6. Определение перечня требований по обеспечению защищенности персональных данных при их обработке в информационной системе

Для определения перечня требований по обеспечению защищенности ПД руководствуются Постановление Правительства РФ от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" [2]. В данном постановлении определяются типы актуальных угроз ПД, уровни защищенности ПД и требования по обеспечению защищенности.

Исходными данными для определения актуальных угроз является тип обрабатываемых в информационной системе ПД:

1. Информационная система является системой, обрабатывающей специальные категории персональных данных, если в ней обрабатываются персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов персональных данных.

2. Информационная система является системой, обрабатывающей биометрические персональные данные, если в ней обрабатываются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных, и не обрабатываются сведения, относящиеся к специальным категориям персональных данных.

3. Информационная система является информационной системой, обрабатывающей общедоступные персональные данные, если в ней обрабатываются персональные данные субъектов персональных данных, полученные только из общедоступных источников персональных данных, созданных в соответствии со статьей 8 Федерального закона "О персональных данных".

4. Информационная система является информационной системой, обрабатывающей иные категории персональных данных, если в ней не обрабатываются персональные данные, указанные в пп. 1-3.

5. Информационная система является информационной системой, обрабатывающей персональные данные сотрудников оператора, если в ней обрабатываются персональные данные только указанных сотрудников. В остальных случаях информационная система персональных данных является информационной системой, обрабатывающей персональные данные субъектов персональных данных, не являющихся сотрудниками оператора.

Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом, которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия.

Угрозы 1-го типа актуальны для информационной системы, если для нее, в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.

Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.

Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

Далее переходят к определению необходимого уровня защищенности информационной системы (См. Таблица 1.)

Таблица 1. Определение уровня защищенности ИС

Уровень защищенности	Тип актуальной угрозы	Тип обрабатываемых ПД	Количество субъектов ПД
1	1	Специальные ИСПДн	-
	2	Специальные ИСПДн	Более 100 000, не являющихся сотрудниками оператора
2	1	Общедоступные ИСПДн	-
	2	Специальные ИСПДн	Сотрудники оператора
			Менее 100 000, не являющихся сотрудниками оператора
		Биометрические ИСПДн	-
		Общедоступные ИСПДн	Более 100 000, не являющихся сотрудниками оператора
		Иные категории ИСПДн	Более 100 000, не являющихся сотрудниками оператора.
	3	Специальные ИСПДн	Более 100 000, не являющихся сотрудниками оператора
3	2	Обшедоступные ИСПДн	Менее 100 000, не являющихся сотрудниками оператора
		Иные категории ИСПДн	Сотрудники оператора
			Менее 100 000, не являющихся сотрудниками оператора
	3	Биометрические ИСПДн	-
		Иные категории ИСПДн	Более 100 000, не являющихся сотрудниками оператора
4	3	Общедоступные ИСПДн	-
		Иные категории ИСПДн	Сотрудники оператора
			Менее 100 000, не являющихся сотрудниками оператора

Например, рабочее место оператора для информационной системы «Деканат» оборудовано ОС Windows 7 сертифицирована по требованиям безопасности ФСТЭК [3], а СУБД не имеет такого сертификата, следовательно, для указанной ИС актуальны угрозы 2 типа. В рассматриваемой системе обрабатываются общедоступные данные студентов, не являющихся сотрудниками Мордовского госуниверситета. На основании выше изложенного присваиваем уровень защищенности ИСПДн «Деканат» уровень защищенности – 3. (См. Таблица 1). Для обеспечения указанного уровня защищенности определяем перечень необходимых мероприятий, технических и программных средств. (См.Таблица 2.).

Таблица 2. Мероприятия по обеспечению защищенности ИС ПДн

Мероприятия	Уровни защищенности
	4	3	2	1
Организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения.
Обеспечение сохранности носителей персональных данных.
Утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей.
Использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.
Руководителем оператора назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.
Доступ к содержанию электронного журнала сообщений возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.
Должна быть обеспечена автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным, содержащимся в информационной системе.
Должно быть организовано структурное подразделение, отвечающее за обеспечение безопасности персональных данных в информационной системе, либо эти обязанности д.б. возложены на одно из структурных подразделений по обеспечению такой безопасности.

Для ИСПДн «Деканат» необходимо:

1. Организация режима обеспечения безопасности помещений деканата, препятствующего возможности неконтролируемого проникновения или пребывания в указанном помещении.

2. Обеспечение сохранности носителей персональных данных.

3. Утверждение руководителем университета перечня лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей.

4. Использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

5. Руководителем университета д.б. назначено должностное лицо, ответственное за обеспечение безопасности персональных данных в информационной системе.

Далее на основании модели [1] угроз составляют перечень угроз для анализируемой ИСПДн и проводится их анализ на актуальность.