|
УТВЕРЖДЕНА
Приказом ГУ ЯНАО «МФЦ»
от «02» декабря 2016 года № 16
|
|
|
Политика
безопасности персональных данных
ГУ ЯНАО «МФЦ»
г. Салехард, ЯНАО – 2016
Оглавление
Оглавление 2
Список терминов и определений 3
1.Общие положения 4
2.Состав и содержание мер по обеспечению безопасности ПДн и план работ по защите ПДн, обрабатываемых в ИСПДн Учреждения 4
3.Требования по обеспечению безопасности персональных данных 12
4.Требования к персоналу по обеспечению безопасности персональных данных 18
5.Должностные обязанности пользователей ИСПДн 19
6.Ответственность работников ИСПДн Учреждения 20
Список терминов и определений
Учреждение – Государственное учреждение Ямало-Ненецкого автономного округа "Многофункциональный центр предоставления государственных и муниципальных услуг"
ПДн – персональные данные
ИСПДн – информационная система персональных данных
АРМ – автоматизированное рабочее место
СЗПДн – система защиты персональных данных
-
Общие положения
Настоящий документ устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации.
Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных», Постановлением Правительства РФ от 01 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», Приказом ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и определяет порядок защиты персональных данных, обрабатываемых в Учреждении.
Определить требования безопасности к персональным данным, обрабатываемым в информационных системах персональных данных Учреждения, с целью предотвращения любого несанкционированного доступа.
Критичным фактором безопасности ПДн является организация эффективного контроля доступа к ПДн, обрабатываемых в информационных системах персональных данных. Отсутствие адекватного контроля доступа может вести к несанкционированному доступу к ИСПДн Учреждения.
Требования настоящей Политики распространяются на всех работников Учреждения (штатных, временных, работающих по контракту и т.п.), а также всех прочих лиц (подрядчики, аудиторы и т.п.).
-
Состав и содержание мер по обеспечению безопасности ПДн и план работ по защите ПДн, обрабатываемых в ИСПДн Учреждения
Состав и содержание мер по обеспечению безопасности ПДн
В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).
Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности, установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль за соблюдением этих правил.
Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска, запрещенного к использованию в информационной системе программного обеспечения.
Меры по защите машинных носителей персональных данных (средств обработки (хранения) персональных данных, съемных машинных носителей персональных данных) должны исключать возможность несанкционированного доступа к машинным носителям и хранящимся на них персональным данным, а также несанкционированное использование съемных машинных носителей персональных данных.
Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.
Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.
Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) персональные данные в целях добывания, уничтожения, искажения и блокирования доступа к персональным данным, а также реагирование на эти действия.
Меры по контролю (анализу) защищенности персональных данных должны обеспечивать контроль уровня защищенности персональных данных, обрабатываемых в информационной системе, путем проведения систематических мероприятий по анализу защищенности информационной системы и тестированию работоспособности системы защиты персональных данных.
Меры по обеспечению целостности информационной системы и персональных данных должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащихся в ней персональных данных, а также возможность восстановления информационной системы и содержащихся в ней персональных данных.
Меры по обеспечению доступности персональных данных должны обеспечивать авторизованный доступ пользователей, имеющих права по доступу, к персональным данным, содержащимся в информационной системе, в штатном режиме функционирования информационной системы.
Меры по защите среды виртуализации должны исключать несанкционированный доступ к персональным данным, обрабатываемым в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры и (или) воздействие на них, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.
Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим персональные данные, средствам, обеспечивающим функционирование информационной системы (далее - средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту персональных данных, представленных в виде информативных электрических сигналов и физических полей.
Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту персональных данных при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы и проектных решений, направленных на обеспечение безопасности персональных данных.
Меры по выявлению инцидентов и реагированию на них должны обеспечивать обнаружение, идентификацию, анализ инцидентов в информационной системе, а также принятие мер по устранению и предупреждению инцидентов.
Меры по управлению конфигурацией информационной системы и системы защиты персональных данных должны обеспечивать управление изменениями конфигурации информационной системы и системы защиты персональных данных, анализ потенциального воздействия планируемых изменений на обеспечение безопасности персональных данных, а также документирование этих изменений.
Для реализации указанных мер по обеспечению безопасности могут применяться межсетевые экраны, системы обнаружения вторжений, средства анализа защищенности, специализированные комплексы защиты и анализа защищенности информации.
Для защиты ПДн, представленной в виде информативных электрических сигналов и физических полей могут применяться следующие методы и способы защиты информации:
использование технических средств в защищенном исполнении;
использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;
размещение объектов защиты в соответствии с предписанием на эксплуатацию.
Обработка персональных данных, представленных в виде акустической (речевой) информации, не предусмотрена в информационных системах персональных данных Учреждения и исключает голосовой ввод или воспроизведение информации акустическими средствами.
Принципы и способы определения актуальных угроз безопасности ПДн
Для выбора и реализации мер по обеспечению безопасности ПДн в информационной системе Учреждения назначается ответственный за обеспечение безопасности персональных данных.
Выбор и реализация мер по обеспечению безопасности ПДн в ИСПДн осуществляются на основе, определяемых в Учреждении, угроз безопасности персональных данных (модель угроз) и в зависимости уровня защищенности ПДн, определенного в соответствии с Постановлением Правительства от 1.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
Модель угроз разрабатывается на основе:
Базовая модель угроз безопасности персональным данным при обработке в информационных системах персональных данных, утвержденной 15 февраля 2008 г. заместителем директора ФСТЭК России;
Методика определения актуальных угроз безопасности персональных данных при обработке в информационных системах персональных данных, утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России;
Банк данных угроз безопасности информации;
Методический документ «Меры защиты информации в государственных информационных системах», утвержденный ФСТЭК России 11 февраля 2014 г.
Модель угроз персональным данным составляется ответственным за обеспечение безопасности ПДн, согласовывается с экспертной комиссией и утверждается руководителем Учреждения.
Периодичность пересмотра модели угроз для каждой ИСПДн определена в пункте 2.4. данного документа.
Определение уровня защищенности ПДн
При обработке персональных данных в информационных системах устанавливаются уровни защищенности ПДн в соответствии с Постановлением Правительства от 1.11.2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
При определении уровня защищенности ПДн, при их обработке в ИСПДн учитываются следующие исходные данные:
категория обрабатываемых в информационной системе персональных данных;
объем обрабатываемых персональных данных (количество субъектов персональных данных, персональные данные которых обрабатываются в информационной системе);
заданные оператором характеристики безопасности персональных данных, обрабатываемых в информационной системе;
тип угроз безопасности ПДн, актуальных для информационной системы;
проверяется условие принадлежности ПДн работникам оператора ПДн или иным субъектам, не являющимся работниками оператора.
По результатам анализа исходных данных информационных систем персональных данных присваивается соответствующий уровень защищенности ПДн, и составляется «Акт определения уровня защищенности ПДн, при их обработке в ИСПДн», утверждаемый руководителем Учреждения.
Уровень защищенности персональных данных может быть пересмотрен:
по решению ответственного за обеспечение безопасности персональных данных в Учреждении на основе проведенных им анализа и оценки угроз безопасности персональных данных с учетом особенностей и (или) изменений конкретной информационной системы;
по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в информационной системе.
План мероприятий по обеспечению безопасности ПДн
Для обеспечения безопасности процессов обработки персональных данных в Учреждении, должны быть выполнены работы, в соответствии с планом, указанном ниже:
Мероприятие
|
Периодичность
|
Организационные мероприятия
|
Обследование информационных систем персональных данных
|
Разовое
|
Определение перечня ИСПДн
|
Разовое
|
Определение обрабатываемых ПДн и объектов защиты
|
Разовое
|
Определение круга лиц, участвующих в обработке ПДн
|
Разовое
|
Определение ответственности лиц, участвующих в обработке
|
Разовое
|
Определение прав разграничения доступа пользователей ИСПДн, необходимых для выполнения должностных обязанностей
|
Разовое
|
Назначение ответственных за обеспечение безопасности и организации обработки ПДн
|
Разовое
|
Определение уровня защищенности ПДн для всех выявленных ИСПДн
|
Разовое
|
Установление контролируемой зоны вокруг ИСПДн
|
Разовое
|
Выбор помещений для установки аппаратных средств ИСПДн в помещениях, с целью исключения НСД лиц, не допущенных к обработке ПДн
|
Разовое
|
Организация режима и контроля доступа (охраны) в помещения, в которых установлены аппаратные средства ИСПДн.
|
Разовое
|
Организация порядка резервного копирования и восстановления защищаемой информации на твердые носители
|
Разовое
|
Введение в действие инструкций по защите ИСПДн
|
Разовое
|
Организация информирования и обучения работников о порядке обработки и защиты ПДн
|
Разовое
|
Разработка должностных инструкций о порядке обработки ПДн и обеспечении введенного режима защиты
|
Разовое
|
Разработка инструкций о действии в случае возникновения внештатных ситуаций
|
Разовое
|
Разработка положения об обработке и защите ПДн, обрабатываемых в ИСПДн
|
Разовое
|
Утверждение политики безопасности персональных данных
|
Разовое
|
Организация журнала учета обращений субъектов ПДн
|
Разовое
|
Организация перечня по учету технических средств и средств защиты, а также документации к ним
|
Разовое
|
Организация постов охраны для пропуска в контролируемую зону
|
Разовое
|
Инженерно-технические мероприятия
|
Внедрение технической системы контроля доступа в контролируемую зону и помещения
|
Разовое
|
Внедрение технической системы контроля доступа к элементам ИСПДн
|
Разовое
|
Установка жалюзи на окнах
|
Разовое
|
Внедрение резервных (дублирующих) технических средств ключевых элементов ИСПДн
|
Разовое
|
Мероприятия по внедрению СЗИ от НСД
|
Внедрение системы защиты от НСД на рабочих станциях и серверах
|
Разовое
|
Внедрение системы антивирусной защиты
|
Разовое
|
Внедрение средств межсетевого экранирования
|
Разовое
|
Внедрение средств анализа защищенности
|
Разовое
|
Внедрение средств обнаружения вторжений
|
Разовое
|
Создание журнала внутренних проверок и поддержание его в актуальном состоянии
|
Ежемесячно
|
Контроль над соблюдением режима обработки ПДн
|
Еженедельно
|
Контроль над соблюдением режима защиты
|
Ежедневно
|
Контроль над выполнением антивирусной защиты
|
Еженедельно
|
Контроль над соблюдением режима защиты при подключении к сетям общего пользования и (или) международного обмена
|
Еженедельно
|
Проведение внутренних проверок на предмет выявления изменений в режиме обработки и защиты ПДн
|
Ежегодно
|
Контроль за обновлениями программного обеспечения и единообразия применяемого ПО на всех элементах ИСПДн
|
Еженедельно
|
Контроль за обеспечением резервного копирования
|
Ежемесячно
|
Организация анализа и пересмотра имеющихся угроз безопасности ПДн, а также предсказание появления новых, еще неизвестных, угроз
|
Ежегодно
|
Поддержание в актуальном состоянии нормативно-организационных документов
|
Ежеквартально
|
Контроль за разработкой и внесением изменений в программное обеспечение собственной разработки или штатное ПО, специально дорабатываемое собственными разработчиками или сторонними организациями.
|
Ежемесячно
|
Тестирование реализации правил фильтрации на МЭ, настроек системы защиты от НСД, системы защиты от вирусов, системы обнаружения вторжений и анализа защищенности
|
Ежеквартально
|
|
