Политика информационной безопасности информационных систем персональных данных

Модули подсистемы регистрации и учета могут быть реализованы:

1)     Штатными средствами обработки ПДн (операционных систем, приложений и СУБД).

2)     Специальными программно-техническими средствами или комплексами осуществляющими дополнительные меры по регистрации и учету.

Модули подсистемы регистрации и учета могут размещаться:

на уровне АРМ ИСПДн:

      АРМы пользователей ИСПДн;

      АРМы системных администраторов ИСПДн;

      АРМы администраторов безопасности ИСПДн;

на уровне серверов ЛВС ИСПДн:

      файловых серверах;

      серверах баз данных;

      серверах приложений;

      серверах электронной почты;

      серверах каталогов;

      серверах печати;

      серверах безопасности и т.д.

Организационные меры:

      учет всех защищаемых носителей информации с помощью их маркировки и занесением учетных данных в журнал (учетную карточку);

      учет защищаемых носителей должен проводиться в журнале (картотеке) с регистрацией их выдачи (приема);

      организация нескольких видов учета (дублирующих) защищаемых носителей информации.

4.3. Подсистема обеспечения целостности

Подсистема обеспечения целостности и доступности (ПОЦД) предназначена для исключения несанкционированных модификаций (как случайных, так и злоумышленных) программной среды, в том числе программных средств ИСПДн, обрабатываемых ПДн, обеспечивая при этом защиту от внедрения программных закладок и вирусов.

ПОЦД обеспечивает выполнение следующих функций:

      обеспечение целостности программных средств СиЗИ ИСПДн, а также неизменность программной среды и обрабатываемых ПДн.

      периодическое тестирование всех функций СиЗИ ИСПДн с помощью специальных программных средств не реже 1 раза в год.

ПОЦД может быть реализована модулем обеспечения целостности и доступности, в сочетании с  организационными мерами.

Модуль обеспечения целостности:

Функциональное предназначение:

Для ИСПДн класс 3 , класс 2 (при однопользовательском режиме обработки ПДн):

      обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ;

      физическая охрана информационной системы (технических средств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации;

      периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

      наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

Для ИСПДн класс 3 , класс 2 (при многопользовательском режиме обработки ПДн и равных правах доступа к ним пользователей):

      обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации;

      физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации;

      периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

      наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

Для ИСПДн класс 3 , класс 2 (при многопользовательском режиме обработки ПДн и разных правах доступа к ним пользователей):

      обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации;

      физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации;

      периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

      наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонент средств защиты информации, их периодическое обновление и контроль работоспособности.

Для ИСПДн класс 1 (при однопользовательском режиме обработки ПДн):

      обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов средств защиты информации, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ;

      физическая охрана технических средств информационных систем (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания;

      периодическое тестирование функций системы защиты персональных
данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

      наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

Для ИСПДн класс 1 (при многопользовательском режиме обработки ПДн и равных правах доступа к ним пользователей):

      обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность системы защиты персональных данных проверяется при загрузке системы по наличию имен (идентификаторов) ее компонент, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ;

      физическая охрана технических средств информационной системы (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания;

      периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

      наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

Для ИСПДн класс 1 (при многопользовательском режиме обработки ПДн и разных правах доступа к ним пользователей):

      обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность системы защиты персональных данных проверяется при загрузке системы по контрольным суммам компонентов системы защиты, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения персональных данных;

      физическая охрана технических средств информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения и хранилище носителей информации;

      периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

      наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

Модули подсистемы обеспечения целостности и доступности могут быть реализованы:

1)     Штатными средствами обработки ПДн (операционных систем, приложений и СУБД);

2)     Специальными программно-аппаратными средствами или комплексами осуществляющими дополнительные меры по обеспечению целостности и доступности (системы резервного копирования ПДн, программы подсчета контрольных сумм и т.д.).

Модули подсистемы обеспечения целостности и доступности могут размещаться:

на уровне АРМ ИСПДн:

      АРМы пользователей ИСПДн;

      АРМы системных администраторов ИСПДн;

      АРМы администраторов безопасности ИСПДн.

на уровне серверов ЛВС ИСПДн:

      файловых серверах;

      серверах баз данных;

      серверах приложений;

      серверах электронной почты;

      серверах каталогов;

      серверах печати;

      серверах безопасности и т.д.

Организационные меры 

      физическая охрана СВТ (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания, где размещается ИСПДн, с помощью технических средств охраны и специального персонала, использование пропускного режима, специальное оборудование помещений ИСПДн;

      должен быть предусмотрен администратор (служба) защиты информации (должностное лицо) ответственное за ведение, нормальное функционирование и контроль работы СиЗИ ИСПДн Администратор должен иметь свой терминал и необходимые средства оперативного контроля и воздействия на безопасность ИСПДн;

      должен быть разработан и утвержден регламент проверки целостности и доступности определяющий порядок и сроки проведения проверочных мероприятий.

4.4. Подсистема антивирусной защиты

Подсистема антивирусной защиты предназначена для обеспечения антивирусной защиты серверов и АРМ пользователей ИСПДн Комитета.

Средства антивирусной защиты предназначены для реализации следующих функций:

      резидентный антивирусный мониторинг;

      антивирусное сканирование;

      скрипт-блокирование;

      централизованную/удаленную установку/деинсталляцию антивирусного продукта, настройку, администрирование, просмотр отчетов и статистической информации по работе продукта;