Безопасность

Одной из самых критичных задач любого российского предприятия, которое обрабатывает персональные данные или другую информацию ограниченного доступа, является обеспечение информационной безопасности.

Согласно законодательству Российской Федерации, основными документами, определяющими требования к защите информации, являются:

• Закон №149-ФЗ «Об информации, информационных технологиях и о защите информации».
• Закон №152-ФЗ «О персональных данных».
• Приказы ФСТЭК России №17 и №21. Эти документы определили требования для выполнения упомянутых выше законов.
• Закон №242-ФЗ, который уточняет №152-ФЗ и в части 5 говорит о необходимости размещения ПДн на территории РФ.

Самостоятельная реализация требований информационной безопасности становится, как правило, технически сложной и затратной задачей для предприятия, так как в короткие сроки необходимо создать и в дальнейшем поддерживать собственную экспертизу в данном вопросе, а именно:

• закупить и установить сертифицированные средства защиты информации ограниченного доступа и/или ПДн;
• внедрить в организацию регламенты обеспечения информационной безопасности;
• обучить и сертифицировать администраторов информационной безопасности;
• регулярно проводить аттестационные испытания (для ГИС);
• периодически оценивать эффективность и необходимость модернизации системы защиты информации и/или ПДн.

По запросу компания «Техносерв» оказывает заказчикам следующую экспертную поддержку в решении задачи защиты данных:

• Определяет требуемый уровень защищенности и в соответствии с этим предлагает вариант реализации платформы Техносерв Cloud с размещением в соответствующем изолированном сегменте (защищенном или закрытом).
• Разрабатывает необходимую документацию для выполнения требований законодательства РФ и аттестации информационных систем в регулирующем органе.
• Проводит аттестацию информационных систем на правах регулирующего органа, так как обладает всеми необходимыми сертификатами соответствия требованиям законодательства РФ и лицензиями ФСТЭК и ФСБ России.
• Консультирует по любым вопросам для решения данной задачи.

Два изолированных сегмента Техносерв Cloud

СПРАВОЧНАЯ ИНФОРМАЦИЯ

Классификация ГИС

Классификация ГИС по четырем установленным классам защищенности проводится в зависимости от значимости, обрабатываемой в ней информации и масштаба ГИС: федерального, регионального, объектового (см. Табл.1).

Уровень значимости информации определяется степенью возможного ущерба для обладателя информации или оператора от нарушения конфиденциальности (неправомерного доступа, копирования, предоставления или распространения), целостности (неправомерных уничтожений или модифицирований) или доступности (неправомерного блокирования) информации. Степень возможного ущерба определяется обладателем информации или оператором самостоятельно (экспертным или иными методами).

Чем выше выбранный класс защищенности ГИС, тем больше мер по обеспечению информационной безопасности требуется выполнить для нейтрализации угроз безопасности. Если по ошибке определить более высокий класс защищенности, то, соответственно, придется строить более дорогую систему защиты информации.  Выбор более низкого класса защищенности может привести к нарушению требования законодательства.

Категории и уровни защищенности ПДн

Закон №152-ФЗ определяет четыре категории ПДн, которые разделяются по степени информативности (см. Табл.2). Классификация ИСПДн производится в соответствии с категорией обрабатываемых ПДн.

Постановлением Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» определены четыре уровня защищенности Персональных данных, различающихся составом необходимых к выполнению требований по защите информационных систем.

Таким образом, уровень защищенности ПДн является комплексным показателем с набором требований, нейтрализующих угрозы безопасности для ИСПДн.

Каждый оператор обязан определить для своей ИСПДн требуемый законодательством уровень защищенности, исходя из четырех критериев, характеризующих информационную систему (см. Табл.2).