Приложение. Положение об обеспечении безопасности персональных данных в информационной системе персональных данных сектора записи актов гражданского состояния администрации муниципального образования Одоевский район Тульской области

Приложение
к постановлению
администрации
муниципального образования
Одоевский район
от 16 апреля 2015 г. N 216

Положение
об обеспечении безопасности персональных данных в информационной системе персональных данных сектора записи актов гражданского состояния администрации муниципального образования Одоевский район Тульской области

Сокращения, условные обозначения, термины:

АРМ -	Автоматизированное рабочее место
БД -	База данных
ИБ -	Информационная безопасность
ИС -	Информационные системы
ИСПДн -	Информационные системы персональных данных
ЛВС -	Локальная вычислительная сеть
НСД -	Несанкционированный доступ
ОС -	Операционная система
ПДн -	Персональные данные
ПО -	Программное обеспечение
ПЭМИН -	Паразитное электромагнитное излучение и наводки
СЗПДн -	Система защиты персональных данных
СУБД -	Система управления базами данных
ФСТЭК -	Федеральная служба по техническому и экспортному контролю
ФСБ -	Федеральная служба безопасности

Введение

Настоящее Положение определяет состав мер по обеспечению безопасности ПДн при их хранении и обработке в ИСПДн сектора записи актов гражданского состояния администрации муниципального образования Одоевский район Тульской области (далее - сектор ЗАГС), а также порядок их реализации и контроля эффективности.

Положения и требования Положения распространяются на всех служащих сектора ЗАГС, эксплуатирующих технические и программные средства, в которых осуществляется обработка ПДн, а также на служащих, осуществляющих сопровождение, обслуживание и обеспечение нормального функционирования ИСПДн сектора ЗАГС.

Данное Положение разработано в соответствии со следующими нормативными документами:

- Федеральным законом от 27.07.2006 N 152-ФЗ "О персональных данных";

- Федеральным законом от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

- Постановлением Правительства Российской Федерации от 15.09.2008 N 687 "Об утверждении Положения об особенностях обработки персональных данных, осуществляемых без использования средств автоматизации";

- Постановлением Правительства Российской Федерации от 21.03.2012 N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными и муниципальными органами";

- нормативно-методическими документами ФСТЭК и другими нормативными правовыми актами Российской Федерации.

1. Цель и область применения

1.1. Цель Положения - определение состава и порядка организации и проведения работ по защите информации, содержащей персональные данные, циркулирующей в секторе ЗАГС, в целях предотвращения ущерба в результате разглашения, утраты, утечки, искажения и уничтожения персональных данных, их незаконного использования и нарушения работы информационно-телекоммуникационной системы в секторе ЗАГС.

1.2. Требования настоящего Положения обязательны для всех служащих сектора ЗАГС и распространяются на:

- государственные информационные системы;

- средства телекоммуникаций;

- информационные ресурсы и носители информации;

- помещения;

- служащих сектора ЗАГС.

1.3. Внутренние документы сектора ЗАГС, затрагивающие вопросы, рассматриваемые в данном документе, должны разрабатываться с учетом настоящего Положения и не противоречить им.

2. Состав мероприятий и процедур по обеспечению безопасности ПДн

Организация обеспечения безопасности ПДн осуществляется путем выполнения комплекса организационных и технических мероприятий, реализуемых в рамках создаваемой СЗПДн. СЗПДн включает организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам), а также используемые в информационной системе информационные технологии. В целях защиты ПДн необходимо реализовать ряд мер по обеспечению безопасности ПДн при их хранении и обработке в ИСПДн сектора ЗАГС. Требуемые меры можно разделить на:

- организационные;

- технические.

Основные меры по обеспечению безопасности ПДн и требования к ним описаны в правилах обработки персональных данных сектора записи актов гражданского состояния администрации муниципального образования Одоевский район Тульской области.

2.1. Организационные мероприятия по обеспечению безопасности ПДн включают в себя:

- определение состава ПДн, ИС, носителей и каналов передачи, участвующих в их хранении, обработке и передаче;

- определение перечня сотрудников, участвующих в обработке ПДн или имеющих к ним доступ. Определение необходимого уровня доступа сотрудников к ПДн;

- выделение организационной структуры для обеспечения защиты ПДн, определение обязанностей по обеспечению безопасности ПДн и ответственности сотрудников данного подразделения;

- определение порядка внесения ПДн в ИСПДн;

- определение режима доступа сотрудников к ПДн;

- определение режима обработки ПДн;

- определение процедуры уничтожения ПДн;

- определение режима предоставления ПДн третьим лицам;

- определение режима использования носителей информации, содержащих ПДн;

- определение организационных мер обеспечения физической безопасности ИСПДн;

- процесс управления СЗПДн, позволяющий контролировать выполнение мероприятий по обеспечению безопасности ПДн, их полноту и достаточность для обеспечения необходимого уровня защищенности;

- процессы эксплуатации и контроля подсистем СЗПДн;

- разработку и поддержание эффективного плана восстановления ИСПДн и ПДн в случае возникновения катастроф или иных обстоятельств, повлекших потерю данных или сбои в работе систем;

- проведение обследований защищенности существующих ИСПДн в целях выявления новых уязвимостей и получения актуальной модели угроз;

- проведение тренингов и обучений сотрудников, ответственных за соблюдение безопасности ПДн;

- определение процедуры приема сотрудников на работу.

2.2. Технические мероприятия по обеспечению безопасности ПДн включают в себя:

Использование системы обеспечения безопасности ПДн, состоящей из подсистем защиты ПДн, позволяющих реализовать следующие задачи:

- управление доступом пользователей и процессов, предотвращающее несанкционированный доступ к ПДн;

- межсетевое экранирование, позволяющее реализовать сегментацию ЛВС и управление сетевым взаимодействием;

- регистрацию и учет действий пользователей в ИСПДн;

- обеспечение целостности ПДн и ИС;

- антивирусную защиту, позволяющую выявлять и устранять угрозы, связанные с вредоносным ПО;

- криптографическую защиту ПДн;

- обеспечение физической безопасности ИС и носителей информации, содержащей Пдн.

3. Порядок реализации мероприятий по обеспечению безопасности ПДн

3.1. Организация работ по защите ПДн.

За организацию работ по защите ПДн отвечает администратор безопасности сектора ЗАГС в соответствии с должностным регламентом.

Общее руководство работой администратора безопасности (АБ), утверждение регламентирующей документации и мер по обеспечению безопасности ПДн осуществляет ответственный за организацию обработки персональных данных в секторе ЗАГС.

В рамках организации работ по защите ПДн администратор безопасности осуществляет следующие действия:

- согласование регламентирующей документации в области защиты ПДн;

- контроль действий по обеспечению безопасности ПДн;

- непосредственная организация защиты ПДн;

- планирование действий по обеспечению безопасности ПДн.

3.2. Определение режима обработки ПДн.

Реализация мероприятий по обеспечению безопасности ПДн состоит из нескольких этапов:

3.2.1. Подготовительный этап.

На данном этапе осуществляется сбор начальной информации, на основании которой должна строиться СЗПДн. Также необходимо периодическое проведение данных действий для проверки актуальности имеющихся данных о составе ПДн и ИСПДн.

3.2.1.1. Определение ПДн, обрабатываемых в ИСПДн сектора ЗАГС.

Необходимо изучить процессы и установить все ПДн, которые обрабатываются в ИСПДн сектора ЗАГС. Устанавливается необходимость обработки данных ПДн, их состав и субъекты ПДн. Составляется перечень ПДн, обрабатываемых в ИСПДн.

3.2.1.2. Определение информационных систем, участвующих в хранении и обработке ПДн.

Необходимо определить, в каких ИС осуществляется хранение и обработка ПДн. Составляется перечень ИС с указанием функциональных узлов и их спецификации и сотрудников, ответственных за обеспечение их безопасности.

3.2.1.3. Определение носителей информации, на которых хранятся ПДн.

Необходимо определить, на каких носителях информации (цифровых и аналоговых) будет храниться и обрабатываться информация, содержащая ПДн. Составляется перечень носителей информации с указанием мест их хранения и сотрудников, ответственных за обеспечение их безопасности.

3.2.1.4. Определение каналов передачи ПДн.

Необходимо определить принцип взаимодействия ИС, в которых хранятся и обрабатываются ПДн, а также каналы передачи данных, участвующие в их взаимодействии. Учитываются как цифровые каналы передачи информации, так и физические методы передачи данных на носителях информации. Устанавливается и описывается среда передачи данных с указанием используемых технологий, протоколов и лиц, ответственных за обеспечение безопасности ПДн при их передаче по каналам передачи данных. В результате составляется схема потоков ПДн в ИСПДн сектора ЗАГС.

3.2.1.5. Определение сотрудников, имеющих доступ к ПДн.

Необходимо определить, в рамках каких работ и функциональных обязанностей сотрудникам необходимо предоставление доступа к ПДн. Определяется перечень сотрудников, выполняющих данные работы и их роли, в соответствии с которыми им назначаются требуемые права доступа. Определяется тип и срок предоставления доступа к ПДн для выполнения функциональных обязанностей. В результате составляется перечень сотрудников, имеющих доступ к ПДн с указанием их Ф.И.О., подразделения (отдела), занимаемой должности, роли, ПДн, к которым предоставляется доступ, ИС, в которых предоставляется доступ к ПДн, прав доступа и срока предоставления доступа.

3.2.2. Определение порядка обработки ПДн.

Необходимо определить стадии жизненного цикла обработки ПДн и требования по порядку обработки ПДн на каждом этапе. Этапы жизненного цикла обработки ПДн включают в себя:

3.2.2.1. Внесение ПДн в ИСПДн.

На данном этапе осуществляется сбор информации, содержащей ПДн, и занесение ее в ИСПДн для хранения и обработки.

Процессы получения информации и занесения ее в ИСПДн должны быть регламентированы и осуществляться в соответствии с порядком внесения ПДн в ИСПДн.

При этом должны учитываться предъявляемые требования безопасности, в частности:

- должны собираться и заноситься в ИСПДн только те ПДн, которые необходимы для работы сектора ЗАГС и указаны в перечне ПДн;

- информация, содержащая ПДн, должна получаться только с согласия субъекта ПДн, за исключением случаев, отдельно оговоренных законодательными актами;

- информация, содержащая ПДн, должна защищаться на всем пути ее получения и занесения в ИСПДн;

- должны регистрироваться факты внесения ПДн в ИСПДн.

3.2.2.2. Хранение ПДн.

Хранение ПДн должно осуществляться в ИС и на носителях, определенных на подготовительном этапе.

Должна быть обеспечена безопасность ПДн во время их хранения на носителях информации. Защита ПДн во время их хранения обеспечивается:

- подсистемой обеспечения физической безопасности, в том числе хранением носителей информации в защищенном месте;

- хранением ПДн в защищенном виде. Возможно использование криптографических средств защиты информации;

- использованием подсистем ИСПДн для обеспечения безопасности ПДн во время их хранения;

- хранением ПДн в ИС с повышенной защищенностью;

- резервированием информации на отчуждаемые носители, хранящиеся в защищенном месте.

Хранение ПДн должно осуществляться в соответствии с:

- порядком хранения ПДн в ИСПДн;

- правилами работы с носителями информации;

- стандартами настройки ИС, в которых хранятся ПДн, и инструкциями по их настройке.

3.2.2.3. Предоставление доступа к ПДн.

Безопасность ПДн в ИСПДн сектора ЗАГС обеспечивается подсистемой разграничения доступа. Для возможности обработки ПДн сотрудникам должны быть предоставлены необходимые права доступа к ним.

Предоставление и изменение прав доступа к ПДн осуществляется в соответствии с Процедурой изменения прав доступа к ПДн.

Доступ к ПДн предоставляется сотрудникам сектора ЗАГС в соответствии с их должностными обязанностями, а также по заявке, содержащей указание необходимости получения прав доступа и утвержденной руководителем сектора ЗАГС.

Изменение прав доступа к ПДн осуществляется администраторами безопасности информации.

Изменение прав доступа к ПДн должно фиксироваться в матрице доступа к ПДн.

Предоставление доступа к ПДн третьим лицам должно осуществляться в соответствии с Положением о предоставлении доступа к ПДн третьим лицам.

3.2.2.4. Обработка ПДн.

Обработку ПДн осуществляют сотрудники сектора ЗАГС, имеющие допуск на работу с ПДн, в соответствии со своими должностными обязанностями.

Обработка ПДн осуществляется в соответствии с:

- должностными инструкциями сотрудников;

- правилами работы в ИСПДн;

- инструкциями пользователей для ИС, участвующих в обработке и хранении ПДн.

3.2.2.5. Уничтожение ПДн.

Уничтожение ПДн осуществляется по истечении срока хранения данных или потере их актуальности, а также в случае прекращения обработки ПДн, в соответствии с положениями законодательных актов РФ по защите ПДн.

Уничтожение ПДн осуществляется администраторами информационной безопасности (АБ) в соответствии с:

- должностными инструкциями администраторов безопасности;

- процедурой уничтожения ПДн;

- инструкцией по уничтожению данных, содержащих персональные данные.

Факты уничтожения ПДн должны протоколироваться с указанием сотрудников, осуществлявших уничтожение, перечня удаленных данных и причины удаления, даты удаления.

3.3. Защита ПДн.

Работы по защите ПДн включают в себя:

- защиту от НСД;

- обеспечение целостности данных и средств защиты.

Защита ПДн обеспечивается организационными и техническими мерами.

Организационные меры защиты ПДн:

- определение и соблюдение порядка обработки ПДн в ИСПДн;

- работа в ИСПДн в соответствии с имеющимися регламентирующими документами, правилами и инструкциями;

- определение персональной ответственности сотрудников за нарушение безопасности ПДн;

- организация работ по обеспечению безопасности ПДн.

Технические меры защиты ПДн:

- использование подсистемы управления доступом;

- использование подсистемы межсетевого экранирования;

- использование подсистемы регистрации и учета;

- использование подсистемы антивирусной защиты;

- использование подсистемы криптографической защиты;

- использование подсистемы обеспечения целостности;

- использование подсистемы обеспечения физической безопасности.

3.3.1. Защита ПДн от НСД.

Защита ПДн от НСД обеспечивается использованием мер по ограничению несанкционированного доступа к ПДн. Эффективность используемых мер достигается при условии соблюдения установленного порядка обработки ПДн в ИСПДн, что обеспечивается выполнением требований регламентирующих документов и выполнением имеющихся инструкций по работе в ИСПДн. Необходимо определить ответственность сотрудников за нарушение безопасности ПДн.

3.3.1.1. Основой защиты ПДн от НСД являются подсистемы управления доступом и межсетевого экранирования, которые осуществляют разграничение доступа к ПДн и предотвращают несанкционированный доступ к ним. В качестве технических средств, реализующих данные подсистемы, используются сертифицированные средства защиты:

- программно-аппаратный комплекс защиты от несанкционированного доступа с использованием средств многофакторной аутентификации;

- программно-аппаратные средства межсетевого экранирования не ниже 3 класса защищенности;

- средства обнаружения вторжений, использующие сигнатурные и поведенческие методы анализа и выявления вторжений.

Система управления доступом позволяет регистрироваться в системе только авторизованным пользователям, при этом для авторизации используется сочетание логина, пароля и физического или программного ключа, что снижает вероятность несанкционированного доступа в случае компрометации каких-либо авторизационных данных.

Дополнительно осуществляется ограничение прав пользователей до минимально необходимых, что снижает возможность использования альтернативных способов получения доступа к ПДн.

Подсистема управления доступом внедряется на АРМах сотрудников, участвующих в обработке ПДн, и на системах, в которых хранятся и обрабатываются ПДн.

В рамках подсистемы управления доступом используются встроенные системы ОС Microsoft, позволяющие осуществлять управление доступом сотрудников на рабочие станции, серверы, к файлам и таблицам БД, хранящимся в СУБД.

Должны быть реализованы системы разграничения доступа к модулям управления подсистем СЗПДн, позволяющие осуществлять безопасную авторизацию, в том числе удаленных пользователей в случае необходимости, и предотвратить получение несанкционированного доступа к средствам администрирования СЗПДн.

Используемые подсистемы межсетевого экранирования позволяют предотвратить доступ в ИСПДн из незащищенных сегментов ИС сектора ЗАГС, из внешней сети "Интернет" и с неавторизованных узлов. Также подсистема МЭ позволяет установить набор правил доступа, предотвращающих какой-либо вид доступа, кроме установленного и необходимого для функционирования ИСПДн.

Для защиты ПДн от НСД в ИСПДн используются средства обнаружения вторжения. В качестве таких средств должны применяться системы обнаружения и предотвращения атак, позволяющие своевременно обнаруживать несанкционированную сетевую активность и попытки несанкционированного доступа.

Подсистемы межсетевого экранирования используются на границах сегментов ЛВС и АРМ сектора ЗАГС.

Внедрение подсистем управления доступом и межсетевого экранирования осуществляется в соответствии со стандартами и правилами их настройки ответственными сотрудниками - администраторами безопасности.

3.3.1.2. Необходимо реализовать управление физическим доступом для предотвращения НСД к ПДн. В этих целях используется подсистема обеспечения физической безопасности и режим обеспечения физической безопасности.

Данные меры подразумевают выполнение требований по обеспечению физической безопасности и включают в себя:

- определение защищаемой территории;

- введение пропускного режима доступа на защищаемую территорию;

- внедрение системы физического контроля и учета доступа в охраняемые помещения;

- использование мер обеспечения физической защиты охраняемых помещений;

- использование мер обеспечения физической безопасности ИС и носителей информации.

Предоставление и контроль физического доступа осуществляется в соответствии с режимом предоставления доступа на защищаемую территорию.

Весь предоставляемый физический доступ на защищаемую территорию, в охраняемые помещения и к компонентам ИСПДн и носителям информации должен протоколироваться.

За выполнение мер обеспечения физической безопасности ответственность несет руководитель организации (подразделения) или лицо, его заменяющее. Контроль выполнения требований по обеспечению физической безопасности осуществляет руководитель сектора ЗАГС.

3.3.1.3. Использование подсистемы регистрации и учета позволяет осуществлять протоколирование фактов и попыток доступа к ПДн, а также осуществлять учет потоков и носителей информации. Данные записи могут быть использованы при расследовании инцидентов ИБ, а также в качестве дополнительной защиты от несанкционированного доступа к НСД.

Необходимо осуществлять регистрацию всех удачных и неудачных попыток осуществления доступа к ПДн - как в информационных системах, так и для физического доступа.

Необходима регистрация следующих данных:

- ИС, в которой осуществляется доступ;

- тип доступа;

- лицо, осуществляющее попытку доступа;

- данные или компонент, к которому осуществляется доступ;

- временная метка доступа;

- результат попытки доступа.

Должны регистрироваться и учитываться носители информации, содержащие ПДн. Учет носителей позволяет реализовать требования режима обработки и хранения ПДн, назначать сотрудников, ответственных за обеспечение безопасности конкретных носителей, и осуществлять контроль использования и передачи ПДн.

В качестве технических мер в области регистрации и учета используется программно-аппаратный комплекс защиты от несанкционированного доступа, позволяющий вести детальную регистрацию действий пользователей в системе. Также используются встроенные системы протоколирования ОС Windows.

Настройка систем регистрации и учета осуществляется ответственными сотрудниками в соответствии со стандартами настройки и инструкциями по управлению данными системами.

Для регистрации и учета физического доступа, а также учета носителей информации, содержащих ПДн, используются журналы учета доступа как в бумажном, так и в электронном виде.

Учет физического доступа осуществляется в соответствии с порядком предоставления физического доступа. Учет носителей информации осуществляется в соответствии с порядком использования носителей информации.

За выполнение мер регистрации и учета ответственность несет администратор безопасности.

3.3.1.4. Необходимо обеспечить защиту ПДн и ИС, участвующих в их обработке и хранении, от вредоносного ПО. Для предотвращения угрозы несанкционированного доступа с использованием вредоносного ПО в ИСПДн используется подсистема антивирусной защиты.

Подсистема антивирусной защиты обеспечивает постоянную защиту ПДн, ПО и среды их обработки от воздействия вредоносного ПО. В рамках антивирусной защиты реализуются следующие действия:

- обнаружение вредоносных объектов в ОС и среде обработки данных;

- обнаружение вредоносных объектов в исполняемых файлах и процессах;

- сканирование и обнаружение вредоносных объектов в файловой системе;

- мониторинг удаленных подключений и обнаружение вредоносных объектов в передаваемых файлах;

- нейтрализация угроз от вредоносных объектов в соответствии с выбранными настройками (лечение, удаление, блокирование).

Должно выполняться регулярное обновление базы сигнатур вредоносных объектов для обеспечения требуемого уровня защиты.

В качестве подсистемы антивирусной защиты используется программный комплекс защиты от вредоносного ПО, позволяющий обеспечить защиту от вредоносного ПО в соответствии с установленными требованиями.

Настройка подсистемы антивирусной защиты осуществляется ответственными сотрудниками в соответствии со стандартами настройки и инструкциями по управлению данными системами.

Ответственность за обеспечение защиты ПДн от воздействия вредоносного ПО несет администратор безопасности.

3.3.1.5. В целях защиты ПДн от НСД при их хранении и передаче используется подсистема криптографической защиты. Данная подсистема позволяет обеспечить безопасность ПДн даже в случае получения несанкционированного доступа к ним во время их хранения и передачи.

В качестве подсистемы криптографической защиты используются сертифицированные средства.

Использование данных средств защиты позволяет реализовать безопасную передачу и хранение ПДн.

Настройка и использование подсистемы криптографической защиты осуществляются ответственными сотрудниками в соответствии со стандартами настройки и инструкциями по управлению данными системами.

Управление криптографическими ключами осуществляется в соответствии с регламентом управления криптографическими ключами.

3.3.2. Защита ПДн от ПЭМИН и утечек по техническим каналам.

Для исключения утечки ПДн за счет ПЭМИН в ИСПДн реализуются следующие мероприятия:

- использование сертифицированных средств защиты информации;

- размещение объектов защиты на максимально возможном расстоянии относительно границы защищаемой территории;

- контроль защищаемой территории на предмет обнаружения устройств несанкционированного съема информации.

В ИСПДн для обработки информации рекомендуется использовать СВТ, удовлетворяющие требованиям стандартов Российской Федерации по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам ПЭВМ (ГОСТ 29216-91, ГОСТ Р 50948-96, ГОСТ Р 50949-96, ГОСТ Р 50923-96, СанПиН 2.2.2.542-96).

Для исключения просмотра текстовой и графической видовой информации, отображаемой устройствами отображения информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав ИСПДн, рекомендуется оборудовать помещения, в которых они установлены, шторами (жалюзи).

3.3.3. Обеспечение целостности данных и средств защиты.

Обеспечение целостности ПДн и средств их обработки и защиты обеспечивается с помощью следующих мер:

- осуществление резервного копирования ПДн и критичных данных ИСПДн;

- осуществление мониторинга системных изменений и модификации данных;

- осуществление резервирования критичных узлов и подсистем обеспечения жизнедеятельности ИСПДн.

3.3.3.1. Необходимо осуществлять регулярное резервное копирование критичной информации. К критичной информации относятся:

- ПДн;

- конфигурационные файлы подсистем ИСПДн и СЗПДн;

- журналы аудита;

- информационное обеспечение ИСПДн и СЗПДн.

Резервные копии данных сохраняются на отчуждаемые носители информации. Носители с резервными копиями хранятся в защищенном месте, отличном от места размещения системных компонент ИСПДн.

Для осуществления резервного копирования информации используется сертифицированный программно-аппаратный комплекс резервирования и восстановления, поддерживающий все используемые в ИСПДн платформы и позволяющий вести библиотеку резервных копий с возможностью оперативного поиска и восстановления данных.

Настройка и использование подсистемы резервного копирования осуществляется ответственными сотрудниками в соответствии со стандартами настройки и инструкцией по выполнению резервного копирования.

Резервное копирование осуществляется в соответствии с регламентом резервного копирования, который должен определять данные для резервирования, периодичность и время копирования, а также периодичность цикла хранения резервных копий.

Ответственность за выполнение резервного копирования несет системный администратор.

3.3.3.2. В целях выявления фактов нарушения целостности необходимо осуществлять мониторинг системных изменений и модификации данных.

Подсистемы контроля целостности должны сигнализировать о фактах модификации данных или среды их обработки, позволяя выявить факт нарушения целостности и произвести восстановление информации с резервных копий в случае необходимости.

В качестве подсистемы контроля целостности используется сертифицированный программно-аппаратный комплекс защиты от НСД, позволяющий осуществлять контроль нарушения целостности на всех уровнях ИС.

Для программно-аппаратных подсистем СЗПДн контроль целостности конфигурации должен осуществляться с помощью регулярного аудита, в том числе рассмотрения журналов доступа и изменений, а также проверки контрольных сумм файлов конфигурации.

Должна быть настроена система автоматизированного экстренного оповещения ответственных сотрудников о фактах нарушения целостности.

Настройка и использование подсистемы контроля целостности осуществляется ответственными сотрудниками в соответствии со стандартами настройки.

Ответственность за контроль целостности и реагирование на факты нарушения целостности несут системный администратор и администратор безопасности.

3.3.3.3. В целях предотвращения аппаратных и программных сбоев компонентов ИСПДн и возможной потери данных необходимо обеспечить резервирование критичных узлов и систем обеспечения их функционирования.

ПДн и критичные данные должны храниться и обрабатываться на отказоустойчивых электронных массивах хранения информации (применяется технология RAID).

Рекомендуется реализовать резервирование критичных ИС хранения и обработки ПДн и каналов передачи данных.

Необходимо использовать источники бесперебойного питания, позволяющие корректно завершить работу ИС без потери данных.

3.4. Предупреждение нарушений безопасности ПДн.

Предупреждение нарушений безопасности ПДн является частью процесса защиты ПДн и позволяет заблаговременно выявить и своевременно устранить потенциальные уязвимости ИСПДн. Предупреждение нарушений безопасности обеспечивается регулярным анализом состояния ИСПДн и СЗПДн и определения полноты и достаточности мер по защите ПДн и состоит из следующих мер:

- мониторинг состояния ИСПДн и СЗПДн;

- аудит действий пользователей с ПДн;

- тестирование средств и процедур безопасности.

3.4.1. Мониторинг состояния ИСПДн и СЗПДн.

Мониторинг состояния ИСПДн и СЗПДн представляет собой ряд мер, направленных на определение текущего состояния ИС, и их соответствия заявленным требованиям обеспечения безопасности ПДн. В рамках мониторинга состояния ИСПДн и СЗПДн осуществляются следующие действия:

3.4.1.1. Периодическая инвентаризация ПДн, обрабатываемых в ИСПДн.

Инвентаризация ПДн направлена на уточнение и подтверждение состава ПДн, обрабатываемых в системе, выявление нарушений или фактов обработки ПДн, необходимость в которой отсутствует. Инвентаризация проводится на регулярной ежегодной основе в соответствии с регламентом проведения инвентаризации.

3.4.1.2. Периодическая инвентаризация ИС, в которых обрабатываются ПДн, носителей информации, на которых хранятся ПДн, и каналов передачи данных, участвующих в передаче ПДн.

Инвентаризация ИС, носителей и каналов передачи данных осуществляется в целях актуализации их перечня, который необходим для учета и контроля защищаемых объектов, а также выявления фактов нарушения безопасности ПДн, связанных с хищением, подменой или нарушением целостности аппаратных элементов ИС, носителей информации или каналов передачи данных. Инвентаризация проводится на регулярной ежегодной основе в соответствии с регламентом проведения инвентаризации.

3.4.1.3. Проверка перечня сотрудников, участвующих в обработке ПДн, и прав их доступа к ПДн.

Регулярная проверка перечня сотрудников, участвующих в обработке ПДн, осуществляется с использованием матрицы доступа к ПДн, содержащей список сотрудников, их данные и указание прав доступа в ИС, которыми они обладают. Данная проверка необходима для выявления фактов предоставления доступа сотрудникам, у которых данная необходимость отсутствует или пропала. В рамках данной проверки производится сверка матрицы доступа с реальными правами доступа, определенными в подсистеме управления доступом, что позволяет выявить факты ошибочного (в том числе преднамеренного) факта предоставления прав доступа и нарушения безопасности ПДн. Проверка проводится на регулярной ежеквартальной основе в соответствии с регламентом проведения проверки.

3.4.1.4. Мониторинг состояния ИС.

Мониторинг состояния ИС позволяет своевременно выявить и предотвратить сбои в работе ИС, а также обнаружить нарушения ИБ, связанные с некорректной настройкой подсистем СЗПДн. Данный процесс включает в себя:

- Мониторинг технического состояния узлов ИСПДн и СЗПДн.

Мониторинг технического состояния позволяет выявлять отклонения в условиях функционирования аппаратных или программных элементов ИСПДн и СЗПДн и осуществляется непосредственно администраторами информационной безопасности или с помощью ПО, предназначенного для контроля режима энергообеспечения, температурного режима и отклонений в функционировании систем.

- Регулярный аудит настроек подсистем ИСПДн и СЗПДн.

Аудит настроек подсистем ИСПДн и СЗПДн осуществляется администраторами информационной безопасности на ежеквартальной основе и представляет собой процесс проверки соответствия реальных настроек систем, участвующих в обработке и защите ПДн, с требованиями стандартов по настройке данных систем.

3.4.2. Аудит действий пользователей ИСПДн.

Аудит действий пользователей направлен на обнаружение фактов и попыток нарушения (преднамеренного и непреднамеренного) информационной безопасности ПДн пользователями. Данная мера позволяет выявить потенциальных внутренних нарушителей, создает информационную базу, необходимую для расследования инцидентов безопасности, и позволяет обнаруживать потенциальные уязвимости в ИСПДн.

Аудит действий пользователей осуществляется автоматизированно с использованием подсистем регистрации и учета, подсистемы контроля целостности, а также подсистем управления доступом и межсетевого экранирования. Должны быть настроены автоматизированные действия по информированию администраторов информационной безопасности о действиях пользователей, представляющих собой инцидент ИБ. Настройка оповещения осуществляется в соответствии со стандартами конфигурации данных подсистем. Также необходимо осуществлять регулярную проверку событий в ИСПДн для выявления действий пользователей, которые могли быть не учтены автоматизированной системой оповещения.

3.4.3. Тестирование средств и процедур безопасности.

Тестирование средств и процедур безопасности направлено на выявление существующих или потенциальных уязвимостей ИСПДн и определение полноты применяемых мер по защите ПДн. Тестирование состоит из анализа защищенности ИСПДн с помощью автоматизированных средств, а также системного анализа состояния ИСПДн и СЗПДн и мер по обеспечению безопасности ПДн.

Автоматизированный анализ защищенности ИСПДн осуществляется с помощью сетевого сканера безопасности, позволяющего выявлять уязвимости в используемых ИС. Данная процедура выполняется администраторами безопасности раз в полгода в соответствии с регламентом анализа защищенности.

Анализ состояния ИСПДн и СЗПДн включает в себя:

- мониторинг актуальности используемого ПО и появления новых уязвимостей в нем для своевременного обновления и принятия необходимых мер по обеспечению безопасности;

- анализ существующих рекомендаций и стандартов по обеспечению безопасности используемых ИС и поддержание имеющихся стандартов по настройке и оперированию ИС в актуальном состоянии;

- регулярный анализ и пересмотр имеющихся процедур обеспечения безопасности ПДн.

3.5. Порядок реагирования на инциденты информационной безопасности.

Для защиты ПДн в случае выявления инцидента безопасности ИСПДн определяется порядок реагирования на угрозы нарушения безопасности, который позволит максимально снизить возможные последствия и своевременно устранить инцидент.

Процедура реагирования на инциденты информационной безопасности состоит из следующих стадий:

- обнаружение инцидента;

- регистрация инцидента;

- обработка инцидента;

- уведомление необходимых лиц о произошедшем инциденте;

- устранение инцидента информационной безопасности;

- анализ инцидента.

3.5.1. Обнаружение инцидента ИБ.

Инцидент информационной безопасности может быть обнаружен и зафиксирован следующими лицами:

- системным администратором ИС в ходе анализа недоступности информационной системы или отдельных сервисов;

- администратором безопасности.

Предположение об инциденте информационной безопасности делается на основе следующих событий:

- об инциденте сообщают сотрудники;

- в ходе мониторинга или аудита ИСПДн или СЗПДн обнаруживается явный инцидент ИБ;

- в ходе анализа файлов журнала регистрации событий делается вывод о возможности инцидента ИБ;

- фиксируются события системами оповещения о событиях ИБ или обнаружения вторжения.

Обо всех событиях, которые пользователь классифицирует как нарушение нормального функционирования информационной системы, сотрудник сообщает администратору безопасности.

3.5.2. Регистрация инцидента ИБ.

Инцидент должен быть зарегистрирован в Журнале регистрации инцидентов с пометкой "инцидент информационной безопасности" и передан на обработку администратору безопасности.

При регистрации инцидента должны быть зафиксированы следующие сведения:

- Ф.И.О. обнаружившего сотрудника;

- дата обнаружения;

- время обнаружения;

- сервис информационной безопасности, к которому относится инцидент;

- краткое описание инцидента.

3.5.3. Обработка инцидента ИБ.

Под обработкой инцидента информационной безопасности понимаются следующие действия:

- сбор дополнительной информации об инциденте информационной безопасности;

- определение приоритета зарегистрированного инцидента информационной безопасности.

Администратор безопасности обязан осуществить сбор дополнительной информации о зарегистрированном инциденте. К такой информации могут относиться:

- журналы событий;

- описание последовательности действий, которые привели к возникновению инцидента;

- статистика по аналогичным инцидентам, в том числе зарегистрированным за последний месяц (квартал).

Администратор безопасности обязан установить приоритет зарегистрированного инцидента, в соответствии с которым определяется время реагирования на инцидент и устранения его последствий, а также определяется план действий.

В случае регистрации инцидента, повлекшего разглашение ПДн, формируется комиссия для анализа, расследования и устранения инцидента.

3.5.4. Уведомление заинтересованных лиц о произошедшем инциденте ИБ.

После регистрации инцидента производится уведомление назначенных лиц (ответственного за обработку персональных данных в секторе ЗАГС), ответственных за устранение инцидента информационной безопасности. В зависимости от приоритета инцидента и возможных последствий нарушения информационной безопасности руководителем сектора ЗАГС дополнительно извещаются заинтересованные лица.

3.5.5. Устранение инцидента ИБ.

Согласно выполненной классификации инцидента выбирается соответствующая процедура по устранению данного инцидента (предварительно разработанная и задокументированная).

Определяются сотрудники, ответственные за устранение инцидента.

Если процедуры устранения данного вида инцидентов не существует, то ответственный работник обязан ликвидировать его на основе имеющихся знаний, умений и навыков либо подключить других компетентных работников. При этом все действия, необходимые для устранения инцидента информационной безопасности, документируются.

Мероприятия по устранению последствий реализации угроз безопасности ПДн и проведению работ по восстановлению нормального функционирования ИСПДн могут включать в себя:

- восстановление данных и ПО с резервных копий;

- антивирусные мероприятия при возникновении вирусных заражений;

- смена паролей;

- восстановление настроек ИС (права доступа, настройки безопасности, настройки обеспечения взаимодействия ИС и т.д.);

- анализ и устранение выявленных уязвимостей;

- восстановление или замена аппаратных компонентов ИСПДн.

Сотрудник, назначенный ответственным за устранение инцидента, обязан внести информацию о его ликвидации в Журнал регистрации инцидентов информационной безопасности.

Инцидент считается исчерпанным, когда ответственный сотрудник согласно своей компетентной оценке выполнил все необходимые действия для устранения возможных и текущих проблем, связанных с инцидентом, а заявитель получил извещение о решении инцидента и подтвердил его успешное решение.

3.5.6. Анализ инцидента ИБ.

За анализ инцидентов информационной безопасности ответственен администратор безопасности. Под анализом инцидента информационной безопасности понимаются следующие действия:

- поиск причины возникновения инцидента;

- классификация инцидента как умышленного или неумышленного;

- идентификация нарушителя;

- сбор доказательств совершения инцидента;

- привлечение правоохранительных органов (в случае необходимости);

- анализ статистики подобных инцидентов;

- определение последствий (нанесенного ущерба) инцидента информационной безопасности.

Для поиска причины возникновения инцидента, а также для дальнейшего расследования документируются все факты и доказательства произошедшего инцидента информационной безопасности, в том числе следующие данные:

- технические - информация, полученная от технических средств сбора и анализа данных (снифферы, IDS/IPS и др.);

- операционные - данные, собранные в процессе опроса сотрудников сектора ЗАГС.

При анализе инцидентов высокого или среднего уровня критичности необходимо вести журнал расследований, в котором фиксируются следующие сведения:

- текущий статус расследования;

- описание инцидента;

- действия, производимые командой реагирования в процессе обработки инцидента;

- список сотрудников, задействованных в расследовании и устранении последствий инцидента, описание их функций и процента занятости в процедуре расследования;

- перечень данных (с указанием источников), собранных в ходе расследования инцидента;

- комментарии участников расследования;

- описание последующих действий и состояние процесса в настоящий момент.

Сбор доказательств совершения инцидента необходим для:

- привлечения к ответственности лиц за умышленные или непреднамеренные действия;

- анализа уязвимости информационной системы;

- ликвидации последствий инцидента информационной безопасности.

При классификации инцидента как умышленного производятся мероприятия по идентификации личности нарушителя.

Определение последствий инцидента информационной безопасности подразумевает оценку нанесенного ущерба, если его возможно представить в количественном виде.

После завершения устранения и анализа инцидента информационной безопасности по инициативе ответственного сотрудника может проводиться обсуждение его результатов совместно со всеми привлеченными и заинтересованными сторонами. По итогам обсуждения комиссия по расследованию инцидента делает соответствующие выводы об уязвимостях и угрозах информационной безопасности, а также определяет необходимые мероприятия по недопущению подобных инцидентов в будущем. Соответствующие выводы документируются и хранятся у ответственного за организацию обработки персональных данных в секторе ЗАГС.

Ответственный за организацию обработки персональных данных в секторе ЗАГС обеспечивает надежное защищенное хранение информации о произошедших инцидентах информационной безопасности. Доступ к данным сведениям других сотрудников возможен только в соответствии с их должностными обязанностями.

4. Порядок пересмотра

Внесение изменений в Положение может носить как регламентный характер, так и быть вызванным изменениями в системе информационной безопасности или нормативных документах.

Пересмотр Положения производится в следующих случаях:

- при изменении законодательства в области защиты ПДн;

- регламентный пересмотр Положения;

- внесение изменений в регламентные документы сектора ЗАГС;

- внесение изменений в информационную систему персональных данных.

В случае внесения изменений в законодательство в области защиты ПДн необходимо провести пересмотр Положения для оценки его соответствия новым требованиям.

Регламентный пересмотр Положения производится раз в год и обусловлен необходимостью соответствия Положения текущему состоянию ИСПДн и используемых методов защиты ПДн.

Положение разрабатывается на основе концептуальных документов по информационной безопасности. В случае изменения взглядов на проблему защиты ПДн или целей обеспечения безопасности ПДн изменения вносятся в концептуальные нормативные документы и, как следствие, требуется пересмотр Положения.

В случае внесения изменений в ИСПДн Положение должно быть дополнено и/или исправлено, чтобы отвечать текущему состоянию ИСПДн.

При внесении изменений в Положение проводятся следующие мероприятия:

- обследование и анализ изменений: в ИСПДн в целом, в СЗПДн, в системе нормативных и регламентных документов;

- внесение изменений в перечень защищаемых объектов и ресурсов (при необходимости);

- формулировка и описание дополнительных (измененных) требований к СЗПДн, мер и процедур защиты ПДн;

- утверждение изменений в Положении.