Существенные различия между моделями регулирования

От того, насколько федеральная служба может повлиять на владельца информационной системы, зависит глубина контроля. 

Среди основных различий в системе организационных мер для государственных организаций и частных компаний – операторов ПД:

1. Государственная организация, при невозможности самостоятельно выстроить систему защиты информации, вправе привлекать для этой работы только лицензированные компании, на операторов ПД эти требования не распространяются.

2. Формирование требований к охране информации для госорганизации может происходить только на основе строго определенных ГОСТов. Частные операторы более свободны в выборе стандартов выстраивания архитектуры безопасности, могут опираться на ISO, иные стандарты, применять собственные решения, главное – использование сертифицированных программных и аппаратных средств. 

3. Для государственной ИС определяется три класса защиты информации, для ИС оператора ПД – шесть классов. Критерии определения различаются, для оператора – это вид ПД и количество записей, для государственной организации – территориальный признак (от федерального до муниципального). 

4. Модель угроз для госорганизации составляется только на основании документов и баз данных регулятора. Операторы должны лишь иметь в наличии оформленную модель угроз, ее содержание по большей части определяется на их усмотрение. 

Организационные меры для государственного органа

Одной из основных организационных мер для всех участников процесса защиты информации ФСТЭК РФ признает разработку пакета организационно-распорядительной документации. 

Для государственной организации это документы:

• определяющие регламент управления процессом обеспечения безопасности данных;

• устанавливающие порядок выявления и регистрации инцидентов информационной безопасности, реакции на них;

• определяющие регламент управления конфигурацией аттестованной информационной системы и системы защиты информации;

• устанавливающие методику мониторинга информационных систем.

Для государственных ИС существуют свои правила внедрения системы и введения ее в эксплуатацию, осуществляется разграничение уровня доступа пользователей, проверка, насколько полно в регламентах описаны все нюансы работы с обеспечением безопасности данных. В обязательном порядке проводится отработка действий должностных лиц, отвечающих за организацию процесса защиты информации. Далее информационная система официально аттестуется, лишь после этого возможен ее ввод в эксплуатацию. 

В ходе аттестации применяются следующие методы проверки:

• экспертно-документальный. Все документы, регламентирующие работу системы, проверяются на соответствие требованиям ФСТЭК и модели угроз;

• автоматизированный анализ уязвимостей, призванный выявить недостатки настройки системы и проблемы в программном обеспечении;

• проведение испытаний в виде имитации хакерской атаки.

При положительном результате всех тестов возможно начало работы. 

Управление работой состоит из нескольких этапов:

• прогнозирование возможных угроз и планирование дополнительных мероприятий по обеспечению безопасности информации;

• постоянный анализ новых угроз;

• регулярное управление системой защиты информации, мониторинг и доработка недочетов, реагирование на инциденты;

• информирование и обучение персонала;

• регулярный аудит степени защищенности данных.

Вся документация по управлению системой, в том числе о наделении полномочиями лиц, допущенных к ее обслуживанию, утверждается правовым актом ответственного руководителя органа исполнительной власти.