Защита персональных данных в организации. Монография

81

Организация эксплуатации автоматизированной системы (АС) осуществляется в соответствии с установленным оператором порядком, в том числе технологическими инструкциями по эксплуатации АС для пользователей, администраторов АС и работников службы безопасности.

Для обеспечения защиты информации в процессе эксплуатации АС, с помощью которой обрабатываются сведения, содержащие персональные данные, рекомендуется предусматривать соблюдение следующих основных положений и требований:

допуск к защищаемой информации лиц, работающих в АС (пользователей, обслуживающего персонала), должен проводиться в соответствии с установленным оператором разрешительной системы допуском;

на период обработки защищаемой информации в помещениях, где размещаются ОТСС, могут находиться только лица, допущенные оператором к обрабатываемой информации; допуск в эти помещения других лиц для проведения необходимых профилактических или ремонтных работ может быть только с санкции руководителя учреждения (предприятия) или руководителя службы безопасности;

в случае размещения в одном помещении нескольких технических средств отображения информации должен быть исключен несанкционированный просмотр выводимой на них информации;

по окончании обработки защищаемой информации или при передаче управления другому лицу пользователь обязан стереть временные файлы на несъѐмных носителях информации и информации в оперативной памяти. Одним из способов стирания является перезагрузка ПЭВМ;

изменение или ввод новых программ обработки защищаемой информации в АС должен осуществляться совместно разработчиком АС и администратором АС;

при увольнении или перемещении администраторов АС оператором по согласованию со службой безопасности должны быть приняты меры по оперативному изменению паролей, идентификаторов и ключей шифрования.

82

Все носители информации на бумажной, магнитной, оптической (магнитооптической) основе, используемые в технологическом процессе обработки информации в АС, подлежат учету. Учет съемных носителей информации на магнитной или оптической основе (гибкие магнитные диски, съемные накопители информации большой емкости или картриджи и т.п.), а также распечаток текстовой и графической осуществляется по карточкам или журналам установленной формы, в том числе автоматизированно с использованием средств вычислительной техники. При этом перед указанным учетом сотрудником, ответственным за их учет, на этих носителях информации предварительно проставляются любым доступным способом следующие учетные реквизиты: учетный номер и дата, гриф конфиденциальности, номер экземпляра, подпись этого сотрудника, а также другие возможные реквизиты, идентифицирующие этот носитель.

Временно не используемые носители информации, содержащие персональные данные, должны храниться оператором в местах, недоступных для посторонних лиц.

Автоматизированные системы, используемые для обработки персональных данных, в необязательном порядке могут быть аттестованы как объекты информатизации по требованиям безопасности информации. Под аттестацией объектов информатизации понимается комплекс организационно-технических мероприятий, в результате которых посредством специального документа - "Аттестата соответствия" – подтверждается, что объект соответствует требованиям стандартов или иных нормативнотехнических документов по безопасности информации, утвержденных ФСТЭК России. Наличие на объекте информатизации действующего "Аттестата соответствия" дает право обработки информации с уровнем секретности (конфиденциальности) и на период времени, установленный в документе [1].

Аттестация предусматривает комплексную проверку защищаемого объекта информатизации в реальных условиях эксплуатации с целью оценки соответствия применяемого комплекса меp и средств защиты требуемому уровню безопасности информации. Аттестация по требованиям безопасности информации предшествует началу

83

обработки подлежащей защите информации и вызвана необходимостью официального подтверждения эффективности комплекса используемых на конкретном объекте информатизации мер и средств защиты информации. При аттестации объекта информатизации подтверждается его соответствие требованиям по защите информации от несанкционированного доступа, в том числе от компьютерных вирусов, от утечки за счет побочных электромагнитных излучений и наводок при специальных воздействиях на объект (высокочастотное навязывание и облучение, электромагнитное и радиационное воздействие), от утечки или воздействия на нее за счет специальных устройств, встроенных в объекты информатизации [1].

4.5. Защита персональных данных при использовании съѐмных накопителей большой ѐмкости

для автоматизированных рабочих мест на базе автономных ПЭВМ

Автоматизированные рабочие места (АРМ) на базе автономных ПЭВМ являются автоматизированными системами (АС), обладающими всеми основными признаками АС. Информационным каналом обмена в таких АС являются съемные носители информации на магнитной (магнитно-оптической) и бумажной основе. В связи с этим порядок разработки и эксплуатации АРМ на базе автономных ПЭВМ по составу и содержанию проводимых работ по защите персональных данных должны полностью отвечать требованиям п. 4.4.

Использование съѐмных накопителей большой ѐмкости для автоматизированных рабочих мест на базе автономных ПЭВМ предусматривает запись на загружаемый съемный накопитель информации большой емкости обрабатываемой информации, содержащей персональные данные, одного или группы пользователей.

В качестве технических устройств хранения информации могут быть использованы накопители на магнитном, магнитооптическом или лазерном дисках различной конструкции, как встроенные, так съемные. Одновременно на автономной ПЭВМ может быть установлено несколько съемных накопителей информации большой емкости.

84

Основной особенностью применения такого способа обмена информации для АРМ на базе автономных ПЭВМ с точки зрения защиты персональных данных является исключение оператором этапа хранения на ПЭВМ в нерабочее время информации, подлежащей защите. Эта особенность может быть использована для обработки защищаемой информации без применения сертифицированных средств защиты информации и использования средств физической защиты помещений этих АРМ.

На этапе обследования оператору необходимо провести детальный анализ технологического процесса обработки защищаемой информации, обращая внимание, прежде всего, на технологию обмена информацией (при использовании съемных накопителей информации большой емкости или гибких магнитных дисков (ГМД или дискет) с другими АРМ, как использующими, так и не использующими эту информационную технологию, на создание условий, исключающих попадание защищаемой информации на неучтенные носители информации, несанкционированное ознакомление с этой информацией, на организацию выдачи информации на печать.

Обмен информацией, содержащей персональные данные, между АРМ должен осуществляться только на учтенных носителях информации с учетом допуска оператором исполнителей, работающих на АРМ, к переносимой информации.

При использовании технологии современных средств вычислительной техники, оснащенных энергонезависимой, управляемой извне перезаписываемой памятью, так называемых Flash-Bios (FB), необходимо обеспечить целостность записанной в FB информации. Для обеспечения целостности, как перед началом работ, с защищаемой информацией при загрузке ПЭВМ, так и по их окончании, необходимо выполнить процедуру проверки целостности FB. При несовпадении необходимо восстановить (записать первоначальную версию) FB, поставить об этом в известность оператора и службу безопасности, а также выяснить причины изменения FB.

Оператором должна быть разработана и по согласованию с службой безопасности утверждена руководителем учреждения (предприятия) технология обработки информации, содержащей

85

персональные данные, использующая съемные накопители информации большой емкости и предусматривающая вышеуказанные, а также другие вопросы защиты информации, имеющие отношение к условиям размещения, эксплуатации АРМ, учету носителей информации, а также требования, вытекающие из особенностей функционирования АРМ [8].

4.6. Защита персональных данных в локальных вычислительных сетях

Характерными особенностями локальных вычислительных сетей (ЛВС) являются распределенное хранение файлов, удаленная обработка данных (вычисления) и передача сообщений (электронная почта), а также сложность проведения оператором контроля за работой пользователей и состоянием общей безопасности ЛВС.

Средства защиты информации должны использоваться во всех узлах ЛВС независимо от наличия (отсутствия) информации, содержащей персональные данные в данном узле ЛВС, и требуют постоянного квалифицированного сопровождения со стороны оператора.

Информация, содержащая персональные данные, должна обрабатываться только в изолированных ЛВС, расположенных в пределах контролируемой зоны.

Для управления ЛВС и распределения системных ресурсов в ЛВС, включая управление средствами защиты информации, обрабатываемой (хранимой, передаваемой) в ЛВС, должны быть назначены администраторы по безопасности информации, имеющие необходимые привилегии доступа к защищаемой информации ЛВС.

Состав пользователей ЛВС должен устанавливаться по письменному разрешению руководства предприятия (структурного подразделения) и строго контролироваться оператором. Все изменения состава пользователей, их прав и привилегий должны регистрироваться.

Каждый администратор и пользователь должен иметь уникальные идентификаторы и пароли, а в случае использования криптографических средств защиты информации - ключи шифрования для криптографических средств, используемых для защиты информации

86

при передаче ее по каналам связи и хранения, и для систем электронной цифровой подписи [12].

4.7. Защита персональных данных в Интернет

Интернет – глобальная компьютерная сеть, охватывающая весь мир. Интернет образует «ядро», обеспечивающее связь различных информационных сетей, принадлежащих различным учреждениям во всѐм мире. Само по себе размещение информации в Интернет не означает еѐ разглашение, но обеспечение безопасности данных является одной из главных проблем. Помимо проблем технического характера, существуют проблемы правового обеспечения обращения персональных данных в Интернет. Так, размещение персональных данных на Интернет-сайтах сопровождается открытием к ней доступа широкому кругу пользователей. Ситуация осложняется еще и тем, что при передаче сведений через Интернет отправитель и получатель могут находиться в разных странах. Законодательное регулирование защиты персональных данных в разных государствах различно. Возникает необходимость учитывать законы многих стран с тем, чтобы не допустить нарушений и избежать ответственности. Для этого необходимо не только получить разрешение собственника на размещение персональных данных на Интернет-сайтах, но и обеспечить определенные условия безопасного хранения данных [22].

Для обеспечения защиты персональных данных в организациях Российской Федерации подключение к Интернет (далее по тексту – Сеть) следует осуществлять по решению руководителя на основании служебной записки, содержащей перечень предполагаемых работ в Сети. Право подключения к Сети ПЭВМ, не оборудованного средствами защиты информации, может быть предоставлено только при обработке оператором информации с открытым доступом, оформленной в установленном порядке как разрешенной к открытому опубликованию. Подключение ПЭВМ к Сети должно осуществляться в установленном порядке через провайдера Сети. Подключение ЛВС предприятия (учреждения) к Сети должно быть через средства разграничения доступа в виде межсетевого экранирования (firewall).

87

На ПЭВМ, на которой оператором обрабатывается информация, содержащая персональные данные, должно находиться программное обеспечение только в той конфигурации, которая требуется для выполнения работ, заявленных в служебной записке о необходимости подключения указанной ПЭВМ к Сети.

Технические средства защиты информации, устанавливаемые на автономную ПЭВМ при обработке на них защищаемой информации, должны осуществлять:

идентификацию и аутентификацию пользователей при доступе к автономной ПЭВМ по идентификатору и паролю;

регистрацию доступа к ресурсам автономной ПЭВМ, рабочих станций и серверов внутренней ЛВС, включая попытки НСД;

регистрацию фактов отправки и получения абонентом сообщений (файлов, писем, документов).

Приказом по организации назначаются лица, допущенные к работам в Сети с соответствующими полномочиями, лица, ответственные за эксплуатацию указанной ПЭВМ и контроль за выполнением мероприятий по обеспечению безопасности информации при работе операторов в Сети.

Вопросы обеспечения безопасности информации на ПЭВМ должны быть отражены в соответствующей инструкции, определяющей порядок работы в сети Интернет.

К работе в качестве операторов Сети допускается круг пользователей, ознакомленных с требованиями по взаимодействию с другими операторами Сети и обеспечению при этом безопасности информации и допускаемых к самостоятельной работе в Сети после сдачи соответствующего зачета.

Операторы Сети обязаны: - знать:

порядок регистрации и взаимодействия в Сети;

инструкцию по обеспечению безопасности информации на ПЭВМ;

правила работы со средствами защиты информации от НСД, установленными на ПЭВМ; - уметь пользоваться средствами антивирусной защиты;

88

-после окончания работы в Сети проверить свое рабочее место на наличие «вирусов»;

-для приемки в эксплуатацию ПЭВМ, подключаемого к Сети, приказом по учреждению (предприятию) назначается аттестационная комиссия, проверяющая выполнение установленных требований и рекомендаций.

При работе в Сети категорически запрещается:

подключать технические средства (серверы, рабочие станции), имеющие выход в Сеть, к другим техническим средствам (сетям), не определенным в обосновании подключения к Сети;

отправлять данные без соответствующего разрешения. Контроль за выполнением мероприятий по обеспечению

безопасности информации в организации возлагается на администраторов ПЭВМ и ЛВС, руководителей соответствующих подразделений, определенных приказом по учреждению (предприятию),

атакже руководителя службы безопасности [8].

4.8.Защита персональных данных при межсетевом

взаимодействии

Положения данного раздела настоящей методики относятся к взаимодействию локальных сетей, ни одна из которых не имеет выхода в сети общего пользования Интернет.

Взаимодействие ЛВС с другими вычислительными сетями должно контролироваться с точки зрения защиты информации. Коммуникационное оборудование и все соединения с локальными периферийными устройствами ЛВС должны располагаться в пределах контролируемой зоны.

При конфигурировании коммуникационного оборудования (маршрутизаторов, концентраторов, мостов и мультиплексоров) и прокладке кабельной системы ЛВС рекомендуется учитывать разделение трафика по отдельным сетевым фрагментам на производственной основе и видам деятельности предприятия. Подключение ЛВС к другой АС иного класса защищенности должно осуществляться с использованием межсетевого экранирования. Для

89

защиты информации, содержащей персональные данные, при ее передаче по каналам связи из одной АС в другую необходимо использовать соответствующего класса межсетевые экраны.

Если каналы связи выходят за пределы контролируемой зоны, необходимо использовать защищенные каналы связи, защищенные волоконно-оптические линии связи либо сертифицированные криптографические средства защиты [8].

4.9. Защита персональных данных при работе с СУБД

При работе с системами управления базами данных (СУБД) и базами данных (БД) необходимо учитывать следующие особенности защиты информации, содержащей персональные данные:

в БД может накапливаться большой объем защищаемой информации по различным тематическим направлениям, предназначенной для различных пользователей;

БД могут быть физически распределены по различным устройствам и узлам сети;

БД могут включать информацию различного уровня конфиденциальности;

разграничение доступа пользователей к БД средствами операционной системы может осуществляться только на уровне файлов БД;

разграничение доступа пользователей к объектам БД – таблицам, схемам, процедурам, записям, полям записей в базах данных и т.п. – может осуществляться только средствами СУБД, если таковые имеются;

регистрация действий пользователей при работе с объектами БД может осуществляться также только средствами СУБД, если таковые имеются;

СУБД могут обеспечивать одновременный доступ многих пользователей (клиентов) к БД с помощью сетевых протоколов, при этом запросы пользователя к БД обрабатываются на сервере и результаты обработки направляются пользователям (клиентам).

С учетом указанных особенностей при создании БД рекомендуется:

90

при выборе СУБД ориентироваться на операционные системы и СУБД, включающие штатные сертифицированные средства защиты информации;

при использовании СУБД, не имеющих средств разграничения доступа, разбивать БД на отдельные файлы, разграничение доступа к которым можно проводить средствами операционной системы;

при использовании современных СУБД, основанных на модели клиент-сервер, использовать их штатные средства защиты информации от НСД, применять средства регистрации (аудита) и разграничение доступа к объектам БД на основе прав, привилегий, ролей, представлений и процедур [23].

4.10. Особенности защиты персональных данных

вкадровой и бухгалтерской деятельности

Всвязи с вступлением в силу Федерального закона ФЗ-№152 «О персональных данных», регулирующего отношения в области сбора, изменения и передачи сведений, в том числе и между сотрудниками и работодателем, бухгалтеру придется учитывать нововведения, оформляя сотрудника на работу, составляя расчетно-платежную ведомость или доверенность. Положения, которые регламентируют порядок работы и защиту персональных данных в кадровой службе и бухгалтерии, есть и в Трудовом кодексе Российской Федерации. Они продолжают действовать, несмотря на то, что появился ФЗ-№152. Данный закон просто дополняет положения Трудового кодекса Российской Федерации в этой сфере.

Вповседневной деятельности организации персональные данные работника – это в первую очередь информация, необходимая работодателю, чтобы заключить трудовой договор, заполнить личный листок, помочь работнику в обучении, продвижении по службе, обеспечить его личную безопасность, контролировать количество и качество выполняемой им работы. Это, например, паспортные данные, семейное положение, сведения об образовании, номер страхового