636331914074638560 (Разработка профиля защиты персональных данных в информационной системе лечебного учреждения), страница 10

Средство соответствует требованиямруководящих документов по второму уровню контроляотсутствия НДВ.2.13.13 В информационной системе Лечебного учрежденияданное средство используется для:защиты от вредоносного программного обеспечения;регистрации событий безопасности, связанных с антивируснойзащитой.2.13.14 АПКШ «Континент»3.7К омплекс обеспечивает криптографическую защиту инфо 13 рмации,передаваемой по открытым каналам связи, между составными частями VPN,которыми могут являться локальные вычислительные сети, их сегменты иотдельные комп 13 ьютеры. Средство сертифицировано как СОВ и межсетевойэкран третьего класса.В информационно системе Лечебного учреждения данное средствозащиты информации используется для:организации защищенной VPN-сети для передачи информации междуэлементами сегментов через сети международного информационногообмена (между элементами, находящимися в общежитии и учебномкорпусе);защиты логической границы локальной сети с помощью межсетевогоэкранирования от внешних угроз безопасности информации;фильтрации входящего и исходящего трафика;шифрования трафика, передаваемого по открытым каналам связи.2.14.

Организационные меры защиты информацииВ организационно-распорядительной документации регламентируются:правила и пр оцедуры идентификации и аутентификации пользов 24 ателей;правила и процедуры управления идентифика 24 торами; 24правила и процедуры управления средствами аутентификации(аутентификационной информацией); 25правила и процедуры упр 24 авления учетными записями пользов 2 ателей;правила разграничения д 1 оступа;правила и пр оцедуры управления информационными по 11 токами;правила и пр оцедуры блокирования сеансов д 11 оступа;правила и процедуры определения действий пользователей,разрешенных до прохождения ими процедур идентификации иаутентификации; 25правила и процедуры применения удаленного доступа;правила и процедуры обеспечения доверенной загрузки средстввычислительной техники; 25порядок очистки (стирания) временных файлов;правила и процедуры доступа к машинным носителям информации;правила и пр оцедуры контроля 5 ввода (вывода) информации намашинные носители информации; 25правила и пр оцедуры контроля подключения машинных но 5 сителейинфо 8 рмации; 11состав и содержание информации о событиях безопасности,подлежащих регис 11 трации; 8правила и пр оцедуры сбора, записи и хранения информации особытиях безопа 11 сности;правила и процедуры реагирования на сбои при регистрации событийбезопа 24 сности;правила и пр оцедуры защиты информации о событиях безоп 11 асностиправила и процедуры управления взаимодействием с внешнимиинформационными системами;правила и процедуры антив ирусной защиты информационной с 18 истемы;правила и пр оцедуры обнаружения (предотвращения) вто 18 ржений(компьютерных атак);правила и процедуры выявления, анализа и устранения уязвимостей;правила и процедуры контроля установки обновлений программногообеспечения;правила и пр оцедуры восстановления (в том числе планы по действиямперсонала порядок применения компенсирующи 24 х мер);правила и пр оцедуры резервного копирования инфо 1 рмации;правила и пр 14 оцедуры восстановления информации с резервныхмашинных носителей инфо 11 рмации; 14правила и пр оцедуры контроля и управления физическим до 11 ступом;правила и процедуры защиты периметра информационной системы;п еречень лиц, которым разрешены действия по внесению изменений вконфигурацию информационной системы и системы защитыперсональных 2 данных; 6правила и процедуры про ведения анализа потенциального воздействияпланируемых изменений в конфигурацию информационной 2 системыперсональных д 9 анных и системы защиты инфо 21 рмации;документирование информации об изменениях в конфигурацииинформационной 12 системы персональных д 9 анных и системы защиты 21инфо 21 рмации.Необходима реализация следующих организационных мер:а) контроль доступа в помещения, в которых размещены элементыинформационной системы Лечебного учреждения:1) утвердить правил доступа в помещения в рабочее и нерабочее время;2) утвердить перечень сотрудников, имеющих право вскрыватьпомещения в нештатных ситуациях, а также порядок вскрытияпомещений в таких ситуациях;б) обес печение защиты машинных носителей информа 23 ции:1) 14 осуще ствлять 11 учет машинных носителей информации, используемых винформационной системе для хранения и обработки информации;2) 25 осуществлять присвоение регистрационных (учетных) номеровмашинным носителям;3) осуществлять ведение журнала учета машинных носителейинформации;4) осуществлять контроль вноса и выноса в контролируемую зонузарегистрированных (учтенных) съемных носителей информации,в) утверждение главным врачом Лечебного учр еждения перечня лиц,доступ которых к персональным данным, обрабатываемым винформационной системе, необходим для выполнения ими служебных(трудовых) обязаннос 23 тей:1) 35 определи ть круг 23 лиц, доступ которых к персональным данным,обрабатываемым в информационной системе, необходим длявыполнения ими служебных (трудовых) обязанностей;2) 35 разраб отать и 12 утвердить документ, определяющий перечень лиц,доступ которых к персональным данным, обрабатываемым винформационной системе, необходим для выполнения ими служебных(трудовых) обязанностей;3) 35 поддерживать в актуальном со стоянии 23 документ, определяющийперечень лиц, доступ которых к персональным данным, 35обрабатываемым в информационной системе, необходим длявыполнения ими служебных (трудовых) обязанностей,г) 35 наз начение лица, ответственного за обеспечение безопасностиперсональных 15 данных, обрабатываемых в информационной 7 системеЛечебного учреждения.2.15.

Выполнение набора мер техническими средствами защитыинформацииВ таблице 2.4 приведен набор мер, которые реализуются выб раннымитехническими средствами 12 защиты инфо 10 рмации.Таблиц а 2.4 – Содержание мер по обеспечению безоп 12 асности инфор 12 мациии технических средств, их реализу ющихNo 11 мерыСодержание мер по обеспечениюбезопасности персональных данных 6Средства защитыинформации\организационн 9 ые мерыпо защите инф 1 ормацииИдентификация и аутентификация субъектов доступа и объектов доступа(ИАФ)ИАФ.1Идентификация и аутентификацияпользователей, являющихся работникамиоп 7 ератора 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 11ИАФ.ЗУправление идентификаторами, в том числесоздание, присвоение, уничтожениеидентификаторов 8Dallas Lock 8.0-K,ПАК «Соболь» 3.0Продолжение таблицы 2.4No 11 мерыСодержание мер по обеспечениюбезопасности персональных данных 6Средства защитыинформации\организационн 9 ые мерыпо защите инф 1 ормацииИАФ.4Управление средствами аутентификации, втом числе хранение, выдача, инициализация,блокирование средств аутентификации ипринятие мер в случае утраты и (или)компрометации средств аутенти 11 фикации 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 11ИАФ.5Защита обратной связи при вводеаутентификационной информации 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 7Управление доступом субъектов доступа к объектам доступа (УПД) 8УПД.1Управление (заведение, активация,блокирование и уничтожение) учетнымизаписями пользователей, в том числевнешних пользователей 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 11УПД.2Реализация необходимых методов(дискреционный, мандатный, ролевой илииной метод), типов (чтение, запись,выполнение или иной тип) и правилразграничения доступа 8Dallas Loc k 8.0-K 11УПД.ЗУправление (фильтрация, маршрутизация,контроль соединений, однонаправленнаяпередача и иные способы управления)информационными потоками междуустройствами, сегментами информационнойсистемы, а также между информационнымисистемами 8АПКШ «Контине нт»3.7 11УПД.4Разделение полномочий (ролей)пользователей, администраторов и лиц,обеспечивающих функционированиеинформационной системы 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 11УПД.5Назначение минимально необходимых прав ипривилегий пользователям, администраторами лицам, обеспечивающимфункционирование информационной системы 8Dallas Loc k 8.0-K 11УПД.6Ограничение неуспешных попыток входа винформационную систему (доступа кинформационной системе) 8Dallas Lock 8.0-K,ПАК «Соболь» 3.0Продолжение таблицы 2.4No 11 мерыСодержание мер по обеспечениюбезопасности персональных данных 6Средства защитыинформации\организационн 9 ые мерыпо защите инф 1 ормацииУПД.10Блокирование сеанса доступа винформационную систему послеустановленного времени бездействия(неактивности) пользователя или по его 11запросуСредствамиоперационной 5 системыУПД.11Раз 7 решение действий пользователей,разреше 7 нных до аутентификацииDallas Lock 8.0-K,ПАК «Собо ль» 3.0УПД.13 Реализация защищенного уда 11 ленного 8 доступаАПКШ «Кон тинент» 11субъектов доступа к объектам доступа черезвнешние информационнотелекоммуникационные сети3.7УПД.16Управление взаимодействием синформационными системами стороннихорганизаций (внешние информационныес 11 истемы) 8АПКШ «Контине нт»3.7 11УПД.17Обеспечение доверенной загрузки средстввычислительной техники 8ПАК «Собо ль» 3.0Ограничение программной среды ( 2 ОПС)ОПС.3Установка (инсталляция) толькоразрешенного к использованиюпрограммного обеспечения и (или) егокомпонентов 25Средства контроллерадомена 2ОПС.4 Управление временными файлами, в томчисле запрет, разрешение, перенаправлениезаписи, удаление временных файлов 8Средствамиоперационной 5 системы 2Защита машинных носителей персональных данных (ЗНИ)ЗНИ.1 Учет машинных носителей 6 Dallas Loc k 8.0-K 11ЗНИ.2Управление доступом к машиннымносителям информации 8Определениедолжностных лиц,имеющих физическийдоступ к машиннымносителям 25ЗНИ.6Контроль ввода (вывода) информации намашинные носители информации 8Dallas Loc k 8.0-KЗНИ.7Контроль подключения машинных носителейперсональных 5 данныхDallas Lock 8.0-KПродолжение таблицы 2.4No 11 мерыСодержание мер по обеспечениюбезопасности персональных данных 6Средства защитыинформации\организационн 9 ые мерыпо защите инф 9 ормации 2ЗНИ.8Уничтожение (стирание) или обезличиваниеперсональных данных на машинныхносителях при их передаче междупользователями, в сторонние организации дляремонта или утилизации, а также контрольуничтожения (стирания) или обезличивания 6Dallas Loc k 8.0-K 11Регистрация событий безопасности (РСБ)РСБ.1Определение событий безопасности,подлежащих регистрации, и сроков их 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 11храненияРСБ.2Определение состава и содержанияинформации о событиях безопасности,подлежащих регистрации 8Dallas Loc k 8.0-KРСБ.ЗСбор, запись и хранение информации особытиях безопасности в течениеустановленного времени х 11 ранения 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 11РСБ.4Реагирование на сбои при регистрациисобытий безопасности, в том числеаппаратные и программные ошибки, сбои вмеханизмах сбора информации и достижениепредела или переполнения объема (емкости)памяти 8Dallas Lock 8.0-K,ПАК «Собо ль» 3.0 11РСБ.5Мониторинг (просмотр, анализ) результатоврегистрации событий безопасности иреагирование на них 8Dallas Lock 8.0-K,ПАК «Соболь» 3.0РСБ.