения технических и организационных мер и средствзащиты. Под информационной безопасностью ПДн понимается защищенностьперсональных данных и обрабатывающей их инфраструктуре от любыхслучайных или злонамеренных воздействий, результатом которых можетявиться нанесение ущерба самой информации, ее владельцам (субъектамПДн) или инфраструктуре. Задачи информационной безопасности сводятся кминимизации ущерба от возможной реализации угроз безопасности ПДн, атакже к прогнозированию и предотвращению таких воздействий. Концепция служит основой для разработки комплекса организационныхи технических мер по обеспечению информационной безопасностиадминистрации Киселевского городского округа, а также нормативных иметодических документов, обеспечивающих ее реализацию, и непредполагает подмены функций государственных органов власти РоссийскойФедерации, отвечающих за обеспечение безопасности информационныхтехнологий и защиту информации. Концепция является методологической основой для: - формирования и проведения единой политики в области обеспечениябезопасности ПДн в ИСПДн администрации Киселевского городского округа; - принятия управленческих решений и разработки практических мерпо воплощению политики безопасности ПДн и выработки комплексасогласованных мер нормативно-правового, технологического иорганизационно-технического характера, направленных на выявление,отражение и ликвидацию последствий реализации различных видов угрозПДн; - координации деятельности структурных подразделенийадминистрации Киселевского городского округа при проведении работ поразвитию и эксплуатации ИСПДн с соблюдением требований обеспечениябезопасности ПДн; - разработки предложений по совершенствованию правового,нормативного, методического, технического и организационногообеспечения безопасности ПДн в ИСПДн администрации Киселевскогогородского округа. Область применения Концепции распространяется на все учрежденияадминистрации Киселевского городского округа, эксплуатирующиетехнические и программные средства ИСПДн, в которых осуществляетсяавтоматизированная обработка ПДн, а также на подразделения,осуществляющие сопровождение, обслуживание и обеспечение нормальногофункционирования ИСПДн. Правовой базой для разработки настоящей Концепции служаттребования действующих в России законодательных и нормативныхдокументов по обеспечению безопасности персональных данных (ПДн). 1 Общие положения Настоящая Концепция определяет основные цели и задачи, а такжеобщую стратегию построения системы защиты персональных данных (СЗПДн)администрации Киселевского городского округа, в соответствии сПеречнем ИСПДн. Концепция определяет основные требования и базовыеподходы к их реализации, для достижения требуемого уровня безопасностиинформации. СЗПДн представляет собой совокупность организационных итехнических мероприятий для защиты ПДн от неправомерного илислучайного доступа к ним, уничтожения, изменения, блокирования,копирования, распространения ПДн, а также иных неправомерных действийс ними. Безопасность персональных данных достигается путем исключениянесанкционированного, в том числе случайного, доступа к персональнымданным, результатом которого может стать уничтожение, изменение,блокирование, копирование, распространение персональных данных, атакже иных несанкционированных действий. Структура, состав и основные функции СЗПДн определяются исходя изкласса ИСПДн. СЗПДн включает организационные меры и техническиесредства защиты информации (в том числе шифровальные(криптографические) средства, средства предотвращениянесанкционированного доступа, утечки информации по техническимканалам, программно-технических воздействий на технические средстваобработки ПДн), а также используемые в информационной системеинформационные технологии. Эти меры призваны обеспечить: - конфиденциальность информации (защита от несанкционированногоознакомления); - целостность информации (актуальность и непротиворечивостьинформации, ее защищенность от разрушения и несанкционированногоизменения); - доступность информации (возможность за приемлемое времяполучить требуемую информационную услугу). Стадии создания СЗПДн включают: - предпроектная стадия, включающая предпроектное обследованиеИСПДн, разработку технического (частного технического) задания на еесоздание; - стадия проектирования (разработки проектов) и реализации ИСПДн,включающая разработку СЗПДн в составе ИСПДн; - стадия ввода в действие СЗПДн, включающая опытную эксплуатациюи приемо-сдаточные испытания средств защиты информации, а также оценкусоответствия ИСПДн требованиям безопасности информации. Организационные меры предусматривают создание и поддержаниеправовой базы безопасности ПДн и разработку (введение в действие)предусмотренных Политикой информационной безопасности ИСПДн следующихорганизационно-распорядительных документов: - План мероприятий по обеспечению защиты ПДн при их обработке вИСПДн; - План мероприятий по контролю обеспечения защиты ПДн; - Порядок резервирования и восстановления работоспособности ТС иПО, баз данных и СЗИ; - Должностная инструкция администратора ИСПДн в части обеспечениябезопасности ПДн при их обработке в ИСПДн; - Должностная инструкция администратора безопасности ИСПДн; - Должностная инструкция пользователя ИСПДн в части обеспечениябезопасности ПДн при их обработке в ИСПДн; - Инструкция на случай возникновения внештатной ситуации; - Рекомендации по использованию программных и аппаратных средствзащиты информации. Технические меры защиты реализуются при помощи соответствующихпрограммно-технических средств и методов защиты. Перечень необходимых мер защиты информации определяется порезультатам внутренней проверки безопасности ИСПДн администрацииКиселевского городского округа. 2 Задачи СЗПДн Основной целью СЗПДн является минимизация ущерба от возможнойреализации угроз безопасности ПДн. Для достижения основной цели система безопасности ПДн ИСПДндолжна обеспечивать эффективное решение следующих задач: - защиту от вмешательства в процесс функционирования ИСПДнпосторонних лиц (возможность использования АС и доступ к ее ресурсамдолжны иметь только зарегистрированные установленным порядкомпользователи); - разграничение доступа зарегистрированных пользователей каппаратным, программным и информационным ресурсам ИСПДн (возможностьдоступа только к тем ресурсам и выполнения только тех операций с ними,которые необходимы конкретным пользователям ИСПДн для выполнения своихслужебных обязанностей), то есть защиту от несанкционированногодоступа: ) к информации, циркулирующей в ИСПДн; ) средствам вычислительной техники ИСПДн; ) аппаратным, программным и криптографическим средствам защиты,используемым в ИСПДн; - регистрацию действий пользователей при использовании защищаемыхресурсов ИСПДн в системных журналах и периодический контролькорректности действий пользователей системы путем анализа содержимогоэтих журналов; - контроль целостности (обеспечение неизменности) средыисполнения программ и ее восстановление в случае нарушения; - защиту от несанкционированной модификации и контрольцелостности используемых в ИСПДн программных средств, а также защитусистемы от внедрения несанкционированных программ; - защиту ПДн от утечки по техническим каналам при ее обработке,хранении и передаче по каналам связи; - защиту ПДн, хранимой, обрабатываемой и передаваемой по каналамсвязи, от несанкционированного разглашения или искажения; - обеспечение живучести криптографических средств защитыинформации при компрометации части ключевой системы; - своевременное выявление источников угроз безопасности ПДн,причин и условий, способствующих нанесению ущерба субъектам ПДн,создание механизма оперативного реагирования на угрозы безопасностиПДн и негативные тенденции; - создание условий для минимизации и локализации наносимогоущерба неправомерными действиями физических и юридических лиц,ослабление негативного влияния и ликвидация последствий нарушениябезопасности ПДн. 3 Объекты защиты 3.1 Перечень информационных систем В администрации Киселевского городского округа производитсяобработка персональных данных в информационных система обработкиперсональных данных (ИСПДн). Перечень ИСПДн определяется на основании Отчета по результатамвнутренней проверки. 3.2 Перечень объектов защиты Объектами защиты являются - информация, обрабатываемая в ИСПДн, итехнические средства ее обработки и защиты. Перечень персональныхданных, подлежащие защите, определен в Перечне персональных данных,подлежащих защите в ИСПД. Объекты защиты включают: 1) Обрабатываемая информация. 2) Технологическая информация. 3) Программно-технические средства обработки. 4) Средства защиты ПДн. 5) Каналы информационного обмена и телекоммуникации. 6) Объекты и помещения, в которых размещены компоненты ИСПДн. 4 Классификация пользователей ИСПДн Пользователем ИСПДн является лицо, участвующее в функционированииинформационной системы персональных данных или использующее результатыее функционирования. Пользователем ИСПДн является любой сотрудникадминистрации Киселевского городского округа, имеющий доступ к ИСПДн иее ресурсам в соответствии с установленным порядком, в соответствии сего функциональными обязанностями. Пользователи ИСПДн делятся на три основные категории: 1) Администратор ИСПДн. Сотрудники администрации Киселевскогогородского округа, которые занимаются настройкой, внедрением исопровождением системы. Администратор ИСПДн обладает следующим уровнемдоступа: - обладает полной информацией о системном и прикладномпрограммном обеспечении ИСПДн; - обладает полной информацией о технических средствах иконфигурации ИСПДн; - имеет доступ ко всем техническим средствам обработки информациии данным ИСПДн; - обладает правами конфигурирования и административной настройкитехнических средств ИСПДн. 2) Программист-разработчик ИСПДн. Сотрудники администрацииКиселевского городского округа или сторонних организаций, которыезанимаются разработкой программного обеспечения. Разработчик ИСПДнобладает следующим уровнем доступа: - обладает информацией об алгоритмах и программах обработкиинформации на ИСПДн; - обладает возможностями внесения ошибок, недекларированныхвозможностей, программных закладок, вредоносных программ в программноеобеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения; - может располагать любыми фрагментами информации о топологииИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых вИСПДн. 3) Оператор ИСПДн. Сотрудники подразделений администрацииКиселевского городского округа участвующих в процессе эксплуатацииИСПДн. Оператор ИСПДн обладает следующим уровнем доступа: - обладает всеми необходимыми атрибутами (например, паролем),обеспечивающими доступ к некоторому подмножеству ПДн; - располагает конфиденциальными данными, к которым имеет доступ. Категории пользователей должны быть определены для каждой ИСПДн.Должно быть уточнено разделение сотрудников внутри категорий, всоответствии с типами пользователей определенными в Политикеинформационной безопасности. Все выявленные группы пользователей отражаются в Отчете порезультатам внутренней проверки. На основании Отчета определяютсяправа доступа к элементам ИСПДн для всех групп пользователей иотражаются в Матрице доступа в Положении о разграничении прав доступак обрабатываемым персональным данным. 5 Основные принципы построения системы комплексной защитыинформации Построение системы обеспечения безопасности ПДн ИСПДнадминистрации Киселевского городского округа и ее функционированиедолжны осуществляться в соответствии со следующими основнымипринципами: - законность; - системность; - комплексность; - непрерывность; - своевременность; - преемственность и непрерывность совершенствования; - персональная ответственность; - минимизация полномочий; - взаимодействие и сотрудничество; - гибкость системы защиты; - открытость алгоритмов и механизмов защиты; - простота применения средств защиты; - научная обоснованность и техническая реализуемость; - специализация и профессионализм; - обязательность контроля. 5.1 Законность Предполагает осуществление защитных мероприятий и разработкуСЗПДн администрации Киселевского городского округа в соответствии сдействующим законодательством в области защиты ПДн и другихнормативных актов по безопасности информации, утвержденных органамигосударственной власти и управления в пределах их компетенции. Пользователи и обслуживающий персонал ПДн ИСПДн администрацииКиселевского городского округа должны быть осведомлены о порядкеработы с защищаемой информацией и об ответственности за защиты ПДн. 5.2 Системность Системный подход к построению СЗПДн администрации Киселевскогогородского округа предполагает учет всех взаимосвязанных,взаимодействующих и изменяющихся во времени элементов, условий ифакторов, существенно значимых для понимания и решения проблемыобеспечения безопасности ПДн ИСПДн администрации Киселевскогогородского округа. При создании системы защиты должны учитываться все слабые инаиболее уязвимые места системы обработки ПДн, а также характер,возможные объекты и направления атак на систему со стороны нарушителей(особенно высококвалифицированных злоумышленников), пути проникновенияв распределенные системы и НСД к информации. Система защиты должнастроиться с учетом не только всех известных каналов проникновения иНСД к информации, но и с учетом возможности появления принципиальноновых путей реализации угроз безопасности. 5.3 Комплексность Комплексное использование методов и средств защиты предполагаетсогласованное применение разнородных средств при построении целостнойсистемы защиты, перекрывающей все существенные (значимые) каналыреализации угроз и не содержащей слабых мест на стыках отдельных еекомпонентов. Защита должна строиться эшелонировано. Для каждого канала утечкиинформации и для каждой угрозы безопасности должно существоватьнесколько защитных рубежей. Создание защитных рубежей осуществляется сучетом того, чтобы для их преодоления потенциальному злоумышленникутребовались профессиональные навыки в нескольких невзаимосвязанныхобластях. Внешняя защита должна обеспечиваться физическими средствами,организационными и правовыми мерами. Одним из наиболее укрепленныхрубежей призваны быть средства криптографической защиты, реализованныес использованием технологии VPN. Прикладной уровень защиты,учитывающий особенности предметной области, представляет внутреннийрубеж защиты. 5.4 Непрерывность защиты ПДн Защита ПДн - не разовое мероприятие и не простая совокупностьпроведенных мероприятий и установленных средств защиты, а непрерывныйцеленаправленный процесс, предполагающий принятие соответствующих мерна всех этапах жизненного цикла ИСПДн. ИСПДн должны находиться в защищенном состоянии на протяжениивсего времени их функционирования. В соответствии с этим принципомдолжны приниматься меры по недопущению перехода ИСПДн в незащищенноесостояние. Большинству физических и технических средств защиты дляэффективного выполнения своих функций необходима постояннаятехническая и организационная (административная) поддержка(своевременная смена и обеспечение правильного хранения и примененияимен, паролей, ключей шифрования, переопределение полномочий и т.п.).Перерывы в работе средств защиты могут быть использованызлоумышленниками для анализа применяемых методов и средств защиты, длявнедрения специальных программных и аппаратных "закладок" и другихсредств преодоления системы защиты после восстановления еефункционирования. 5.5 Своевременность Предполагает упреждающий характер мер обеспечения безопасностиПДн, то есть постановку задач по комплексной защите ИСПДн и реализациюмер обеспечения безопасности ПДн на ранних стадиях разработки ИСПДн вцелом и ее системы защиты информации, в частности. Разработка системы защиты должна вестись параллельно сразработкой и развитием самой защищаемой системы. Это позволит учестьтребования безопасности при проектировании архитектуры и, в конечномсчете, создать более эффективные (как по затратам ресурсов, так и постойкости) защищенные системы. 5.6 Преемственность и совершенствование Предполагают постоянное совершенствование мер и средств защитыинформации на основе преемственности организационных и техническихрешений, кадрового состава, анализа функционирования ИСПДн и еесистемы защиты с учетом изменений в методах и средствах перехватаинформации, нормативных требований по защите, достигнутогоотечественного и зарубежного опыта в этой области. 5.7 Персональная ответственность Предполагает возложение ответственности за обеспечениебезопасности ПДн и системы их обработки на каждого сотрудника впределах его полномочий. В соответствии с этим принципом распределениеправ и обязанностей сотрудников строится таким образом, чтобы в случаелюбого нарушения круг виновников был четко известен или сведен кминимуму. 5.8 Принцип минимизации полномочий Означает предоставление пользователям минимальных прав доступа всоответствии с производственной необходимостью, на основе принципа"все, что не разрешено, запрещено". Доступ к ПДн должен предоставляться только в том случае и объеме,если это необходимо сотруднику для выполнения его должностныхобязанностей. 5.9 Взаимодействие и сотрудничество Предполагает создание благоприятной атмосферы в коллективахподразделений, обеспечивающих деятельность ИСПДн администрацииКиселевского городского округа, для снижения вероятности возникновениянегативных действий связанных с человеческим фактором. В такой обстановке сотрудники должны осознанно соблюдатьустановленные правила и оказывать содействие в деятельностиподразделений технической защиты информации. 5.10 Гибкость системы защиты ПДн Принятые меры и установленные средства защиты, особенно вначальный период их эксплуатации, могут обеспечивать как чрезмерный,так и недостаточный уровень защиты. Для обеспечения возможностиварьирования уровнем защищенности, средства защиты должны обладатьопределенной гибкостью. Особенно важным это свойство является в техслучаях, когда установку средств защиты необходимо осуществлять наработающую систему, не нарушая процесса ее нормальногофункционирования. 5.11 Открытость алгоритмов и механизмов защиты Суть принципа открытости алгоритмов и механизмов защиты состоит втом, что защита не должна обеспечиваться только за счет секретностиструктурной организации и алгоритмов функционирования ее подсистем.Знание алгоритмов работы системы защиты не должно давать возможностиее преодоления (даже авторам). Однако, это не означает, что информацияо конкретной системе защиты должна быть общедоступна. 5.12 Простота применения средств защиты Механизмы защиты должны быть интуитивно понятны и просты виспользовании. Применение средств защиты не должно быть связано сознанием специальных языков или с выполнением действий, требующихзначительных дополнительных трудозатрат при обычной работезарегистрированных установленным порядком пользователей, а также недолжно требовать от пользователя выполнения рутинных малопонятных емуопераций (ввод нескольких паролей и имен и т.д.). Должна достигаться автоматизация максимального числа действийпользователей и администраторов ИСПДн. 5.13 Научная обоснованность и техническая реализуемость Информационные технологии, технические и программные средства,средства и меры защиты информации должны быть реализованы насовременном уровне развития науки и техники, научно обоснованы с точкизрения достижения заданного уровня безопасности информации и должнысоответствовать установленным нормам и требованиям по безопасностиПДн. СЗПДн должна быть ориентирована на решения, возможные риски длякоторых и меры противодействия этим рискам прошли всестороннюютеоретическую и практическую проверку. 5.14 Специализация и профессионализм Предполагает привлечение к разработке средств и реализации мерзащиты информации специализированных организаций, наиболееподготовленных к конкретному виду деятельности по обеспечениюбезопасности ПДн, имеющих опыт практической работы и государственнуюлицензию на право оказания услуг в этой области. Реализацияадминистративных мер и эксплуатация средств защиты должнаосуществляться профессионально подготовленными специалистамиадминистрации Киселевского городского округа. 5.15 Обязательность контроля Предполагает обязательность и своевременность выявления ипресечения попыток нарушения установленных правил обеспечениябезопасности ПДн на основе используемых систем и средств защитыинформации при совершенствовании критериев и методов оценкиэффективности этих систем и средств. Контроль за деятельностью любого пользователя, каждого средствазащиты и в отношении любого объекта защиты должен осуществляться наоснове применения средств оперативного контроля и регистрации и долженохватывать как несанкционированные, так и санкционированные действияпользователей. 6 Меры, методы и средства обеспечения требуемого уровнязащищенности Обеспечение требуемого уровня защищенности должности достигатьсяс использованием мер, методов и средств безопасности. Все мерыобеспечения безопасности ИСПДн подразделяются на: - законодательные (правовые); - морально-этические; - организационные (административные); - физические; - технические (аппаратные и программные). Перечень выбранных мер обеспечения безопасности отражается вПлане мероприятий по обеспечению защиты персональных данных. 6.1 Законодательные (правовые) меры защиты К правовым мерам защиты относятся действующие в стране законы,указы и нормативные акты, регламентирующие правила обращения с ПДн,закрепляющие права и обязанности участников информационных отношений впроцессе ее обработки и использования, а также устанавливающиеответственность за нарушения этих правил, препятствуя тем самымнеправомерному использованию ПДн и являющиеся сдерживающим факторомдля потенциальных нарушителей. Правовые меры защиты носят в основном упреждающий,профилактический характер и требуют постоянной разъяснительной работыс пользователями и обслуживающим персоналом системы. 6.2 Морально-этические меры защиты К морально-этическим мерам относятся нормы поведения, которыетрадиционно сложились или складываются по мере распространения ЭВМ встране или обществе. Эти нормы большей частью не являютсяобязательными, как законодательно утвержденные нормативные акты,однако, их несоблюдение ведет обычно к падению авторитета, престижачеловека, группы лиц или организации. Морально-этические нормы бываюткак неписаные (например, общепризнанные нормы честности, патриотизма ит.п.), так и писаные, то есть оформленные в некоторый свод (устав)правил или предписаний. Морально-этические меры защиты являются профилактическими итребуют постоянной работы по созданию здорового морального климата вколлективах подразделений. Морально-этические меры защиты снижаютвероятность возникновения негативных действий связанных с человеческимфактором. 6.3 Организационные (административные) меры защиты Организационные (административные) меры защиты - это мерыорганизационного характера, регламентирующие процессы функционированияИСПДн, использование ресурсов ИСПДн, деятельность обслуживающегоперсонала, а также порядок взаимодействия пользователей с ИСПДн такимобразом, чтобы в наибольшей степени затруднить или исключитьвозможность реализации угроз безопасности или снизить размер потерь вслучае их реализации. Главная цель административных мер, предпринимаемых на высшемуправленческом уровне - сформировать Политику информационнойбезопасности ПДн (отражающую подходы к защите информации) и обеспечитьее выполнение, выделяя необходимые ресурсы и контролируя состояниедел. Реализация Политики информационной безопасности ПДн в ИСПДнсостоят из мер административного уровня и организационных(процедурных) мер защиты информации. К административному уровню относятся решения руководства,затрагивающие деятельность ИСПДн в целом. Эти решения закрепляются вПолитике информационной безопасности. Примером таких решений могутбыть: - принятие решения о формировании или пересмотре комплекснойпрограммы обеспечения безопасности ПДн, определение ответственных заее реализацию; - формулирование целей, постановка задач, определение направленийдеятельности в области безопасности ПДн; - принятие решений по вопросам реализации программы безопасности,которые рассматриваются на уровне администрации Киселевскогогородского округа в целом; - обеспечение нормативной (правовой) базы вопросов безопасности ит.п. Политика верхнего уровня должна четко очертить сферу влияния иограничения при определении целей безопасности ПДн, определить какимиресурсами (материальные, персонал) они будут достигнуты и найтиразумный компромисс между приемлемым уровнем безопасности ифункциональностью ИСПДн. На организационном уровне определяются процедуры и правиладостижения целей и решения задач Политики информационной безопасностиПДн. Эти правила определяют: - какова область применения политики безопасности ПДн; - каковы роли и обязанности должностных лиц, отвечающие запроведение политики безопасности ПДн, а так же их установитьответственность; - кто имеет права доступа к ПДн; - какими мерами и средствами обеспечивается защита ПДн; - какими мерами и средствами обеспечивается контроль засоблюдением введенного режима безопасности. Организационные меры должны: - предусматривать регламент информационных отношений, исключающихвозможность несанкционированных действий в отношении объектов защиты; - определять коалиционные и иерархические принципы и методыразграничения доступа к ПДн; - определять порядок работы с программно-математическими итехническими (аппаратные) средствами защиты и криптозащиты и другихзащитных механизмов; - организовать меры противодействия НСД пользователями на этапахаутентификации, авторизации, идентификации, обеспечивающих гарантииреализации прав и ответственности субъектов информационных отношений. В организационные меры должны состоять из: - регламента доступа в помещения ИСПДн; - порядок допуска сотрудников к использованию ресурсов ИСПДнадминистрации Киселевского городского округа; - регламента процессов ведения баз данных и осуществлениямодификации информационных ресурсов; - регламента процессов обслуживания и осуществления модификацииаппаратных и программных ресурсов ИСПДн; - инструкций пользователей ИСПДн (администратора ИСПДн,администратора безопасности, оператора ИСПДн); - инструкция пользователя при возникновении внештатных ситуаций. 6.4 Физические меры защиты Физические меры защиты основаны на применении разного родамеханических, электро- или электронно-механических устройств исооружений, специально предназначенных для создания физическихпрепятствий на возможных путях проникновения и доступа потенциальныхнарушителей к компонентам системы и защищаемой информации, а такжетехнических средств визуального наблюдения, связи и охраннойсигнализации. Физическая защита зданий, помещений, объектов и средствинформатизации должна осуществляться путем установлениясоответствующих постов охраны, с помощью технических средств охраныили любыми другими способами, предотвращающими или существеннозатрудняющими проникновение в здание, помещения посторонних лиц,хищение информационных носителей, самих средств информатизации,исключающими нахождение внутри контролируемой (охраняемой) зонытехнических средств разведки. 6.5 Аппаратно-программные средства защиты ПДн Технические (аппаратно-программные) меры защиты основаны наиспользовании различных электронных устройств и специальных программ,входящих в состав ИСПДн и выполняющих (самостоятельно или в комплексес другими средствами) функции защиты (идентификацию и аутентификациюпользователей, разграничение доступа к ресурсам, регистрацию событий,криптографическое закрытие информации и т.д.). С учетом всех требований и принципов обеспечения безопасности ПДнв ИСПДн по всем направлениям защиты в состав системы защиты должныбыть включены следующие средства: - средства идентификации (опознавания) и аутентификации(подтверждения подлинности) пользователей ИСПДн; - средства разграничения доступа зарегистрированных пользователейсистемы к ресурсам ИСПДн администрации Киселевского городского округа; - средства обеспечения и контроля целостности программных иинформационных ресурсов; - средства оперативного контроля и регистрации событийбезопасности; - криптографические средства защиты ПДн. Успешное применение технических средств защиты на основаниипринципов (раздел 5) предполагает, что выполнение перечисленных нижетребований обеспечено организационными (административными) мерами ииспользуемыми физическими средствами защиты: - обеспечена физическая целостность всех компонент ИСПДн; - каждый сотрудник (пользователь ИСПДн) или группа пользователейимеет уникальное системное имя и минимально необходимые для выполненияим своих функциональных обязанностей полномочия по доступу к ресурсамсистемы; - в ИСПДн администрации Киселевского городского округа разработкаи отладка программ осуществляется за пределами ИСПДн, на испытательныхстендах; - все изменения конфигурации технических и программных средствИСПДн производятся строго установленным порядком (регистрируются иконтролируются) только на основании распоряжений руководстваадминистрации Киселевского городского округа; - сетевое оборудование (концентраторы, коммутаторы,маршрутизаторы и т.п.) располагается в местах, недоступных дляпосторонних (специальных помещениях, шкафах, и т.п.). - специалистами администрации Киселевкого городского округаосуществляется непрерывное управление и административная поддержкафункционирования средств защиты. 7 Контроль эффективности системы защиты ИСПДн администрацииКиселевского городского округа. Контроль эффективности СЗПДн должен осуществляется напериодической основе. Целью контроля эффективности являетсясвоевременное выявление ненадлежащих режимов работы СЗПДн (отключениесредств защиты, нарушение режимов защиты, несанкционированноеизменение режима защиты и т.п.), а так прогнозирование и превентивноереагирование на новые угрозы безопасности ПДн. Контроль может проводиться как администраторами безопасностиИСПДн (оперативный контроль в процессе информационного взаимодействияв ИСПДн), так и привлекаемыми для этой цели компетентнымиорганизациями, имеющими лицензию на этот вид деятельности, а такжеФСТЭК России и ФСБ России в пределах их компетенции. Контроль может осуществляться администратором безопасности как спомощью штатных средств системы защиты ПДн, так и с помощьюспециальных программных средств контроля. Оценка эффективности мер защиты ПДн проводится с использованиемтехнических и программных средств контроля на предмет соответствияустановленным требованиям. 8 Сферы ответственности за безопасность ПДн Ответственным за разработку мер и контроль над обеспечениембезопасности персональных данных является руководитель администрацииКиселевского городского округа. Руководитель может делегировать частьполномочий по обеспечению безопасности персональных данных. Сфера ответственности руководителя включает следующие направленияобеспечения безопасности ПДн: - Планирование и реализация мер по обеспечению безопасности ПДн; - Анализ угроз безопасности ПДн; - Разработку, внедрение, контроль исполнения и поддержание вактуальном состоянии политик, руководств, концепций, процедур,регламентов, инструкций и других организационных документов пообеспечению безопасности; - Контроль защищенности ИТ инфраструктуры Компании от угроз ИБпутем; - Обучение и информирование пользователей ИСПДн, о порядке работыс ПДн и средствами защиты; - Предотвращение, выявление, реагирование и расследованиенарушений безопасности ПДн. При взаимодействии со сторонними организациями в случаях, когдасотрудникам этих организаций предоставляется доступ к объектам защиты(раздел 3), с этими организациями должно быть заключено "Соглашение оконфиденциальности", либо "Соглашение о соблюдении режима безопасностиПДн при выполнении работ в ИСПДн". Подготовка типовых вариантов этихсоглашений осуществляется совместно с Юридическим отделом. 9 Модель нарушителя безопасности Под нарушителем в администрации Киселевского городского округапонимается лицо, которое в результате умышленных или неумышленныхдействий может нанести ущерб объектам защиты (раздел 3). Нарушители подразделяются по признаку принадлежности к ИСПДн. Всенарушители делятся на две группы: - внешние нарушители - физические лица, не имеющие правапребывания на территории контролируемой зоны, в пределах которойразмещается оборудование ИСПДн; - внутренние нарушители - физические лица, имеющие правопребывания на территории контролируемой зоны, в пределах которойразмещается оборудование ИСПДн. Классификация нарушителей представлена в Модели угрозбезопасности персональных данных каждой ИСПДн. 10 Модель угроз безопасности Для ИСПДн администрации Киселевского городского округа выделяютсяследующие основные категории угроз безопасности персональных данных: 4) Угрозы от утечки по техническим каналам. 5) Угрозы несанкционированного доступа к информации: - Угрозы уничтожения, хищения аппаратных средств ИСПДн носителейинформации путем физического доступа к элементам ИСПДн. - Угрозы хищения, несанкционированной модификации илиблокирования информации за счет несанкционированного доступа (НСД) сприменением программно-аппаратных и программных средств (в том числепрограммно-математических воздействий). - Угрозы не преднамеренных действий пользователей и нарушенийбезопасности функционирования ИСПДн и СЗПДн в ее составе из-за сбоев впрограммном обеспечении, а также от угроз неантропогенного (сбоеваппаратуры из-за ненадежности элементов, сбоев электропитания) истихийного (ударов молний, пожаров, наводнений и т.п.) характера. - Угрозы преднамеренных действий внутренних нарушителей. - Угрозы несанкционированного доступа по каналам связи. Описание угроз, вероятность их реализации, опасность иактуальность представлены в Модели угроз безопасности персональныхданных каждой ИСПДн. 11 Механизм реализации Концепции Реализация Концепции должна осуществляться на основеперспективных программ и планов, которые составляются на основании иво исполнение: - федеральных законов в области обеспечения информационнойбезопасности и защиты информации; - постановлений Правительства Российской Федерации; - руководящих, организационно-распорядительных и методическихдокументов ФСТЭК России; - потребностей ИСПДн в средствах обеспечения безопасностиинформации. 12 Ожидаемый эффект от реализации Концепции Реализация Концепции безопасности ПДн в ИСПДн позволит: - оценить состояние безопасности информации ИСПДн, выявитьисточники внутренних и внешних угроз информационной безопасности,определить приоритетные направления предотвращения, отражения инейтрализации этих угроз; - разработать распорядительные и нормативно-методическиедокументы применительно к ИСПДн; - провести классификацию и сертификацию ИСПДн; - провести организационно-режимные и технические мероприятия пообеспечению безопасности ПДн в ИСПДн; - обеспечить необходимый уровень безопасности объектов защиты. Осуществление этих мероприятий обеспечит создание единой,целостной и скоординированной системы информационной безопасностиИСПДн и создаст условия для ее дальнейшего совершенствования. 13 Список использованных источников Основными нормативно-правовыми и методическими документами, накоторых базируется настоящее Положение являются: 1 Федеральный Закон от 27.07.2006 г. N 152-ФЗ "О персональныхданных" (далее - ФЗ "О персональных данных"), устанавливающий основныепринципы и условия обработки ПДн, права, обязанности и ответственностьучастников отношений, связанных с обработкой ПДн. 2 Положение об обеспечении безопасности персональных данных приих обработке в информационных системах персональных данных,утвержденное Постановлением Правительства РФ от 17.11.2007 г. N 781. 3 Порядок проведения классификации информационных системперсональных данных, утвержденный совместным Приказом ФСТЭК РоссииN 55, ФСБ России N 86 и Мининформсвязи РФ N 20 от 13.02.2008 г. 4 Положение об особенностях обработки персональных данных,осуществляемой без использования средств автоматизации, утвержденноеПостановлением Правительства РФ от 15.09.2008 г. N 687. 5 Требования к материальным носителям биометрических персональныхданных и технологиям хранения таких данных вне информационных системперсональных данных, утвержденные Постановлением Правительства РФ от06.07.2008 г. N 512. 6 Нормативно-методические документы Федеральной службы потехническому и экспертному контролю Российской Федерации (далее -ФСТЭК России) по обеспечению безопасности ПДн при их обработке вИСПДн: 7 Базовая модель угроз безопасности персональных данных при ихобработке в информационных системах персональных данных, утв. Зам.директора ФСТЭК России 15.02.08 г. (ДСП) 8 Методика определения актуальных угроз безопасности персональныхданных при их обработке в информационных системах персональных данных,утв. Зам. директора ФСТЭК России 15.02.08 г. (ДСП)