Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 6)

В документе Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным приказом ФСТЭК России от 18.02.2013 г. №21 , а также в методическом документе «Меры защиты информации в государственных информационных системах, утвержденном ФСТЭК России 11.02.2014 г. , который можно использовать и для защиты ИСПДн, определен базовый набор мер для каждого из возможных уровней защищенности ПДн.

Из указанных документов выбирался базовый набор мер для 4 уровня защищенности ПДн.

Базовые наборы мер подвергались адаптации с учетом структурно-функциональных характеристик информационной системы персональных данных. Например, в ИСПДн отдела не используются технологии виртуальной инфраструктуры и мобильные устройства, соответственно реализация мер, направленных на защиту данных технологий нецелесообразна. Перечень мер, которые были исключены из базового набора мер, представлен в таблице 2.1.

Таблица 2.1 – Перечень мер, исключенных из базового набора

Следующим шагом производилось уточнение адаптированного базового набора мер. При уточнении добавлялись меры, не включенные в базовый набор, но необходимые для нейтрализации всех актуальных угроз безопасности информации. Например, были добавлены меры УПД.17 «Обеспечение доверенной загрузки», так как угрозы загрузки нештатной ОС с внешнего носителя была определена как актуальная. Остальные добавленные меры представлены в таблице 2.2.

Таблица 2.2 – Перечень добавленных мер при уточнении адаптированного базового набора мер

Последним шагом к созданию конечного набора мер было дополнение уточненного адаптированного базового набора мер. Дополнение производилось в соответствии с требованиями руководящих документов ФСБ, в которых сказано, что в ИСПДн должна обеспечиваться криптографическая защита персональных данных при передаче по каналам связи в сторонние организации при передаче информации через сети связи международного информационного обмена и между элементами ИСПДн, при передачи по каналам связи с использованием технологии беспроводного доступа.

Конечный набор мер представлен в таблице Г.1 приложения Г.

1. Требования к защите персональных данных

Для обеспечения безопасности ПДн постановлением Правительства Российской Федерации №1119 от 01.11.2012 были утверждены «Требования к защите персональных данных при их обработке в информационных системах персональных данных» . В соответствии с этими требованиями для обеспечения четвертого уровня защищенности необходимо:

• организовать режим обеспечения безопасности помещений, в которых размещена информационная система, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

• обеспечить сохранность носителей персональных данных;

• руководителю оператора утвердить документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

• использовать средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Самое важное из этого – использовать сертифицированные средства защиты информации. При сертификации какого-либо средства испытательная лаборатория или орган по сертификации подтверждает, что в испытуемом средстве защиты информации отсутствуют недекларированные возможности, с помощью которых возможна реализация угроз безопасности, а также классифицирует средство, тем самым подтверждая, что средство выполняет требования и реализует меры, необходимые для требуемого уровня защищенности персональных данных или класса защищенности информационной системы.

Для информационной системы персональных данных, где требуется обеспечить определенный уровень защищенности персональных данных, необходимо подбирать средства защиты, имеющие определенный класс защиты в соответствии с различными требованиями документов ФСТЭК России. Так, в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным приказом ФСТЭК России от 18.02.2013 г. №21 для обеспечения для обеспечения 4 уровня защищенности ПДн необходимо применять:

• средства вычислительной техники не ниже 6 класса;

• системы обнаружения вторжений и средства антивирусной защиты не ниже 5 класса;

• межсетевые экраны 5 класса.

С учетом определенного набора мер защиты информации, необходимо использование средств контроля съемных машинных носителей и средств доверенной загрузки. Эти средства могут входить в состав средства защиты от несанкционированного доступа. К таким средствам аналогично предъявляются требования на соответствие класса защиты средства требуемому уровню защищенности персональных данных.

В соответствии с Требованиями к средствам доверенной загрузки, утверждёнными приказом ФСТЭК России от 27.09.2013 №119 и Требованиями к средствам контроля съемных машинных носителей информации, утвержденными приказом ФСТЭК России от 28.07.2014 №87 , при необходимости обеспечения 4 уровня защищенности ПДн применяются средства доверенной загрузки и средства контроля съемных машинных носителей соответствующие 5 классу защиты.

В соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности, утвержденным приказом ФСБ России от 10.07.2014 г. №378 при использовании средств криптографической защиты (СКЗИ), сертифицированных по требованиям безопасности для обеспечения 4 уровня защищенности персональных данных применяются СКЗИ класса КС2.

1. Технические средства защиты информации

В соответствии с указанными в разделе 2.2 требованиями были предложены сертифицированные средства защиты информации, указанные в таблице 2.3.

Таблица 2.3 – Перечень предлагаемых к использованию сертифицированных средств защиты информации

1. Dallas Lock 8.0-K

Dallas Lock 8.0-K является сертифицированным средством защиты информации от несанкционированного доступа. Средство соответствует требованиям руководящих документов по 5 классу защищенности средств вычислительной техники, по 4 уровню контроля отсутствия недекларированных возможностей, по 4 классу защиты средств контроля съемных машинных носителей.

В ИСПДн отдела данное средство защиты информации используется для:

• идентификации и аутентификации пользователей;

• разграничения доступа пользователей к информации и защищаемым ресурсам ИСПДн;

• контроля подключения и отчуждения учтенных съемных носителей информации, а также контроля подключения других устройств (мобильные телефоны, модемы, неучтенные съемные носители);

• централизованного управления системой защиты, оперативного мониторинга и аудита безопасности (с помощью серверов безопасности Dallas Lock 8.0-K).

1. ПАК «Соболь» 3.0

Программно-аппаратный комплекс «Соболь» 3.0 является сертифицированным средством доверенной загрузки операционной системы. Средство соответствует требованиям руководящих документов по уровню платы расширения 2 класса средств доверенной загрузки.

В ИСПДн отдела данное средство защиты информации используется для:

• идентификации и аутентификации пользователей до загрузки ОС с помощью аппаратных идентификаторов iButton DS1992;

• запрета загрузки ОС с внешних носителей, что гарантирует загрузку штатной доверенной операционной системы;

• контроля целостности аппаратной конфигурации компьютера, файлов ОС, реестра Windows и прикладных программ. В случае нарушения целостности загрузка ОС невозможна;

• ведения журнала безопасности, в который записываются все события безопасности, происходящие при загрузке и работе компьютера. Записи журнала хранятся в специальной энергонезависимой памяти;

• блокировки доступа к компьютеру при обнаружении попытки отключения электронного замка «Соболь» с помощью модуля сторожевого таймера.

1. XSpider 7.8.24

XSpider является сертифицированным средством анализа защищенности. Средство соответствует требованиям руководящих документов по 4 уровню контроля отсутствия недекларированных возможностей.

Характеристики

Список файлов ВКР