«Проблемы защиты персональных данных в информационных системах Тамбовского ГТУ»

«Проблемы защиты персональных данных
в информационных системах Тамбовского ГТУ»
Тамбов, 23 апреля 2009 года
Нормативная база
Указ Президента РФ от 6 марта 1997 г. № 188 "Об утверждении перечня сведений
конфиденциального характера";
ФЗ от 19 декабря 2005 г. №160-ФЗ «О ратификации Конвенции Совета Европы «О
защите физических лиц при автоматизированной обработке персональных
данных»;
ФЗ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
Постановление Правительства РФ от 17 ноября 2007 г. № 781, утверждающее
«Положение об обеспечении безопасности персональных данных при их
обработке в информационных системах персональных данных»;
Совместный приказ от 13. 02. 2008 г. № 55/86/20 ФСТЭК, ФСБ, Мининформсвязь,
утверждающий «Порядок проведения классификации информационных систем
персональных данных»;
Постановление Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении
Положения об особенностях обработки персональных данных, осуществляемой
без использования средств автоматизации»;
Нормативная база
Документы ФСТЭК России:
«Базовая модель угроз безопасности персональных данных при их обработке
в информационных системах персональных данных»;
«Методика определения актуальных угроз безопасности персональных данных
при их обработке в информационных системах персональных данных»;
«Основные мероприятия по организации и техническому обеспечению
безопасности персональных данных, обрабатываемых в информационных
системах персональных данных»;
«Рекомендации по обеспечению безопасности персональных данных при их
обработке в информационных системах персональных данных».
Нормативная база
Документы ФСБ России:
«Типовые требования по организации и обеспечению функционирования
шифровальных (криптографических) средств, предназначенных для защиты
информации, не содержащей сведений, составляющих государственную тайну,
в случае их использования для обеспечения безопасности персональных
данных при их обработке в информационных системах персональных
данных»;
«Методические рекомендации по обеспечению с помощью криптосредств
безопасности персональных данных при их обработке в информационных
системах персональных данных с использованием средств автоматизации».
Нормативная база
Документы Россвязькомнадзора:
Положение о Федеральной службе по надзору в сфере связи и массовых
коммуникаций (Постановление Правительства РФ от 2 июня 2008 г. №419
«О федеральной службе по надзору в сфере связи и массовых
коммуникаций»)
Приказ Россвязькомнадзора от 28 марта 2008 г. № 154 «Об утверждении
положения о ведении реестра операторов, осуществляющих обработку
персональных данных»
Приказ Россвязькомнадзора от 17 июля 2008 г. №8 «Об утверждении образца
формы уведомления об обработке персональных данных»
Цель классификации
«ИСПДн класса К с уровнем криптографической защиты по
классу АК»
Класс системы (ФСТЭК + ФСБ)
Требования к средствам защиты
Выбор мер и средств защиты
Системы информации
организации
Идентификация систем обработки персональных данных
Определение характеристик ПДн
Первичная классификация систем обработки ПДн
Система обработки ПДн
с использованием
средств автоматизации
Система обработки ПДн
без использования
средств автоматизации
Система обработки ПДн с использованием средств автоматизации
Определение типа системы обработки ПДн
Типовая ИСПДн
(ФСТЭК)
Специальная ИСПДн
(ФСТЭК)
Автоматизированная информационная система
(ФСБ)
Типовая ИСПДн (ФСТЭК)
Требования ФСТЭК, ФСБ
Классификация ИСПДн
Документальное оформление
Акт оператора
Специальная ИСПДн (ФСТЭК)
Требования ФСТЭК и ФСБ к ИСПДн
Классификация ИСПДн
Определение актуальных угроз
Документальное оформление
Специальные требования к системе защиты информации
Автоматизированная информационная система
(ФСБ)
Требования ФСБ к ИСПДн и АИС («К»)
Разработка модели нарушителя АИС
Классификация АИС
Требования ФСБ к АИС
Система обработки ПДн без использования средств автоматизации
Определение перечня «материальных носителей» для хранения ПДн
Постановление Правительства РФ №687
Выработка требований оператора
по защите ПДн
Требования законодательство РФ,
ФСТЭК и ФСБ
Определение угроз
«материальным носителям» и ПДн
Категории персональных данных
категория 1 - персональные данные, касающиеся расовой, национальной
принадлежности, политических взглядов, религиозных и философских
убеждений, состояния здоровья, интимной жизни;
категория 2 - персональные данные, позволяющие идентифицировать
субъекта персональных данных и получить о нем дополнительную
информацию, за исключением персональных данных, относящихся к категории
1;
категория 3 - персональные данные, позволяющие идентифицировать
субъекта персональных данных;
категория 4 - обезличенные и (или) общедоступные персональные данные.
Объем персональных данных
1 - в информационной системе одновременно обрабатываются персональные
данные более чем 100 000 субъектов персональных данных или
персональные данные субъектов персональных данных в пределах субъекта
Российской Федерации или Российской Федерации в целом;
2 - в информационной системе одновременно обрабатываются персональные
данные от 1000 до 100 000 субъектов персональных.данных или
персональные данные субъектов персональных данных, работающих в
отрасли экономики Российской Федерации, в органе государственной власти,
проживающих в пределах муниципального образования;
3 - в информационной системе одновременно обрабатываются данные менее
чем 1000 субъектов персональных данных или персональные данные
субъектов персональных данных в пределах конкретной организации.
Характеристики безопасности
ОСНОВНЫЕ:
КОНФИДЕНЦИАЛЬНОСТЬ
ЦЕЛОСТНОСТЬ
ДОСТУПНОСТЬ
ДОПОЛНИТЕЛЬНЫЕ:
НЕОТКАЗУЕМОСТЬ
УЧЕТНОСТЬ (ПОДКОНТРОЛЬНОСТЬ)
АУТЕНТИЧНОСТЬ (ДОСТОВЕРНОСТЬ)
АДЕКВАТНОСТЬ
Структура системы
автономные (не подключенные к иным информационным системам)
комплексы технических и программных средств, предназначенные для
обработки персональных данных (автоматизированные рабочие места);
на комплексы автоматизированных рабочих мест, объединенных в единую
информационную систему средствами связи без использования технологии
удаленного доступа (локальные информационные системы);
на комплексы автоматизированных рабочих мест и (или) локальных
информационных систем, объединенных в единую информационную систему
средствами связи с использованием технологии удаленного доступа
(распределенные информационные системы).
Режим обработки
ОДНОПОЛЬЗОВАТЕЛЬСКИЙ
МНОГОПОЛЬЗОВАТЕЛЬСКИЙ
Режим разграничения прав доступа
БЕЗ РАЗГРАНИЧЕНИЯ ПРАВ ДОСТУПА
С РАЗГРАНИЧЕНИЕМ ПРАВ ДОСТУПА
Классификация типовой системы
класс 1 (К1) - информационные системы, для которых нарушение заданной
характеристики безопасности персональных данных, обрабатываемых в них,
может привести к значительным негативным последствиям для субъектов
персональных данных;
класс 2 (К2) - информационные системы, для которых нарушение заданной
характеристики безопасности персональных данных, обрабатываемых в них,
может привести к негативным последствиям для субъектов персональных
данных;
класс 3 (К3) - информационные системы, для которых нарушение заданной
характеристики безопасности персональных данных, обрабатываемых в них,
может привести к незначительным негативным последствиям для субъектов
персональных данных;
класс 4 (К4) - информационные системы, для которых нарушение заданной
характеристики безопасности персональных данных, обрабатываемых в них,
не приводит к негативным последствиям для субъектов персональных данных.
Таблица классификации
Типовая информационная система
Информационные системы, требующие только конфиденциальности ПДн.
Специальная система
Помимо конфиденциальности:
2. Информационные системы, в которых обрабатываются персональные
данные, касающиеся состояния здоровья субъектов персональных данных;
3. Информационные системы, в которых, на основании исключительно
автоматизированной обработки персональных данных, предусмотрено
принятие решений, порождающих юридические последствия в отношении
субъекта персональных данных или иным образом затрагивающих его права и
законные интересы.
Система моделей угроз
Базовая модель угроз
Типовая отраслевая модель угроз
Частная/детализированная
модель угроз ИСПДн
Оценка актуальных угроз
оценка уровня исходной защищенности Y1(0;5;10;)
Технические и эксплуатационные характеристики ИСПДн
Уровень защищенности
Высокий
1. По территориальному размещению
2. По наличию соединения с сетями общего пользования
3. По встроенным (легальным) операциям с записями баз персональных данных
4. По разграничению доступа к персональным данным
5. По наличию соединения с другими базами ПДн иных ИСПДн
6. По уровню обобщения (обезличивания) ПДн
7. По объему ПДн, которые предоставляются сторонним пользователям ИСПДн
без предварительной обработки
Средний
Низкий
Оценка актуальных угроз
экспертное оценивание вероятности реализации угрозы Y2
(0;2;5;10;)
МАЛОВЕРОЯТНО
НИЗКАЯ ВЕРОЯТНОСТЬ
СРЕДНЯЯ ВЕРОЯТНОСТЬ
ВЫСОКАЯ ВЕРОЯТНОСТЬ
Оценка актуальных угроз
оценка реализуемости угрозы Y
Y = ( Y1+Y2 )/20
0<Y<0,3
НИЗКАЯ
0,3 <Y< 0,6
СРЕДНЯЯ
0,6<Y<0,8
ВЫСОКАЯ
Y>0,8
ОЧЕНЬ ВЫСОКАЯ
Оценка актуальных угроз
экспертное оценивание опасности угрозы
НИЗКАЯ ОПАСНОСТЬ
СРЕДНЯЯ ОПАСНОСТЬ
ВЫСОКАЯ ОПАСНОСТЬ
Оценка актуальных угроз
оценка актуальности угрозы
Возможность
реализации угрозы
Показатель опасности угрозы
Низкий
Средний
Высокий
Низкая
неактуально
неактуально
актуально
Средняя
неактуально
актуально
актуально
Высокая
актуально
актуально
актуально
Очень высокая
актуально
актуально
актуально
Организационно-нормативные документы
Базовый комплект включает:
•Положение по организации и проведению работ по обеспечению
безопасности;
•Требования по обеспечению безопасности ПДн при их обработке;
•Должностные инструкции персоналу;
•Инструкции по использованию программно-аппаратных средств защиты;
•Уведомление об обработке ПДн;
•Положение о ПДн;
•Технологический регламент обработки ПДн;
•Акт классификации информационной системы ПДн;
•Технический паспорт на информационную систему ПДн;
Система защиты ИСПДн
Средства предотвращения утечки информации
по техническим каналам
Средства защиты
речевой информации:
Барон, ЛГШ-402(403),
SEL SP-21B1 Баррикада,
Шорох-2, Соната-АВ,
Шторм-105…
Средства защиты информации,
представленной в виде
информативных электрических
сигналов, физических полей:
Гном-3, ГШ-1000, ГШ-1000К,
ГШ-2500, Октава-РС1,
Гром-ЗИ-4Б
МП-2, МП-3, МП-5, ЛФС-10-1Ф…
.
Средства предотвращения
несанкционированного доступа к
информации:
Интернет
1. Защищенные ОС:
Red Hat Enterprise Linux, QNX, МСВС 3.0.
2.
Блокхост-сеть, Аккорд-Рубеж,
Аккорд-NT/2000, Secret Net 5.0,
Соболь, Dallas Lock 7.0, Лабиринт-М, Страж
NT
Межсетевые экраны
Шлюзы безопасности:
Cisco, Z-2,
WatchGuard Firebox…
CSP VPN Gate, CSP RVPN…
Шифровальные
(криптографические)
средства защиты
информации
Используемые в информационной системе
информационные технологии
Средства защиты
носителей информации
на бумажной, магнитной,
магнитоопрической
и иной основе:
eToken PRO 64K
и eToken NG-OTP,
Secret Disk 4…
Средства предотвращения программнотехнических воздействий на технические
средства обработки персональных данных
1. Антивирусные средства:
DrWed, Антивирус Касперского…
2. Программное обеспечение,
сертифицированное на отсутствие НДВ.
3. Системы обнаружения вторжений
и компьютерных атак:
ФОРПОСТ, Proventia Network…
Персональные данные в ТГТУ
Сотрудники
Студенты
Управление кадров
Приемная комиссия
Финансовоэкономическое
управление
Деканаты
Бухгалтерия
Кафедры
Категория ПД в ТГТУ
категория 1. ПД, касающиеся расовой, национальной принадлежности,
политических взглядов, религиозных и философских убеждений,
состояния здоровья, интимной жизни
Необходимо шифрование данных на всех этапах хранения и обработки
категория 2. ПД, позволяющие идентифицировать субъекта ПД и
получить о нем дополнительную информацию, за исключением ПД,
относящихся к категории 1
Шифрование данных не требуется. Соответствует ПД в ТГТУ
категория 3. ПД, позволяющие идентифицировать субъекта ПД
Классы информационных систем (ИС)
класс 1. ИС, для которых нарушения могут привести к
значительным негативным последствиям для субъектов ПД
класс 2. ИС, для которых нарушения могут привести к негативным
последствиям для субъектов ПД
Обязательна сертификация информационной
системы
класс 3. ИС, для которых нарушения могут привести к
незначительным негативным последствиям для субъектов ПД
класс 4. ИС, для которых нарушения не приводят к негативным
последствиям для субъектов ПД
ТГТУ
Принимаемые меры защиты
От несанкционированного доступа
Физическая защита внутренней сети
административного корпуса
РАЗГРАНИЧЕНИЕ Доступа к ПДн
Шифрование данных при передаче по сети в
органы ФНС и ПФР
От искажений и потерь
Периодическое резервное копирование
Использование средств ЭЦП при передаче
по сети в органы ФНС и ПФР
• Спасибо за внимание