2.1 Концепция безопасности объектов информатизации

Концепция безопасности объекта информатизации (ОИ) представляет собой научно-обоснованную систему взглядов на определение основных направлений, условий и порядка практического решения задач защиты от противоправных действий.

Под безопасностью ОИ понимается состояние защищенности интересов владельцев, материальных ценностей и информационных ресурсов.

Обеспечение безопасности является неотъемлемой составной частью работоспособности данного проекта. Состояние защищенности представляет собой умение и способность надежно противостоять любым попыткам злоумышленников нанести ущерб законным интересам граждан.

Объектами безопасности являются:

- граждане, использующие УЭК (доступ к определенным данным, которые могут заинтересовать определенный круг злоумышленников);

- их финансовые средства;

- информационные ресурсы (информация с ограниченным доступом, составляющая конфиденциальную информацию, предоставленная в виде документов и массивов данных, независимо от формы и вида их представления).

- банкоматы, инфокиоски, терминалы, выступающие в качестве средства доступа к информационным ресурсам;

- сам продукт проекта – универсальная электронная карта.

Субъектами правоотношений при решении проблемы безопасности являются:

- государство (Российская Федерация) как собственник ресурсов, создаваемых, приобретаемых и накапливаемых за счет средств государственных бюджетов, а также информационных ресурсов, отнесенных к категории государственной тайны;

- предприятие как юридическое лицо, являющееся собственником финансовых, а также информационных ресурсов, составляющих служебную, коммерческую тайны (персональные данные);

- другие юридические и физические лица, в том числе партнеры и клиенты по финансовым отношениям, задействованные в процессе функционирования коммерческой организации как внутри страны, так и во внешнефинансовых связях (органы государственной власти, исполнительные органы, организации, привлекаемые для оказания услуг в области безопасности, обслуживающий персонал, клиенты и др.);

- службы безопасности, организации и частные охранно-детективные структуры.

Концепция определяет цели и задачи системы безопасности, принципы ее организации, функционирования и правовые основы, виды угроз безопасности и ресурсы, подлежащие защите, а также основные направления разработки системы безопасности, включая правовую, организационную и инженерно-техническую защиту.

27.07.2006 года был утвержден Федеральный Закон №152-ФЗ РФ, предназначенный для любых организаций, обрабатывающих персональные данные. Но особенно этот закон актуален для учреждений, обрабатывающих в больших объемах персональные данные граждан, не связанных с ними трудовыми отношениями. Это государственные органы, предприятия финансового сектора (банки, страховые компании и т.д.), медицинские и образовательные учреждения. Чем больше объем этих данных и серьёзнее их характер, тем выше класс ИСПДн и необходимость использования сертифицированных средств защиты информации. При этом необходимо учитывать, что система электронного доступа должна быть в то же время современной и максимально эффективной в использовании.

В последующем разработаны два стандарта для финансового сектора: СТО БР ИББС и PCI DSS.

1) СТО БР ИББС. Настоящий стандарт распространяется на организации банковской системы Российской Федерации (далее — организации БС РФ) и устанавливает положения по обеспечению ИБ в организациях БС РФ.

Настоящий стандарт рекомендован для применения путем включения ссылок на него и (или) прямого использования устанавливаемых в нем положений во внутренних нормативных и методических документах организаций БС РФ, а также в договорах. Положения настоящего стандарта применяются на добровольной основе, если только в отношении отдельных положений обязательность их применения не установлена законодательством РФ, иными нормативными правовыми актами, в том числе нормативными актами Банка России.

Обязательность применения настоящего стандарта может быть установлена договорами, заключенными организациями БС РФ, или решением организации БС РФ. В этих случаях требования настоящего стандарта, содержащие положения долженствования, применяются на обязательной основе, а рекомендации применяются по решению организации БС РФ.

2) Payment Card Industry Data Security Standard (PCI DSS) — стандарт защиты информации в индустрии платёжных карт, разработанный международными платёжными системами Visa и MasterCard. Представляет собой совокупность 12 детализированных требований по обеспечению безопасности данных о держателях платежных карт, которые передаются, хранятся и обрабатываются в информационных инфраструктурах организаций. Принятие соответствующих мер по обеспечению соответствия требованиям стандарта подразумевает комплексный подход к обеспечению информационной безопасности данных платежных карт.

Требования стандарта распространяются на все компании, работающие с международными платёжными системами Visa и MasterCard. В зависимости от количества обрабатываемых транзакций, каждой компании присваивается определённый уровень с соответствующим набором требований, которые они должны выполнять. В рамках требований стандарта предусматриваются ежегодные аудиторские проверки компаний, а также ежеквартальные сканирования сетей.

С сентября 2006 года стандарт введён международной платёжной системой Visa на территории региона CEMEA (центральная и восточная Европа, Ближний Восток и Африка) как обязательный, соответственно, его действие распространяется и на Россию. Поэтому поставщики услуг (процессинговые центры, платёжные шлюзы, Интернет-провайдеры), работающие напрямую с VisaNet, должны пройти процедуру аудита на соответствие требованиям стандарта.

По той причине, что Федеральный Закон №152-ФЗ РФ от 27.07.2006 года отвечает требованиям для организаций как финансового сектора, так и муниципального, и коммерческого секторов он для нас и будет ключевым в нашем проекте.