Концепция информационной безопасности ИС. ИдельУрал
 Скачать 0.68 Mb.
|
|
Открытость алгоритмов и механизмов защиты Суть принципа открытости алгоритмов и механизмов защиты состоит в том, что защита не должна обеспечиваться только за счет секретности структурной организации и алгоритмов функционирования ее подсистем. Знание алгоритмов работы системы защиты не должно давать возможности ее преодоления (даже авторам). Однако, это не означает, что информация о конкретной системе защиты должна быть общедоступна. Простота применения средств защиты Механизмы защиты должны быть интуитивно понятны и просты в использовании. Применение средств защиты не должно быть связано со знанием специальных языков или с выполнением действий, требующих значительных дополнительных трудозатрат при обычной работе зарегистрированных установленным порядком пользователей, а также не должно требовать от пользователя выполнения рутинных малопонятных ему операций (ввод нескольких паролей и имен и т.д.). Должна достигаться автоматизация максимального числа действий пользователей и администраторов ИСПДн. Научная обоснованность и техническая реализуемость Информационные технологии, технические и программные средства, средства и меры защиты информации должны быть реализованы на современном уровне развития науки и техники, научно обоснованы с точки зрения достижения заданного уровня безопасности информации и должны соответствовать установленным нормам и требованиям по безопасности ПДн. СЗПДн должна быть ориентирована на решения, возможные риски для которых и меры противодействия этим рискам прошли всестороннюю теоретическую и практическую проверку. Специализация и профессионализм Предполагает привлечение к разработке средств и реализации мер защиты информации специализированных организаций, наиболее подготовленных к конкретному виду деятельности по обеспечению безопасности ПДн, имеющих опыт практической работы и государственную лицензию на право оказания услуг в этой области. Реализация административных мер и эксплуатация средств защиты должна осуществляться профессионально подготовленными специалистами ООО «Идель-Урал». Обязательность контроля Предполагает обязательность и своевременность выявления и пресечения попыток нарушения установленных правил обеспечения безопасности ПДн на основе используемых систем и средств защиты информации при совершенствовании критериев и методов оценки эффективности этих систем и средств. Контроль за деятельностью любого пользователя, каждого средства защиты и в отношении любого объекта защиты должен осуществляться на основе применения средств оперативного контроля и регистрации и должен охватывать как несанкционированные, так и санкционированные действия пользователей. МЕРЫ, МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ ТРЕБУЕМОГО УРОВНЯ ЗАЩИЩЕННОСТИ Обеспечение требуемого уровня защищенности должности достигаться с использованием мер, методов и средств безопасности. Все меры обеспечения безопасности ИСПДн подразделяются на: - законодательные (правовые); - морально-этические; - организационные (административные); - физические; - технические (аппаратные и программные). Перечень выбранных мер обеспечения безопасности отражается в Плане мероприятий по обеспечению защиты персональных данных. Законодательные (правовые) меры защиты К правовым мерам защиты относятся действующие в стране законы, указы и нормативные акты, регламентирующие правила обращения с ПДн, закрепляющие права и обязанности участников информационных отношений в процессе ее обработки и использования, а также устанавливающие ответственность за нарушения этих правил, препятствуя тем самым неправомерному использованию ПДн и являющиеся сдерживающим фактором для потенциальных нарушителей. Правовые меры защиты носят в основном упреждающий, профилактический характер и требуют постоянной разъяснительной работы с пользователями и обслуживающим персоналом системы. Морально-этические меры защиты К морально-этическим мерам относятся нормы поведения, которые традиционно сложились или складываются по мере распространения ЭВМ в стране или обществе. Эти нормы большей частью не являются обязательными, как законодательно утвержденные нормативные акты, однако, их несоблюдение ведет обычно к падению авторитета, престижа человека, группы лиц или организации. Морально-этические нормы бывают как неписаные (например, общепризнанные нормы честности, патриотизма и т.п.), так и писаные, то есть оформленные в некоторый свод (устав) правил или предписаний. Морально-этические меры защиты являются профилактическими и требуют постоянной работы по созданию здорового морального климата в коллективах подразделений. Морально-этические меры защиты снижают вероятность возникновения негативных действий связанных с человеческим фактором. Организационные (административные) меры защиты Организационные (административные) меры защиты - это меры организационного характера, регламентирующие процессы функционирования ИСПДн, использование ресурсов ИСПДн, деятельность обслуживающего персонала, а также порядок взаимодействия пользователей с ИСПДн таким образом, чтобы в наибольшей степени затруднить или исключить возможность реализации угроз безопасности или снизить размер потерь в случае их реализации. Главная цель административных мер, предпринимаемых на высшем управленческом уровне – сформировать Политику информационной безопасности ПДн (отражающую подходы к защите информации) и обеспечить ее выполнение, выделяя необходимые ресурсы и контролируя состояние дел. Реализация Политики информационной безопасности ПДн в ИСПДн состоят из мер административного уровня и организационных (процедурных) мер защиты информации. К административному уровню относятся решения руководства, затрагивающие деятельность ИСПДн в целом. Эти решения закрепляются в Политике информационной безопасности. Примером таких решений могут быть: - принятие решения о формировании или пересмотре комплексной программы обеспечения безопасности ПДн, определение ответственных за ее реализацию; - формулирование целей, постановка задач, определение направлений деятельности в области безопасности ПДн; - принятие решений по вопросам реализации программы безопасности, которые рассматриваются на уровне ООО «Идель-Урал» в целом; - обеспечение нормативной (правовой) базы вопросов безопасности и т.п. Политика верхнего уровня должна четко очертить сферу влияния и ограничения при определении целей безопасности ПДн, определить какими ресурсами (материальные, персонал) они будут достигнуты и найти разумный компромисс между приемлемым уровнем безопасности и функциональностью ИСПДн. На организационном уровне определяются процедуры и правила достижения целей и решения задач Политики информационной безопасности ПДн. Эти правила определяют: - какова область применения политики безопасности ПДн; - каковы роли и обязанности должностных лиц, отвечающие за проведение политики безопасности ПДн, а так же их установить ответственность; - кто имеет права доступа к ПДн; - какими мерами и средствами обеспечивается защита ПДн; - какими мерами и средствами обеспечивается контроль за соблюдением введенного режима безопасности. Организационные меры должны: - предусматривать регламент информационных отношений, исключающих возможность несанкционированных действий в отношении объектов защиты; - определять коалиционные и иерархические принципы и методы разграничения доступа к ПДн; - определять порядок работы с программно-математическими и техническими (аппаратные) средствами защиты и криптозащиты и других защитных механизмов; - организовать меры противодействия НСД пользователями на этапах аутентификации, авторизации, идентификации, обеспечивающих гарантии реализации прав и ответственности субъектов информационных отношений. В организационные меры должны состоять из: - регламента доступа в помещения ИСПДн; - порядок допуска сотрудников к использованию ресурсов ИСПДн Комитета; - регламента процессов ведения баз данных и осуществления модификации информационных ресурсов; - регламента процессов обслуживания и осуществления модификации аппаратных и программных ресурсов ИСПДн; - инструкций пользователей ИСПДн (администратора безопасности, оператора ИСПДн); Физические меры защиты Физические меры защиты основаны на применении разного рода механических, электро- или электронно-механических устройств и сооружений, специально предназначенных для создания физических препятствий на возможных путях проникновения и доступа потенциальных нарушителей к компонентам системы и защищаемой информации, а также технических средств визуального наблюдения, связи и охранной сигнализации. Физическая защита зданий, помещений, объектов и средств информатизации должна осуществляться путем установления соответствующих постов охраны, с помощью технических средств охраны или любыми другими способами, предотвращающими или существенно затрудняющими проникновение в здание, помещения посторонних лиц, хищение информационных носителей, самих средств информатизации, исключающими нахождение внутри контролируемой (охраняемой) зоны технических средств разведки. Аппаратно-программные средства защиты ПДн Технические (аппаратно-программные) меры защиты основаны на использовании различных электронных устройств и специальных программ, входящих в состав ИСПДн и выполняющих (самостоятельно или в комплексе с другими средствами) функции защиты (идентификацию и аутентификацию пользователей, разграничение доступа к ресурсам, регистрацию событий, криптографическое закрытие информации и т.д.). С учетом всех требований и принципов обеспечения безопасности ПДн в ИСПДн по всем направлениям защиты в состав системы защиты должны быть включены следующие средства: - средства идентификации (опознавания) и аутентификации (подтверждения подлинности) пользователей ИСПДн; - средства разграничения доступа зарегистрированных пользователей системы к ресурсам ИСПДн Учреждения; - средства обеспечения и контроля целостности программных и информационных ресурсов; - средства оперативного контроля и регистрации событий безопасности; - криптографические средства защиты ПДн. Успешное применение технических средств защиты на основании принципов (раздел 5) предполагает, что выполнение перечисленных ниже требований обеспечено организационными (административными) мерами и используемыми физическими средствами защиты: - обеспечена физическая целостность всех компонент ИСПДн; - каждый сотрудник (пользователь ИСПДн) или группа пользователей имеет уникальное системное имя и минимально необходимые для выполнения им своих функциональных обязанностей полномочия по доступу к ресурсам системы; - в ИСПДн ООО «Идель-Урал» разработка и отладка программ осуществляется за пределами ИСПДн, на испытательных стендах; - сетевое оборудование (концентраторы, коммутаторы, маршрутизаторы и т.п.) располагается в местах, недоступных для посторонних (специальных помещениях, шкафах, и т.п.). - ________________________ работником ООО «Идель-Урал» осуществляется непрерывное управление и административная поддержка функционирования средств защиты. КОНТРОЛЬ ЭФФЕКТИВНОСТИ СИСТЕМЫ ЗАЩИТЫ ИСПДн ГАУ «РАМПиП» Контроль эффективности СЗПДн должен осуществляется на периодической основе. Целью контроля эффективности является своевременное выявление ненадлежащих режимов работы СЗПДн (отключение средств защиты, нарушение режимов защиты, несанкционированное изменение режима защиты и т.п.), а так прогнозирование и превентивное реагирование на новые угрозы безопасности ПДн. Контроль может проводиться как администратором безопасности ИСПДн (оперативный контроль в процессе информационного взаимодействия в ИСПДн), так и привлекаемыми для этой цели компетентными организациями, имеющими лицензию на этот вид деятельности, а также ФСТЭК России и ФСБ России в пределах их компетенции. Контроль может осуществляться администратором безопасности как с помощью штатных средств системы защиты ПДн, так и с помощью специальных программных средств контроля. Оценка эффективности мер защиты ПДн проводится с использованием технических и программных средств контроля на предмет соответствия установленным требованиям. СФЕРЫ ОТВЕТСТВЕННОСТИ ЗА БЕЗОПАСНОСТЬ ПДн Ответственным за разработку мер и контроль над обеспечением безопасности персональных данных является директор Общества с ограниченной ответственностью «Идель-Урал». Директор Общества с ограниченной ответственностью «Идель-Урал» может делегировать часть полномочий по обеспечению безопасности персональных данных. Сфера ответственности директора государственного автономного учреждения Оренбургской области «Региональное агентство молодежных программ и проектов» включает следующие направления обеспечения безопасности ПДн: - Планирование и реализация мер по обеспечению безопасности ПДн; - Анализ угроз безопасности ПДн; - Разработку, внедрение, контроль исполнения и поддержание в актуальном состоянии политик, руководств, концепций, процедур, регламентов, инструкций и других организационных документов по обеспечению безопасности; - Контроль защищенности ИТ инфраструктуры Общества с ограниченной ответственностью «Идель-Урал» от угроз ИБ; - Обучение и информирование пользователей ИСПДн, о порядке работы с ПДн и средствами защиты; - Предотвращение, выявление, реагирование и расследование нарушений безопасности ПДн. При взаимодействии со сторонними организациями в случаях, когда сотрудникам этих организаций предоставляется доступ к объектам защиты (раздел 3), с этими организациями должно быть заключено «Соглашение о конфиденциальности», либо «Соглашение о соблюдении режима безопасности ПДн при выполнении работ в ИСПДн». МОДЕЛЬ НАРУШИТЕЛЯ БЕЗОПАСНОСТИ Под нарушителем в Обществе с ограниченной ответственностью «Идель-Урал» понимается лицо, которое в результате умышленных или неумышленных действий может нанести ущерб объектам защиты (раздел 3). Нарушители подразделяются по признаку принадлежности к ИСПДн. Все нарушители делятся на две группы: внешние нарушители – физические лица, не имеющие права пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн; внутренние нарушители – физические лица, имеющие право пребывания на территории контролируемой зоны, в пределах которой размещается оборудование ИСПДн. Классификация нарушителей представлена в моделях угроз для ИСПДн. МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ Для ИСПДн Общества с ограниченной ответственностью «Идель- Урал» выделяются следующие основные категории угроз безопасности персональных данных: 1) Угрозы от утечки по техническим каналам. 2) Угрозы несанкционированного доступа к информации: - Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн. - Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий). - Угрозы непреднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и СЗПДн в ее составе из-за сбоев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера. - Угрозы преднамеренных действий внутренних нарушителей. - Угрозы несанкционированного доступа по каналам связи. Описание угроз, вероятность их реализации, опасность и актуальность представлены в моделях угроз для ИСПДн. Механизм реализации Концепции Реализация Концепции должна осуществляться на основе перспективных программ и планов, которые составляются на основании и во исполнение: - федеральных законов Российской Федерации в области обеспечения информационной безопасности и защиты информации; - постановлений Правительства Российской Федерации; - руководящих, организационно-распорядительных и методических документов ФСТЭК России; - потребностей ИСПДн в средствах обеспечения безопасности информации. Ожидаемый эффект от реализации Концепции Реализация Концепции безопасности ПДн в ИСПДн позволит: - оценить состояние безопасности информации ИСПДн, выявить источники внутренних и внешних угроз информационной безопасности, определить приоритетные направления предотвращения, отражения и нейтрализации этих угроз; - разработать распорядительные и нормативно-методические документы применительно к ИСПДн; - провести классификацию ИСПДн; - провести организационно-режимные и технические мероприятия по обеспечению безопасности ПДн в ИСПДн; - обеспечить необходимый уровень безопасности объектов защиты. Осуществление этих мероприятий обеспечит создание единой, целостной и скоординированной системы информационной безопасности ИСПДн и создаст условия для ее дальнейшего совершенствования. Список использованных источников Основными нормативно-правовыми и методическими документами, на которых базируется Концепция являются: 1. Федеральный Закон от 27 июля 2006 года № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн. 2. Постановление Правительства Российской Федерации от 15сентября 2008 года № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации». 3. Постановление Правительства Российской Федерации от 21марат 2012 года № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами». 4. Постановление Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» Общества с ограниченной ответственностью «Идель-Урал» определены основные цели и задачи, а также общая концепция построения системы защиты персональных данных (ПДн). 5. Нормативно-методические документы Федеральной службы по техническому и экспертному контролю Российской Федерации (далее - ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн: рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15 февраля 2008 года. основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, утв. зам. директора ФСТЭК России 15 февраля 2008 года; базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15 февраля 2008 года; методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утв. зам. директора ФСТЭК России 15 февраля 2008 года. |