Приложение. Положение об угрозах безопасности персональных данных, актуальных при их обработке в информационных системах государственных органов Республики Башкортостан и (или) подведомственных им организаций

Приложение

к Указу Главы

Республики Башкортостан

от 18 февраля 2019 г. N УГ-40

Положение
об угрозах безопасности персональных данных, актуальных при их обработке в информационных системах государственных органов Республики Башкортостан и (или) подведомственных им организаций

1. Общие положения

Настоящее Положение определяет перечень угроз безопасности персональных данных, актуальных при их обработке в информационных системах государственных органов Республики Башкортостан и (или) подведомственных им организаций (далее - органы и организации) при осуществлении ими соответствующих видов деятельности с учетом содержания, характера и способов обработки персональных данных.

В настоящем Положении используются следующие термины и их определения:

персональные данные (далее - ПДн) - любая информация, относящаяся к прямо или косвенно определенному либо определяемому физическому лицу (субъекту ПДн);

информационная система персональных данных (далее - ИСПДн) - совокупность информационных технологий и технических средств, содержащихся в базах данных и обеспечивающих обработку ПДн;

оператор ИСПДн - государственный или муниципальный орган, юридическое или физическое лицо, самостоятельно либо совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн;

обработка ПДн - любое действие (операция) или совокупность действий (операций), совершаемых с использованием либо без использования средств автоматизации с ПДн, включая их сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение;

безопасность ПДн - состояние защищенности ПДн, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность ПДн при их обработке в ИСПДн;

конфиденциальность ПДн - обязательное для соблюдения оператором или иным получившим доступ к ПДн лицом требование не допускать их распространения без согласия субъекта ПДн либо наличия иного законного основания;

несанкционированный доступ (далее - НСД) - доступ к информации или действия с ней, осуществляемые с нарушением установленных прав и (или) правил доступа к информации либо действий с ней с применением штатных средств информационной системы или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам;

доступ к информации - возможность ее получения и использования;

пользователь ИСПДн - лицо, участвующее в функционировании ИСПДн или использующее результаты ее функционирования;

правила разграничения доступа - совокупность правил, регламентирующих права доступа субъектов доступа к его объектам;

информационный ресурс - часть ИСПДн, хранящая ПДн в файлах (базах данных) и (или) обеспечивающая доступ пользователей к ИСПДн;

средства вычислительной техники (далее - СВТ) - совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем;

средства криптографической защиты информации (далее - СКЗИ) - совокупность программных и технических средств, реализующих криптографические преобразования с исходной информацией и функции выработки и проверки электронной подписи;

среда функционирования СКЗИ (далее - СФ) - СКЗИ и компоненты аппаратных и программных средств, совместно с которыми штатно функционируют СКЗИ;

угрозы безопасности персональных данных (далее - УБПДн) - совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к ПДн, результатами которого могут стать уничтожение, изменение, блокирование, копирование, распространение ПДн, а также иных несанкционированных действий при обработке ПДн в ИСПДн;

нарушитель безопасности ПДн - физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПДн при их обработке техническими средствами в ИСПДн;

целостность информации - способность СВТ или информационной системы обеспечивать неизменность информации в условиях случайного и (или) преднамеренного ее искажения (разрушения);

доступность информации - состояние информации, при котором субъекты, имеющие права доступа, могут реализовать их беспрепятственно;

государственная доверенная инфокоммуникационная инфраструктура Республики Башкортостан (далее - ГДИИ РБ) - единая инфраструктура, реализующая пространство электронного взаимодействия и обеспечивающая предоставление инфокоммуникационных услуг (сервисов) на основе доверенных сетей связи;

оператор ГДИИ РБ - организация, в ведении которой находится ГДИИ РБ и которая обеспечивает сопровождение, администрирование и модернизацию ГДИИ РБ, а также защиту обрабатываемой в ней информации;

координатор ГДИИ РБ - Государственный комитет Республики Башкортостан по информатизации и вопросам функционирования системы "Открытая Республика", регулирующий вопросы подключения к ГДИИ РБ, государственный заказчик работ, связанных с развитием и сопровождением ГДИИ РБ;

республиканский центр обработки данных (далее - РЦОД) - основной сегмент инфраструктуры хранения и обработки данных, обеспечивающий защищенное хранение и обработку информации, содержащейся в информационных системах органов государственной власти Республики Башкортостан и в иных информационных системах;

системное программное обеспечение (далее - СПО) - совокупность программ для управления аппаратурой компьютера и обеспечения работы прикладных программ;

прикладное программное обеспечение (далее - ППО) - совокупность программ для решения прикладных задач (задач пользователя);

носитель информации - физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин;

идентификация - присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов;

вредоносное программное обеспечение - программа, предназначенная для осуществления НСД и (или) воздействия на ПДн либо ресурсы ИСПДн;

недекларированные возможности - функциональные возможности программного обеспечения, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности и (или) целостности обрабатываемой информации;

уровень защищенности ПДн - комплексный показатель, который характеризует выполнение требований, нейтрализующих угрозы безопасности ИСПДн.

Настоящее Положение разработано в соответствии со следующими нормативными актами и руководящими документами:

Федеральным законом "Об информации, информационных технологиях и о защите информации";

Федеральным законом "О персональных данных";

постановлением Правительства Российской Федерации от 1 ноября 2012 года N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

приказом Федеральной службы по техническому и экспертному контролю (далее - ФСТЭК России) от 11 февраля 2013 года N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 года N 27);

приказом ФСТЭК России от 18 февраля 2013 года N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" (с изменениями, внесенными приказом ФСТЭК России от 23 марта 2017 года N 49);

методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной ФСТЭК России 14 февраля 2008 года;

базовой моделью угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной ФСТЭК России 15 февраля 2008 года;

методическим документом "Меры защиты информации в государственных информационных системах", утвержденным ФСТЭК России 11 февраля 2014 года;

приказом Федеральной службы безопасности Российской Федерации (далее - ФСБ России) от 10 июля 2014 года N 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности";

постановлением Правительства Республики Башкортостан от 25 сентября 2015 года N 408 "О Концепции государственной доверенной инфокоммуникационной инфраструктуры Республики Башкортостан".

В настоящем Положении не рассматриваются вопросы обеспечения безопасности ПДн, отнесенные в установленном порядке к сведениям, составляющим государственную тайну.

Настоящее Положение предназначено для органов и организаций при решении ими следующих задач:

определение УБПДн, актуальных при обработке ПДн в ИСПДн;

анализ защищенности ИСПДн от актуальных УБПДн в ходе выполнения мероприятий по обеспечению информационной безопасности (защите информации);

модернизация системы защиты ПДн;

проведение мероприятий по минимизации и (или) нейтрализации УБПДн;

предотвращение несанкционированного воздействия на компоненты ИСПДн;

контроль обеспечения требуемого уровня защищенности ПДн.

При определении УБПДн, актуальных при обработке ПДн в используемых ИСПДн, и совокупности предположений о возможностях нарушителя, которые могут использоваться при создании, подготовке и проведении компьютерных атак, органы и организации с учетом вида, условий и особенностей функционирования ИСПДн, характера и способов обработки ПДн используют информацию:

о группах актуальных УБПДн, приведенных в пункте 4.2.1 настоящего Положения;

о типовых возможностях нарушителей безопасности информации и направлениях компьютерных атак, приведенных в приложении N 1 к настоящему Положению;

о расширенном перечне УБПДн, приведенном в приложении N 2 к настоящему Положению.

Определение актуальных УБПДн осуществляется в соответствии с нормативными актами уполномоченных федеральных органов исполнительной власти, а также настоящим Положением.

Определение требований к системе защиты информации в ИСПДн в зависимости от уровня их защищенности и УБПДн, принятых актуальными при обработке ПДн в ИСПДн, а также осуществление выбора средств защиты информации проводятся согласно нормативным правовым актам ФСБ России и ФСТЭК России, изданным во исполнение части 4 статьи 19 Федерального закона "О персональных данных".

Определение актуальных УБПДн применительно к ИСПДн органа (организации) осуществляется на основе расширенного перечня УБПДн, прилагаемого к настоящему Положению, в рамках разработки частной модели УБПДн для конкретной ИСПДн.

В частной модели УБПДн приводятся описание ИСПДн и ее структурно-функциональных характеристик, а также описание УБПДн, в том числе возможностей нарушителей (модель нарушителя), возможных уязвимостей ИСПДн, способов и последствий реализации УБПДн.

Типовая форма частной модели угроз безопасности информации для государственных органов разрабатывается координатором ГДИИ РБ с учетом требований приказа ФСТЭК России от 11 февраля 2013 года N 17 "Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах" (с изменениями, внесенными приказом ФСТЭК России от 15 февраля 2017 года N 27), приказа ФСБ России от 10 июля 2014 года N 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности" и банка данных угроз безопасности информации ФСТЭК России (http://bdu.fstec.ru/threat).

2. Информационные системы персональных данных

Органы и организации обрабатывают ПДн в целях осуществления своих полномочий. Состав ПДн, подлежащих обработке в конкретной ИСПДн, цели обработки, действия (операции), совершаемые с ПДн в ИСПДн, определяются органом (организацией), являющимся (являющейся) оператором ИСПДн.

Порядок обработки ПДн в ИСПДн определяется требованиями Федерального закона "О персональных данных". Содержание и объем обрабатываемых ПДн в ИСПДн должны соответствовать целям их обработки.

ИСПДн и ее компоненты должны быть расположены в пределах Российской Федерации.

В зависимости от технологии обработки ПДн, их целей и состава ИСПДн подразделяются на следующие категории:

информационно-справочные;

региональные;

ведомственные;

служебные.

Для всех категорий ПДн вышеуказанных видов ИСПДн необходимо обеспечивать следующие характеристики безопасности:

конфиденциальность;

целостность;

доступность.

2.1. Размещение информационных систем персональных данных

2.1.1. Серверы и базы данных ИСПДн органов (организаций) могут располагаться непосредственно в органах (организациях) или в РЦОД. Информационные ресурсы ИСПДн, которые относятся к государственным информационным системам, в обязательном порядке размещаются в РЦОД. При этом в органе (организации) функционируют СВТ, входящие в состав автоматизированных рабочих мест пользователей ИСПДн.

2.1.2. Контролируемой зоной ИСПДн, функционирующих в органах (организациях), являются здания и отдельные помещения, принадлежащие этим органам (организациям) или арендуемые ими. СВТ, предназначенные для обработки ПДн, должны располагаться в пределах контролируемой зоны органа (организации) и РЦОД (для ИСПДн, по которым есть решение координатора ГДИИ РБ по размещению серверной части в РЦОД). Вне контролируемой зоны находятся линии передачи данных и телекоммуникационное оборудование оператора связи (провайдера), используемое для информационного обмена по сетям связи общего пользования (сетям международного информационного обмена) и расположенное за пределами территории органа (организации).

2.1.3. Локальные вычислительные сети передачи данных в органах и организациях организованы по топологии "звезда" и имеют подключения к следующим сетям:

внешним сетям общего пользования (сетям провайдера) посредством проводных каналов связи (оптоволокно или медные линии);

ГДИИ РБ посредством защищенных каналов связи, подключение к которым осуществляется в пределах контролируемой зоны;

иным сетям, взаимодействие с которыми организовано органами и организациями в целях осуществления своих полномочий.

2.1.4. Подключение к сетям связи общего пользования осуществляется органами и организациями при условии соблюдения ими мер по обеспечению безопасности информации.

2.1.5. Защищенное подключение к ГДИИ РБ осуществляет оператор ГДИИ РБ в соответствии со своими регламентами.

2.2. Объекты защиты и технологии обработки персональных данных в информационных системах персональных данных

2.2.1. При определении органами и организациями УБПДн в конкретной ИСПДн защите подлежат следующие входящие в нее объекты:

ПДн, обрабатываемые в ИСПДн;

информационные ресурсы ИСПДн (файлы, базы данных и т. п.);

СВТ, предназначенные для обработки ПДн;

средства защиты информации и СКЗИ;

среда функционирования СКЗИ;

информация, относящаяся к криптографической защите ПДн, включая ключевую, парольную и аутентифицирующую информацию СКЗИ;

документы, дела, журналы, картотеки, издания, технические документы, видео-, кино- и фотоматериалы, рабочие материалы и т. п., в которых отражена защищаемая информация, относящаяся к ИСПДн и их криптографической защите, включая документацию на СКЗИ, а также на технические и программные компоненты среды функционирования СКЗИ;

носители защищаемой информации, используемые в ИСПДн, в том числе в процессе криптографической защиты ПДн, носители ключевой, парольной и аутентифицирующей информации СКЗИ и порядок доступа к ним;

используемые ИСПДн каналы (линии) связи, включая кабельные системы;

сети передачи данных, не выходящие за пределы контролируемой зоны ИСПДн;

помещения, в которых обрабатываются ПДн и располагаются компоненты ИСПДн;

помещения, в которых находятся ресурсы ИСПДн, имеющие отношение к криптографической защите ПДн.

2.2.2. В состав СВТ, предназначенных для обработки ПДн в ИСПДн, входят:

автоматизированное рабочее место (далее - АРМ) с различными уровнями доступа (правами), представляющее собой программно-аппаратный комплекс, позволяющий осуществлять доступ пользователей к ИСПДн и предназначенный для локальной обработки информации (ИСПДн может состоять из одного АРМ);

терминальная станция, представляющая собой программно-аппаратный комплекс, позволяющий осуществлять доступ пользователей к ИСПДн и не предназначенный для локальной обработки информации;

серверный сегмент ИСПДн, предназначенный для обработки и консолидированного хранения ПДн и представляющий собой программно-аппаратный комплекс в совокупности с программным и информационным обеспечением для его управления:

СПО (операционные системы физических серверов, виртуальных серверов, АРМ и т. п.);

НПО (системы управления базами данных и т. п.), предназначенное для обработки и консолидированного хранения данных в ИСПДн.

3. Виды информационных систем персональных данных

3.1. Информационно-справочные информационные системы персональных данных

Информационно-справочные ИСПДн используются для официального доведения любой информации до определенного или неопределенного круга лиц.

3.1.1. К информационно-справочным ИСПДн относятся:

официальные порталы (сайты) органов и организаций;

информационные порталы (сайты), которые ведутся конкретным органом (организацией) и посвящаются определенному проекту и (или) мероприятию, проводимому на территории Республики Башкортостан;

закрытые порталы для нескольких групп сотрудников органов и организаций.

3.1.2. Официальные порталы (сайты) органов и организаций содержат сведения об их деятельности, в том числе сведения, подлежащие обязательному опубликованию в данных ИСПДн в соответствии с законодательством Российской Федерации.

Категории ПДн, которые могут подлежать обработке в ИСПДн, - иные и (или) общедоступные.

Режим обработки ПДн в информационно-справочных ИСПДн - многопользовательский, предусматривающий разграничение доступа. Обработка ПДн осуществляется посредством веб-интерфейса сотрудниками оператора ИСПДн или сторонней организации по поручению оператора ИСПДн. ПДн хранятся в базе данных ИСПДн и отображаются по запросу соответствующей страницы ИСПДн пользователям в соответствии с предоставленными правами доступа.

Обработке в ИСПДн могут подлежать ПДн сотрудников оператора ИСПДн или субъектов ПДн, не являющихся сотрудниками оператора ИСПДн.

Структура ИСПДн - локальная, функционирующая в контролируемой зоне органа (организации), и (или) на серверном оборудовании иного (иной) органа (организации) в пределах его (ее) контролируемой зоны, и (или) на вычислительных ресурсах РЦОД.

ИСПДн подключены к сетям связи общего пользования (сетям международного информационного обмена). По типу подключения ИСПДн делятся на:

подключенные посредством ГДИИ РБ;

подключенные с использованием иных каналов связи.

Технические средства (далее - ТС), предназначенные для обработки ПДн: СВТ, входящие в состав АРМ пользователей ИСПДн; серверное, сетевое и телекоммуникационное оборудование.

3.2. Региональные информационные системы персональных данных

Региональные ИСПДн создаются и эксплуатируются по решению органов.

3.2.1. По выполняемым функциям ИСПДн подразделяются на следующие:

интеграционные (система межведомственного электронного взаимодействия Республики Башкортостан; узел обмена системы электронного документооборота органов и т. п.);

многопрофильные (например, автоматизированная информационная система поддержки деятельности многофункциональных центров предоставления государственных и муниципальных услуг Республики Башкортостан; региональная информационная система в сфере закупок и т. п.).

3.2.2. Интеграционные ИСПДн содержат сведения о мероприятиях, проводимых органами в соответствии с их функциями и полномочиями.

Категории ПДн, которые могут подлежать обработке в данных ИСПДн: иные; общедоступные.

Режим обработки ПДн в интеграционных ИСПДн - многопользовательский, предусматривающий разграничение прав доступа. Обработка ПДн осуществляется посредством веб-интерфейса сотрудниками оператора ИСПДн или сторонней организацией по поручению оператора ИСПДн. ПДн хранятся в базе данных ИСПДн и отображаются по запросу соответствующей страницы ИСПДн пользователям в соответствии с предоставленными правами доступа.

Структура ИСПДн - локальная или распределенная, функционирующая в контролируемой зоне органа (организации).

ИСПДн могут быть подключены к сетям связи общего пользования (сетям международного информационного обмена). По типу подключения интеграционные ИСПДн делятся на: подключенные посредством ГДИИ РБ; подключенные с использованием иных каналов связи.

Обмен (передача и получение) ПДн в интеграционной ИСПДн осуществляется в зависимости от технологии подключения к сетям связи общего пользования (сетям международного информационного обмена):

посредством ГДИИ РБ;

с использованием иных средств защищенного доступа для передачи информации по открытым каналам связи.

ТС, предназначенные для обработки ПДн: СВТ, входящие в состав АРМ; серверное, сетевое и телекоммуникационное оборудование.

3.2.3. Многопрофильные ИСПДн консолидируют сведения из множества органов и организаций, касающиеся их финансовой и другой деятельности в соответствии с функциями и полномочиями.

Категории ПДн, которые могут подлежать обработке в данной ИСПДн:

общедоступные;

специальные;

иные.

Режим обработки ПДн в многопрофильных ИСПДн - многопользовательский, предусматривающий разграничение прав доступа. Обработка ПДн осуществляется сотрудниками органов (организаций) в специализированных программах и (или) посредством веб-интерфейса в соответствии с предоставленными правами доступа.

Структура ИСПДн - локальная или распределенная, функционирующая в контролируемой зоне органа (организации) и (или) РЦОД.

ИСПДн подключена к сетям связи общего пользования (сетям международного информационного обмена). По типу подключения многопрофильные ИСПДн делятся на:

подключенные посредством ГДИИ РБ;

подключенные с использованием иных каналов связи.

ТС, предназначенные для обработки ПДн: СВТ, входящие в состав АРМ пользователей ИСПДн; серверное, сетевое и телекоммуникационное оборудование.

3.3. Ведомственные информационные системы персональных данных

Ведомственные ИСПДн создаются (эксплуатируются) по решению органа (организации) для осуществления своих функций.

Категории ПДн, которые могут подлежать обработке в ИСПДн:

общедоступные;

специальные;

иные.

Режим обработки ПДн в ведомственных ИСПДн - многопользовательский, предусматривающий разграничение доступа. Обработка ПДн осуществляется сотрудниками органов (организаций) в специализированных программах и (или) посредством веб-интерфейса в соответствии с предоставленными правами.

Типы субъектов, ПДн которых могут подлежать обработке в ИСПДн: сотрудники оператора ИСПДн и субъекты персональных данных, не являющиеся сотрудниками оператора.

Структура ИСПДн - распределенная или локальная, функционирующая в контролируемой зоне органа (организации) и (или) РЦОД (в случае принятия такого решения координатором ГДИИ РБ).

ИСПДн подключены к сетям связи общего пользования (сетям международного информационного обмена). По типу подключения ведомственные ИСПДн делятся на:

подключенные посредством ГДИИ РБ;

подключенные с использованием иных каналов связи.

Обмен ПДн между сегментами ИСПДн (при наличии) и с иными ИСПДн осуществляется: посредством ГДИИ РБ; с использованием СКЗИ через сети общего пользования.

Также обмен ПДн между сегментами ИСПДн (при наличии) и с иными ИСПДн может осуществляться посредством собственных корпоративных сетей органа (организации).

ТС, предназначенные для обработки ПДн: СВТ, входящие в состав АРМ пользователей ИСПДн; терминальная станция; серверное, сетевое и телекоммуникационное оборудование.

3.4. Служебные информационные системы персональных данных

Служебные ИСПДн создаются (эксплуатируются) по решению органа (организации) в их интересах; цели и задачи создания (модернизации), эксплуатации служебных ИСПДн определяются органом (организацией) и используются для автоматизации определенной области деятельности или типовой деятельности, неспецифичной относительно полномочий конкретного органа (организации).

3.4.1. К основным служебным ИСПДн относятся:

ИСПДн бухгалтерского учета и управления финансами;

ИСПДн кадрового учета и управления персоналом;

ИСПДн документооборота и делопроизводства.

3.4.2. ИСПДн бухгалтерского учета и управления финансами предназначены для автоматизации деятельности органа (организации), связанной с ведением бухгалтерского учета и управлением финансами.

Обработке в ИСПДн подлежат иные категории ПДн.

Режим обработки ПДн в служебных ИСПДн - многопользовательский, предусматривающий разграничение доступа. Обработка ПДн осуществляется сотрудниками органов (организаций) в специализированных программах и (или) посредством веб-интерфейса в соответствии с предоставленными правами доступа.

Типы субъектов, ПДн которых могут подлежать обработке в ИСПДн:

сотрудники оператора ИСПДн или сторонней организации по поручению оператора ИСПДн.

Структура ИСПДн - локальная, функционирующая в контролируемой зоне органа (организации).

По типу подключения ИСПДн делятся на:

ИСПДн без подключения к сетям связи общего пользования (передача ПДн осуществляется с использованием машинных носителей);

подключенные посредством ГДИИ РБ;

подключенные с использованием иных каналов связи.

ТС, предназначенные для обработки ПДн: СВТ, входящие в состав АРМ пользователей ИСПДн;

серверное, сетевое и телекоммуникационное оборудование.

3.4.3. ИСПДн кадрового учета и управления персоналом предназначены для автоматизации деятельности органа (организации), связанной с ведением кадрового учета и управления персоналом.

Категории ПДн, которые могут подлежать обработке в ИСПДн:

специальные;

иные.

Режим обработки ПДн в ИСПДн кадрового учета - многопользовательский, предусматривающий разграничение доступа. Обработка ПДн осуществляется сотрудниками органов (организаций) в специализированных и (или) стандартных офисных программах и (или) посредством веб-интерфейса в соответствии с предоставленными правами доступа.

Типы субъектов, ПДн которых могут подлежать обработке в данной ИСПДн:

сотрудники оператора ИСПДн;

граждане Российской Федерации, устанавливающие (имеющие) трудовые отношения с органом (организацией).

Структура ИСПДн - локальная, функционирующая в контролируемой зоне органа (организации).

По типу подключения ИСПДн делятся на:

ИСПДн без подключения к сетям связи общего пользования (передача ПДн осуществляется с использованием машинных носителей);

подключенные посредством ГДИИ РБ; подключенные через провайдера.

ТС, предназначенные для обработки ПДн: СВТ, входящие в состав АРМ пользователей ИСПДн; серверное, сетевое и телекоммуникационное оборудование.

3.4.4. ИСПДн пенсионного фонда и налоговых служб предназначены для автоматизации деятельности органа (организации), связанной с осуществлением пенсионных отчислений и уплатой налогов.

Режим обработки ПДн в ИСПДн пенсионного фонда - многопользовательский, предусматривающий разграничение прав доступа.

Обработка ПДн осуществляется сотрудниками органов (организаций) в специализированных программах и (или) посредством веб-интерфейса в соответствии с предоставленными правами доступа.

Тип субъектов, ПДн которых могут подлежать обработке в данной ИСПДн, - сотрудники оператора ИСПДн.

Структура ИСПДн - локальная, функционирующая в контролируемой зоне органа (организации).

Указанные ИСПДн подключены к сетям связи общего пользования (сетям международного информационного обмена). По типу подключения ИСПДн делятся на:

подключенные посредством ГДИИ РБ;

подключенные с использованием иных каналов связи.

ТС, предназначенные для обработки ПДн: СВТ, входящие в состав АРМ пользователей ИСПДн; серверное, сетевое и телекоммуникационное оборудование.

3.4.5. ИСПДн документооборота и делопроизводства предназначены для автоматизации деятельности органа (организации), связанной с осуществлением документооборота и делопроизводства.

Категории ПДн, которые могут подлежать обработке в данной ИСПДн:

общедоступные;

специальные;

иные.

Режим обработки ПДн в указанной ИСПДн - многопользовательский, предусматривающий разграничение доступа. Обработка ПДн осуществляется сотрудниками органов (организаций) в специализированных программах и (или) посредством веб-интерфейса в соответствии с предоставленными правами.

Типы субъектов, ПДн которых могут подлежать обработке в указанной ИСПДн: сотрудники оператора ИСПДн и (или) субъекты персональных данных, не являющиеся сотрудниками оператора.

Структура ИСПДн - локальная, функционирующая в контролируемой зоне органа (организации).

По типу подключения ИСПДн делятся на:

ИСПДн без подключения к сетям связи общего пользования (передача ПДн осуществляется с использованием машинных носителей);

подключенные с использованием иных каналов связи.

ТС, предназначенные для обработки ПДн: СВТ, входящие в состав АРМ пользователей ИСПДн; серверное, сетевое и телекоммуникационное оборудование.

4. Определение актуальных угроз

4.1. Источники угроз безопасности персональных данных

4.1.1. Источниками УБПДн в ИСПДн выступают:

носитель вредоносной программы; аппаратная закладка;

нарушитель.

4.1.2. Носителем вредоносной программы может быть аппаратный элемент компьютера или программный контейнер. Если вредоносная программа не ассоциируется с какой-либо прикладной программой, то в качестве ее носителей рассматриваются:

отчуждаемый носитель, то есть дискета, оптический диск (CD, DVD и др.), флэш-память, отчуждаемый жесткий диск и др.;

встроенные носители информации (жесткие диски, микросхемы оперативной памяти, микросхемы системной платы, микросхемы устройств, встраиваемых в системный блок, видеоадаптера, сетевой платы, звуковой платы, модема, устройств ввода (вывода) магнитных жестких и оптических дисков, блока питания и т. п., микросхемы прямого доступа к памяти, шин передачи данных, портов ввода (вывода));

микросхемы внешних устройств (монитора, клавиатуры, принтера, модема, сканера и др.).

Если вредоносная программа ассоциируется с какой-либо прикладной программой, с файлами, имеющими определенные расширения или иные атрибуты, с сообщениями, передаваемыми по сети, то ее носителями являются:

пакеты передаваемых по компьютерной сети сообщений;

файлы (текстовые, графические, исполняемые и др.).

4.1.3. Аппаратная закладка предназначена для регистрации информации (ПДн), вводимой в ИСПДн с клавиатуры АРМ пользователя ИСПДн:

аппаратная закладка внутри клавиатуры;

считывание данных с кабеля клавиатуры бесконтактным методом;

включение устройства в разрыв кабеля;

аппаратная закладка внутри системного блока и др.

При условии исключения неконтролируемого пребывания физических лиц в служебных помещениях, в которых размещены носители ПДн, компоненты ИСПДн, угроза установки аппаратных закладок посторонними лицами рассматривается как неактуальная. Также вероятность реализации данной угрозы считается низкой из-за несоответствия стоимости аппаратных закладок, сложности их скрытой установки и ценности полученной в результате информации.

4.1.4. Под нарушителем безопасности информации понимается физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности ПДн при их обработке в ИСПДн.

По наличию права постоянного или разового доступа к ИСПДн нарушители подразделяются на три типа.

Первый тип - внешний нарушитель. Данный тип нарушителя не имеет права постоянного доступа или имеет право разового доступа в контролируемую зону, а также не имеет доступа к техническим средствам и ресурсам ИСПДн, расположенным в пределах контролируемой зоны, либо действия нарушителя ограничены и контролируются. Данный тип нарушителя может реализовывать угрозы из внешних сетей связи общего пользования и (или) сетей международного информационного обмена.

Второй тип - внутренний нарушитель, имеющий доступ к ИСПДн. Данный тип нарушителя имеет право постоянного (периодического) доступа в контролируемую зону, а также доступ к техническим средствам и ресурсам ИСПДн, расположенным в пределах контролируемой зоны. Данный тип нарушителя может осуществлять компьютерные атаки с использованием внутренней (локальной) сети передачи данных и непосредственно в ИСПДн.

Третий тип - внутренний нарушитель, не имеющий доступа к ИСПДн. Данный тип нарушителя имеет право постоянного (периодического) доступа в контролируемую зону, но не имеет доступа к техническим средствам и ресурсам ИСПДн, расположенным в пределах контролируемой зоны. Данный тип нарушителя может осуществлять компьютерные атаки с использованием внутренней (локальной) сети передачи данных.

4.2. Основные группы угроз безопасности персональных данных в информационных системах персональных данных

4.2.1. Основными группами УБПДн в ИСПДн являются:

угрозы утечки информации по техническим каналам;

угрозы нарушения конфиденциальности;

угрозы нарушения доступности информации;

угрозы нарушения целостности информации;

угрозы, не относящиеся к компьютерным атакам;

угрозы использования штатных средств ИСПДн в целях совершения НСД к информации;

угрозы НСД, создающие предпосылки для реализации НСД в результате нарушения процедуры авторизации и аутентификации;

угрозы НСД к информации в результате слабости процедур разграничения ролей и полномочий, правил управления доступом;

угрозы внесения уязвимостей при проектировании и внедрении ИСПДн (системы защиты ИСПДн);

угрозы ошибочных (деструктивных) действий сотрудников оператора ИСПДн;

угрозы программно-математических воздействий;

угрозы, связанные с использованием сетевых технологий;

угрозы, связанные с использованием облачных технологий;

угрозы, связанные с использованием технологий виртуализации;

угрозы, связанные с перехватом защищаемой информации при ее передаче по каналам связи;

угрозы, связанные с нарушением правил эксплуатации машинных носителей;

угрозы, связанные с нарушением процедур установки (обновления) программного обеспечения и оборудования;

угрозы физического доступа к компонентам ИСПДн;

угрозы недекларированных возможностей в СПО и ППО;

угрозы эксплуатации уязвимостей в СПО, ППО, в аппаратных компонентах ИСПДн, микропрограммном обеспечении, а также в средствах защиты информации;

угрозы инженерной инфраструктуры;

угрозы, связанные с отсутствием системы регистрации событий информационной безопасности.

5. Актуальные угрозы безопасности персональных данных в информационных системах персональных данных

Перечень актуальных УБПДн уточняется и дополняется по мере выявления новых источников угроз, развития способов и средств реализации УБПДн в ИСПДн в ходе периодических мероприятий по оценке состояния ее защищенности.

Периодические мероприятия включают в себя анализ изменения и переоценку актуальных УБПДн. Периодические мероприятия проводятся не реже одного раза в год оператором ГДИИ РБ с привлечением экспертного сообщества.

Результаты переоценки угроз безопасности персональных данных согласовываются с ФСТЭК России и ФСБ России в установленном порядке.

6. Меры защиты персональных данных при их обработке в информационных системах персональных данных

6.1. Организационными мерами защиты ПДн при их обработке в ИСПДн являются:

разработка (актуализация) документов, регламентирующих вопросы обеспечения безопасности ПДн и эксплуатации средств защиты информации в ИСПДн;

определение технологических процессов обработки ПДн;

разработка (актуализация) инструкций по вопросам эксплуатации ИСПДн для пользователей, администраторов и администраторов безопасности;

охрана и организация режима допуска к компонентам ИСПДн;

размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр;

учет машинных носителей ПДн и средств защиты информации.

6.2. Техническими мерами защиты ПДн при их обработке в ИСПДн являются следующие:

использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия требованиям по безопасности информации для защиты от несанкционированного доступа (класс средств защиты определяется в соответствии с приказом ФСТЭК России от 18 февраля 2013 года N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" (с изменениями, внесенными приказом ФСТЭК России от 23 марта 2017 года N 49));

использование СКЗИ в случаях актуальных угроз, нейтрализация которых возможна только с помощью криптографической защиты (класс средств криптографической защиты определяется в соответствии с приказом ФСБ России от 10 июля 2014 года N 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности");

использование средств антивирусной защиты с регулярным обновлением баз данных признаков вредоносных компьютерных программ (вирусов);

использование средств контроля (анализа) защищенности ИСПДн;

периодическое резервное копирование информации на резервные машинные носители информации.

6.3. Оценка эффективности мер по обеспечению безопасности ПДн, реализованных в рамках системы защиты ПДн, проводится оператором ИСПДн самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанная оценка проводится не реже одного раза в 3 года.

6.4. В случае, если функции использования информационных технологий органы передали иным организациям, обеспечение мер защиты ПДн при их обработке в ИСПД возлагается на указанные организации в соответствии с заключенными соглашениями, договорами и законодательством Российской Федерации.