1.2 МФТИ НМД

Положение об обеспечении безопасности персональных

данных при их обработке в ИСПД

Устанавливает требования к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации.

Определяет:

пути достижения безопасности персональных данных;

состав системы защиты персональных данных;

кто и как классифицирует ИСПДн;

что должно быть обеспечено при обработке персональных данных в информационной системе;

комплекс мероприятий по обеспечению безопасности персональных данных;

требования к средствам защиты информации;

и …….. т.д.

Постановление Правительства РФ от 17 ноября 2007 г. № 781

Требования к ИСПДн

предотвращение НСД к персональным данным и передачи их лицам, не имеющим права доступа к такой информации

своевременное обнаружение фактов НСД

недопущение воздействия на технические средства ИСПДн

возможность восстановления персональных данных

контроль за обеспечением безопасности

Постановление Правительства РФ от 17 ноября 2007 г. № 781

31

Мероприятия по обеспечению безопасности

определение угроз и формирование модели угроз

разработка системы защиты персональных данных

проверка готовности средств защиты информации

установка и ввод в эксплуатацию средств защиты информации

обучение лиц, использующих средства защиты информации

учет применяемых СрЗИ и документации к ним

учёт носителей персональных данных

учет лиц, допущенных к работе с персональными данными

контроль за соблюдением условий использования СрЗИ

разбирательство и составление заключений по фактам нарушений

описание системы защиты персональных данных

Постановление Правительства РФ от 17 ноября 2007 г. № 781

Методы и способы защиты информации в информационных системах устанавливаются ФСТЭК и ФСБ Российской Федерации в пределах их полномочий.

Достаточность«Положение о методахпринятыхспособахмер позащитыобеспечениюинформациибезопасностив ИСПДн»

персональныхПриказ ФСТЭКданныхРоссии отпри5 февраляих обработке2010 г. № 58в (зарегистрированинформационных

Минюстом России 19 февраля 2010 г., регистрационный № 16456;

системах оценивается при проведении государственного контроля

опубликован: « Российская газета», 5 марта 2010 г., № 46)

и надзора.

Постановление Правительства РФ от 17 ноября 2007 г. № 781

32

Нормативно-методические документы ФСТЭК России

Порядок проведения классификации информационных систем

При рассмотрении угроз утечки информации по каналам

персональных данных.

ПЭМИН необходимо применять полную версию документа.

Приказ ФСТЭК, ФСБ и Мининформсвязи России от 13 февраля 2008 г. № 55/86/20

БазоваяПометкамодель« дляугрозслужебногобезопасностипользованияперсональных» снята Решениемданных при их обработкеФСТЭК Россиив ИСПДнот 16 ноября. 2009 г.

Методика определения актуальных угроз безопасности

Пометка « для служебного пользования» снята Решением

персональных данных при их обработке в ИСПДн.

ФСТЭК России от 11 ноября 2009 г.

Рекомендации по обеспечению безопасности персональных

данных при их обработке в ИСПДн.

Пометка « для служебного пользования» снята Решением

ОсновныеФСТЭКмероприятияРоссии от 11 ноябряпо организации2009 . и техническому Положение о методах и способах защиты информации в обеспечению безопасности персональных данных, информационных системах персональных данных обрабатываемых в ИСПДн.

Приказ ФСТЭК России от 5 февраля 2010 г. № 58

Утверждены 14 и 15 февраля 2008 года

Нормативно-методические документы ФСБ России

Методические рекомендации по обеспечению с помощью криптографических средств безопасности персональных данных при их обработке в ИСПДн с использованием средств автоматизации.

Приказ ФСБ России от 21 февраля 2008 г. № 149/54-144

Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в ИСПДн.

Приказ ФСБ России от 21 февраля 2008 г. № 149/6/6-622

33

Требования к материальным носителям биометрических ПДн и технологиям хранения таких данных вне ИСПДн

Применяются при использовании материальных носителей, на которые осуществляется запись биометрических персональных данных, а также при хранении биометрических персональных данных вне информационных систем персональных данных.

Определяют:

понятие « материальный носитель» - ( машиночитаемый носитель информации (в том числе магнитный и электронный));

требования к материальным носителям;

обязанности оператора;

требования к технологиям хранения биометрических персональных данных;

и …… т.д.

Постановление Правительства РФ от 06 июля 2008 г. № 512

Положение об особенностях обработки персональных данных,

осуществляемой без использования средств автоматизации

Общие положения.

Особенности организации обработки персональных данных, осуществляемой без использования средств автоматизации.

Меры по обеспечению безопасности персональных данных при их обработке, осуществляемой без использования средств автоматизации:

•определить места хранения каждой категории персональных данных и установить перечень лиц, осуществляющих их обработку либо имеющих к ним доступ;

•обеспечивать раздельное хранение персональных данных (материальных носителей), обработка которых осуществляется в различных целях;

•при хранении соблюдать условия, обеспечивающие сохранность ПДн и исключающие несанкционированный доступ к ним.

Постановление правительства РФ № 687 от 15 сентября 2008

34

Меры для обеспечения выполнения обязанностей оператора

Правительство РФ устанавливает перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных 152-ФЗ и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами.

Оператор обязан представить документы и локальные акты, и (или) иным образом подтвердить принятие соответствующих мер, по запросу Роскомнадзора.

152-ФЗ от 25 июля 2006

Перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных федеральным законом «О персональных данных» и принятыми в соответствии с ним

нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами

назначить ответственного за организацию обработки ПДн

разработать и утвердить необходимые документы

принять правовые, организационные и технические меры по обеспечению безопасности персональных данных

выполнить требования, установленные постановлением Правительства РФ от № 687 от 15 сентября 2008 г

организовать проведение периодических проверок условий обработки ПДн

знакомить служащих, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ о персональных данных

уведомить Роскомнадзор об обработке (намерении осуществлять обработку) ПДн

осуществить обезличивание персональных данных

опубликовать документы, определяющие политику в отношении обработки персональных данных

Постановление правительства РФ № 211 от 21 марта 2012

35

УТВЕРЖДЕН

приказом Министерства связи и массовых коммуникаций Российской Федерации от 30.01.2010 № 18

АДМИНИСТРАТИВНЫЙ РЕГЛАМЕНТ

Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по исполнению государственной функции « Ведение реестра операторов, осуществляющих обработку персональных данных»

http://www.rsoc.ru/chamber-of-commerce/administrative-reglament/

УТВЕРЖДЕН

приказом Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 01.12.2009 № 630

АДМИНИСТРАТИВНЫЙ РЕГЛАМЕНТ

проведения проверок Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций при осуществлении федерального государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных

http://www.rsoc.ru/chamber-of-commerce/administrative-reglament/

36

УТВЕРЖДЕН

Руководством 8 Центра ФСБ России 08 августа 2009 года

№ 149/7/2/6-1173

ТИПОВОЙ РЕГЛАМЕНТ

проведения в пределах полномочий мероприятий по контролю (надзору) за выполнением требований,

установленных Правительством Российской Федерации, к обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных

http://www.fsb.ru/fsb/science/single.htm%21id%3D10435396%40fsbResearchart.html

Структура законодательства России по персональным данным

37

Структура законодательства России по персональным данным

38

Должны появиться

Постановления правительства РФ определяющие:

уровни защищенности ПДн при их обработке в ИСПДн в зависимости от угроз безопасности этих данных

требования к защите ПДн при их обработке в ИСПДн, исполнение которых обеспечивает установленные уровни защищенности персональных данных

152-ФЗ от 25 июля 2006

Структура законодательства России по персональным данным

39

Должны появиться

НМД ФСТЭК и ФСБ определяющие:

Состав и содержание необходимых организационных и технических мер для каждого из уровней защищённости

152-ФЗ от 25 июля 2006

40