1. Заключение аудита (1209962), страница 3

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 3)

Параметры информационной системы отдела представлены в таблице 2

Таблица 5.2 Параметры ИС

В информационной системе телекоммуникационной компании обрабатываются специальные категории персональных данных согласно Федеральному закону от 27.07.2006 №152-ФЗ (ред. От 22.02.2017) «О персональных данных».

Субъекты персональных данных, которые обрабатываются в подразделении:

• Работники ООО «Рэдком-РУ»

• Физические лица, состоящие в договорных и иных гражданско-правовых отношениях с ООО «Рэдком-РУ»

• Юридические лица, состоящие в договорных и иных гражданско-правовых отношениях с ООО «Рэдком-РУ»

Подразделение телекоммуникационной компании ООО «Рэдком – РУ» обрабатывает следующий перечень персональных данных сотрудников:

• Фамилия

• Имя

• Отчество

• Пол

• Дата рождения

• Место рождения

• Место регистрации

• Место физического проживания

• Сведение об образовании

• Сведения о состоянии в браке

• Сведения о воинском учете

• Прохождение аттестации

• Дата прохождения аттестации

• Решение об аттестации

• Дата начала и конца обучения

• Квалификация

• Наименование учебного заведения

• Информация о повышении квалификации

• Данные об отпуске

• Гражданство

• Данные о детях

• Сведения о знании языков

• СНИЛС

• ИНН

• Реквизиты документа о присвоении квалификационной категории

• Табельный номер

• Должность

• Подразделение

• Категория

• Характер работы

• Вид работы

• Стаж работы

• Основание исчисления стажа

• Место работы

• Средний заработок

• Дата приема на работу

• Дата увольнения

• Оклад

• Ставка

• Льготы

• Пособия

• Выработанные часы

Подразделение телекоммуникационной компании ООО «Рэдком – РУ» обрабатывает следующий перечень персональных данных клиентов:

• Фамилия

• Имя

• Отчество

• Пол

• Дата рождения

• Место рождения

• Место регистрации

• Место физического проживания

• СНИЛС

• Гражданство

• Вид и номер документа, удостоверяющего личность (Паспорт, доверенность с копией паспорта)

• Адрес, по которому предоставляются услуги

• Контактный телефон

• Факс

• Электронный почтовый ящик

• ИНН

• Виды предоставляемых услуг

• Тарификация услуг

• Текущий баланс лицевого счета

• Банковский счет

• Данные подключения

• Льготы

• Акции

• Почтовый адрес

1. Классификация ИСПДн

При помощи перечня технических и организационных мер обеспечения безопасности, определяющиеся нормативно-методической документацией ФСТЭК России и ФСБ России можно обеспечить безопасность персональных данных.

В соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 01.11.2012 г. №1119, определяется четыре уровня защищенности персональных данных от первого до четвертого. Самым высоким уровнем защищенности является первый. Уровень защищенности зависит от следующих показателей:

• тип актуальных угроз;

• категория обрабатываемых персональных данных;

• тип субъектов ПДн, персональные данные которых обрабатываются в информационной системе;

• количество субъектов ПДн, не являющихся сотрудниками оператора.

В ходе изучения сегмента информационной сети было установлено, что в системе обрабатываются специальные персональные данные, а, следовательно, для системы актуальны угрозы, не связанные с наличием недокументированных (не декларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе, то есть актуальны угрозы 3 типа.

В отделе обрабатываются данные более 100000 субъектов персональных данных. Исходя из категорий и объема персональных данных, одновременно обрабатываемых в системе и типа угроз на основании пункта 10 подпункта «е» «Требований к защите персональных данных при их обработке в информационных системах персональных данных» необходимо обеспечить 2 уровень защищенности персональных данных.

1. Техническая информация

В таблице 3 представлены технические характеристики АРМ пользователей.

Таблица 5.3 Технические характеристики АРМ пользователей

1. Характеристика каналов связи для обработки и передачи информации

ИСПДн представляет собой локальную вычислительную сеть, объединяющую отдельные АРМ подразделений по проводной технологии передачи данных. Взаимодействие всех сетевых устройств друг с другом осуществляется по стандарту IEEE 802.3, объединенных через сетевой коммутатор Cisco SF220-24. Взаимодействие подразделения с ЦОДом осуществляется по стандарту IEEE 802.6. Имеется одна точка выхода в сеть общего пользования.

В качестве каналов связи в ЛВС подразделения используются кабели симметричной витой пары категории 5е. Подключение к сетям общего пользования предоставляется самой телекоммуникационной компанией ООО «Рэдком – РУ»

1. Расположение ИСПДн относительно КЗ

Элементы ИСПДн расположены в другом здании компании. Подключение АРМ к основной ЛВС компании осуществляется через Волоконно – оптический кабель

Элементы ИСПДн расположены на двух этажах, все АРМ подключены основной ЛВС телекоммуникационной компании через проводной кабель, а передача ПДн от подразделения до ЦОДа осуществляется через волоконно-оптический кабель ведущий в другое здание.

Идентификация, аутентификация и авторизация пользователей, на которых обрабатываются персональные данные происходит при помощи персонального логина и пароля. Пароль создается самим сотрудником, с обязательным условием, сложность пароля должна соответствовать требованиям безопасности обработки информации конфиденциального характера.

К сетевым ресурсам пользователи имеют разные права доступа, в соответствии с их должностью. Доступ к защищаемой информации, пользователь получает только после прохождения авторизации в АРМ и специализированном ПО. Согласно доменной политике, пользователи не могут устанавливать на свои АРМ различное ПО, ПО устанавливается по запросу в специализированный отдел, который сверяется с возможностью установки и в случае возможности устанавливает.

Сотрудники службы эксплуатации, которые обеспечивают информационную безопасность на сервере и в базах данных устанавливаю права доступа и разрешаемы действия на изменение информации в соответствии с должностью сотрудников. В таблице 4 представлен список прав в виде матрицы доступа

Таблица 5.4 Список прав в виде матрицы доступа.

• R - разрешение на открытие файлов только для чтения;

• W - разрешение на открытие файлов для записи;

• A - разрешение на создание файлов на диске/создание таблиц в БД;

• D - разрешение на удаление файлов/записи в БД;

• Х - разрешение на запуск программ;

• S - разрешение на настройку средств защиты

1. Существующие меры защиты информации

Доступ в помещение подразделения охраняется сотрудником вневедомственной охраны. Пост охраны оборудован тревожной кнопкой

Лица, не являющиеся сотрудниками компании, могут находится в помещении, но доступа к техническим средствам информационной системы персональных данных не имеют.

В подразделении ведется видеонаблюдение, которое работает по отдельной выделенной линии с отдельной автономной информационной системой, не входящей в рассматриваемую информационную систему в данной работе. Вся информация с камер видеонаблюдения поступает на пульт охраннику подразделения и охраннику главного офиса, где располагается центр обработки данных. Так же офис оборудован охранной, пожарной сигнализацией.

Охранная сигнализация включается в момент, когда офис закрыт и в нем нет сотрудников компании в выходной или праздничный день, либо в не рабочее время, когда офис закрывается до следующего рабочего дня сотрудников. В рабочее время охранная сигнализация выключается. Пожарная сигнализация работает круглосуточно.

Офис подразделения состоит из двух этажей.

На первом этаже находится пост охраны, начальник подразделения и сотрудники, работающие с физическими лицами.

На втором этаже находится сектор по работе с юридическими лицами. Так же на втором этаже находится коммутационный шкаф, который связывает все АРМ подразделения в одну ЛВС и позволяет обмениваться информацией с центром обработки данных.

На рабочих станция сотрудников установлено и настроено антивирусное средство защиты «Kaspersky Endpoint Security РАСШИРЕННЫЙ», имеющий сертификат ФСТЭК.

Расположение технических средств информационной системы персональных данных, согласно схемы помещения представлено на рисунке 5.3 и рисунке 5.4.

Рисунок 5.3 – Схема расположения ТС на первом этаже

Рисунок 5.4 – Схема расположения ТС на втором этаже

Характеристики

Список файлов ВКР