Этапы работ по защите персональных данных

Обязательные (в том числе предварительные) этапы работ по защите персональных данных:

• Определить все ситуации, когда требуется проводить обработку персональных данных (ПДн).

• Выделить бизнес-процессы, в которых обрабатываются персональные данные.

• Выбрать ограниченное число бизнес-процессов для проведения аналитики. На этом этапе формируется перечень подразделений и сотрудников компании, участвующих в обработке ПДн в рамках своей служебной деятельности.

• Определить круг информационных систем и совокупность обрабатываемых ПДн.

• Провести категорирование ПДн и предварительную классификацию информационных систем (ИС).

• Выработать меры по снижению категорий обрабатываемых ПДн.

• Сформировать актуальную модель угроз для каждой информационной системы обработки персональных данных (ИСПДн).

• Подготовить техническое задание (ТЗ) по созданию требуемой системы защиты.

• Провести уточнение классов ИС, с последующей подготовкой рекомендаций по использованию технических средств защиты ПДн.

• Подать уведомление о начале обработки персональных данных в Уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) для регистрации в качестве оператора ПДн.

• Отправить заявку на получение экземпляров руководящих документов ФСТЭК России по организации системы защиты.

• Разработать требования для конкретной ИСПДн, с учетом присвоенного класса защиты.

• Подготовить технический проект по защите ИСПДн и помещений.

• Разработать пакет организационно-распорядительных документов для СЗПДн (положения, приказы, инструкции, регламенты).

• Спроектировать и внедрить систему защиты персональных данных (СЗПДн);

• Взять согласия на обработку ПДн с субъектов персональных данных;

• Проводить контрольные мероприятия по выявлению нарушений защиты персональных данных.

Проверить при трансграничной передаче находится ли получатель персональных данных в стране, где осуществляется надлежащая защита персональных данных.

Создание режима защиты персональных данных

В российской традиции, защита персональных данных сводится к созданию режима обработки персональных данных, включающего:

• Создание внутренней документации по работе с персональными данными

• Создание организационной системы защиты персональных данных

• Внедрение технических мер защиты

• Получение лицензий регулирующих органов (ФСБ, ФСТЭК). Лицензия ФСТЭК России на Техническую защиту конфиденциальной информации нужна только в случае если организация оказывает услуги по созданию системы защиты персональных данных для других лиц. При создании системы защиты персональных данных силами организации (для собственных нужд) как техническими средствами, так и организационными — данная лицензия не нужна

• Получение сертификатов регулирующих органов (ФСБ, ФСТЭК) на средства защиты информации

Согласно Постановлению Правительства №781, для защиты персональных данных должны применяться только СЗИ, в установленном порядке прошедшие процедуру оценки соответствия.

77777777777777777777777777777777777777777777777777777777

Пото́чный шифр — это симметричный шифр, в котором каждый символ открытого текста преобразуется в символ шифрованного текста в зависимости не только от используемого ключа, но и от его расположения в потоке открытого текста. Поточный шифр реализует другой подход к симметричному шифрованию, нежели блочные шифры.

Потоковые шифры на базе сдвиговых регистров активно использовались в годы войны, ещё задолго до появления электроники. Они были просты в проектировании и реализации.

В 1965 году Эрнст Селмер, главный криптограф норвежского правительства, разработал теорию последовательности сдвиговых регистров. Позже Соломон Голомб, математик Агентства Национальной Безопасности США, написал книгу под названием «Shift Register Sequences» («Последовательности сдвиговых регистров»), в которой изложил свои основные достижения в этой области, а также достижения Селмера.

Большую популярность потоковым шифрам принесла работа Клода Шеннона, опубликованная в 1949 году, в которой Шеннон доказал абсолютную стойкость шифра Вернама (также известного, как одноразовый блокнот). В шифре Вернама ключ имеет длину, равную длине самого передаваемого сообщения. Ключ используется в качестве гаммы, и если каждый бит ключа выбирается случайно, то вскрыть шифр невозможно (т.к. все возможные открытые тексты будут равновероятны). К настоящему времени создано большое количество алгоритмов потокового шифрования, таких как: A3, A5, A8, MUGI, PIKE, RC4, SEAL.

Простейшая реализация поточного шифра изображена на рисунке. Генератор гаммы выдаёт ключевой поток (гамму): . Обозначим поток битов открытого текста . Тогда поток битов шифротекста получается с помощью применения операции XOR: , где .

Расшифрование производится операцией XOR между той же самой гаммой и зашифрованным текстом: .

Очевидно, что если последовательность битов гаммы не имеет периода и выбирается случайно, то взломать шифр невозможно. Но у данного режима шифрования есть и отрицательные особенности. Так ключи, сравнимые по длине с передаваемыми сообщениями, трудно использовать на практике. Поэтому обычно применяют ключ меньшей длины (например, 128 бит). С помощью него генерируется псевдослучайная гаммирующая последовательность ( она должна удовлетворять постулатам Голомба). Естественно, псевдослучайность гаммы может быть использована при атаке на поточный шифр.