Организационные меры у операторов пд

Существенно проще организационные требования к созданию и функционированию информационной системы, в которой хранятся персональные данные, у частных компаний – операторов ПД. Первой задачей юридического лица, которое собирается начать деятельность по обработке персональных данных, является уведомление об этом Роскомнадзор. Далее предстоит определить класс защищенности системы и оборудовать ее согласно требованиям ФСТЭК РФ. 

Класс определяется исходя из двух параметров:

• количество обрабатываемых записей более или менее 100 000 человек, не являющихся сотрудниками компании;

• категория данных. Они делятся на три группы – общедоступные, биометрические и специальные (медицинские и касающиеся личных политических, религиозных и иных интересов человека).

Установив категорию, необходимо принять основополагающие документы, определяющие порядок работы с ПД. Согласовывать их ни с кем не требуется, достаточно наличия на предприятии и в доступе в Интернете, если получение данных осуществляется по каналам телекоммуникационной связи. 

Необходимо разработать и утвердить:

• положение о защите персональных данных;

• формат согласия на обработку ПД, а затем организовать порядок его подписания гражданами как собственноручно, например, для организаций сферы ЖКХ, так и путем проставления галочки в специальном поле на сайте для интернет-магазина;

• приказы о назначении лиц, допущенных к обработке ПД; 

• модель угроз.

Документальное обеспечение организационных мер согласно требованиям федеральной службы на этом заканчивается. Конкретные методики защиты помещений, разграничения уровней допуска пользователей, определения архитектуры системы остаются на усмотрение юридического лица. 

Ему необходимо решить задачи:

• идентификации и аутентификации пользователей;

• ограничения доступа, к ПК, программам, носителям информации;

• регистрации инцидентов безопасности;

• антивирусной защиты;

• предотвращения внешних несанкционированных вторжений;

• защиты облачной среды;

• обеспечения доступности и целостности данных.

Для решения этих задач используются программные средства, и они должны быть сертифицированы ФСТЭК РФ по классу, соответствующему классу системы оператора. Потребуется раз в три года проводить переоценку работы системы безопасности, но оператор может делать это самостоятельно, если не желает привлечь специализированные организации, имеющие лицензию.

Требования к программным продуктам

Для защиты информации, содержащейся в государственных ИС, согласно нормам Приказа № 17, могут применяться только сертифицированные программные средства. На частные компании эти нормы распространяются только при обработке ими персональных данных определенных категорий.

Государственные ис

Даже несмотря на то, что обрабатываемая в государственных органах информация не является государственной тайной, она интересует злоумышленников. 

Для сохранности необходимо внедрять только сертифицированные по требуемому классу защиты программные продукты со следующими функциями:

• идентификация и аутентификация пользователей и мобильных устройств;

• управление доступом к информации, его разграничения. контролировать соединения и трафик, использовать защиту от удаленного доступа, средства доверенной загрузки данных;

• ограничение программной среды. Это возможность запуска процессов и программ отдельно друг от друга, установки только разрешенного и сертифицированного программного обеспечения, запрет на инсталляцию иных программ;

• защита носителей информации, их учета, контроля за их перемещением и подключением, контроля записи информации на съемные носители;

• регистрация инцидентов безопасности, формирования заданной реакции на них, сбора и анализа статистической информации об инцидентах безопасности;

• своевременно обновляемые антивирусные программы;

• обнаружение внешних вторжений;

• мониторинг уязвимостей информационной системы, контроля за своевременным обновлением операционных систем и программ, сменой паролей;

• обеспечение целостности информации, файлов, программ, защиты от спама, контроля исходящего трафика, ограничения возможностей инсайдеров по загрузке новых данных в ИС, контроля точности сведений, вводимых в ИС, реакции на ошибки пользователей;

• защита облачной среды.

Выбор сертифицированных защитных средств определяется классом системы. Но если на конкретный временной период бюджетные требования не позволяют установить программное обеспечение нужного класса и уровня сертификации, по согласованию с территориальным органом ведомства допустимы временные отступления и установка иных сертифицированных средств.