Приложение 1. Регламент обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных

Приложение 1

к распоряжению Администрации

Тверской области от 16 марта 2011 г. N 231-ра

Регламент
обеспечения безопасности персональных данных при их обработке
в информационных системах персональных данных

1. Настоящий регламент определяет порядок организации работ по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных (далее - ИСПДн) в Администрации Тверской области (аппарате Губернатора Тверской области) и областных исполнительных органах государственной власти Тверской области (далее также - операторы).

Настоящим Регламентом не регулируются вопросы обеспечения безопасности персональных данных, отнесенных в установленном федеральным законодательством порядке к сведениям, составляющим государственную тайну, а также вопросы применения криптографических методов и способов защиты информации.

2. Для обеспечения безопасности персональных данных оператору необходимо:

а) до начала обработки персональных данных пройти процедуру регистрации в Управлении Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций Тверской области (далее - Управление Роскомнадзора по Тверской области), за исключением случаев, предусмотренных федеральным законодательством. Порядок подачи и форма уведомления об обработке (о намерении осуществлять обработку) персональных данных, рекомендации по его заполнению представлены на сайте Управления Роскомнадзора по Тверской области в информационно-телекоммуникационной сети Интернет (www.69 rsoc.ru);

б) получить согласие субъектов персональных данных, за исключением случаев, предусмотренных федеральным законодательством;

в) присвоить соответствующий класс ИСПДн. Присвоение класса оформляется актом о классификации информационных систем персональных данных (приложение 1 к настоящему Регламенту), составленным в двух экземплярах. Второй экземпляр представляется в уполномоченный областной исполнительный орган государственной власти Тверской области в сфере защиты информации;

г) приказом руководителя назначить структурное подразделение или должностное лицо, ответственное за обеспечение безопасности персональных данных, и определить перечень должностных лиц, допущенных к обработке персональных данных;

д) проверить соответствие организационно-технических мер защиты требованиям федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, и федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации;

е) разработать недостающую организационно-распорядительную документацию, описать систему защиты персональных данных (далее - СЗПДн);

ж) установить и ввести в эксплуатацию средства защиты информации;

з) проверить соответствие ИСПДн требованиям безопасности информации (специальные исследования);

и) провести аттестацию ИСПДн по требованиям безопасности информации (комплексные испытания, оценка результатов испытаний и выдача рекомендаций по обеспечению безопасности персональных данных на аттестованных объектах, оформление документов по результатам аттестационных испытаний и выдача аттестата соответствия ИСПДн требованиям по безопасности информации).

3. Выполнение установленных требований по обеспечению безопасности персональных данных достигается осуществлением алгоритма организации работ по обеспечению безопасности персональных данных при их обработке в ИСПДн в соответствии с пунктами 4-10 настоящего Регламента.

4. Алгоритм организации работ по обеспечению безопасности персональных данных при их обработке в ИСПДн включает в себя:

а) аудит информационной безопасности;

б) разработку типового пакета обязательных документов;

в) приобретение соответствующих средств защиты;

г) внедрение средств защиты;

д) аттестацию ИСПДн по требованиям безопасности информации;

е) периодический контроль соответствия ИСПДн требованиям безопасности информации.

5. Аудит информационной безопасности является способом получения количественных и качественных оценок текущего состояния информационной безопасности оператора, соответствия ИСПДн требованиям безопасности информации.

Аудит информационной безопасности необходим для подготовки исходных данных в целях последующей разработки обоснованных предложений по совершенствованию системы защиты информации от несанкционированного доступа (далее - НсД) в конкретных подсистемах автоматизированной системы (далее - АС) оператора.

В результате проведения аудита информационной безопасности оператор получает:

сводную таблицу характеристик АС оператора как объектов защиты;

классификацию ИСПДн, осуществляющих обработку персональных данных;

перечень персональных данных, обрабатываемых в ИСПДн;

список недостающих организационно-распорядительных документов по защите конфиденциальной информации, в том числе персональных данных;

рекомендуемые меры по формированию режима обеспечения безопасности персональных данных при их обработке в ИСПДн.

6. Разработка типового пакета обязательных документов включает в себя подготовку документов согласно таблице 1.

Таблица 1

1	Приказ об организации работы по защите информации
1.1	Приложение 1	Перечень сведений конфиденциального характера
1.2	Приложение 2	Положение о порядке организации и проведения работ по защите конфиденциальной информации
2	Приказ об организации работы с персональными данными
2.1	Приложение 1	Положение о работе с персональными данными
2.2	Приложение 2	Перечень помещений, в которых осуществляется обработка персональных данных с указанием лиц, имеющих допуск в данные помещения
2.3	Приложение 3	Список лиц, имеющих доступ к персональным данным
2.4	Приложение 4	Состав комиссии по классификации ИСПДн
3	Политика информационной безопасности (согласно ГОСТ Р ИСО/МЭК 17799-2005)
4	Акт о классификации ИСПДн
5	Модель угроз безопасности персональных данных при их обработке в ИСПДн
6	Описание технологического процесса обработки информации в ИСПДн
7	Техническое задание на создание системы защиты персональных данных
8	Технический проект системы защиты персональных данных
9	Журнал регистрации запросов субъектов персональных данных на предоставление доступа к своим персональным данным
10	Журнал учета электронных носителей персональных данных
11	Форма обязательства о неразглашении информации, содержащей персональные данные
12	Форма согласия субъекта персональных данных на обработку своих персональных данных

7. Приобретение средств защиты информации от НсД, средств межсетевого экранирования, антивирусной защиты и другого программного обеспечения позволяет выполнить обязательные требования по защите информации в соответствии с таблицей 2 в зависимости от класса ИСПДн.

Таблица 2

N п/п	Системы и требования к ним	Классы
		К3	К2	К1
1	2	3	4	5
1	Для информационных систем при однопользовательском режиме обработки персональных данных
1.1	Идентификация и проверка подлинности пользователя при входе в систему информационной системы по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов	+	+	+
1.2	Регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. (Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы)	+	+	+
1.3	Регистрация результата попытки входа (успешная или неуспешная)	-	-	+
1.4	Регистрация выдачи печатных (графических) документов на бумажный носитель. [В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), краткое содержание документа (наименование, вид, код), спецификация устройства выдачи (логическое имя (номер) внешнего устройства)]	-	-	+
1.5	Учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета	+	+	+
1.6	Дублирующий учет защищаемых носителей информации	-	-	+
1.7	Обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. [Целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ]	+	+	+
1.8	Физическая охрана информационной системы (технических средств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации	+	+	+
1.9	Периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа	+	+	+
1.10	Наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности	+	+	+
1.11	Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационной системы и внешних носителей информации	-	-	+
2	Для информационных систем при многопользовательском режиме обработки персональных данных и равных правах доступа к ним пользователей
2.1	Идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов	+	+	+
2.2	Идентификация технических средств информационных систем и каналов связи, внешних устройств информационных систем по их логическим адресам (номерам)	-	-	+
2.3	Идентификация программ, томов, каталогов, файлов, записей, полей записей по именам	-	-	+
2.4	Регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. [Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная)]	+	+	-
2.5	Регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. [Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа]	-	-	+
2.6	Учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета	+	+	+
2.7	Обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. [Целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации]	+	+	+
2.8	Физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации	+	+	+
2.9	Периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа	+	+	+
2.10	Наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности	+	+	+
2.11	Регистрация выдачи печатных (графических) документов на бумажный носитель. [В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), спецификация устройства выдачи (логическое имя (номер) внешнего устройства), краткое содержание документа (наименование, вид, шифр, код), идентификатор пользователя, запросившего документ]	-	-	+
2.12	Регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки персональных данных. [В параметрах регистрации указываются дата и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор пользователя, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный)]	-	-	+
2.13	Регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам. [В параметрах регистрации указываются дата и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого файла]	-	-	+
2.14	Регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа (терминалам, техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей). [В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого объекта (логическое имя (номер)]	-	-	+
2.15	Дублирующий учет защищаемых носителей информации	-	-	+
2.16	Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационных систем и внешних носителей информации	-	-	+
3	Для информационных систем при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей
3.1	Идентификация и проверка подлинности пользователя при входе в систему по паролю условно-постоянного действия длинной не менее шести буквенно-цифровых символов	+	+	+
3.2	Идентификация терминалов, технических средств, узлов сети, каналов связи, внешних устройств по логическим именам	-	-	+
3.3	Идентификация программ, томов, каталогов, файлов, записей, полей записей по именам	-	-	+
3.4	Контроль доступа пользователей к защищаемым ресурсам в соответствии с матрицей доступа	-	-	+
3.5	Регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. [Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа]	+	+	+
3.6	Регистрация выдачи печатных (графических) документов на бумажный носитель. [В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), спецификация устройства выдачи (логическое имя (номер) внешнего устройства), краткое содержание документа (наименование, вид, шифр, код), идентификатор пользователя, запросившего документ]	-	-	+
3.7	Регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки персональных данных. [В параметрах регистрации указываются дата и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор пользователя, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный)]	-	-	+
3.8	Регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам. [В параметрах регистрации указываются дата и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого файла]	-	-	+
3.9	Регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа (терминалам, техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей). [В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого объекта (логическое имя (номер)]	-	-	+
3.10	Учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче (приеме)	+	+	+
3.11	Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационной системы и внешних накопителей	-	-	+
3.12	Обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. [Целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации]	+	+	+
3.13	Физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации	+	+	+
3.14	Периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа	+	+	+
3.15	Наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности	+	+	+
4	Безопасное межсетевое взаимодействие для информационных систем при их подключении к сетям международного информационного обмена
4.1	Фильтрация на сетевом уровне для каждого сетевого пакета независимо (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов)	+	+	+
4.2	Идентификация и аутентификация администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условно-постоянного действия	+	+	+
4.3	Регистрация входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана)	+	+	+
4.4	Контроль целостности своей программной и информационной части	+	+	+
4.5	Фильтрация пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств	+	+	+
4.6	Восстановление свойств межсетевого экрана после сбоев и отказов оборудования	+	+	+
4.7	Регламентное тестирование реализации правил фильтрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления	+	+	+
4.8	Фильтрация с учетом входного и выходного сетевого интерфейса как средства проверки подлинности сетевых адресов	-	+	+
4.9	Фильтрация с учетом любых значимых полей сетевых пакетов	-	+	+
4.10	Фильтрация на транспортном уровне запросов на установление виртуальных соединений с учетом транспортных адресов отправителя и получателя	-	-	+
4.11	Фильтрация на прикладном уровне запросов к прикладным сервисам с учетом прикладных адресов отправителя и получателя	-	-	+
4.12	Фильтрация с учетом даты и времени	-	-	+
4.13	Аутентификация входящих и исходящих запросов методами, устойчивыми к пассивному и (или) активному прослушиванию сети	-	-	+
4.14	Регистрация и учет запросов на установление виртуальных соединений	-	-	+
4.15	Локальная сигнализация попыток нарушения правил фильтрации	-	-	+
4.16	Регистрация и учет фильтруемых пакетов (в параметры регистрации включаются адрес, время и результат фильтрации)	-	+	+
4.17	Регистрация запуска программ и процессов (заданий, задач)	-	+	+
4.18	Предотвращение доступа неидентифицированного пользователя или пользователя, подлинность идентификации которого при аутентификации не подтвердилась	-	-	+
4.19	Возможность дистанционного управления своими компонентами, в том числе возможность конфигурирования фильтров, проверки взаимной согласованности всех фильтров, анализа регистрационной информации	-	-	+
4.20	Идентификация и аутентификация администратора межсетевого экрана при его удаленных запросах методами, устойчивыми к пассивному и активному перехвату информации	-	-	+

8. Внедрение средств защиты осуществляется при наличии у оператора лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, на осуществление деятельности по технической защите конфиденциальной информации.

К проведению данных мероприятий по решению оператора могут привлекаться организации, имеющие соответствующие лицензии.

9. ИСПДн Администрации Тверской области (аппарата Губернатора Тверской области), областных исполнительных органов государственной власти Тверской области проходят обязательную аттестацию по требованиям безопасности информации.

Аттестация проводится органами по аттестации, имеющими право проведения аттестации.

10. Периодический контроль соответствия ИСПДн требованиям безопасности информации проводится оператором не реже одного раза в год в случае наличия у него лицензии федерального органа исполнительной власти, уполномоченного в области противодействия техническим разведкам и технической защиты информации, на осуществление деятельности по технической защите конфиденциальной информации.

К проведению данных мероприятий по решению оператора могут привлекаться организации, имеющие соответствующие лицензии.

11. Обработка персональных данных без использования средств автоматизации осуществляется на бумажных носителях и в электронном виде.

Обработка персональных данных без использования средств автоматизации в электронном виде осуществляется на внешних электронных носителях информации.

Электронные носители информации, содержащие персональные данные, учитываются в журнале учета электронных носителей персональных данных (приложение 2 к настоящему Регламенту).

К каждому электронному носителю оформляется опись файлов, содержащихся на нем, с указанием цели обработки и категории персональных данных.

12. Должностные лица оператора, виновные в нарушении законодательства в области обеспечения безопасности персональных данных, привлекаются к ответственности в порядке, установленном федеральным законодательством.