Пояснительная записка (1208526), страница 5

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 5)

Администратор безопасности должен владеть информацией по настройке и эксплуатации средств защиты информации, применяемых в СЗПДн, в соответствии с поставляемой с ними эксплуатационной документацией, а также предписаниями и выписками из заключений, определяющими порядок их эксплуатации в ИС.

Администратор безопасности осуществляет локальное и удаленное управление всеми СрЗИ из состава СЗПДн.

Администратор безопасности ведет журналы учета работы пользователей в ИС и печати пользователями документов, идентификаторов и паролей доступа пользователей к ТС, идентификаторов и паролей доступа администратора к ТС, регламентных работ с СЗПДн, учета неисправностей СЗПДн.

В случае лишения пользователя прав доступа к конкретной информации (например, в связи со сменой работы или деятельности) его пароли и аутентифицирующая информация должны обязательно ликвидироваться администратором безопасности.

Оператором должен быть определен порядок смены атрибутов безопасности пользователей ИС (в случае компрометации ключевой информации пользователей, в случае истечения срока действия паролей пользователей и т.п.).

Перед установкой программного обеспечения ИС администратор безопасности должен провести его антивирусную проверку (проверку дистрибутивов устанавливаемого программного обеспечения).

Факты и попытки НСД к ПДн, а также случаи утечки обрабатываемых с использованием средств автоматизации ПДн должны обязательно регистрироваться администратором безопасности в предназначенном для данных записей журнале, после чего им проводятся служебные расследования по выявленным фактам и попыткам НСД и случаям утечки защищаемой информации.

Администратор безопасности должен проводить:

• периодическое тестирование функций СЗПДн при изменении программной среды и пользователей информационной системы с помощью тест-программ, которые имитируют попытки НСД;

• регламентное тестирование реализации политики безопасности, в том числе: процесса идентификации и аутентификации пользователей и администраторов, в том числе процесса идентификации и аутентификации администратора СрЗИ, процесса регистрации действий администратора СрЗИ, процесса выполнения контроля целостности.

2.4 Меры защиты информации в целях нейтрализации актуальных угроз

В таблице приведены меры защиты информации в целях нейтрализации актуальных угроз в ИСПДн «БиК». В ИСПДн «БиК» предполагаются к использованию САЗ RedCheck 7.7 и СрЗИ НСД Secret NET

Таблица 2.4.1 – Меры защиты информации в целях нейтрализации актуальных угроз в ИСПДн «БиК»

Окончание таблицы 2.4.1

В соответствии с требованиями нормативно-правовых актов в области защиты информации, система защиты персональных данных, обрабатываемых в организации должна включать в себя перечень разработанных организационно-распорядительных, эксплуатационных и технических документов, регламентирующих вопросы организации обеспечения безопасности ПДн и эксплуатации системы защиты персональных данных.

Перечень необходимых документов должен включать в себя:

• план мероприятий по обеспечению защиты персональных данных в информационных системах персональных данных;

• правила обработки персональных данных;

• инструкцию по организации антивирусной защиты в информационных системах;

• порядок доступа служащих в помещения, в которых ведется обработка персональных данных;

• инструкцию по организации парольной защиты ИСПДн;

• инструкцию пользователя ИСПДн;

• положение о защите персональных данных;

• приказ об утверждении мест хранения персональных данных (материальных носителей);

• приказ о назначении администраторов ИСПДн;

• список помещений, предназначенных для обработки персональных данных;

• политику информационной безопасности персональных данных, циркулирующих в сегменте государственной информационной системы Управления;

• инструкцию лица, ответственного за обеспечение защиты информации и функционирование технических средств защиты информации;

• инструкцию лица, ответственного за организацию обработки персональных данных в ИСПДн;

• инструкцию администратора информационной безопасности ИСПДн «Бухгалтерия и Кадры» «52 ЦПИ»

• инструкцию по резервированию и восстановлению работоспособности технических средств, программного обеспечения баз данных и средств защиты информации;

• инструкцию по порядку учета и хранения машинных и съемных носителей информации;

• перечень лиц, допущенных к работе в ИСПДн «Бухгалтерия и Кадры» «52 ЦПИ»;

• перечень регистрируемых событий безопасности в ИСПДн

• перечень персональных данных;

• приказ о создании комиссии по определению уровня защищенности ИСПДн «Бухгалтерия и Кадры» «52 ЦПИ»;

• акт определения уровня защищенности ИСПДн «Бухгалтерия и Кадры» «52 ЦПИ»;

• матрицу разграничения доступа ИСПДн;

• технический паспорт ИСПДн;

• типовую форму Журнала учета и выдачи персональных идентификаторов (ПИ);

• журнал учета съемных носителей информации (СНИ), содержащих персональные данные;

• журнал учета проведения инструктажа пользователя, допущенного к работе с СКЗИ;

• журнал поэкземплярного учета СрЗИ, эксплуатационной и технической документации к ним, ключевых документов;

• журнал учета машинных носителей информации;

• акт на списание и уничтожение машинных (бумажных) носителей информации;

• журнал учета нештатных ситуаций ИСПДн, выполнения профилактических работ, установки и модификации программных средств на компьютерах.

2.5. Меры по обеспечению безопасности ПДн

Требования для обеспечения 4-го уровня защищенности ПДн:

• организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

• обеспечение сохранности носителей персональных данных;

• утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

• использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

В соответствии приказом ФСТЭК от 18.02.2013 г. «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», базовый набор мер, применяемых для обеспечения 4 уровня защищенности ПДн представлен в таблице 2.5.1.

Таблица 2.5.1 – Содержание мер по обеспечению безопасности ПДн

Продолжение таблицы 2.5.1

Продолжение таблицы 2.5.1

Продолжение таблицы 2.5.1

Характеристики

Список файлов ВКР