2.4 Анализ системы обеспечения информационной безопасности и защиты информации

• Защита персональных данных физических лиц, обрабатываемых организацией, является одной из важнейших задач в области информационной безопасности. К персональным данным относятся: фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация о физическом лице. Согласно требованиям закона 152-ФЗ «О персональных данных»[K] информационные системы персональных данных (ИСПДн) должны быть приведены в соответствие с требованиями настоящего закона к 1 января 2010 года (статья 25). Положения закона дополнительно уточняют постановления правительства № 781 от 17 ноября 2007[L] и № 687 от 15 сентября 2008 [M], а также «Приказ трёх» (совместный приказ ФСТЭК, ФСБ, Мининформсвязи) N 55/86/20 от 13 февраля 2008 года[N]. В частности, необходимо защищать персональные данные с использование шифровальных средств, средств предотвращения несанкционированного доступа и утечек информации по техническим каналам в процессе сбора, систематизации, накопления, хранения, обновления, изменения, использования, распространения (в том числе передачи), обезличивания, блокирования, уничтожения персональных данных.

За несоблюдение положений закона 152-ФЗ «О персональных данных» предусматривается гражданская, уголовная, административная, дисциплинарная и другие виды ответственности. Более того, в определенных случаях следствием нарушения организацией закона «О персональных данных» может стать временная приостановка деятельности или отзыв лицензии. Надзор в сфере персональных данных выполняют ФСБ РФ, ФСТЭК России и Роскомнадзор, который вправе проводить плановые и внеплановые проверки организаций, обрабатывающих персональные данные.

В СПССК «АгроСнаб-М» доступ к персональным данным физических лиц имеют только руководящий аппарат, сотрудники отдела кадров и сотрудники клиентского отдела.

Для отдела кадров:

Права и обязанности сотрудников регламентируются Должностной инструкцией (см. Приложение А.1). В разделе “Ответственность”(п 5.2) Специалист по кадрам несет ответственность «за совершенные в процессе осуществления своей деятельности правонарушения - в пределах, определенных административным, уголовным и гражданским законодательством Российской Федерации».

За разглашение сведений, содержащихся в личных делах сотрудников, без должного на то основания, в организации предусмотрены административные меры наказания вплоть до увольнения.

Для клиентского отдела:

Права и обязанности сотрудников регламентируются Должностной инструкцией (см. Приложение А.2).

Проектируемая информационная система подразумевает одновременное внедрение системы защиты доступа к данным на сервере через логин-пароль, который будет выдавать лишь сотрудникам данного отдела, а также руководящему составу организации.

За разглашение сведений о клиентах СПССК «АгроСнаб-М», без должного на то основания, в организации предусмотрены административные меры наказания вплоть до увольнения.

• Для защиты корпоративных данных от информационных угроз на каждом персональном компьютере организации установлен Антивирус Касперского (офисная лицензия).

«Лаборатория Касперского» предлагает инновационные продукты для обеспечения ИТ-безопасности при низкой совокупной стоимости защиты. Эти продукты обеспечивают комплексную защиту сети от информационных угроз, не препятствуя при этом нормальной работе защищаемых узлов.

Продукты «Лаборатории Касперского» отличаются высокой эффективностью и обеспечивают защиту всех уровней корпоративной ИТ-инфраструктуры с помощью самых современных технологий. Отличительные особенности этих решений — быстрое развертывание, не требующее специальных компьютерных знаний, и простое управление безопасностью сети в сочетании с беспрецедентным уровнем защиты.

Для решений «Лаборатории Касперского» характерен экономически эффективный подход к защите от компьютерных угроз: обеспечение ИТ-безопасности требует меньших ресурсов, что позволяет высвободить дополнительные ресурсы для основной деятельности компании [O].

• Фильтрация почтовых сообщений и WEB-контента:

Фильтрация осуществляется с помощью программных продуктов, которые контролируют исходящие и входящие (по каналам WEB и электронной почты) информационные потоки.

• Для Call-центра:

Система регистрации записи телефонных разговоров SpRecord.