Политика информационной безопасности информационных систем персональных данных

      обучение (подготовка) пользователей порядку и правилам работы с программно-аппаратными средствами объекта, порядку использования средств защиты информации;

      организация допуска личного состава к самостоятельной работе.

      настройка и управление средствами защиты;

      определение порядка поставки, закрепления, ввода в эксплуатацию копирования, тиражирования, доработки, восстановления программного обеспечения;

      организация паролирования;

      определение периодичности и порядка смены средств опознавания и разграничения доступа (паролей, личных идентификаторов);

      определение периодичности и порядка использования средств антивирусной защиты;

      анализ возможных каналов утечки информации и выработка предложений по их закрытию;

      определение порядка действий при стихийных бедствиях и внезапном нападении противника;

      организация контроля за состоянием защиты информации и работой пользователей ИСПДн в части соблюдения требований по защите информации.

4.10. Подсистема защиты информации от утечки по техническим каналам

Подсистема защиты информации от утечки по техническим каналам предназначена для противодействия утечкам ПДн по техническим каналам.

Защита речевой информации и информации, представленной в виде информативных электрических сигналов и физических полей, должна осуществляется в случаях, когда при определении угроз безопасности персональных данных и формировании модели угроз применительно к информационной системе являются актуальными угрозы утечки акустической речевой информации, угрозы утечки видовой информации и угрозы утечки информации по каналам побочных электромагнитных излучений и наводок, определенные на основе методических документов, утвержденных в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. № 781.

При применении в информационных системах функции голосового ввода персональных данных в информационную систему или функции воспроизведения информации акустическими средствами информационных систем для ИСПДн 1 класса реализуются методы и способы защиты акустической (речевой) информации. Методы и способы защиты акустической (речевой) информации заключаются в реализации организационных и технических мер для обеспечения звукоизоляции ограждающих конструкций помещений, в которых расположена информационная система, их систем вентиляции и кондиционирования, не позволяющей вести прослушивание акустической (речевой) информации при голосовом вводе персональных данных в информационной системе или воспроизведении информации акустическими средствами. Величина звукоизоляции может определяется исходя из характеристик помещения, его расположения и особенностей обработки персональных данных в информационной системе.

Для исключения утечки персональных данных за счет побочных

электромагнитных излучений и наводок в ИСПДн 1 класса могут применяться следующие методы и способы защиты информации:

      использование технических средств в защищенном исполнении;

      использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;

      размещение объектов защиты в соответствии с предписанием на эксплуатацию;

      размещение понижающих трансформаторных подстанций электропитания и контуров заземления технических средств в пределах охраняемой территории;

      обеспечение развязки цепей электропитания технических средств с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал;

      обеспечение электромагнитной развязки между линиями связи и другими цепями вспомогательных технических средств и систем, выходящими за пределы охраняемой территории, и информационными цепями, по которым циркулирует защищаемая информация.

Размещение устройств вывода информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн , в помещениях, в которых они установлены, осуществляется таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей персональные данные.

В информационных системах 2 класса для обработки информации

должны использоваться средства вычислительной техники, удовлетворяющие требованиям национальных стандартов по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам средств вычислительной техники.

5. Пользователи ИСПДн

В Концепции информационной безопасности определены основные категории пользователей. На основании этих категории должна быть произведена типизация пользователей ИСПДн, определен их уровень доступа и возможности. В ИСПДн Комитета можно выделить следующие группы пользователей, участвующих в обработке и хранении ПДн:

      Администратора ИСПДн;

      Администратора безопасности ИСПДн;

      Пользователь ИСПДн;

      Администратора сети ИСПДн;

      Технического специалиста по обслуживанию периферийного оборудования;

      Программист-разработчик ИСПДн

Данные о группах пользователях, уровне их доступа и информированности должен быть отражен в Положение о разграничении прав доступа к обрабатываемым персональным данным.

5.1. Администратор ИСПДн

Администратор ИСПДн, сотрудник Комитета, ответственный за настройку, внедрение и сопровождение ИСПДн. Обеспечивает функционирование подсистемы управления доступом ИСПДн и уполномочен осуществлять предоставление и разграничение доступа конечного пользователя (пользователя ИСПДн) к элементам хранящим персональные данные.

Администратор ИСПДн обладает следующим уровнем доступа и знаний:

      обладает полной информацией о системном и прикладном программном обеспечении ИСПДн;

      обладает полной информацией о технических средствах и конфигурации ИСПДн;

      имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;

      обладает правами конфигурирования и административной настройки технических средств ИСПДн.

5.2. Администратор сети ИСПДн

Администратор сети ИСПДн, сотрудник Комитета, ответственный за функционирование телекоммуникационной подсистемы ИСПДн Администратор сети не имеет полномочий для управления подсистемами обработки данных и безопасности.

Администратор сети обладает следующим уровнем доступа и знаний:

      обладает частью информации о системном и прикладном программном обеспечении ИСПДн;

      обладает частью информации о технических средствах и конфигурации ИСПДн;

      имеет физический доступ к техническим средствам обработки информации и средствам защиты;

      знает, по меньшей мере, одно легальное имя доступа.

5.3. Администратор безопасности ИСПДн

Администратор безопасности, сотрудник Комитета, ответственный за  функционирование СиЗИ ПДн, включая обслуживание и настройку административной, серверной и клиентской компонент.

Администратор безопасности обладает следующим уровнем доступа и знаний:

      обладает правами Администратора ИСПДн;

      обладает полной информацией об ИСПДн;

      имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн;

      не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).

Администратор безопасности уполномочен:

      реализовывать политики безопасности в части настройки СКЗИ, межсетевых экранов и систем обнаружения атак, в соответствии с которыми пользователь (Оператор АРМ) получает возможность работать с элементами ИСПДн;

      осуществлять аудит средств защиты;

      устанавливать доверительные отношения своей защищенной сети с сетями других Учреждений.

5.4. Пользователь ИСПДн

Пользователь ИСПДн, сотрудник Комитета,  осуществляющий обработку ПДн. Обработка ПДн включает: возможность просмотра ПДн, ручной ввод ПДн в систему ИСПДн,  формирование справок и отчетов по информации, полученной из ИСПДн Оператор не имеет полномочий для управления подсистемами обработки данных и СиЗИ ПДн.

Оператор ИСПДн обладает следующим уровнем доступа и знаний:

      обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн;

      располагает конфиденциальными данными, к которым имеет доступ.

5.5. Технический специалист по обслуживанию периферийного оборудования

Технический специалист по обслуживанию, сотрудник Комитета, осуществляет обслуживание и настройку периферийного оборудования ИСПДн. Технический специалист по обслуживанию не имеет доступа к ПДн, не имеет полномочий для управления подсистемами обработки данных и безопасности.

Технический специалист по обслуживанию обладает следующим уровнем доступа и знаний:

      обладает частью информации о системном и прикладном программном обеспечении ИСПДн;

      обладает частью информации о технических средствах и конфигурации ИСПДн;

      знает, по меньшей мере, одно легальное имя доступа.

5.6. Программист-разработчик ИСПДн

Программисты-разработчики (поставщики) прикладного программного обеспечения, обеспечивающие его сопровождение на защищаемом объекте. К данной группе могут относиться как сотрудники Комитета, так и сотрудники сторонних организаций.  Лицо этой категории:

      обладает информацией об алгоритмах и программах обработки информации на ИСПДн;

      обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения;

      может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых в ИСПДн.

6. Требования к персоналу по обеспечению защиты ПДн

Все сотрудники Комитета, являющиеся пользователями ИСПДн, должны четко знать и строго выполнять установленные правила и обязанности по доступу к защищаемым объектам и соблюдению принятого режима безопасности ПДн.

При вступлении в должность нового сотрудника непосредственный начальник подразделения, в которое он поступает, обязан организовать его ознакомление с должностной инструкцией и необходимыми документами, регламентирующими требования по защите ПДн, а также обучение навыкам выполнения процедур, необходимых для санкционированного использования ИСПДн.

Сотрудник должен быть ознакомлен со сведениями настоящей Политики, принятых процедур работы с элементами ИСПДн и СиЗИ ПДн.

Сотрудники Комитета, использующие технические средства аутентификации, должны обеспечивать сохранность идентификаторов (электронных ключей) и не допускать НСД к ним, а так же возможность их утери или использования третьими лицами. Пользователи несут персональную ответственность за сохранность идентификаторов.

Сотрудники Комитета должны следовать установленным процедурам поддержания режима безопасности ПДн при выборе и использовании паролей (если не используются технические средства аутентификации).

Сотрудники Комитета должны обеспечивать надлежащую защиту оборудования, оставляемого без присмотра, особенно в тех случаях, когда в помещение имеют доступ посторонние лица. Все пользователи должны знать требования по безопасности ПДн и процедуры защиты оборудования, оставленного без присмотра, а также свои обязанности по обеспечению такой защиты.

Сотрудникам запрещается устанавливать постороннее программное обеспечение, подключать личные мобильные устройства и носители информации, а так же записывать на них защищаемую информацию.

Сотрудникам запрещается разглашать защищаемую информацию, которая стала им известна при работе с информационными системами Комитета, третьим лицам.

При работе с ПДн в ИСПДн сотрудники Комитета обязаны обеспечить отсутствие возможности просмотра ПДн третьими лицами с мониторов АРМ или терминалов.

При завершении работы с ИСПДн сотрудники обязаны защитить АРМ или терминалы с помощью блокировки ключом или эквивалентного средства контроля, например, доступом по паролю, если не используются более сильные средства защиты.