Защита персональных данных в информационных системах Администрации г. Улан-Удэ Докладчик: Новолодский Дмитрий Владими

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
План
семинарского занятия
Определения.
Разъяснения по заполнению организационно-распорядительных документов по защите ПДн.
Обязанности должностных лиц по защите информации при организации и выполнении работ по обработке ПДн и ИСПДн.
Ведение журналов.
Защита файлов содержащих ПДн.
Ответы на вопросы

Определения:
Информационная система — совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств. (Федеральный закон Российской Федерации от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации»).
Базой данных – является представленная в объективной форме совокупность самостоятельных материалов (статей, расчетов, нормативных актов, судебных решений и иных подобных материалов), систематизированных таким образом, чтобы эти материалы могли быть найдены и обработаны с помощью электронной вычислительной машины (ЭВМ)» (Гражданский кодекс РФ, ст. 1260).
Защита персональных данных в информационных системах Администрации г. Улан-Удэ

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Типовая информационная система - информационная система, в которой требуется обеспечение только конфиденциальности персональных данных.
Специальная информационная система - информационная система, в которой вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).
(Приказ ФСТЭК, ФСБ, Мининформсвязи России от 13.02.2008г. №55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»)

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Организационные мероприятия
Схема размещения объекта информатизации относительно контролируемой зоны и линии связи

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Организационные мероприятия
Структурно-функциональная схема объекта информатизации

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Технический паспорт ИСПДн

Защита персональных данных в информационных системах Администрации г. Улан-Удэ

Защита персональных данных в информационных системах Администрации г. Улан-Удэ

Защита персональных данных в информационных системах Администрации г. Улан-Удэ

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Журналы ИСПДн

Защита персональных данных в информационных системах Администрации г. Улан-Удэ

Защита персональных данных в информационных системах Администрации г. Улан-Удэ

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Обязанности Ответственного по защите информации
Ответственный по защите информации обязан:
знать перечень задач, решаемых пользователями на объекте ИСПДн, и согласно перечню защищаемых ресурсов обеспечивать их защиту.
вводить таблицы (параметры) разграничения доступа к защищаемым ресурсам на средствах защиты информации объектов ИСПДн и своевременно их корректировать.
подготавливать и выдавать под роспись пользователям ИСПДн личные пароли доступа (электронные ключи с записанными на них идентификационными и аутентификационными данными пользователя).
осуществлять установку, настройку и при необходимости контроль функционирования системы защиты.
вести архивы системных журналов с регистрационной информацией и проводить оперативный анализ этих журналов. При обнаружении предпосылок и фактов НСД к защищаемым ресурсам ИСПДн принимать меры, определенные в инструкции, докладывать начальнику.
обеспечивать контроль работы средств защиты информации, применяемых на объектах ИСПДн, а также контроль выполнения установленного руководящими распорядительными документами комплекса организационных мероприятий по ЗИ.
проводить тестирование средств защиты информации, осуществлять контроль их технического обслуживания.

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Обязанности Ответственного по защите информации
контролировать целостность (неизменность), сохранность средств защиты используемых в ИСПДн, а при обнаружении фактов изменения контролируемых параметров немедленно докладывать руководству.
осуществлять постоянный контроль за соблюдением пользователями порядка печатания выходных документов, использованием средств копирования данных, антивирусной защиты, стирания информации, а также за отсутствием на АРМ пользователей средств отладки ПО.
периодически проверять общесистемное и сетевое ПО и используемые энергонезависимые машинные носители информации всех серверов и АРМов на наличие компьютерных вирусов. В случае обнаружения вирусов или следов их воздействия немедленно докладывать об этом руководству и принимать все возможные меры к удалению их из ПЭВМ и ликвидации последствий их воздействия. Специалист по защите информации имеет право привлекать к этой работе пользователей ИСПДн.
вести учет и обеспечивать надежное хранение используемых для функционирования средств защиты от НСД ключевых средств (ключевых носителей и сгенерированных с помощью датчиков случайных чисел паролей, носителей информации устройств блокировки и т.п.).
осуществлять контроль защиты информации при проведении технического обслуживания и ремонта аппаратных средств ИСПДн.

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Обязанности ответственного за эксплуатацию ИСПДн
Ответственный за эксплуатацию ИСПДн обязан:
планировать мероприятия по защите информации от НСД на объектах ИСПДн, определять порядок действий сотрудников при стихийных бедствиях и при иных угрозах ИСПДн;
устанавливать персональную ответственность должностных лиц ИСПДн, пользователей за эксплуатацию конкретных технических и программных средств, системы защиты информации от НСД на объекте, определять по согласованию с пользователями порядок формирования и использования информационного обеспечения, использования средств копирования данных, средств отладки программ и стирания информации;
определять списки сотрудников, допускаемых в помещения ИСПДн;
определять списки сотрудников, имеющих право вскрывать помещения ИСПДн.
определять списки сотрудников, имеющих право доступа к обработке конфиденциальной информации.
контролировать своевременность представления заявок на пользователей, допускаемых к защищаемым ресурсам ИСПДн, с целью закрепления за ними носителей информации устройств блокировки, паролей и других средств разграничения доступа к информации, а также прав пользования средствами вычислительной техники.
организовывать специальную подготовку подчиненных должностных лиц по вопросам защиты информации.

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Обязанности ответственного за эксплуатацию ИСПДн
обеспечивать строгое выполнение требований по защите информации при организации проведения технического обслуживания средств вычислительной техники, вскрытии корпусов системных блоков ПЭВМ, изъятии и уничтожении конфиденциальных машинных носителей информации.
организовывать работу по анализу возможных каналов утечки защищаемой информации на объекте ИСПДН и их закрытию.
обеспечивать хранение средств программного и информационного обеспечения ИСПДн, конфиденциальных машинных носителей информации и выдачи носителей информации устройств блокировки.

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Обязанности пользователей, осуществляющих эксплуатацию ИСПДн
Должностные лица, являющиеся пользователями ИСПДн, обязаны строго соблюдать установленные правила работы на комплексах средств автоматизации ИСПДн и несут персональную ответственность за неукоснительное выполнение требований и мероприятий по защите информации на своих автоматизированных рабочих местах.
Пользователи обязаны:
знать технологическую инструкцию пользователя по защите информации в ИСПДн и выполнять ее требования.
знать и использовать должным образом свои права по доступу к защищаемым ресурсам ИСПДн.
не пытаться работать от имени других пользователей.
знать правила работы со средствами защиты информации, порядок входа и регистрации в сети.
уметь пользоваться средствами антивирусной защиты и при необходимости проверять АРМ на наличие программ – «вирусов».
при работе на АРМ использовать только учтенные установленным порядком машинные носители информации, штатное системное и прикладное программное обеспечение.
знать и соблюдать правила работы с прикладным программным обеспечением.
не использовать выявленные слабости в защите сервисов и локальной сети в целом.
в случаях компрометации пароля, обнаружении фактов или предпосылок несанкционированного доступа к защищаемым ресурсам сообщать об этом ответственному специалисту по защите информации.

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Ограничения, накладываемые на работу всех пользователей ИСПДн
Должностное лицо после прочтения инструкции должно расписаться в листе ознакомления.
Всем пользователям ИСПДн, запрещается:
проводить работы на средствах вычислительной техники без выполнения всех основных мероприятий по защите информации;
самовольно вносить изменения в состав, конструкцию, и размещение серверов, АРМ и коммуникационного оборудования;
устанавливать и использовать при работе на АРМ неразрешенное к применению программное обеспечение;
открывать крышки устройств и блоков технических средств ИСПДн;
допускать к результатам решения задач (в том числе промежуточным) лиц, не имеющих к ним прямого отношения;
приступать к работе на АРМ без оформления заявки и допуска установленным порядком;
использовать при работе на АРМ неучтенные установленным порядком машинные носители информации;
осуществлять выдачу конфиденциальных документов на локальный принтер без выполнения правил по защите информации;
приносить на службу и использовать для решения служебных задач в составе ИСПДн личные ПЭВМ и машинные носители информации;
производить копирование конфиденциальной информации на неучтенные машинные носители, в том числе для временного хранения информации;

Защита персональных данных в информационных системах Администрации г. Улан-Удэ
Ограничения, накладываемые на работу всех пользователей ИСПДн
уничтожать, копировать или производить какие-либо другие действия над программами (файлами), базами данных других пользователей без их разрешения;
отключать средства специальной защиты;
работать на средствах ИСПДн при обнаружении компьютерных вирусов или каких-либо неисправностей;
передавать пароль или носитель информации устройства блокировки от АРМ другим лицам;
производить подбор пароля другого пользователя;
превышать свои полномочия при работе на АРМ;
оставлять без присмотра ПЭВМ или АРМ до окончания сеанса работы в сети или без блокировки экрана монитора;
осуществлять попытки входа в сеанс связи с другими информационными системами или сетями, не входящих в состав ИСПДн;
проводить работы по исследованию обнаруженных компьютерных вирусов на технических средствах ИСПДн;
создавать или модифицировать программы для средств вычислительной техники или вносить изменения в существующие программы, приводящие к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы серверов, АРМ или сети в целом, а равно использование либо распространение таких программ или машинных носителей с такими программами.