Приложение 8. Отчет о результатах проведения внутренней проверки обеспечения защиты персональных данных в информационных системах персональных данных учреждения здравоохранения, социальной сферы, труда и занятости

Министерство здравоохранения и социального развития Российской Федерации

УТВЕРЖДАЮ
_______________________
_______________________
"__" ____________ 2009 г.

Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости

Приложение 8

Отчет
о результатах проведения внутренней проверки обеспечения защиты персональных данных в информационных системах персональных данных учреждения здравоохранения, социальной сферы, труда и занятости

СОГЛАСОВАНО
_______________________	________________ подпись, дата	_______________
_______________________	________________ подпись, дата	_______________
_______________________	________________ подпись, дата	_______________
Москва 2009

Определения

В настоящем документе используются следующие термины и их определения.

Автоматизированная система - система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.

Аутентификация отправителя данных - подтверждение того, что отправитель полученных данных соответствует заявленному.

Безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.

Биометрические персональные данные - сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность, включая фотографии, отпечатки пальцев, образ сетчатки глаза, особенности строения тела и другую подобную информацию.

Блокирование персональных данных - временное прекращение сбора, систематизации, накопления, использования, распространения, персональных данных, в том числе их передачи.

Вирус (компьютерный, программный) - исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению.

Вредоносная программа - программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных.

Вспомогательные технические средства и системы - технические средства и системы, не предназначенные для передачи, обработки и хранения персональных данных, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки персональных данных или в помещениях, в которых установлены информационные системы персональных данных.

Доступ в операционную среду компьютера (информационной системы персональных данных) - получение возможности запуска на выполнение штатных команд, функций, процедур операционной системы (уничтожения, копирования, перемещения и т.п.), исполняемых файлов прикладных программ.

Доступ к информации - возможность получения информации и ее использования.

Закладочное устройство - элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации).

Защищаемая информация - информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

Идентификация - присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.

Информативный сигнал - электрические сигналы, акустические, электромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация (персональные данные) обрабатываемая в информационной системе персональных данных.

Информационная система персональных данных (ИСПДн) - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.

Информационные технологии - процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.

Использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.

Источник угрозы безопасности информации - субъект доступа, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации.

Контролируемая зона - пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств.

Конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания.

Межсетевой экран - локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и (или) выходящей из информационной системы.

Нарушитель безопасности персональных данных - физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных.

Неавтоматизированная обработка персональных данных - обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.

Недекларированные возможности - функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.

Несанкционированный доступ (несанкционированные действия) - доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных.

Носитель информации - физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.

Обезличивание персональных данных - действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту персональных данных.

Обработка персональных данных - действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Общедоступные персональные данные - персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.

Оператор (персональных данных)  - государственный орган, муниципальный орган, юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

Технические средства информационной системы персональных данных - средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.

Перехват (информации) - неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов.

Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Побочные электромагнитные излучения и наводки - электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания.

Политика "чистого стола" - комплекс организационных мероприятий, контролирующих отсутствие записывания на бумажные носители ключей и атрибутов доступа (паролей) и хранения их вблизи объектов доступа.

Пользователь информационной системы персональных данных - лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования.

Правила разграничения доступа - совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа.

Программная закладка - код программы, преднамеренно внесенный в программу с целью осуществить утечку, изменить, блокировать, уничтожить информацию или уничтожить и модифицировать программное обеспечение информационной системы персональных данных и (или) блокировать аппаратные средства.

Программное (программно-математическое) воздействие - несанкционированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ.

Раскрытие персональных данных - умышленное или случайное нарушение конфиденциальности персональных данных.

Распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.

Ресурс информационной системы - именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы.

Специальные категории персональных данных - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни субъекта персональных данных.

Средства вычислительной техники - совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем.

Субъект доступа (субъект) - лицо или процесс, действия которого регламентируются правилами разграничения доступа.

Технический канал утечки информации - совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация.

Трансграничная передача персональных данных - передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства.

Угрозы безопасности персональных данных - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

Уничтожение персональных данных - действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.

Утечка (защищаемой) информации по техническим каналам - неконтролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации.

Учреждение - учреждения здравоохранения, социальной сферы, труда и занятости.

Уязвимость - слабость в средствах защиты, которую можно использовать для нарушения системы или содержащейся в ней информации.

Целостность информации - способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения).

Обозначения и сокращения

АВС - антивирусные средства

АРМ - автоматизированное рабочее место

ВТСС - вспомогательные технические средства и системы

ИСПДн - информационная система персональных данных

КЗ - контролируемая зона

ЛВС - локальная вычислительная сеть

МЭ - межсетевой экран

НСД - несанкционированный доступ

ОС - операционная система

ПДн - персональные данные

ПМВ - программно-математическое воздействие

ПО - программное обеспечение

ПЭМИН - побочные электромагнитные излучения и наводки

САЗ - система анализа защищенности

СЗИ - средства защиты информации

СЗПДн - система (подсистема) защиты персональных данных

СОВ - система обнаружения вторжений

ТКУИ - технические каналы утечки информации

УБПДн - угрозы безопасности персональных данных

Введение

Внутренняя проверка (далее - Проверка) произведена на основании Приказа NN _____

Проверка проводилась (дата) ________ на территории Учреждения ____________ по адресу ____________________

Проверка проводилась в соответствии с принципами и положениями Концепции информационной безопасности и Политики информационной безопасности.

В ходе проверки были выявлены следующие ИСПДн:

1) __________________________________

2) __________________________________

3) __________________________________

В ходе проверки для каждой ИСПДн определялось:

1) Состав и структура объектов защиты.

2) Конфигурация и структура ИСПДн.

3) Режим обработки ПДн.

4) Перечень лиц, участвующих в обработке ПДн.

5) Права доступа лиц, допущенных к обработке ПДн.

6) Угрозы безопасности персональных данных. Оценивалась вероятность их реализации, реализуемость, опасность и актуальность.

7) Существующие меры защиты ПДн.

8) Список необходимых мер защиты ПДн.

Данные Проверки служат информационной основой для других нормативно-организационных документов.

Данные о составе и структуре объектов защиты отражаются в Перечне персональных данных, подлежащих защите.

Данные о составе и структуре обрабатываемых персональных данных, конфигурации ИСПДн и режиме обработке являются основой для составления Акта классификации информационной системы персональных данных.

Данные о лицах, допущенных к обработке ПДн, и уровне их доступа отражаются в Положении о разграничении прав доступа к обрабатываемым персональным данным.

Данные об угрозах безопасности ПДн служат основной для составления Модели угроз безопасности персональных данных.

Данные о существующих и необходимых мерах защиты ПДн служат основной для составления Плана мероприятий по обеспечению защиты ПДн.

Данные о технических средствах защиты отражаются в Перечне по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним.

1 ИСПДн <Название ИСПДн 1>

1.1 Структура ИСПДн

Таблица 1 - Параметры ИСПДн

Заданные характеристики безопасности персональных данных	Типовая информационная система/специальная информационная система
Структура информационной системы	Автоматизированное рабочее место/Локальная информационная система/Распределенная информационная система
Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена	Имеется/не имеется
Режим обработки персональных данных	Однопользовательская/многопользовательская система
Режим разграничения прав доступа пользователей	Система с разграничение# доступа/без разграничения доступа
Местонахождение технических средств информационной системы	Все технические средства находятся в пределах Российской Федерации/технические средства частично или целиком находятся за пределами Российской Федерации
Дополнительная информация	К персональным данным предъявляется требование целостности и (или) доступности

1.2 Состав и структура персональных данных

В ИСПДн обрабатываются следующие персональные данные:

1) персональные данные субъектов ПДн (пациентов):

- ФИО;

- Дата рождения;

- Контактный телефон;

- Адрес прописки;

- Адрес фактического проживания;

- Паспортные данные;

- Данные о состоянии здоровья (история болезни).

2) персональные данные сотрудников:

- Фамилия, имя, отчество;

- Место, год и дата рождения;

- Адрес по прописке;

- Паспортные данные (серия, номер паспорта, кем и когда выдан);

- Информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);

- Информация о трудовой деятельности до приема на работу;

- Информация о трудовом стаже (место работы, должность, период работы, период работы, причины увольнения);

- Адрес проживания (реальный);

- Телефонный номер (домашний, рабочий, мобильный);

- Семейное положение и состав семьи (муж/жена, дети);

- Информация о знании иностранных языков;

- Форма допуска;

- Оклад;

- Данные о трудовом договоре (N трудового договора, дата его заключения, дата начала и дата окончания договора, вид работы, срок действия договора, наличие испытательного срока, режим труда, длительность основного отпуска, длительность дополнительного отпуска, длительность дополнительного отпуска за ненормированный рабочий день, обязанности работника, дополнительные социальные льготы и гарантии, N и число изменения к трудовому договору, характер работы, форма оплаты, категория персонала, условия труда, продолжительность рабочей недели, система оплаты);

- Сведения о воинском учете (категория запаса, воинское звание, категория годности к военной службе, информация о снятии с воинского учета);

- ИНН;

- Данные об аттестации работников;

- Данные о повышении квалификации;

- Данные о наградах, медалях, поощрениях, почетных званиях;

- Информация о приеме на работу, перемещении по должности, увольнении;

- Информация об отпусках;

- Информация о командировках;

- Информация о болезнях;

- Информация о негосударственном пенсионном обеспечении

Исходя из состава обрабатываемых персональных данных, можно сделать вывод, что они относятся к ____ категории персональных данных, т.е. к данным, позволяющим _______________________________.

Объем обрабатываемых персональных данных, не превышает _____ записей о субъектах персональных данных.

В соответствии с Порядком проведения классификации информационных систем персональных данных утвержденного приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. N 55/86/20, на основании категории и объема обрабатываемых персональных данных - ИСПДн "______________" классифицируется, как _______ ИСПДн класса K_.

Так же в ИСПДн существуют следующие объекты защиты:

1) Технологическая информация:

- управляющая информация (конфигурационные файлы, таблицы маршрутизации, настройки системы защиты и пр.);

- технологическая информация средств доступа к системам управления (аутентификационная информация, ключи и атрибуты доступа и др.);

- информация на съемных носителях информации (бумажные, магнитные, оптические и пр.), содержащие защищаемую технологическую информацию системы управления ресурсами или средств доступа к этим системам управления;

- информация о СЗПДн, их составе и структуре, принципах и технических решениях защиты;

- информационные ресурсы (базы данных, файлы и другие), содержащие информацию об информационно-телекоммуникационных системах, о служебном, телефонном, факсимильном, диспетчерском трафике, о событиях, произошедших с управляемыми объектами, о планах обеспечения бесперебойной работы и процедурах перехода к управлению в аварийных режимах;

- служебные данные (метаданные) появляющиеся при работе программного обеспечения, сообщений и протоколов межсетевого взаимодействия, в результате обработки Обрабатываемой информации.

2) Программно-технические средства обработки:

- общесистемное и специальное программное обеспечение, участвующее в обработке ПДн (операционные системы, СУБД, клиент-серверные приложения и другие);

- резервные копии общесистемного программного обеспечения;

- инструментальные средства и утилиты систем управления ресурсами ИСПДн;

- аппаратные средства обработки ПДн (АРМ и сервера);

- сетевое оборудование (концентраторы, коммутаторы, маршрутизаторы и т.п.).

3) Средства защиты ПДн:

- средства управления и разграничения доступа пользователей;

- средства обеспечения регистрации и учета действий с информацией;

- средства, обеспечивающие целостность данных;

- средства антивирусной защиты;

- средства межсетевого экранирования;

- средства анализа защищенности;

- средства обнаружения вторжений;

- средства криптографической защиты ПДн, при их передачи по каналам связи сетей общего и (или) международного обмена.

4) Каналы информационного обмена и телекоммуникации.

5) Объекты и помещения, в которых размещены компоненты ИСПДн.

1.3 Конфигурация ИСПДн

На рисунке 1 представлена конфигурация элементов ИСПДн.

На рисунке 2 представлено территориальное расположение ИСПДн относительно контролируемой зоны.

1.4 Структура обработки ПДн

В ИСПДн _________ обработка персональных данных происходит следующим образом:

1) _________________________

2) _________________________

3) _________________________

1.5 Режим обработки ПДн

В ИСПДн ___________ обработка персональных данных осуществляется в однопользовательском/многопользовательском режиме с разграничением/без разграничения прав доступа.

Режим обработки предусматривает следующие действия с персональными данными: сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Все пользователи ИСПДн имеют собственные роли. Список типовых ролей представлен в виде матрицы доступа в таблице 2 и иллюстрирован на примере таблицы 3.

Таблица 2 - Матрица доступа

Группа	Уровень доступа к ПДн	Разрешенные действия	Сотрудники отдела
Администраторы ИСПДн	Обладает полной информацией о системном и прикладном программном обеспечении ИСПДн. Обладает полной информацией о технических средствах и конфигурации ИСПДн. Имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн. Обладает правами конфигурирования и административной настройки технических средств ИСПДн.	- сбор - систематизация - накопление - хранение - уточнение - использование - уничтожение	Отдел информационных технологий
Администратор безопасности	Обладает правами Администратора ИСПДн. Обладает полной информацией об ИСПДн. Имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн. Не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).	- сбор - систематизация - накопление - хранение - уточнение - использование - уничтожение	Петров П.П.
Операторы ИСПДн с правами записи	Обладает всеми необходимыми атрибутами и правами, обеспечивающими доступ ко всем ПДн.	- сбор - систематизация - накопление - хранение - уточнение - использование - уничтожение	Отдел регистратуры
Операторы ИСПДн с правами чтения	Обладает всеми необходимыми атрибутами и правами, обеспечивающими доступ к подмножеству ПДн.	- использование	Сотрудники call-центра

В ИСПДн осуществляют работу следующие сотрудники:

Таблица 3 - Перечень сотрудников

N	Роль	ФИО сотрудника	Подразделение
	Администратор ИСПДн	Иванов И.И.
	Администратор ИСПДн	Петров П.П.
	Оператор	Сидорова А.А.

1.6 Угрозы безопасности ПДн

При обработке персональных данных в ИСПДн можно выделить следующие угрозы:

1) Угрозы от утечки по техническим каналам.

а) Угрозы утечки акустической информации.

б) Угрозы утечки видовой информации.

в) Угрозы утечки информации по каналам ПЭМИН.

2) Угрозы несанкционированного доступа к информации.

а) Угрозы уничтожения, хищения аппаратных средств ИСПДн носителей информации путем физического доступа к элементам ИСПДн.

1) Кража ПЭВМ;

2) Кража носителей информации;

3) Кража ключей и атрибутов доступа;

4) Кражи, модификации, уничтожения информации;

5) Вывод из строя узлов ПЭВМ, каналов связи;

6) Несанкционированное отключение средств защиты.

б) Угрозы хищения, несанкционированной модификации или блокирования информации за счет несанкционированного доступа (НСД) с применением программно-аппаратных и программных средств (в том числе программно-математических воздействий).

1) Действия вредоносных программ (вирусов);

2) Недекларированные возможности системного ПО и ПО для обработки персональных данных;

3) Установка ПО не связанного с исполнением служебных обязанностей.

в) Угрозы не преднамеренных действий пользователей и нарушений безопасности функционирования ИСПДн и СЗПДн в ее составе из-за сбоев в программном обеспечении, а также от угроз неантропогенного (сбоев аппаратуры из-за ненадежности элементов, сбоев электропитания) и стихийного (ударов молний, пожаров, наводнений и т.п.) характера.

1) Утрата ключей и атрибутов доступа;

2) Непреднамеренная модификация (уничтожение) информации сотрудниками;

3) Непреднамеренное отключение средств защиты;

4) Выход из строя аппаратно-программных средств;

5) Сбой системы электроснабжения;

6) Стихийное бедствие.

г) Угрозы преднамеренных действий внутренних нарушителей.

1) Доступ к информации, модификация, уничтожение лиц не допущенных к ее обработке;

2) Разглашение информации, модификация, уничтожение сотрудниками допущенными к ее обработке.

д) Угрозы несанкционированного доступа по каналам связи.

1) Угроза "Анализ сетевого трафика" с перехватом передаваемой из ИСПДн и принимаемой из внешних сетей информации:

- Перехват за переделами с контролируемой зоны;

- Перехват в пределах контролируемой зоны внешними нарушителями;

- Перехват в пределах контролируемой зоны внутренними нарушителями.

2) Угрозы сканирования, направленные на выявление типа или типов используемых операционных систем, сетевых адресов рабочих станций ИСПДн, топологии сети, открытых портов и служб, открытых соединений и др.

3) Угрозы выявления паролей по сети.

4) Угрозы навязывание ложного маршрута сети.

5) Угрозы подмены доверенного объекта в сети.

6) Угрозы внедрения ложного объекта как в ИСПДн, так и во внешних сетях.

7) Угрозы типа "Отказ в обслуживании".

8) Угрозы удаленного запуска приложений.

9) Угрозы внедрения по сети вредоносных программ.

Анализ вероятности реализации, реализуемости, опасности и актуальности угроз представлен в Модели угроз.

1.7 Существующие меры защиты

Существующие в ИСПДн технические меры защиты представлены в таблице ниже.

Таблица 4 - Меры защиты

Элемент ИСПДн	Программное средство обработки ПДн	Установленные средства защиты
АРМ пользователя	ОС Windows XP Браузер	Средства ОС: - управление и разграничение доступа пользователей; - регистрацию и учет действий с информацией. Антивирус НАЗВАНИЕ - регистрацию и учет действий с информацией; - обеспечивать целостность данных; - производить обнаружений# вторжений.
АРМ администратора	ОС Windows XP Клиент приложения	Средства ОС: - управление и разграничение доступа пользователей; - регистрацию и учет действий с информацией. Антивирус НАЗВАНИЕ - регистрацию и учет действий с информацией; - обеспечивать целостность данных; - производить обнаружений# вторжений.
Сервер приложений	OS Windows Server 2007	Средства ОС: - управление и разграничение доступа пользователей; - регистрацию и учет действий с информацией; - обеспечивать целостность данных. Антивирус НАЗВАНИЕ - регистрацию и учет действий с информацией; - обеспечивать целостность данных; - производить обнаружений# вторжений.
СУБД	БД ORACLE	Средства БД Средства ОС: - управление и разграничение доступа пользователей; - регистрацию и учет действий с информацией; - обеспечивать целостность данных. - производить обнаружений# вторжений.
Граница ЛВС		Межсетевой экран: - управление и разграничение доступа пользователей; - регистрацию и учет действий с информацией; - обеспечивать целостность данных. - производить обнаружений# вторжений.
Каналы передачи		СКЗИ НАЗВАНИЕ Средства СКЗИ: - управление и разграничение доступа пользователей; - регистрацию и учет действий с информацией; - обеспечивать целостность данных.

В ИСПДн введены следующие организационные меры защиты:

- В Учреждении осуществляется контроль доступа в контролируемую зону, установлена охранная сигнализация, двери закрываются на замок, установлены решетки на первых и последних этажах здания

- Ведется учет носителей информации.

- Носители информации хранятся в сейфе.

- В Учреждении существует отдел/ответственный сотрудник за обеспечение безопасности ПДн.

- В учреждение проводятся периодические внутренние проверки режима безопасности ПДн.

- Введена парольная политика, устанавливающая сложность ключей и атрибутов доступа (паролей), а так же их периодическую смену.

- Пользователи осведомлены и проинструктированы о порядке работы и защиты персональных данных.

- Осуществляется резервное копирование защищаемой информации.

- В помещениях, где расположены элементы ИСПДн, установлена пожарная сигнализация.

1.8 Необходимые меры защиты

На основании анализа актуальности выявленных угроз безопасности, для достижения требуемого уровня защиты рекомендуется осуществить следующие мероприятия:

1) _________________________

2) _________________________

3) _________________________