Abschlussarbeit zum Thema: Entwicklung eines Systems zum Schutz personenbezogener Daten im Unternehmen PJSC Citibank. So stellen Sie den Schutz personenbezogener Daten im Unternehmen sicher. Schriftliche Einwilligung zur Verarbeitung personenbezogener Daten

Sicherheit personenbezogener Daten in der Bank

Was sind personenbezogene Daten?

Gemäß der bundesrechtlichen Definition sind personenbezogene Daten alle Informationen, die sich auf eine natürliche Person beziehen, die anhand dieser Informationen identifiziert oder bestimmt wurde (Gegenstand personenbezogener Daten), einschließlich Name, Vorname, Vatersname, Jahr, Monat, Datum und Ort Geburt, Adresse, Familie, soziales Umfeld, Vermögensstatus, Ausbildung, Beruf, Einkommen, andere Informationen.

Wo befinden sich personenbezogene Daten?

Personenbezogene Daten (PD) befinden sich in der Bank in folgenden Systemen:

Automatisiertes Banksystem (ABS);

Kunden-Bank-Systeme;

Sofortüberweisungssysteme;

Buchhaltungssysteme;

Personalbuchhaltungssysteme;

Unternehmensinformationssystem;

Internes Webportal.

PD können auf Papierdokumenten (Vereinbarungen, Formulare, Bestellungen, Anweisungen, Fragebögen, Vereinbarungen usw.) vorhanden sein.

Welche Dokumente legen die Anforderungen an den Schutz personenbezogener Daten fest?

Bundesgesetze

Bundesgesetz Nr. 149-FZ vom 27. Juli 2006 „Über Informationen, Informationstechnologien und Informationsschutz“;

Regierungsverordnungen

Regierungserlass Russische Föderation Nr. 781 vom 17. November 2007 „Über die Genehmigung der Vorschriften zur Gewährleistung der Sicherheit personenbezogener Daten bei ihrer Verarbeitung in.“ Informationssysteme persönliche Daten";

Dekret der Regierung der Russischen Föderation Nr. 957 vom 29. Dezember 2007 „Über die Genehmigung von Vorschriften zur Lizenzierung bestimmter Arten von Aktivitäten im Zusammenhang mit Verschlüsselungsmitteln (kryptografischen Mitteln)“;

Dekret der Regierung der Russischen Föderation Nr. 687 vom 15. September 2008 „Über die Genehmigung der Vorschriften über die Einzelheiten der Verarbeitung personenbezogener Daten, die ohne den Einsatz von Automatisierungstools durchgeführt werden.“

FSTEC von Russland

Gemeinsame Verordnung des FSTEC Russlands, des FSB Russlands und des Ministeriums für Information und Kommunikation Russlands vom 13. Februar 2008 Nr. 55/86/20 „Über die Genehmigung des Verfahrens zur Klassifizierung personenbezogener Daten in Informationssystemen“;

Leitdokument des FSTEC Russlands „Grundmodell der Bedrohungen der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“;

Leitdokument des FSTEC Russlands „Methodik zur Ermittlung aktueller Bedrohungen der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“;

Beschluss des FSTEC Russlands vom 5. Februar 2010 Nr. 58 „Über die Genehmigung der Vorschriften über Methoden und Mittel zum Schutz von Informationen in personenbezogenen Daten.“

FSB von Russland

FAPSI-Verordnung Nr. 152 vom 13. Juni 2001 „Über die Genehmigung von Anweisungen zur Organisation und Gewährleistung der Sicherheit der Speicherung, Verarbeitung und Übermittlung über Kommunikationskanäle mit Mitteln.“ kryptografischer Schutz Informationen mit eingeschränktem Zugang, die keine Informationen enthalten, die ein Staatsgeheimnis darstellen“;

Beschluss des FSB der Russischen Föderation vom 9. Februar 2005 Nr. 66 „Über die Genehmigung der Vorschriften über die Entwicklung, Produktion, den Verkauf und den Betrieb von kryptografischen (kryptografischen) Informationssicherheitsmitteln (Vorschriften PKZ-2005)“;

Leitdokument des FSB Russlands vom 21. Februar 2008 Nr. 149/54-144 „Methodische Empfehlungen zur Gewährleistung der Sicherheit personenbezogener Daten mithilfe von Kryptomitteln bei deren Verarbeitung in Informationssystemen für personenbezogene Daten mithilfe von Automatisierungstools“;

Leitdokument des FSB Russlands vom 21. Februar 2008 Nr. 149/6/6-622 „Standardanforderungen für die Organisation und Gewährleistung des Funktionierens von Verschlüsselungsmitteln (kryptografischen Mitteln) zum Schutz von Informationen, die keine Informationen enthalten, die Staatsgeheimnisse darstellen, wenn.“ sie dienen dazu, die Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten zu gewährleisten“;

Standard der Bank of Russia

STO BR IBBS-1.0-2010 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation.“ Allgemeine Bestimmungen";

STO BR IBBS-1.1-2007 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation.“ Informationssicherheitsaudit“;

STO BR IBBS-1.2-2010 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation.“ Methodik zur Bewertung der Übereinstimmung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation mit den Anforderungen von STO BR IBBS-1.0-20xx“;

RS BR IBBS-2.0-2007 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation.“ Richtlinien zur Dokumentation im Bereich Informationssicherheit gemäß den Anforderungen der STO BR IBBS-1.0“;

RS BR IBBS-2.1-2007 „Gewährleistung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation.“ Richtlinien zur Selbstbewertung der Einhaltung der Informationssicherheit von Organisationen des Bankensystems der Russischen Föderation mit den Anforderungen von STO BR IBBS-1.0“;

RS BR IBBS-2.3-2010 „Bereitstellung von Informationssicherheit für Organisationen des Bankensystems der Russischen Föderation.“ Anforderungen zur Gewährleistung der Sicherheit personenbezogener Daten in Informationssystemen für personenbezogene Daten von Organisationen des Bankensystems der Russischen Föderation“;

RS BR IBBS-2.4-2010 „Bereitstellung von Informationssicherheit für Organisationen des Bankensystems der Russischen Föderation.“ Branchenspezifisches Modell der Bedrohungen der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen der PD von Bankenorganisationen des Bankensystems der Russischen Föderation“;

Methodische Empfehlungen zur Erfüllung gesetzlicher Anforderungen bei der Verarbeitung personenbezogener Daten in RF-BS-Organisationen, gemeinsam entwickelt von der Bank von Russland, der ARB und dem Verband der Regionalbanken Russlands (dem Rossija-Verband).

Wie sollen personenbezogene Daten geschützt werden?

Gemäß den Anforderungen methodischer Dokumente zum PD-Schutz sind die folgenden Subsysteme allen Arten von ISPD gemeinsam:

Zugangskontroll-Subsystem;

Registrierungs- und Buchhaltungssubsystem;

Integritätssubsystem;

Firewall-Sicherheitssubsystem.

Wenn der ISPD mit dem Internet verbunden ist, müssen zusätzlich folgende Subsysteme verwendet werden:

Antiviren-Sicherheitssubsystem;

Subsystem zur Erkennung von Eindringlingen;

Subsystem zur Sicherheitsanalyse.

Es ist auch notwendig, es zu verwenden elektronische Schlösser und/oder elektronische Schlüssel zur zuverlässigen Identifizierung und Authentifizierung von Benutzern.

Wenn das PDIS zusätzlich verteilt wird, um unbefugten Zugriff zu verhindern, indem geschützte Informationen von öffentlich zugänglichen Informationen getrennt werden, ist bei der Übertragung von PDs über ungesicherte Kommunikationskanäle der Einsatz von Kryptographie sowie eine digitale Signatur zur Bestätigung der Authentizität der Daten erforderlich.

Diese Aufteilung in Teilsysteme und die darauf basierende Bildung einer Liste von Produkten zum Schutz personenbezogener Daten ist allgemein akzeptiert und wird in den meisten Fällen angewendet.

Wovor müssen personenbezogene Daten geschützt werden?

Wenn die Aufgabe nur darin besteht, die Vertraulichkeit personenbezogener Daten zu gewährleisten, Maßnahmen zu ergreifen und/oder technische Mittel einzusetzen, um den unbefugten Zugriff zu verhindern, wird ein solches Informationssystem zum Standard.

Wenn zusätzliche Anforderungen gestellt werden, um andere Eigenschaften der Informationssicherheit sicherzustellen, wie z. B. die Gewährleistung von Integrität, Verfügbarkeit sowie deren Derivate (Nichtabstreitbarkeit, Rechenschaftspflicht, Angemessenheit, Zuverlässigkeit usw.), wird ein solches ISPD zu etwas Besonderem. In den meisten Fällen ist jedes ISPD etwas Besonderes, das heißt, zusätzlich zu den PD-Klassen müssen Sie sich zur Bestimmung der Schutzmechanismen an dem für diesen Zweck erstellten Bedrohungsmodell orientieren.

Wie kann die PD-Klasse reduziert werden?

Um Maßnahmen zum Schutz personenbezogener Daten zu reduzieren und zu vereinfachen, greifen Banken auf verschiedene Tricks zurück. Im Folgenden stelle ich die gängigsten Möglichkeiten zur Reduzierung der Kosten für Schutzausrüstung vor. Allerdings ist eine solche „Neugestaltung“ der Informationssysteme der Bank an sich eine ziemlich komplexe und zeitaufwändige Aufgabe.

Reduzierung der Anzahl der Standorte

Wie oben gezeigt, werden bei verteiltem ISPD erhöhte Anforderungen an seinen Schutz gestellt; um diese zu reduzieren, muss versucht werden, vom verteilten ISPD wegzukommen.

Bei einem verteilten ISPD befinden sich PD an verschiedenen Standorten, PD wird über Kommunikationskanäle übertragen, die nicht von der Bank kontrolliert werden, und im Allgemeinen bedeutet dies, dass PD den kontrollierten Bereich verlässt oder verlässt. Dann ist es zunächst notwendig, die PDs zu lokalisieren und so die Anzahl der Standorte zu reduzieren, an denen sie sich befinden werden. In einigen Fällen ist dies möglich, aber wenn wir ABS in Betracht ziehen, wird dies höchstwahrscheinlich nicht möglich sein.

Reduzierung der Anzahl der Server

Wenn das PDIS lokal ist, also innerhalb des lokalen Netzwerks der Bank betrieben wird, besteht die einfachste Möglichkeit zur Reduzierung der Schutzkosten darin, die Anzahl der Servergeräte zu reduzieren, auf denen PD vorhanden ist und/oder verarbeitet wird.

Reduzierung der Anzahl der Arbeitsplätze und des Personals

Bei jeder Art von ISPD (in Form eines automatisierten Arbeitsplatzes, lokal, verteilt) erfolgt die endgültige Bearbeitung der PD in der Regel durch Bankpersonal. Wenn Sie keinen Terminalzugang nutzen, auf den weiter unten eingegangen wird, ist es sinnvoll, die Zahl der Mitarbeiter der Bank, die personenbezogene Daten verarbeiten oder Zugriff darauf haben, zu reduzieren.

IC-Trennung mittels Firewall

Um die Menge der personenbezogenen Daten und damit die Kosten für Schutzausrüstung zu reduzieren, im richtigen Sinne ist die Teilung Informationsnetzwerke in Segmente, in denen PD verarbeitet wird. Dazu ist es notwendig, Firewalls zu installieren und zu verwenden, an deren Ports Segmente mit PD angeschlossen werden sollen. Häufig befindet sich die gesamte Serverausrüstung in einer demilitarisierten Zone, also in Segmenten, die durch Firewalls von öffentlichen Netzwerken und Banknetzwerken getrennt sind. Diese Methode erfordert auch eine erhebliche „Neugestaltung“ der Informationsnetzwerke. Es gibt eine Methode, die auf der sogenannten „linearen Verschlüsselung“ basiert, also der Verschlüsselung des Client-Client-, Client-Server-, Server-Server-Kanals. Eine solche Verschlüsselung des Netzwerkverkehrs kann sowohl mit speziellen Sicherheitstools als auch mit der Standard-IPSec-Technologie implementiert werden, ist jedoch nicht vom FSB Russlands zertifiziert, was einen wesentlichen Nachteil darstellt.

Eine weitere Möglichkeit, ISPD im gesamten Netzwerk gemeinsam zu nutzen, könnte die Technologie sein virtuelle Netzwerke– VLAN, aber tatsächlich ist VLAN nur eine Kennung in einem der Felder des Netzwerkpakets, was es uns ermöglicht, von dieser Technologie als „IT“ zu sprechen. Daher befreit Sie die Aufteilung von Netzwerken mithilfe von VLANs nicht von der Verwendung von Informationssicherheitstechnologien.

Aufteilen von Datenbanken in Teile

Nehmen wir an, dass es eine Datenbank gibt, die aus Tausenden von Datensätzen besteht: Vollständiger Name. und den Einzahlungsbetrag.

Lassen Sie uns zwei weitere Datenbanken erstellen. Geben wir eine zusätzliche eindeutige Kennung ein. Teilen wir die Tabelle in zwei Teile, im ersten werden wir die Felder Vollständiger Name und ID platzieren, im anderen die ID und den Einzahlungsbetrag.

Wenn also jeder Mitarbeiter nur eine dieser neuen Datenbanken bearbeiten kann, wird der Schutz personenbezogener Daten erheblich vereinfacht, wenn nicht sogar aufgehoben. Offensichtlich ist der Wert einer solchen Datenbank deutlich geringer als der der ursprünglichen. Beide Datenbanken befinden sich auf dem sichersten Server. Tatsächlich gibt es jedoch noch viel mehr Felder in der Datenbank dieses Prinzip kann in fast jedem Fall funktionieren, weil Die Zahl der Felder, die aus Sicht der Sicherheit personenbezogener Daten von Bedeutung sind, ist nicht so groß, sondern recht begrenzt. Im Extremfall können Sie Schlüsselübereinstimmungen auf einem PC speichern, der nicht Teil des ist lokales Netzwerk oder gar keine automatisierte Verarbeitung nutzen.

Depersonalisierung personenbezogener Daten

Gemäß der Definition von 152-FZ handelt es sich bei der Depersonalisierung personenbezogener Daten um Handlungen, aufgrund derer nicht festgestellt werden kann, ob personenbezogene Daten einer bestimmten Person personenbezogener Daten gehören. Aus dieser Definition folgt eine Reihe von Methoden, mit denen es möglich ist, PD zu erhalten, mit denen es unmöglich ist, die Identität des PD zu bestimmen. Wenn beispielsweise die genauen Daten bestimmter Felder für die Verarbeitung nicht wichtig sind, können Sie diese entweder nicht anzeigen oder nur die Bereiche anzeigen, in die sie fallen. Zum Beispiel Alter 20–30, 30–40 usw. Die Adresse kann auf einen Bezirk, Bezirk oder eine Stadt „gerundet“ werden: Zarizyno, Juschny, Moskau. Je nach Bedarf kann der Prozess der Depersonalisierung personenbezogener Daten reversibel oder irreversibel sein. Irreversibel umfasst die oben genannten Methoden der „Rundung“ und reversibel, beispielsweise die Verschlüsselung. Aus meiner Sicht kann die Verschlüsselung (Verschlüsselung) eine Möglichkeit zur Entpersonalisierung von Daten sein und sollte für diese Zwecke eingesetzt werden.

Thin Clients und Terminalzugriff

Durch den Einsatz von „Thin Client“-Technologien und entsprechender Terminalzugriffstechnik auf Servern können die Anforderungen an den Schutz personenbezogener Daten deutlich reduziert werden. Tatsache ist, dass bei der Nutzung von „Thin Clients“ und Terminalzugängen auf den PCs der Bankmitarbeiter keine Installation spezieller Software wie Client-Teile von Datenbanken, Client-Teile von Kernbanksystemen usw. erforderlich ist. Darüber hinaus ist die Installation spezieller Schutztools auf den PCs der Bankmitarbeiter nicht erforderlich. Mit diesen Technologien können Sie Informationen aus Datenbanken anzeigen, die auf Servern an Ihrem Arbeitsplatz gespeichert sind, und die Verarbeitung personenbezogener Daten verwalten. Diese Technologien sind von vornherein sicher, weil Terminalrichtlinien können die Möglichkeit von Endkunden (Bankmitarbeitern) leicht einschränken, personenbezogene Daten zu kopieren und damit weiterzugeben. Der Kommunikationskanal zwischen Servern und einem PC mit einem „Thin Client“ ist also einfach zu verschlüsseln auf einfache Weise Die Vertraulichkeit der übermittelten Daten kann gewährleistet werden.

Die Geschwindigkeit potenzieller Datenlecks wird nur durch den visuellen Kanal begrenzt, der durch die Geschwindigkeit der Kamera oder Videokamera bestimmt wird. Durch die Einführung besonderer organisatorischer Maßnahmen wird ein solches Kopieren jedoch sehr schwierig.

Wie können Sie personenbezogene Daten schützen?

Im weitesten Sinne wird unter der Gewährleistung des Schutzes vor unbefugtem Zugriff eine Reihe organisatorischer und technischer Maßnahmen verstanden. Diese Aktivitäten basieren auf dem Verständnis von Mechanismen zur Verhinderung unbefugten Zugriffs auf verschiedenen Ebenen:

Identifizierung und Authentifizierung (auch Zwei-Faktor oder stark). Dies können sein (Betriebssystem, Infrastruktursoftware, Anwendungssoftware, Hardware wie Dongles);

Registrierung und Abrechnung. Dabei kann es sich um die Protokollierung (Protokollierung, Protokollierung) von Ereignissen in allen oben genannten Systemen, Softwareprogrammen und Tools handeln.

Integrität gewährleisten. Dies kann die Berechnung von Prüfsummen kontrollierter Dateien, die Gewährleistung der Integrität von Softwarekomponenten, die Verwendung einer geschlossenen Softwareumgebung sowie die Gewährleistung eines vertrauenswürdigen Ladens des Betriebssystems umfassen.

Firewall, sowohl Gateway als auch lokal;

Antiviren-Sicherheit (es werden bis zu drei Verteidigungsebenen verwendet, der sogenannte mehrschichtige oder herstellerübergreifende Ansatz);

Kryptographie (wird auf verschiedenen Ebenen des OSI-Modells (Netzwerk, Transport und höher) funktional angewendet und bietet verschiedene Sicherheitsfunktionen).

Es gibt ein paar komplexe Produkte, nachdem er die NSD-Funktionalität entwickelt hat. Sie alle unterscheiden sich in Anwendungstypen, Hardwareunterstützung, Software und Implementierungstopologie.

Wenn ISPD verteilt oder mit einem öffentlichen Netzwerk (Internet, Rostelecom usw.) verbunden wird, werden Sicherheitsanalyseprodukte (MaxPatrol von Positive Technologies, das in der Russischen Föderation keine direkten Konkurrenten hat) sowie Intrusion Detection and Prevention (IDS) verwendet /IPS) – wie auf Gateway-Ebene und auf Endknotenebene.

Wie können Sie personenbezogene Daten übermitteln?

Wenn das PDIS verteilt ist, bedeutet dies, dass PD über ungesicherte Kommunikationskanäle übertragen werden muss. Mit dem Kanal „Luft“ ist übrigens auch der ungeschützte Kanal gemeint. Zum Schutz personenbezogener Daten in Kommunikationskanälen können verschiedene Methoden eingesetzt werden:

Verschlüsselung des Kommunikationskanals. Kann auf beliebige Weise bereitgestellt werden, z. B. VPN zwischen Gateways, VPN zwischen Servern, VPN zwischen Workstations (InfoTecs ViPNet Custom, Informzashchita APKSh Kontinent usw.);

MPLS-Paketvermittlung. Pakete werden auf verschiedenen Wegen gemäß den von der Netzwerkausrüstung zugewiesenen Etiketten übertragen. Beispielsweise verfügt das MPLS-Netzwerk von Rostelecom über ein Zertifikat über die Konformität des Paketvermittlungsnetzwerks mit den Infodes FSTEC Russlands, was eine Garantie für eine hohe Sicherheit der auf seiner Grundlage bereitgestellten Dienste darstellt;

Verschlüsselung von Dokumenten. Kann auf verschiedene Arten verwendet werden Software zum Verschlüsseln von Datendateien sowie Containerdateien (ViPNet SafeDisk, InfoWatch CryptoStorage, True Crypt usw.);

Verschlüsselung von Archiven. Es können verschiedene Archivierungsprogramme verwendet werden, mit denen Sie Dateien mithilfe kryptografischer Algorithmen wie AES archivieren und verschlüsseln können. (WinRAR, WinZIP, 7-ZIP usw.).

Muss ich zertifizierte Schutzausrüstung verwenden?

Heutzutage gibt es nur eine Anforderung des FSTEC Russlands bezüglich der Zertifizierung von Mitteln zum Schutz personenbezogener Daten. Die Anforderung betrifft die Bereitstellung nicht deklarierter Fähigkeiten der Stufe 4, daher werde ich zum letzten Thema nur drei Thesen anführen:

Das Zertifizierungssystem für Schutzausrüstung ist freiwillig;

Es genügt die Einhaltung gesetzlicher Vorgaben;

Es besteht keine Notwendigkeit, das Informationssystem für personenbezogene Daten als Ganzes zu zertifizieren.

Schauro Evgeniy

Dzhabrail Matiev, Leiter des Datenschutzes für den kommerziellen Teil des UnternehmensReignVox

Die ständige Arbeit mit riesigen Mengen an Kundendaten erfordert eine Bank jeglichen Formats Festanstellung im Bereich des Schutzes dieser Daten.

Deshalb ist das Thema Informationssicherheit und damit auch das Thema Vertrauen im Finanzsektor besonders relevant. Darüber hinaus ist die Anforderung, alle personenbezogenen Daten zu schützen, die in der Struktur des Informationssystems eines modernen Finanzunternehmens enthalten sind, auch rechtlich gerechtfertigt – das Bundesgesetz Nr. 152 „Über personenbezogene Daten“ verpflichtet jedes Unternehmen, das diese Daten verarbeitet, eindeutig dazu, diese innerhalb eines strengen Rahmens zu schützen definierten Zeitrahmen. Sowohl neue als auch bestehende Informationssysteme, die personenbezogene Daten verarbeiten, müssen bis zum 1. Januar 2011 mit den gesetzlichen Anforderungen in Einklang gebracht werden. Angesichts derart strenger Zeitrahmen haben Unternehmen, die solche Informationen verarbeiten, immer weniger Zeit, gesetzliche Anforderungen zu erfüllen.

Wo sollten Sie mit der Arbeit zum Schutz personenbezogener Daten beginnen? Mit welchem ​​Zeitrahmen können Sie für die Arbeit rechnen? Wem soll die Arbeit anvertraut werden? Wie hoch sind die durchschnittlichen Kosten eines Projekts und wie können die Kosten minimiert werden? All diese Fragen sind heute für jedes Unternehmen relevant, das im Finanzsektor tätig ist. Die umfangreiche Erfahrung von ReignVox im Bereich des Schutzes personenbezogener Daten in Finanzinstituten ermöglicht es uns, kompetente Antworten darauf zu geben.

Das Leben läuft im Countdown-Modus

Das Bundesgesetz Nr. 152 „Über personenbezogene Daten“ tritt am 1. Januar 2011 vollständig in Kraft – mehr als sechs Monate vor der vom Gesetzgeber festgelegten Frist. Geben Sie sich aber nicht dem irreführenden Eindruck hin, zu viel Zeit zu haben.

Erstens dauert die Umsetzung eines Projekts zur Erfüllung der Anforderungen an den Schutz personenbezogener Daten je nach Komplexität vier bis sechs Monate. Aber auch diese Zahl ist nicht endgültig – Die Laufzeit kann sich auf sechs bis acht Monate verlängern aufgrund der Zeit, die die Bank damit verbringen wird, einen würdigen Integrator für die Entwicklung und Wartung des Projekts auszuwählen. Die alleinige Durchführung derartiger Arbeiten ist für die Bank mit einem Verlust der Objektivität in der Prüfungs- und Analysephase, den darin vorhandenen Schutzmitteln sowie der Notwendigkeit verbunden, für diese Arbeiten gesonderte Arbeitsressourcen zu finden. In diesem Fall sollten Sie auch Faktoren wie die Verfügbarkeit von im Bereich des Schutzes personenbezogener Daten geschulten Fachkräften, das erforderliche Maß an regulatorischer und methodischer Unterstützung sowie freie Ressourcen für die eigentliche Aufgabe des Schutzes personenbezogener Daten berücksichtigen. Die Praxis zeigt, dass es in der Regel Drittanbieter-Integratoren sind, die alle diese Anforderungen vollständig erfüllen.

Zweitens, um auf das Thema der im Gesetz „Über personenbezogene Daten“ festgelegten Fristen für Datenbetreiber zurückzukommen (und die Tatsache, dass Banken genau solche Betreiber sind, stellt im Prinzip kein Thema mehr dar), unabhängig davon, was sie über ihre „Übertragung“ sagen. Die ersten behördlichen Kontrollen finden bereits statt. Die Schlussfolgerung ist durchaus logisch: Die Relevanz des Problems ist nicht nur geblieben, sie hat sogar deutlich zugenommen, und seine Lösung wird zu einem dringenden Bedarf.

„Und der Sarg wurde gerade geöffnet …“

Die Aufgabe, die ISPD mit den Bestimmungen des Gesetzes „Über personenbezogene Daten“ in Einklang zu bringen, war in letzter Zeit Gegenstand aktiver Diskussionen, deren Ergebnis im Wesentlichen auf eines hinausläuft: Die Lösung dieses Problems ist aufgrund der Kombination von sehr problematisch seine organisatorischen und rechtlichen Besonderheiten. Diese Schlussfolgerung ist nicht ganz richtig: Die Praxis der Anwendung von Anforderungen zum Schutz personenbezogener Daten, die im ersten Quartal 2010 (einschließlich in Bankensektor) bestätigt die Verständlichkeit und Interpretierbarkeit der Anforderungen für ISPD. Ihre Formulierung, Umsetzung und dokumentarische Bestätigung letzterer mit minimalem Fehlerrisiko ist in der Umsetzung weniger schwierig als vielmehr unter dem Gesichtspunkt der Sicherheit des Bankgeschäfts wichtig. Die Aufgabe wird durch die Möglichkeit, sie an einen externen Integrator zu delegieren, weiter vereinfacht, dessen Spezialisten das Projekt zum Schutz personenbezogener Daten unter Berücksichtigung der individuellen Besonderheiten des Bankgeschäfts so schnell und professionell wie möglich abschließen.

Daher steht die Auswahl eines Integratorunternehmens an erster Stelle, das mit der Verwaltung des Projekts betraut wird.

„Standard“ = „Exklusiv“?

Ein solches Gleichheitszeichen zwischen diesen sich gegenseitig ausschließenden Konzepten hat eine Daseinsberechtigung. Diese Aussage wird durch die praktische Erfahrung erfolgreicher Projekte zum Schutz personenbezogener Daten gestützt, die ReignVox bereits abgeschlossen hat.

Einerseits umfasst jedes dieser Projekte eine Standardanzahl von Phasen: die Phase der Untersuchung von Informationssystemen für personenbezogene Daten, die Phase des Entwurfs eines Systems zum Schutz personenbezogener Daten, die Phase der Implementierung des PDSDN und die Phase der Bewertung der Konformität des PDSDN mit den Anforderungen des Gesetzes und der Phase der Unterstützung des geschaffenen Systems. Darüber hinaus ist die Beurteilung der Einhaltung der ISPD als Stufe optional und liegt im Ermessen des Kundenunternehmens. Sowie die Phase der Unterstützung des erstellten Systems.

Die Typizität endet normalerweise in der ersten Phase (der Phase der Vermessung von Informationssystemen), da diese Phase es ermöglicht, diese zu identifizieren und zu beschreiben Anforderungen, die künftig an Systeme gestellt werden. Und diese Parameter sind bereits individuell und auf jeden einzelnen Kunden ausgerichtet und entsprechend seinen Bedürfnissen optimiert.

Im Rahmen dieser Umfrage werden Informationsressourcen analysiert, Standardlösungen, verwendet beim Aufbau von IT-Infrastruktur, Informationsflüssen personenbezogener Daten, bestehenden Systemen und Mitteln zum Informationsschutz.

Gleichzeitig wird ein Modell für Bedrohungen und einen PD-Sicherheitsverletzer entwickelt und die Notwendigkeit bewertet, die PD-Sicherheit im ISPD mithilfe von Kryptotechniken sicherzustellen.

Das klassische Schema für die zweite Stufe umfasst eine Prüfung des Regulierungsrahmens und eine Bewertung seiner Übereinstimmung mit den regulatorischen Anforderungen. Ihr Ergebnis ist die Erarbeitung der fehlenden internen Dokumente sowie die Erarbeitung technischer Spezifikationen für die Entwicklung des SPD. Gleichzeitig beginnt der Integrator mit der direkten Entwicklung einer Reihe von Maßnahmen zum Schutz von Informationen.

Am Ende dieser Phase ist die Bank durchaus in der Lage, die Prüfung durch eine der Aufsichtsbehörden erfolgreich zu bestehen.

Der Kern der dritten Stufe besteht in der Implementierung von Systemen und der Konfiguration bestehender Sicherheitsmaßnahmen. Nach der Prüfung ggf. der Komplex der technischen und Software.

In jeder der beschriebenen Phasen steht ReignVox als Integrator vor verschiedenen Herausforderungen zusätzliche Aufgaben, bestimmt durch die Besonderheiten des vom Kundenunternehmen betriebenen Geschäfts, seine Größe, Infrastruktur, Aktivität der Geschäftsprozesse und viele andere Punkte. Und aus vielen solchen Bausteinen entsteht jedes Mal ein neues, individuell angepasstes Projektkonzept zum Schutz personenbezogener Daten.

„...und die Schafe sind in Sicherheit“

Ausgaben minimieren, Budget optimieren, sparen – egal für welche Formulierung Sie sich entscheiden, das Wesentliche bleibt dasselbe – ein rationaler Umgang mit Geldmitteln – das ist der zweite Eckpfeiler für den Erfolg einer Finanzstruktur (nach Vertrauen). Kurs). Daher ist der Wunsch, die Kosten so weit wie möglich zu senken, ohne die Informationssicherheit zu beeinträchtigen, natürlich und durchaus erreichbar.

Die Kosten für ein durchschnittliches Standardprojekt zur Schaffung eines Systems zum Schutz personenbezogener Daten für eine Bankstruktur betragen etwa 1,5 Millionen Rubel. Bei der Berechnung dieses Betrags werden eine Reihe von Grundsätzen berücksichtigt, die es ermöglichen, das Budget für die Einrichtung eines Systems zum Schutz personenbezogener Daten zu reduzieren.

Zunächst streben wir danach, die bereits in der Organisation vorhandene IT-Infrastruktur so weit wie möglich zu erhalten. Normalerweise sprechen sie von zwei Polarszenarien für den Schutz personenbezogener Daten. Das erste ist eine radikale Überarbeitung des gesamten ISPD, und das zweite ist formaler Natur und besteht nur aus der Herausgabe interner Regulierungsdokumente, ohne Änderungen am ISPD vorzunehmen. Für optimal halten wir die dritte Option, die gerade darin besteht, die aktuelle IT-Infrastruktur der Bank beizubehalten, einige ihrer Elemente zu ändern und neue hinzuzufügen, die zur Gewährleistung der Rechtskonformität erforderlich sind.

In diesem Fall sprechen wir vom ersten Prinzip, basierend auf maximale Nutzung vorhandener Informationssicherheitstools beim Entwurf von Informationssicherheitssystemen. Unabhängig von der Notwendigkeit, personenbezogene Daten zu schützen, werden in jedem Unternehmen Schutzmittel eingesetzt. Dazu gehören Virenschutzsysteme und integrierte Zugriffskontrolltools Betriebssystem sowie Firewalls und viele andere Tools. Daher wird die größtmögliche Anzahl an Anforderungen durch bestehende Sicherheitsmaßnahmen abgedeckt. Und nur wenn einige Anforderungen durch aktuelle Schutzmaßnahmen nicht erfüllt werden, ist die Anschaffung und Implementierung zusätzlicher Maßnahmen erforderlich.

Das zweite Prinzip ist das Prinzip ökonomisch-logische Strukturierung von Informationssystemen persönliche Daten. Nach diesem Prinzip ist es im Rahmen der Umsetzung eines Projekts zum Schutz personenbezogener Daten in einer Bank wirtschaftlich sinnvoll, mehrere im selben Raum befindliche Systeme zu einem zusammenzufassen, verbunden mit der Herabstufung unkritischer Segmente. So entsteht ein ISPD „Data Processing Center“, in dem der Schutz entlang des Perimeters gewährleistet ist. Dadurch können Sie die Kosten für die Trennung von Strömen innerhalb verschiedener Systeme erheblich minimieren.

Prinzip drei – Nur vor aktuellen Bedrohungen schützen. Gleichzeitig wird die Aktualisierung von Bedrohungen in einem für spezielle Systeme erforderlichen Dokument, dem „Threat Model“, beschrieben. Bei der Aktualisierung von Bedrohungen werden diejenigen verworfen, deren Wahrscheinlichkeit gering ist und deren Schaden bei der Implementierung gering ist.

Unter der Voraussetzung, dass bereits bewährte Methoden zum Einsatz kommen, ist die Aufgabe, die ISPD einer Bank bis zum 1. Januar 2011 mit den gesetzlichen Anforderungen in Einklang zu bringen, durchaus erreichbar. Für einen maximalen Erfolg bei der Implementierung solcher Technologien im Bankensektor ist es dennoch notwendig, sich an einen integrierten Ansatz für die Projektarbeit zu erinnern. In diesem Fall meinen wir die Organisation der gemeinsamen Arbeit von Spezialisten aus verschiedenen Abteilungen – Spezialisten für IT-Technologien, Informationssicherheit und Projektmanagement, Finanziers, Rechtsanwälte –, die die Einhaltung der notwendigen Ausgewogenheit des Gesamtansatzes zum Schutz kritischer Daten innerhalb der Finanzstruktur gewährleisten .

Referenz: ReignVox ist ein russisches Unternehmen, das sich auf innovative Projekte und Entwicklungen im Bereich der Informationstechnologie und deren Gewährleistung der Informationssicherheit spezialisiert hat.

Der Zweck der Gründung des Unternehmens besteht darin, Dienstleistungen zur Gewährleistung des Schutzes personenbezogener Daten gemäß den Anforderungen des Gesetzes „Über personenbezogene Daten“, Bundesgesetz Nr. 152 vom 27. Juli 2006, zu erbringen und umfassende Informationssicherheitssysteme aufzubauen.

ReignVox ist Mitglied der interregionalen öffentlichen Organisation „Association for Information Security“ (IPO „AZI“), assoziiertes Mitglied der „Infocommunication Union“ und außerdem Mitglied der Association of Regional Banks of Russia.

ReignVox verfügt über umfangreiche Erfahrung in der erfolgreichen Umsetzung von Projekten zum Schutz personenbezogener Daten in großen Geschäftsbanken. Zu ihren Kunden zählen NOTA-Bank, Vnesheconombank, CentroCredit, Tempbank, Alta-Bank usw.

Schätzen:

EINFÜHRUNG

Relevanz. IN moderne Welt Informationen werden zu einer strategischen Ressource, einem der größten Reichtümer eines wirtschaftlich entwickelten Staates. Die rasche Verbesserung der Informatisierung in Russland und ihr Eindringen in alle Lebensbereiche des Einzelnen, der Gesellschaft und des Staates haben neben unbestrittenen Vorteilen auch die Entstehung einer Reihe erheblicher Probleme verursacht. Einer davon war die Notwendigkeit, Informationen zu schützen. Bedenkt man, dass das wirtschaftliche Potenzial derzeit zunehmend vom Entwicklungsstand der Informationsstruktur bestimmt wird, wächst die potenzielle Anfälligkeit der Wirtschaft gegenüber Informationseinflüssen proportional.

Verbreitung Computersysteme, ihre Kombination zu Kommunikationsnetzen erhöht die Möglichkeiten der elektronischen Durchdringung in sie. Das Problem der Computerkriminalität in allen Ländern der Welt, unabhängig von ihrer geografischen Lage, macht es erforderlich, immer mehr öffentliche Aufmerksamkeit zu erregen und Anstrengungen zu unternehmen, um den Kampf gegen diese Art von Kriminalität zu organisieren. Besonders verbreitet sind Straftaten in automatisierten Banksystemen und im E-Commerce. Ausländischen Daten zufolge belaufen sich die Verluste von Banken durch Computerkriminalität jährlich auf viele Milliarden Dollar. Obwohl der Grad der Umsetzung der neuesten Informationstechnologien in die Praxis in Russland nicht so groß ist, machen sich Computerkriminalität von Tag zu Tag mehr bemerkbar und der Schutz von Staat und Gesellschaft vor ihnen ist zu einer Superaufgabe für die zuständigen Behörden geworden.

Niemand zweifelt an der Relevanz des Themas Schutz personenbezogener Daten. Dies ist in erster Linie auf die gesetzte Frist zurückzuführen, um die Informationssysteme für personenbezogene Daten (PDIS) mit dem Bundesgesetz Nr. 152-FZ vom 27. Juli 2006 „Über personenbezogene Daten“ in Einklang zu bringen. Diese Frist rückt unaufhaltsam näher und gleichzeitig führt die offensichtliche Schwierigkeit, die Anforderungen der regulatorischen Leitliniendokumente zu erfüllen, zu vielen Kontroversen und zweideutigen Interpretationen. Gleichzeitig tragen die Geheimhaltung einiger maßgeblicher Dokumente, ihr ungewisser Rechtsstatus sowie eine Reihe anderer Probleme nicht zur Lösung des Problems bei. All dies führt dazu, dass der Regulierungsrahmen noch nicht fertiggestellt ist und die rechtlichen Anforderungen jetzt eingehalten werden müssen.

Im Mai 2009 fand das erste Treffen statt Arbeitsgruppe zum Thema personenbezogene Daten im ARB. Bei der Veranstaltung wurden im Rahmen einer offenen Diskussion die Problembereiche, die die Bankenwelt beunruhigen, ganz klar identifiziert. Im Grunde waren sie betroffen technischer Schutz personenbezogene Daten und zukünftige Interaktion zwischen Finanzinstituten und FSTEC. Vertreter der Bank von Russland kündigten in ihrer Rede Entwicklungen bei der Organisation der Umsetzung des Gesetzes „Über personenbezogene Daten“ an. Die Versuche der Bank von Russland, mit den Regulierungsbehörden einen Kompromiss hinsichtlich der Formulierung technischer Anforderungen an die Bankengemeinschaft zu finden, können als grundlegend neu und wichtig bezeichnet werden. Besonders hervorheben möchte ich die Tätigkeit der Zentralbank der Russischen Föderation bei der Zusammenarbeit mit dem FSTEC Russlands. Angesichts der Vielzahl von Schwierigkeiten bei der Erfüllung der Anforderungen der maßgeblichen Dokumente des FSTEC hat die Bank von Russland beschlossen, eigene Dokumente (Dokumententwürfe) zu erstellen, die derzeit mit dem FSTEC übereinstimmen. Es ist davon auszugehen, dass mit hoher Wahrscheinlichkeit ein neuer Industriestandard für Finanzinstitute zum Thema personenbezogene Daten entstehen wird.

Der Zweck der Kursarbeit besteht darin, Möglichkeiten zum Schutz personenbezogener Daten in Online-Banking-Systemen zu untersuchen.

Um das Ziel zu erreichen, wurden folgende Aufgaben gelöst:

Untersuchung von Ansätzen und Grundprinzipien zur Gewährleistung der Sicherheit;

Festlegung von Methoden und Mitteln zur Gewährleistung der Sicherheit;

Identifizierung von Merkmalen zur Gewährleistung der Sicherheit personenbezogener Daten in Online-Banking-Systemen;

Entwicklung von Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten in Online-Banking-Systemen.

Gegenstand des Studiums sind Bankinformationssysteme.

Gegenstand der Studie ist die Sicherheit personenbezogener Daten in Online-Banking-Systemen.

Die theoretische und methodische Grundlage der Studie basierte auf theoretischen Grundlagen, der Arbeit von Wissenschaftlern und der Forschung von Spezialisten zu Fragen der Informationsbereitstellung.

Die methodische Grundlage der Studienarbeit war ein systematischer Ansatz zur Untersuchung von Sicherheitsproblemen.

Es kamen logische, rechtsvergleichende und systemische Analysen zum Einsatz. Darüber hinaus ermöglicht uns die verwendete Methode der Strukturanalyse, die einzelnen Komponenten des untersuchten Phänomens mit der nötigen Sorgfalt zu untersuchen und die Beziehung dieser Elemente untereinander sowie zum Gesamtzusammenhang zu analysieren.

1. Theoretische Aspekte des Schutzes personenbezogener Daten in Online-Banking-Systemen

1.1 Ansätze, Grundsätze der Sicherheit

Unter Gewährleistung der Sicherheit von Informationssystemen versteht man Maßnahmen, die ein Informationssystem vor zufälligen oder vorsätzlichen Eingriffen in seine Betriebsmodi schützen.

Es gibt zwei grundlegende Ansätze zur Gewährleistung der Computersicherheit.

Die erste davon ist fragmentiert, in ihrem Rahmen liegt der Schwerpunkt auf der Abwehr streng definierter Bedrohungen unter bestimmten Bedingungen (z. B. spezielle Antiviren-Tools, eigenständige Verschlüsselungstools usw.). Der Ansatz hat sowohl Vorteile – was auf ein hohes Maß an Selektivität in Bezug auf ein genau definiertes Problem hindeutet – als auch Nachteile – was auf eine Fragmentierung des Schutzes hindeutet – d. h. streng definierte Elemente.

Der Informatumfasst die in Abb. dargestellten Komponenten. 1.

Der zweite Ansatz ist systemisch, seine Besonderheit besteht darin, dass in seinem Rahmen der Informationsschutz in größerem Maßstab behandelt wird – es wird eine sichere Umgebung für die Verarbeitung, Speicherung und Übertragung von Informationen geschaffen, die heterogene Methoden und Mittel zur Bedrohungsabwehr vereint: Software und Hardware, rechtliche, organisatorisch und wirtschaftlich. Durch die spezifizierte sichere Umgebung kann ein gewisses Maß an Sicherheit des automatisierten Informationssystems gewährleistet werden.

Ein systematischer Ansatz zum Informationsschutz basiert auf folgenden methodischen Grundsätzen:

Endziel – die absolute Priorität des endgültigen (globalen) Ziels;

Einheit – gemeinsame Betrachtung des Systems als Ganzes“ und als Ansammlung von Teilen (Elementen);

Konnektivität – Betrachtung eines beliebigen Teils des Systems zusammen mit seinen Verbindungen mit der Umgebung;

modularer Aufbau – Module im System identifizieren und als eine Reihe von Modulen betrachten;

Hierarchie – Einführung einer Hierarchie von Teilen (Elementen) und ihrer Rangfolge;

Funktionalität – gemeinsame Betrachtung von Struktur und Funktion mit Priorität der Funktion vor der Struktur;

Entwicklung – unter Berücksichtigung der Variabilität des Systems, seiner Fähigkeit, sich zu entwickeln, zu erweitern, Teile zu ersetzen und Informationen zu sammeln;

Dezentralisierung – Kombinationen aus Zentralisierung und Dezentralisierung bei Entscheidungen und Management;

Unsicherheit – unter Berücksichtigung von Unsicherheiten und Eventualitäten im System.

Moderne Forscher identifizieren die folgenden methodischen:

Organisations- und Umsetzungsprinzipien der Informationssicherheit (einschließlich Computersicherheit).

Das Prinzip der Legalität. Besteht aus der Einhaltung der aktuellen Gesetzgebung im Bereich der Informationssicherheit.

Das Prinzip der Unsicherheit. Entsteht aufgrund der Mehrdeutigkeit des Verhaltens des Subjekts, d. h. Wer, wann, wo und wie die Sicherheit des geschützten Objekts verletzen kann.

Das Prinzip der Unmöglichkeit, ein ideales Schutzsystem zu schaffen. Dies ergibt sich aus dem Prinzip der Unsicherheit und der begrenzten Ressourcen dieser Fonds.

Die Grundsätze des minimalen Risikos und des minimalen Schadens ergeben sich aus der Unmöglichkeit, ein ideales Schutzsystem zu schaffen. Danach müssen die spezifischen Existenzbedingungen des Schutzgegenstandes zu jedem Zeitpunkt berücksichtigt werden.

Das Prinzip der sicheren Zeit. Es beinhaltet die Berücksichtigung der absoluten Zeit, d. h. während derer es notwendig ist, die Schutzgegenstände zu erhalten; und relative Zeit, d.h. Der Zeitraum vom Erkennen böswilliger Handlungen bis zum Erreichen des Ziels durch den Angreifer.

Der Grundsatz „Jeden vor jedem schützen“. Dabei handelt es sich um die Organisation von Schutzmaßnahmen gegen alle Arten von Bedrohungen der Schutzobjekte, was eine Folge des Unsicherheitsprinzips ist.

Grundsätze der Eigenverantwortung. Übernimmt die persönliche Verantwortung jedes Mitarbeiters eines Unternehmens, einer Institution und einer Organisation für die Einhaltung des Sicherheitsregimes im Rahmen seiner Befugnisse, funktionalen Verantwortlichkeiten und aktuellen Weisungen.

Der Grundsatz der Befugnisbeschränkung. Dabei geht es um die Einschränkung der Befugnisse eines Subjekts, sich mit Informationen vertraut zu machen, zu denen der Zugriff für die normale Erfüllung seiner Funktionspflichten nicht erforderlich ist, sowie die Einführung eines Zugangsverbots zu Objekten und Bereichen in welcher Aufenthalt aufgrund der Art seiner Tätigkeit nicht erforderlich ist.

Das Prinzip der Interaktion und Kooperation. Intern geht es darum, vertrauensvolle Beziehungen zwischen den für die Sicherheit (einschließlich Informationssicherheit) verantwortlichen Mitarbeitern und dem Personal zu pflegen. In äußerer Erscheinungsform - Aufbau einer Zusammenarbeit mit allen interessierten Organisationen und Einzelpersonen (z. B. Strafverfolgungsbehörden).

Das Prinzip der Komplexität und Individualität. Es impliziert die Unmöglichkeit, die Sicherheit des Schutzgegenstandes durch eine einzelne Maßnahme zu gewährleisten, sondern nur durch eine Reihe komplexer, miteinander verbundener und überlappender Maßnahmen, die unter individueller Bezugnahme auf bestimmte Bedingungen umgesetzt werden.

Das Prinzip der aufeinanderfolgenden Sicherheitslinien. Beinhaltet die frühestmögliche Benachrichtigung über einen Eingriff in die Sicherheit eines bestimmten Schutzobjekts oder einen anderen unerwünschten Vorfall, um die Wahrscheinlichkeit zu erhöhen, dass ein frühzeitiges Alarmsignal der Schutzausrüstung den für die Sicherheit verantwortlichen Mitarbeitern die Möglichkeit gibt die Ursache des Alarms rechtzeitig zu ermitteln und wirksame Gegenmaßnahmen zu organisieren.

Grundsätze gleicher Stärke und gleicher Leistung von Schutzleitungen. Gleiche Stärke impliziert das Fehlen ungeschützter Bereiche innerhalb der Schutzlinien. Gleichwertigkeit setzt einen relativ gleichen Schutz der Schutzlinien entsprechend dem Grad der Gefährdung des Schutzobjektes voraus.

Methoden zur Gewährleistung der Informationssicherheit in einem Unternehmen sind folgende:

Ein Hindernis ist eine Methode, um einem Angreifer den Weg zu geschützten Informationen (Geräten, Speichermedien usw.) physisch zu versperren.

Die Zugriffskontrolle ist eine Methode zum Schutz von Informationen, indem die Nutzung aller Ressourcen des automatisierten Informationssystems eines Unternehmens reguliert wird. Die Zugangskontrolle umfasst die folgenden Sicherheitsfunktionen:

Identifizierung von Benutzern, Personal und Ressourcen des Informationssystems (Zuweisung einer persönlichen Kennung zu jedem Objekt);

Authentifizierung (Feststellung der Authentizität) eines Objekts oder Subjekts anhand der von ihm präsentierten Kennung;

Überprüfung der Autorität (Überprüfung der Übereinstimmung des Wochentags, der Tageszeit, der angeforderten Ressourcen und Verfahren mit den festgelegten Vorschriften);

Registrierung von Anfragen zu geschützten Ressourcen;

Reaktion (Alarm, Abschaltung, Arbeitsverzögerung, Ablehnung einer Anfrage beim Versuch unbefugter Handlungen).

Maskierung ist eine Methode zum Schutz von Informationen im automatisierten Informationssystem eines Unternehmens durch kryptografische Schließung.

Regulierung ist eine Methode des Informationsschutzes, die Bedingungen für die automatisierte Verarbeitung, Speicherung und Übertragung von Informationen schafft, unter denen die Möglichkeit eines unbefugten Zugriffs darauf minimiert wird.

Zwang ist eine Methode zum Schutz von Informationen, bei der Benutzer und Systempersonal unter Androhung materieller, administrativer und strafrechtlicher Haftung gezwungen werden, die Regeln für die Verarbeitung, Übertragung und Nutzung geschützter Informationen einzuhalten.

Anreiz ist eine Methode der Informationssicherheit, die Benutzer und Systempersonal dazu ermutigt, durch die Einhaltung festgelegter moralischer und ethischer Standards nicht gegen festgelegte Regeln zu verstoßen.

Die oben genannten Methoden zur Gewährleistung der Informationssicherheit werden mit den folgenden grundlegenden Mitteln umgesetzt: physisch, Hardware, Software, Hardware-Software, kryptografische, organisatorische, gesetzgeberische sowie moralische und ethische Mittel.

Physische Schutzmittel dienen dem externen Schutz des Territoriums von Objekten, dem Schutz von Komponenten eines automatisierten Informationssystems eines Unternehmens und werden in Form autonomer Geräte und Systeme implementiert.

Hardware-Schutzmittel sind elektronische, elektromechanische und andere Geräte, die direkt in Blöcke eines automatisierten Informationssystems eingebaut oder als unabhängige Geräte konzipiert und mit diesen Blöcken verbunden sind. Sie dienen dem Innenschutz von Strukturelementen von Anlagen und Systemen Computertechnologie: Terminals, Prozessoren, Peripheriegeräte, Kommunikationsleitungen usw.

Software-Schutztools dienen der Erfüllung logischer und intellektueller Schutzfunktionen und sind entweder in der Software eines automatisierten Informationssystems oder in der Zusammensetzung von Tools, Komplexen und Steuerungsausrüstungssystemen enthalten.

Informationssicherheitssoftware ist die am weitesten verbreitete Schutzart und weist die folgenden positiven Eigenschaften auf: Vielseitigkeit, Flexibilität, einfache Implementierung, Änderungs- und Weiterentwicklungsmöglichkeit. Dieser Umstand macht sie gleichzeitig zu den anfälligsten Elementen beim Schutz des Informationssystems eines Unternehmens.

Hardware-Software-Schutzmittel sind Mittel, bei denen die Software (Firmware) und die Hardwareteile vollständig miteinander verbunden und untrennbar sind.

Kryptografische Mittel sind Mittel zum Schutz durch Umwandlung von Informationen (Verschlüsselung).

Organisatorische Mittel – organisatorische, technische und organisatorische und rechtliche Maßnahmen zur Regelung des Verhaltens des Personals.

Gesetzgebungsmittel sind Rechtsakte des Landes, die die Regeln für die Nutzung, Verarbeitung und Übermittlung von zugangsbeschränkten Informationen regeln und Strafen für Verstöße gegen diese Regeln festlegen.

Moralische und ethische Mittel – Normen, Traditionen in der Gesellschaft, zum Beispiel: Verhaltenskodex für Mitglieder der Computer Users Association in den USA.

1.2 Sicherheitsmethoden und -mittel

Zur Umsetzung von Sicherheitsmaßnahmen werden verschiedene Verschlüsselungsmechanismen eingesetzt. Wozu dienen diese Verfahren? Beim Senden von Daten (Text, Sprache oder Zeichnung) sind diese zunächst ungeschützt oder, wie Experten es nennen, offen. Offene Daten können leicht von anderen Benutzern abgefangen werden (absichtlich oder unabsichtlich). Wenn das Ziel besteht, zu verhindern, dass bestimmte Informationen an Dritte gelangen, werden diese Daten verschlüsselt. Der Benutzer, für den die angegebenen Informationen bestimmt sind, entschlüsselt sie dann mithilfe der umgekehrten Transformation des Kryptogramms und erhält die Daten in der von ihm benötigten Form.

Die Verschlüsselung kann symmetrisch (ein geheimer Schlüssel wird zur Verschlüsselung verwendet) und asymmetrisch (ein öffentlicher Schlüssel wird zur Verschlüsselung und ein anderer zur Entschlüsselung verwendet, nicht miteinander verknüpft – d. h. wenn Sie einen davon kennen, können Sie den anderen nicht bestimmen) erfolgen.

Zu den Sicherheitsmechanismen gehören:

) Digitale Mechanismen elektronische Unterschrift basieren auf asymmetrischen Verschlüsselungsalgorithmen und umfassen zwei Verfahren: die Bildung einer Signatur durch den Absender und deren Erkennung durch den Empfänger. Durch die Bildung einer Signatur durch den Absender wird sichergestellt, dass der Datenblock verschlüsselt bzw. mit einer kryptografischen Prüfsumme ergänzt wird, wobei in beiden Fällen der geheime Schlüssel des Absenders verwendet wird. Zur Identifizierung wird ein öffentlicher Schlüssel verwendet.

) Zugriffskontrollmechanismen überprüfen die Berechtigung von Programmen und Benutzern, auf Netzwerkressourcen zuzugreifen. Wenn über eine Verbindung auf eine Ressource zugegriffen wird, erfolgt die Steuerung sowohl am Ursprungspunkt und an den Zwischenpunkten als auch am Endpunkt.

) Datenintegritätsmechanismen gelten für den einzelnen Block und für den Datenstrom. Der Sender vervollständigt den übertragenen Block mit einem kryptografischen Wert und der Empfänger vergleicht ihn mit dem kryptografischen Wert, der dem empfangenen Block entspricht. Eine Diskrepanz weist auf eine Verzerrung der Informationen im Block hin.

) Mechanismen zum Einrichten des Verkehrs. Sie basieren auf der Generierung von Blöcken durch AIS-Objekte, deren Verschlüsselung und der Organisation der Übertragung über Netzwerkkanäle. Dies neutralisiert die Möglichkeit, Informationen durch Beobachtung der äußeren Merkmale der über Kommunikationskanäle zirkulierenden Ströme zu erhalten.

) Routing-Kontrollmechanismen stellen die Auswahl von Routen für die Informationsbewegung sicher Kommunikationsnetzwerk und zwar so, dass die Übertragung sensibler Informationen über unsichere, physisch unzuverlässige Kanäle verhindert wird.

) Schlichtungsmechanismen ermöglichen die Bestätigung der Merkmale von Daten, die von Dritten zwischen Unternehmen übertragen werden. Dazu durchlaufen die von den Objekten gesendeten oder empfangenen Informationen den Schiedsrichter, der es ihm ermöglicht, die genannten Eigenschaften anschließend zu bestätigen.

Die Hauptnachteile des Sicherheitssystems von Wirtschaftseinrichtungen sind:

-ein enges, unsystematisches Verständnis des Problems der Anlagensicherheit;

-die Abwehr von Bedrohungen vernachlässigen und nach dem Grundsatz arbeiten: „Wenn eine Bedrohung aufgetreten ist, beginnen wir mit der Beseitigung“;

-Inkompetenz in der Sicherheitsökonomie, Unfähigkeit, Kosten und Ergebnisse zu vergleichen;

-„Technokratismus“ von Management- und Sicherheitsspezialisten, Interpretation aller Aufgaben in der Sprache eines ihnen vertrauten Bereichs.

Als Fazit aus dem ersten Kapitel der Arbeit stellen wir Folgendes fest. Unter Gewährleistung der Sicherheit von Informationssystemen versteht man bestimmte Maßnahmen, mit denen ein Informationssystem vor zufälligen oder vorsätzlichen Eingriffen in seine Betriebsmodi geschützt wird. Um die Sicherheit zu gewährleisten, gibt es zwei Hauptansätze: 1) fragmentiert, innerhalb dessen bestimmte Bedrohungen unter bestimmten Bedingungen bekämpft werden; und 2) systemisch, in dem eine sichere Umgebung für die Verarbeitung, Speicherung und Übertragung von Informationen geschaffen wird, die verschiedene Arten von Methoden und Mitteln zur Abwehr von Bedrohungen kombiniert. Zum Schutz von Informationen werden verschiedene Mittel und Mechanismen eingesetzt. Zu den Mitteln gehören: Verschlüsselung, digital elektronische Aufzeichnung, Zugangskontrolle, Verkehrsbereitstellung usw.

Bank Online-System Sicherheit

2. Merkmale zur Gewährleistung der Sicherheit personenbezogener Daten in Online-Banking-Systemen

2.1. Allgemeine Bedingungen zur Gewährleistung der Sicherheit personenbezogener Daten in Online-Banking-Systemen

Der Schutz personenbezogener Daten ist der Zustand der Sicherheit von Informationen und ihrer unterstützenden Infrastruktur (Computer, Kommunikationsleitungen, Stromversorgungssysteme usw.) vor zufälligen oder vorsätzlichen Einwirkungen, die den Eigentümern oder Benutzern dieser Informationen Schaden zufügen könnten.

Informationssicherheit von Zugangsdaten bedeutet auch: Gewährleistung der Zuverlässigkeit des Computers; Sicherheit wertvoller Zugangsdaten; Schutz personenbezogener Daten vor Änderungen durch Unbefugte; Bewahrung dokumentierter Zugangsdaten in der elektronischen Kommunikation.

Gegenstand der Informationssicherheit im Rechnungswesen sind Informationsressourcen, die als Geschäftsgeheimnis eingestufte Informationen und vertrauliche Informationen enthalten; sowie Werkzeuge und Systeme der Informationstechnologie.

Eigentümer von Informationsressourcen, Informationssystemen, Technologien und Mitteln zu deren Unterstützung ist die juristische Person, die das Eigentum an diesen Objekten ausübt, diese nutzt und die Verfügungsbefugnisse innerhalb der gesetzlich festgelegten Grenzen ausübt.

Ein Informationsnutzer ist ein Subjekt, das sich an ein Informationssystem oder einen Vermittler wendet, um die von ihm benötigten Informationen zu erhalten, und diese nutzt.

Informationsressourcen sind einzelne Dokumente und einzelne Dokumentengruppen, Dokumente und Dokumentengruppen in Informationssystemen.

Eine Bedrohung der Informationssicherheit ist eine potenzielle Aktion, die durch ihre Auswirkungen auf die Komponenten eines persönlichen Systems zu Schäden bei den Eigentümern von Informationsressourcen oder Benutzern des Systems führen kann.

Die rechtliche Regelung von Informationsressourcen wird durch die Regeln bestimmt, die Folgendes festlegen:

Verfahren zur Dokumentation von Informationen;

Eigentum an einzelnen Dokumenten und einzelnen Dateien

Dokumente, Dokumente und Dokumentenreihen in Informationssystemen; Kategorie der Informationen entsprechend der Zugriffsebene; Verfahren zum rechtlichen Schutz von Informationen.

Der Hauptgrundsatz, gegen den bei der Umsetzung einer Informationsbedrohung im Rechnungswesen verstoßen wird, ist der Grundsatz der Informationsdokumentation. Ein von einem automatisierten Buchhaltungsinformationssystem erhaltenes Buchhaltungsdokument erlangt Rechtskraft, nachdem es von einem Beamten gemäß den Rechtsvorschriften der Russischen Föderation unterzeichnet wurde.

Alles bereit Potentielle Bedrohungen In der Buchhaltung können sie je nach Art ihres Auftretens in zwei Klassen eingeteilt werden: natürliche (objektive) und künstliche.

Natürliche Bedrohungen werden aus objektiven Gründen verursacht, die in der Regel außerhalb der Kontrolle des Buchhalters liegen und zur vollständigen oder teilweisen Zerstörung der Buchhaltungsabteilung und ihrer Komponenten führen. Zu diesen Naturphänomenen gehören: Erdbeben, Blitzeinschläge, Brände usw.

Vom Menschen verursachte Bedrohungen hängen mit menschlichen Aktivitäten zusammen. Sie können in unbeabsichtigte (unbeabsichtigte) unterteilt werden, die durch die Fähigkeit von Mitarbeitern verursacht werden, aufgrund von Unaufmerksamkeit oder Müdigkeit, Krankheit usw. Fehler zu machen. Beispielsweise kann ein Buchhalter bei der Eingabe von Informationen in einen Computer die falsche Taste drücken, unbeabsichtigte Fehler im Programm machen, einen Virus einschleusen oder versehentlich Passwörter preisgeben.

Vorsätzliche (absichtliche) Bedrohungen sind mit den egoistischen Bestrebungen von Menschen verbunden – Angreifern, die absichtlich falsche Dokumente erstellen.

Sicherheitsbedrohungen lassen sich hinsichtlich ihres Schwerpunkts in folgende Gruppen einteilen:

Drohungen des Eindringens und Auslesens von Daten aus Anmeldeinformationsdatenbanken und Computerprogrammen zu deren Verarbeitung;

Gefährdungen der Sicherheit von Zugangsdaten, die entweder zu deren Zerstörung oder Änderung führen, einschließlich der Fälschung von Zahlungsdokumenten (Zahlungsaufforderungen, Bestellungen usw.);

Bedrohungen der Datenverfügbarkeit, die auftreten, wenn ein Benutzer nicht auf Anmeldeinformationen zugreifen kann;

Drohung mit der Verweigerung von Operationen, wenn ein Benutzer eine Nachricht an einen anderen übermittelt und die übermittelten Daten dann nicht bestätigt.

Informationsprozesse sind Prozesse des Sammelns, Verarbeitens, Ansammelns, Speicherns, Suchens und Verteilens von Informationen.

Ein Informationssystem ist ein organisatorisch geordneter Satz von Dokumenten (Arrays von Dokumenten und Informationstechnologien, einschließlich der Verwendung von Computertechnologie und Kommunikation, Implementierung). Informationsprozesse).

Die Informationsdokumentation erfolgt in der von den Regierungsbehörden festgelegten Weise, die für die Organisation der Büroarbeit, die Standardisierung von Dokumenten und deren Anordnungen sowie die Sicherheit der Russischen Föderation zuständig sind.

Abhängig von der Quelle der Bedrohungen können sie in interne und externe Bedrohungen unterteilt werden.

Die Quelle interner Bedrohungen sind die Aktivitäten des Personals der Organisation. Externe Bedrohungen kommen von außen durch Mitarbeiter anderer Organisationen, durch Hacker und andere Personen.

Externe Bedrohungen können unterteilt werden in:

lokal, wobei der Eindringling das Territorium der Organisation betritt und sich Zugang zu einem separaten Computer oder lokalen Netzwerk verschafft;

Remote-Bedrohungen sind typisch für Systeme, die mit globalen Netzwerken verbunden sind (Internet, internationales Bankensystem SWIFT usw.).

Solche Gefahren entstehen am häufigsten im elektronischen Zahlungssystem bei Zahlungen zwischen Lieferanten und Käufern und bei der Nutzung von Internetnetzwerken für Zahlungen. Die Quellen solcher Informationsangriffe können Tausende von Kilometern entfernt liegen. Darüber hinaus sind nicht nur Computer betroffen, sondern auch Buchhaltungsinformationen.

Zu den beabsichtigten und unbeabsichtigten Fehlern in der Buchhaltung, die zu einer Erhöhung des Buchhaltungsrisikos führen, gehören: Fehler bei der Erfassung von Buchhaltungsdaten; falsche Codes; nicht autorisierte Buchhaltungstransaktionen; Verletzung von Kontrollgrenzen; verpasst Konten; Fehler in der Datenverarbeitung oder -ausgabe; Fehler bei der Erstellung oder Korrektur von Verzeichnissen; unvollständige Konten; falsche Zuordnung von Datensätzen zu Perioden; Datenfälschung; Verstoß gegen regulatorische Anforderungen; Verletzung persönlicher Richtliniengrundsätze; Diskrepanz zwischen der Qualität der Dienste und den Nutzerbedürfnissen.

Besonders gefährlich sind Informationen, die ein Geschäftsgeheimnis darstellen und sich auf Personen- und Berichtsinformationen beziehen (Daten über Partner, Kunden, Banken, analytische Informationen über Marktaktivitäten). Um den Schutz dieser und ähnlicher Informationen zu gewährleisten, ist es erforderlich, mit Mitarbeitern der Buchhaltungs-, Finanzdienstleistungs- und anderen Wirtschaftsabteilungen Vereinbarungen zu treffen, in denen eine Liste der Informationen aufgeführt ist, die nicht der Offenlegung unterliegen.

Der Informationsschutz in automatisierten Buchhaltungssystemen basiert auf den folgenden Grundprinzipien.

Gewährleistung der physischen Trennung von Bereichen, die für die Verarbeitung vertraulicher und nicht klassifizierter Informationen bestimmt sind.

Gewährleistung des kryptografischen Schutzes von Informationen. Sicherstellung der Authentifizierung von Abonnenten und Abonnenteninstallationen. Gewährleistung eines differenzierten Zugangs von Subjekten und ihren Prozessen zu Informationen. Gewährleistung der Feststellung der Authentizität und Integrität dokumentarischer Nachrichten bei deren Übermittlung über Kommunikationskanäle.

Gewährleistung des Schutzes der Ausrüstung und technischen Mittel des Systems sowie der Räumlichkeiten, in denen sie sich befinden, vor dem Verlust vertraulicher Informationen über technische Kanäle.

Gewährleistung des Schutzes von Verschlüsselungstechnologie, -ausrüstung, -hardware und -software vor Informationslecks durch Hardware- und Software-Lesezeichen.

Sicherstellung der Kontrolle der Integrität des Software- und Informationsteils des automatisierten Systems.

Nur inländische als Schutzmechanismen verwenden

Die staatlichen Informationsressourcen der Russischen Föderation sind offen und öffentlich zugänglich. Eine Ausnahme bilden dokumentierte Informationen, die gesetzlich als zugangsbeschränkt eingestuft sind. Dokumentierte Informationen mit eingeschränktem Zugang werden gemäß den Bestimmungen ihrer Rechtsordnung in als Staatsgeheimnis und als vertraulich eingestufte Informationen unterteilt. Die Liste vertraulicher Informationen, insbesondere Informationen im Zusammenhang mit kommerziellen Aktivitäten, wird durch das Dekret des Präsidenten der Russischen Föderation vom 6. März 1997 Nr. 188 (Anhang Nr.) Entwicklungen festgelegt.

Gewährleistung organisatorischer und Regimeschutzmaßnahmen. Es empfiehlt sich, durch zusätzliche Maßnahmen die Kommunikationssicherheit im System zu gewährleisten.

Organisation des Informationsschutzes über Intensität, Dauer und Verkehr des Informationsaustauschs.

Verwendung von Kanälen und Methoden zur Übertragung und Verarbeitung von Informationen, die das Abfangen erschweren.

Der Schutz von Informationen vor unbefugtem Zugriff zielt darauf ab, drei Haupteigenschaften der geschützten Informationen zu bilden:

Vertraulichkeit (vertrauliche Informationen sollten nur denjenigen zugänglich sein, für die sie bestimmt sind);

Integrität (Informationen, auf deren Grundlage wichtige Entscheidungen getroffen werden, müssen zuverlässig, genau und vollständig vor möglichen unbeabsichtigten und böswilligen Verzerrungen geschützt sein);

Bereitschaft (Informationen und damit verbundene Informationsdienste müssen verfügbar sein und den Interessengruppen jederzeit zur Verfügung stehen).

Methoden zur Gewährleistung des Schutzes personenbezogener Daten sind: Hindernisse; Zugangskontrolle, Tarnung, Regulierung, Nötigung, Anreiz.

Ein Hindernis sollte als eine Methode betrachtet werden, mit der einem Angreifer der Weg zu geschützten persönlichen Daten physisch versperrt wird. Diese Methode wird durch das Zugangssystem des Unternehmens implementiert, einschließlich der Anwesenheit von Sicherheitseinrichtungen am Eingang, die den Weg für Unbefugte zur Buchhaltung, zur Kasse usw. versperren.

Die Zugriffskontrolle ist eine Methode zum Schutz persönlicher und Berichtsinformationen, die implementiert wird durch:

Authentifizierung – Feststellung der Authentizität eines Objekts oder Subjekts anhand der von ihm präsentierten Kennung (durchgeführt durch Vergleich der eingegebenen Kennung mit der im Computerspeicher gespeicherten Kennung);

Autoritätskontrollen – Überprüfung der Konformität der angeforderten Ressourcen und der gemäß den zugewiesenen Ressourcen und zulässigen Verfahren durchgeführten Vorgänge; Registrierung von Anfragen zu geschützten Ressourcen;

Informieren und Reagieren auf Versuche unbefugter Handlungen. (Kryptographie ist eine Methode zum Schutz durch Umwandlung von Informationen (Verschlüsselung)).

Im BEST-4-Komplex ist der Zugriff auf Informationen auf der Ebene einzelner Subsysteme eingeschränkt und wird durch die Festlegung separater Zugangspasswörter sichergestellt. Bei Ersteinrichtung Der Systemadministrator kann jederzeit während der Arbeit mit dem Programm ein oder mehrere Passwörter festlegen oder ändern. Das Passwort wird bei jeder Anmeldung am Subsystem abgefragt.

Darüber hinaus verfügen einige Module über ein eigenes System zur Einschränkung des Zugriffs auf Informationen. Es bietet die Möglichkeit, jeden Menüpunkt mit speziellen Passwörtern zu schützen. Passwörter können auch den Zugriff auf einzelne Teilmengen von Primärdokumenten schützen: Beispielsweise ist es im automatisierten Arbeitsplatz „Bestandsabrechnung im Lager“ und „Buchhaltung für Waren und Produkte“ möglich, am automatisierten Arbeitsplatz für jedes Lager separat Zugangspasswörter festzulegen „Abrechnung von Bargeldtransaktionen“ – Zugangspasswörter für jede Registrierkasse, am automatisierten Arbeitsplatz „Abrechnung von Abrechnungen mit der Bank“ – Zugangspasswörter für jedes Bankkonto.

Besonders hervorzuheben ist die Tatsache, dass es für eine wirksame Einschränkung des Zugriffs auf Informationen zunächst erforderlich ist, die Modi zur Festlegung von Passwörtern für den Zugriff auf bestimmte Blöcke selbst mit Passwörtern zu schützen.

1C.Enterprise, Version 7.7, verfügt über einen eigenen Informationsschutz – Zugriffsrechte. Um den Benutzerzugriff auf Informationen bei der Arbeit mit dem 1C.Enterprise-System im Netzwerk zu integrieren und zu trennen persönliche Computer Mit dem Systemkonfigurator können Sie für jeden Benutzer die Rechte festlegen, mit den vom System verarbeiteten Informationen zu arbeiten. Rechte können in einem ziemlich weiten Bereich festgelegt werden – von der Möglichkeit, nur bestimmte Dokumenttypen anzuzeigen, bis hin zu vollständiger Satz Rechte zur Eingabe, Einsicht, Berichtigung und Löschung jeglicher Art von Daten.

Die Vergabe von Zugriffsrechten an einen Benutzer erfolgt in 2 Schritten. Im ersten Schritt werden einheitliche Rechtesätze für die Arbeit mit Informationen erstellt, die sich in der Regel im Umfang der bereitgestellten Zugriffsmöglichkeiten unterscheiden. Im zweiten Schritt wird dem Benutzer eines dieser Standard-Rechtesätze zugewiesen.

Alle Arbeiten zur Erstellung von Standard-Rechtesätzen werden auf der Registerkarte „Rechte“ des Fensters „Konfiguration“ durchgeführt. Dieses Fenster wird aufgerufen, indem Sie im Hauptmenü des Programms im Menü „Konfiguration“ den Punkt „Konfiguration öffnen“ auswählen

2.2 Eine Reihe von Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten in Online-Banking-Systemen

Die Begründung einer Reihe von Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten im ISPD erfolgt unter Berücksichtigung der Ergebnisse der Bewertung der Bedrohungsgefahr und der Bestimmung der ISPD-Klasse auf der Grundlage der „Grundlegenden Maßnahmen zur Organisation und technische Unterstützung Sicherheit personenbezogener Daten, die in Informationssystemen für personenbezogene Daten verarbeitet werden.“

In diesem Fall sollten Maßnahmen festgelegt werden für:

Identifizierung und Schließung technischer Kanäle für den Verlust personenbezogener Daten im Informationssystem;

Schutz personenbezogener Daten vor unbefugtem Zugriff und rechtswidrigen Handlungen;

Installation, Konfiguration und Verwendung von Schutzausrüstung.

Auf der Grundlage der Analyse und Bewertung von Bedrohungen für die Sicherheit personenbezogener Daten werden Maßnahmen zur Identifizierung und Schließung technischer Kanäle für den Verlust personenbezogener Daten im Informationssystem formuliert.

Zu den Maßnahmen zum Schutz personenbezogener Daten während ihrer Verarbeitung im ISPD vor unbefugtem Zugriff und rechtswidrigen Handlungen gehören:

Zugangskontrolle;

Registrierung und Buchhaltung;

Gewährleistung der Integrität;

Kontrolle des Fehlens nicht deklarierter Fähigkeiten;

Virenschutz;

Gewährleistung einer sicheren Internetnetzwerk-Interaktion von ISPD;

Sicherheitsanalyse;

Einbrucherkennung.

Es wird empfohlen, das Subsystem Zugangskontrolle, Registrierung und Abrechnung auf der Grundlage von Softwaretools zum Blockieren unbefugter Aktionen, Signalisierung und Registrierung zu implementieren. Dabei handelt es sich um spezielle Soft- und Hardware sowie Software, die nicht zum Kern eines Betriebssystems gehört und zum Schutz der Betriebssysteme selbst, elektronischer Datenbanken für personenbezogene Daten und Anwendungsprogramme dient. Sie erfüllen Schutzfunktionen unabhängig oder in Kombination mit anderen Schutzmitteln und zielen darauf ab, die Ausführung von für das ISPD gefährlichen Handlungen eines Benutzers oder Täters zu verhindern oder zu erschweren. Diese beinhalten spezielle Dienstprogramme und Software-Schutzsysteme, die Diagnose-, Registrierungs-, Zerstörungs-, Alarm- und Simulationsfunktionen implementieren.

Diagnosetools führen Tests des Dateisystems und der Datenbanken für personenbezogene Daten durch und sammeln ständig Informationen über die Funktionsweise der Elemente des Informationssicherheitssubsystems.

Vernichtungstools sind für die Vernichtung verbleibender Daten konzipiert und können eine Notfalldatenvernichtung im Falle einer Bedrohung durch unbefugten Zugriff ermöglichen, der vom System nicht blockiert werden kann.

Signalisierungsmittel dienen dazu, Bediener zu warnen, wenn sie auf geschützte PDs zugreifen, und den Administrator zu warnen, wenn ein unbefugter Zugriff auf PDs und andere Tatsachen einer Verletzung des normalen Betriebsmodus des ISPD festgestellt werden.

Simulationstools simulieren die Zusammenarbeit mit Tätern, wenn ein Versuch festgestellt wird, geschützte persönliche Daten oder Software zu manipulieren. Durch Nachahmung können Sie die Zeit verlängern, um den Standort und die Art nicht autorisierter Daten zu ermitteln, was besonders in geografisch verteilten Netzwerken wichtig ist, und den Täter falsch über den Standort der geschützten personenbezogenen Daten informieren.

Das Integritätssubsystem wird hauptsächlich durch Betriebssysteme und Datenbankverwaltungssysteme implementiert. In Betriebssystemen und Datenbankverwaltungssystemen integrierte Mittel zur Erhöhung der Zuverlässigkeit und Gewährleistung der Integrität der übertragenen Daten und der Transaktionszuverlässigkeit basieren auf der Berechnung von Prüfsummen, der Benachrichtigung über einen Fehler bei der Übertragung eines Nachrichtenpakets und der erneuten Übertragung eines nicht akzeptierten Pakets.

Das Subsystem zur Überwachung des Fehlens nicht deklarierter Fähigkeiten wird in den meisten Fällen auf der Grundlage von Datenbankverwaltungssystemen, Informationssicherheitstools und Antiviren-Informationssicherheitstools implementiert.

Um die Sicherheit von PD und der Software- und Hardwareumgebung des ISPD, die diese Informationen verarbeitet, zu gewährleisten, wird empfohlen, spezielle Antiviren-Schutztools zu verwenden, die Folgendes ausführen:

Erkennung und (oder) Blockierung zerstörerischer viraler Auswirkungen auf systemweite Software und Anwendungssoftware, die personenbezogene Daten verarbeitet, sowie auf personenbezogene Daten;

Erkennung und Entfernung unbekannter Viren;

Gewährleistung der Selbstüberwachung (Verhinderung von Infektionen) dieses Antivirenprodukts beim Start.

Bei der Auswahl von Antiviren-Schutztools ist es ratsam, die folgenden Faktoren zu berücksichtigen:

Kompatibilität dieser Tools mit Standard-ISPD-Software;

das Ausmaß der Leistungsminderung des ISPD im Hinblick auf seinen Hauptzweck;

Verfügbarkeit von Mitteln zur zentralen Verwaltung der Funktionsweise von Antiviren-Schutztools vom Arbeitsplatz des Inforim ISPD aus;

die Fähigkeit, den Infoim ISPD unverzüglich über alle Ereignisse und Tatsachen der Manifestation von Software und mathematischen Einflüssen (PMI) zu informieren;

Verfügbarkeit einer detaillierten Dokumentation zum Betrieb des Antiviren-Schutztools;

die Möglichkeit, das Antivirenschutztool regelmäßig zu testen oder selbst zu testen;

die Möglichkeit, die Zusammensetzung der Schutzmittel gegen den Zweiten Weltkrieg um neue zusätzliche Mittel zu erweitern, ohne dass die Leistung des ISPD erheblich eingeschränkt wird und es zu „Konflikten“ mit anderen Arten von Schutzmitteln kommt.

Eine Beschreibung des Verfahrens zur Installation, Konfiguration, Konfiguration und Verwaltung von Antiviren-Schutztools sowie des Vorgehens bei Erkennung eines Virenbefalls oder anderer Verstöße gegen die Anforderungen zum Schutz vor programmmathematischen Einflüssen sollte enthalten sein im Handbuch für Informim ISPD.

Um den Zugriff auf ISDN-Ressourcen während der Internetnetzwerk-Interaktion einzuschränken, wird Firewalling verwendet, das durch Software- und Hardware-Software-Firewalls (FW) implementiert wird. Zwischen dem geschützten Netzwerk, dem sogenannten internen Netzwerk, und dem externen Netzwerk wird eine Firewall installiert. Die Firewall ist Teil des geschützten Netzwerks. Dafür werden über die Einstellungen gesondert Regeln festgelegt, die den Zugriff vom internen Netzwerk auf das externe und umgekehrt beschränken.

Um ein sicheres Internetworking im ISPD der Klassen 3 und 4 zu gewährleisten, wird empfohlen, ME mindestens mit der fünften Sicherheitsstufe zu verwenden.

Um ein sicheres Internetworking im ISPD der Klasse 2 zu gewährleisten, wird empfohlen, ME mindestens mit der vierten Sicherheitsstufe zu verwenden.

Um ein sicheres Internetworking im ISPD der Klasse 1 zu gewährleisten, wird empfohlen, ME mindestens mit der dritten Sicherheitsstufe zu verwenden.

Das Sicherheitsanalyse-Subsystem wird auf der Grundlage der Verwendung von Test- (Sicherheitsanalyse) und Informationssicherheitskontroll- (Audit-)Tools implementiert.

Sicherheitsanalysetools werden zur Überwachung der Sicherheitseinstellungen von Betriebssystemen auf Workstations und Servern eingesetzt und ermöglichen die Einschätzung der Möglichkeit, dass Angreifer Angriffe auf Netzwerkgeräte durchführen und die Softwaresicherheit überwachen. Dazu untersuchen sie die Netzwerktopologie und suchen nach ungeschützten oder nicht autorisierten Netzwerken Netzwerkverbindungen, überprüfen Sie die Firewall-Einstellungen. Eine solche Analyse erfolgt auf der Grundlage detaillierter Beschreibungen von Schwachstellen in Sicherheitseinstellungen (z. B. Switches, Routern, Firewalls) oder Schwachstellen in Betriebssystemen oder Anwendungssoftware. Das Ergebnis des Sicherheitsanalysetools ist ein Bericht, der Informationen über erkannte Schwachstellen zusammenfasst.

Tools zur Schwachstellenerkennung können eingesetzt werden Netzwerkebene(in diesem Fall werden sie „netzwerkbasiert“ genannt), Betriebssystemebene („hostbasiert“) und Anwendungsebene („applikationsbasiert“). Mithilfe einer Scan-Software können Sie schnell eine Karte aller verfügbaren ISDN-Knoten erstellen, die auf jedem Knoten verwendeten Dienste und Protokolle identifizieren, ihre Grundeinstellungen ermitteln und Annahmen über die Wahrscheinlichkeit der Implementierung des NSD treffen.

Basierend auf den Scanergebnissen entwickeln die Systeme Empfehlungen und Maßnahmen zur Beseitigung der festgestellten Mängel.

Um NSD-Bedrohungen durch Internetworking zu identifizieren, werden Intrusion-Detection-Systeme eingesetzt. Solche Systeme werden unter Berücksichtigung der Besonderheiten der Durchführung von Angriffen und ihrer Entwicklungsstadien aufgebaut und basieren auf einer Reihe von Methoden zur Angriffserkennung.

Es gibt drei Gruppen von Angriffserkennungsmethoden:

Signaturmethoden;

Methoden zur Erkennung von Anomalien;

kombinierte Methoden (gemeinsame Verwendung von Algorithmen, die in Signaturmethoden und Anomalieerkennungsmethoden definiert sind).

Um Einbrüche in ISPDs der Klassen 3 und 4 zu erkennen, wird empfohlen, Systeme zur Erkennung von Netzwerkangriffen zu verwenden, die Methoden der Signaturanalyse verwenden.

Um Einbrüche in ISPDs der Klassen 1 und 2 zu erkennen, wird empfohlen, Systeme zur Erkennung von Netzwerkangriffen zu verwenden, die Methoden zur Erkennung von Anomalien sowie Methoden zur Signaturanalyse verwenden.

Um den Verlust personenbezogener Daten über technische Kanäle zu verhindern, werden organisatorische und technische Maßnahmen ergriffen, die darauf abzielen, den Verlust von akustischen (Sprach-) und Typinformationen sowie den Verlust von Informationen aufgrund von Nebenwirkungen zu verhindern. elektromagnetische Strahlung und Tipps.

Als Fazit zum zweiten Kapitel der Arbeit ziehen wir folgende Schlussfolgerungen. Der Schutz personenbezogener Daten ist der Zustand der Sicherheit von Informationen und ihrer unterstützenden Infrastruktur vor zufälligen oder vorsätzlichen Einwirkungen natürlicher oder künstlicher Natur, die mit Schäden für die Eigentümer oder Benutzer dieser Informationen verbunden sind. Die Gegenstände der Informationssicherheit in der Buchhaltung sind definiert als: Informationsressourcen, die als Geschäftsgeheimnisse eingestufte Informationen sowie Tools und Systeminformatisierung enthalten. Die wichtigsten Methoden im Rahmen des Informationsschutzes sind: Erkennen und direkter Schutz.

ABSCHLUSS

Das Problem der Informationssicherheit von Wirtschaftsobjekten ist vielfältig und bedarf weiterer Untersuchung.

In der modernen Welt wird die Informatisierung zu einer strategischen nationalen Ressource, einem der wichtigsten Vermögenswerte eines wirtschaftlich entwickelten Staates. Die rasche Verbesserung der Informatisierung in Russland und ihr Eindringen in alle Lebensbereiche des Einzelnen, der Gesellschaft und des Staates haben neben unbestrittenen Vorteilen auch die Entstehung einer Reihe erheblicher Probleme mit sich gebracht. Einer davon war die Notwendigkeit, Informationen zu schützen. Bedenkt man, dass das wirtschaftliche Potenzial derzeit zunehmend vom Entwicklungsstand der Informationsinfrastruktur bestimmt wird, wächst die potenzielle Anfälligkeit der Wirtschaft gegenüber Informationseinflüssen proportional.

Die Umsetzung von Bedrohungen der Informationssicherheit besteht in der Verletzung der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Unter dem Gesichtspunkt eines systematischen Ansatzes zum Informationsschutz ist es notwendig, das gesamte Arsenal verfügbarer Sicherheitsmittel in allen Strukturelementen einer Wirtschaftseinheit und in allen Phasen des technologischen Zyklus der Informationsverarbeitung einzusetzen. Schutzmethoden und -mittel müssen mögliche Wege des unbefugten Zugriffs auf geschützte Geheimnisse zuverlässig blockieren. Die Wirksamkeit der Informationssicherheit bedeutet, dass die Kosten ihrer Umsetzung nicht größer sein sollten als die möglichen Verluste durch die Umsetzung Informationsbedrohungen. Die Informationssicherheitsplanung wird von jeder Abteilung durchgeführt, die detaillierte Informationssicherheitspläne entwickelt. Es besteht Bedarf an Klarheit bei der Ausübung der Befugnisse und Rechte der Benutzer zum Zugriff auf bestimmte Arten von Informationen, um die Kontrolle über Sicherheitsmaßnahmen und eine sofortige Reaktion auf deren Versagen zu gewährleisten.

REFERENZLISTE

1.Automatisierte Informationstechnologien im Bankwesen / Hrsg. Prof. G.A. Titorenko. - M.: Finstatinform, 2007

2.Automatisierte Informationstechnologien in der Wirtschaft / Ed. Prof. G.A. Titorenko. - M.: UNITY, 2010

.Ageev A. S. Organisation und moderne Methoden des Informationsschutzes. - M.: Konzern „Bank. Business Center“, 2009

.Adzhiev, V. Mythen über Softwaresicherheit: Lehren aus berühmten Katastrophen. - Offene Systeme, 199. №6

.Alekseev, V.I. Informationssicherheit Gemeinden. - Woronesch: VSTU-Verlag, 2008.

.Alekseev, V.M. Internationale Kriterien zur Bewertung der Sicherheit von Informationstechnologien und deren praktischer Nutzen: Lehrbuch. - Penza: Penz Verlag. Zustand Universität, 2002

.Alekseev, V.M. Regulatorische Bereitstellung des Informationsschutzes vor unbefugtem Zugriff. - Penza: Penz Verlag. Zustand Universität, 2007

.Alekseev, V.M. Gewährleistung der Informationssicherheit während der Softwareentwicklung. - Penza: Penz Verlag. Zustand Universität, 2008

.Aleshin, L.I. Informationsschutz und Informationssicherheit: Vorlesungsreihe L. I. Aleshin; Moskau Zustand Universität für Kultur. - M.: Moskau. Zustand Universität für Kultur, 2010

.Akhramenka, N.F. usw. Verbrechen und Bestrafung im Zahlungssystem mit elektronische Dokumente// Informationssicherheitsmanagement, 1998

.Banken und Bankgeschäfte. Lehrbuch / Ed. E.F. Schukowa. - M.: Banken und Börsen, UNITY, 2008

.Barsukov, V.S. Sicherheit: Technologien, Tools, Dienste. - M.: Kudits - Bild, 2007

.Baturin, Yu.M. Probleme des Computerrechts. - M.: Legal. lit., 1991

.Baturin, Yu.M. Computerkriminalität und Computersicherheit. M.: Yur.lit., 2009

.Bezrukov, N.N. Einführung in die Computervirologie. Allgemeine Funktionsprinzipien, Klassifizierung und Katalog der häufigsten Viren in M5-005. K., 2005

.Bykov, V.A. Elektronisches Geschäft und Sicherheit / V. A. Bykov. - M.: Radio und Kommunikation, 2000

.Varfolomeev, A.A. Informationssicherheit. Mathematische Grundlagen der Kryptologie. Teil 1. - M.: MEPhI, 1995

.Vekhov, V. B. Computerkriminalität: Begehungs- und Aufdeckungsmethoden. - M.: Recht und Recht, 1996

.Volobuev, S.V. Einführung in die Informationssicherheit. - Obninsk: Obn. Institut für Atomenergie, 2001

.Volobuev, S.V. Informationssicherheit automatisierter Systeme. - Obninsk: Obn. Institut für Atomenergie, 2001

.Allrussische wissenschaftliche und praktische Konferenz „Informationssicherheit im System“. weiterführende Schule", 28.-29. November 2000, NSTU, Nowosibirsk, Russland: IBVSh 2000. - Nowosibirsk, 2001

23.Galatenko, V.A. Informationssicherheit: ein praktischer Ansatz V. A. Galatenko; Ed. V. B. Betelina; Ross. akad. Wissenschaften, Forschung Institut für Systeme. Forschung - M.: Wissenschaft, 1998

.Galatenko, V.A.. Grundlagen der Informationssicherheit: Eine Vorlesungsreihe. - M.: Internet University of Information. Technologien, 2003

.Gennadieva, E.G. Theoretische Grundlagen der Informatik und Informationssicherheit. - M.: Radio und Kommunikation, 2000

.Ghika, Sebastian Narchis. Ausblenden von Informationen in Grafikdateien des VMR-Formats Dis. ... offen. Technik. Wissenschaften: 13.05.19 - St. Petersburg, 2001

.Ghika, S.N. Ausblenden von Informationen in Grafikdateien im BMP-Format: Zusammenfassung des Autors. dis. ... offen. Technik. Naturwissenschaften: 13.05.19 St. Petersburg. Zustand int. Punkt Mechanik und Optik. - St. Petersburg, 2001

.Golubev, V.V. Sicherheitsmanagement. - St. Petersburg: Peter, 2004

.Gorbatov, V.S. Informationssicherheit. Grundlagen des Rechtsschutzes. - M.: MEPhI (TU), 1995

.Gorlova, I.I., Hrsg. Informationsfreiheit und Informationssicherheit: Materialien des Internationalen. wissenschaftlich Konferenz, Krasnodar, 30.-31. Oktober. 2001 - Krasnodar, 2001

.Greensberg, A.S. und andere. Schutz der Informationsressourcen der öffentlichen Verwaltung. - M.: UNITY, 2003

.Informationssicherheit Russlands im globalen Kontext Informationsgesellschaft„INFOFORUM-5“: Sa. Materialien 5. Allrussisch. Conf., Moskau, 4.-5. Februar. 2003 - M.: LLC Ed. Zeitschrift Geschäft und Sicherheit Russlands, 2003

.Informationssicherheit: Sa. Methode. Materialien des Bildungsministeriums der Russischen Föderation. Föderation [und andere]. - M.: TSNIIATOMINFORM, 2003

34.Informationstechnologie// Wirtschaft und Leben. Nr. 25, 2001

35.Informationstechnologien im Marketing: Lehrbuch für Universitäten. - M.: 2003

.Informationstechnologien in Wirtschaft und Management: Lehrbuch / Kozyrev A.A. - M.: Verlag Mikhailov V.A., 2005

.Lopatin, V.N. Informationssicherheit Russlands Dis. ... Doktor der Rechtswissenschaften. Naturwissenschaften: 12.00.01

.Lukaschin, V.I. Informationssicherheit. - M.: Moskau. Zustand Universität für Wirtschaft, Statistik und Informatik

.Luchin, I. N., Zheldakov A. A., Kuznetsov N. A. Hacking-Passwortschutz // Informatisierung von Strafverfolgungssystemen. M., 1996

.McClure, Stuart. Hacken im Web. Angriffe und Verteidigung Stuart McClar, Saumil Shah, Sriraj Shah. - M.: Williams, 2003

.Malyuk, A.A. Theoretische Grundlagen zur Formalisierung der prädiktiven Bewertung des Informationssicherheitsniveaus in Datenverarbeitungssystemen. - M.: MEPhI, 1998SPb., 2000

.Wirtschaftlichkeit von Informationssicherheitssystemen. Chebotar P.P. - Moldauische Wirtschaftsakademie, 2003

.Jakowlew, V.V. Informationssicherheit und Informationsschutz in Unternehmensnetzwerke Schienenverkehr. - M., 2002

.Yarochkin, V.I. Informationssicherheit. - M.: Mir, 2003

.Yarochkin, V.I. Informationssicherheit. - M.: Stiftung „Mir“, 2003: Acad. Projekt

.Yasenev, V.N. Automatisierte Informationssysteme in der Wirtschaft und Gewährleistung ihrer Sicherheit: Lernprogramm. - N. Nowgorod, 2002

Funktioniert ähnlich wie – Schutz personenbezogener Daten in Online-Banking-Systemen

Besonders beliebt ist es bei russischen Abteilungen ausländischer Unternehmen durch die Hinzufügung von Teil 5 von Artikel 18 zu 152-FZ „Über personenbezogene Daten“: „... der Betreiber ist verpflichtet, für die Erfassung, Systematisierung, Akkumulation, Speicherung und Klärung zu sorgen.“ (Aktualisierung, Änderung), Abruf persönliche Daten Bürger der Russischen Föderation, die Datenbanken nutzen, die sich auf dem Territorium der Russischen Föderation befinden. . Es gibt eine Reihe von Ausnahmen im Gesetz, aber Sie müssen zugeben, dass Sie im Falle einer Inspektion durch die Aufsichtsbehörde stärkere Trumpfkarten haben möchten als „Aber das geht uns nichts an.“

Die Strafen für Verstöße sind sehr schwerwiegend. Online-Shops, soziale Netzwerke, Informationsseiten, andere Unternehmen im Zusammenhang mit Internet im Fall von Ansprüche von Aufsichtsbehörden kann tatsächlich geschlossen sein. Es ist möglich, dass der Regulierungsbehörde bei der ersten Inspektion Zeit gegeben wird, die Mängel zu beseitigen, diese Frist ist jedoch in der Regel begrenzt. Wenn das Problem nicht sehr schnell behoben wird (was ohne vorbereitende Vorbereitung schwierig zu machen), können Verluste in keiner Weise ausgeglichen werden. Das Sperren von Websites führt nicht nur zu einer Verkaufspause, sondern bedeutet auch einen Verlust von Marktanteilen.

Weniger dramatisch ist das Auftauchen von Verstößen gegen das Datenschutzgesetz auf der „schwarzen Liste“ für Offline-Unternehmen. Dies birgt jedoch Reputationsrisiken, die für ausländische Unternehmen einen erheblichen Faktor darstellen. Darüber hinaus gibt es mittlerweile fast keine Tätigkeitsarten mehr, die überhaupt nicht vom Schutz personenbezogener Daten betroffen sind. Ob Banken, Handel oder Industrie – sie alle unterhalten Kundendatenbanken und unterliegen damit den entsprechenden Gesetzen.

Dabei ist es wichtig zu verstehen, dass das Thema auch unternehmensintern nicht isoliert betrachtet werden kann. Der Schutz personenbezogener Daten kann sich nicht auf die Installation zertifizierter Sicherheitsmaßnahmen auf Servern und das Verschließen von Papierkarten in Tresoren beschränken. Persönliche Daten haben viele Eintrittspunkte in das Unternehmen – Vertriebsabteilungen, Personalwesen, Kundendienst, manchmal auch Ausbildungszentren, Einkaufskommissionen und andere Einheiten. Die Verwaltung des Schutzes personenbezogener Daten ist ein komplexer Prozess, der Auswirkungen hat ES, Dokumentenfluss, Vorschriften, rechtliche Registrierung.

Schauen wir uns an, was nötig wäre, um einen solchen Prozess auszuführen und aufrechtzuerhalten.

Welche Daten gelten als personenbezogen?

Streng genommen sind alle Informationen, die sich direkt oder indirekt auf eine bestimmte Person beziehen, deren personenbezogene Daten. Bitte beachten Sie, dass es sich hierbei nicht um Personen handelt Rechtspersonen. Es stellt sich heraus, dass die Angabe Ihres vollständigen Namens und Ihrer Wohnadresse ausreicht, um den Schutz dieser (und damit verbundenen) Daten einzuleiten. Allerdings empfangen Email mit persönlichen Daten einer Person in Form einer Unterschrift und Telefonnummer Das ist kein Grund, sie zu verteidigen. Schlüsselbegriff: „Das Konzept der Erhebung personenbezogener Daten.“ Um den Kontext zu verdeutlichen, möchte ich einige Artikel des Gesetzes „Über personenbezogene Daten“ hervorheben.

Artikel 5. Grundsätze für die Verarbeitung personenbezogener Daten. Es sollte klare Ziele geben, die klar machen, warum die Informationen gesammelt werden. Andernfalls sind selbst bei vollständiger Einhaltung aller anderen Regeln und Vorschriften Sanktionen wahrscheinlich.

Artikel 10. Besondere Kategorien personenbezogener Daten. Beispielsweise kann die Personalabteilung Einschränkungen bei Geschäftsreisen, einschließlich Schwangerschaften von Mitarbeitern, erfassen. Natürlich, so Weitere Informationen sind ebenfalls geschützt. Dies erweitert das Verständnis für personenbezogene Daten erheblich und erweitert die Liste der Abteilungen und Informationsspeicher des Unternehmens, in denen auf den Schutz geachtet werden muss.

Artikel 12. Grenzüberschreitende Übermittlung personenbezogener Daten. Befindet sich ein Informationssystem mit Daten über Bürger der Russischen Föderation in einem Land, das das Übereinkommen zum Schutz personenbezogener Daten nicht ratifiziert hat (z. B. in Israel), sollten die Bestimmungen der russischen Gesetzgebung eingehalten werden.

Artikel 22. Benachrichtigung über die Verarbeitung personenbezogener Daten. Eine Voraussetzung, um die Aufmerksamkeit der Regulierungsbehörde nicht zu erregen. Wenn Sie geschäftliche Aktivitäten im Zusammenhang mit personenbezogenen Daten durchführen, melden Sie dies selbst, ohne auf Kontrollen zu warten.

Wo sich personenbezogene Daten befinden können

Technisch gesehen kann sich PD überall befinden, von gedruckten Medien (Papierakten) bis hin zu maschinellen Medien ( Festplatten, Flash-Laufwerke, CDs usw.). Das heißt, der Fokus der Aufmerksamkeit jegliche Datenspeicherung die unter die Definition von ISPD (Personal Data Information Systems) fallen.

Die Geographie des Standorts ist ein separates großes Thema. Einerseits personenbezogene Daten von Russen ( Einzelpersonen die Staatsbürger der Russischen Föderation sind) müssen auf dem Territorium der Russischen Föderation gelagert werden. Andererseits ist dies im Moment eher ein Vektor der Entwicklung der Situation als eine vollendete Tatsache. Viele internationale und Exportunternehmen, verschiedene Beteiligungen und Joint Ventures verfügen seit jeher über eine verteilte Infrastruktur – und das wird sich nicht über Nacht ändern. Im Gegensatz zu Methoden zur Speicherung und zum Schutz personenbezogener Daten, die fast jetzt sofort angepasst werden müssen.

Mindestliste der Abteilungen, die an der Erfassung, Systematisierung, Akkumulation, Speicherung, Klärung (Aktualisierung, Änderung) und Abfrage personenbezogener Daten beteiligt sind:

• Personalservice.
• Verkaufsabteilung.
• Rechtsabteilung.

Da es selten eine perfekte Ordnung gibt, können in der Realität oft die unvorhersehbarsten Einheiten zu dieser „erwarteten“ Liste hinzugefügt werden. Beispielsweise kann ein Lager personalisierte Informationen über Lieferanten aufzeichnen oder ein Sicherheitsdienst kann seine eigenen detaillierten Aufzeichnungen über alle Personen führen, die das Gelände betreten. So kann die Zusammensetzung der personenbezogenen Daten von Mitarbeitern übrigens durch Daten zu Kunden, Partnern, Auftragnehmern sowie zufälligen und sogar fremden Besuchern ergänzt werden – deren personenbezogene Daten beim Fotografieren für einen Passierschein oder beim Scannen zu einem „Verbrechen“ werden ein Personalausweis und in einigen anderen Fällen. ACS (Zugriffskontroll- und Verwaltungssysteme) können im Zusammenhang mit dem Schutz personenbezogener Daten leicht zu Problemen führen. Daher ist die Antwort auf die Frage „Wo?“ Unter dem Gesichtspunkt der Einhaltung des Gesetzes klingt es so: überall im Meldegebiet. Eine genauere Antwort kann nur durch eine entsprechende Prüfung gegeben werden. Dies ist die erste Stufe Projekt zum Schutz personenbezogener Daten. Volle Liste seine Schlüsselphasen:

1) Prüfung der aktuellen Situation im Unternehmen.

2) Entwurf einer technischen Lösung.

3) Vorbereitung des Prozesses zum Schutz personenbezogener Daten.

4) Überprüfung der technischen Lösung und des Prozesses zum Schutz personenbezogener Daten auf Übereinstimmung mit der Gesetzgebung der Russischen Föderation und den Unternehmensvorschriften.

5) Implementierung einer technischen Lösung.

6) Einleitung des Prozesses zum Schutz personenbezogener Daten.

1. Prüfung der aktuellen Situation im Unternehmen

Erkundigen Sie sich zunächst bei der Personalabteilung und anderen Abteilungen, die Papiermedien mit personenbezogenen Daten nutzen:

• Gibt es Einwilligungserklärungen zur Verarbeitung personenbezogener Daten? Sind sie ausgefüllt und unterschrieben?
• Werden die „Verordnung über die Einzelheiten der Verarbeitung personenbezogener Daten ohne den Einsatz von Automatisierungstools“ vom 15. September 2008 Nr. 687 eingehalten?

Bestimmen Sie den geografischen Standort des ISPD:

• In welchen Ländern befinden sie sich?
• Auf welcher Basis?
• Gibt es Nutzungsvereinbarungen?
• Was für ein technologischer Schutz Wird verwendet, um Datenlecks zu verhindern ?
• Welche organisatorischen Maßnahmen werden zum Schutz personenbezogener Daten ergriffen?

Idealerweise sollte ein Informationssystem mit personenbezogenen Daten von Russen alle Anforderungen des Gesetzes 152-FZ „Über personenbezogene Daten“ erfüllen, auch wenn es sich im Ausland befindet.

Beachten Sie abschließend die beeindruckende Liste der Dokumente, die im Falle einer Überprüfung erforderlich sind (dies ist nicht alles, sondern nur die Hauptliste):

• Benachrichtigung über PD-Verarbeitung.
• Ein Dokument zur Identifizierung der Person, die für die Organisation der Verarbeitung personenbezogener Daten verantwortlich ist.
• Liste der Mitarbeiter, die zur Verarbeitung personenbezogener Daten berechtigt sind.
• Ein Dokument, das den Speicherort von PD definiert.
• Zertifikat über die Verarbeitung besonderer und biometrischer Kategorien personenbezogener Daten.
• Bescheinigung über die grenzüberschreitende Übermittlung personenbezogener Daten.
• Standardformen von Dokumenten mit personenbezogenen Daten.
• Standardform der Einwilligung zur Verarbeitung personenbezogener Daten.
• Verfahren zur Weitergabe personenbezogener Daten an Dritte.
• Das Verfahren zur Erfassung von Anfragen von PD-Probanden.
• Liste der Informationssysteme für personenbezogene Daten (ISPD).
• Dokumente zur Regelung der Datensicherung im ISPD.
• Liste der verwendeten Informationssicherheitstools.
• Das Verfahren zur Vernichtung personenbezogener Daten.
• Zugriffsmatrix.
• Bedrohungsmodell.
• Logbuch zur Aufzeichnung von Maschinenmedien PDn.
• Ein Dokument, das die Sicherheitsstufen für jedes ISPD gemäß PP-1119 vom 1. November 2012 „Über die Genehmigung von Anforderungen zum Schutz personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten“ definiert.

2. Entwurf einer technischen Lösung

Eine Beschreibung der organisatorischen und technischen Maßnahmen, die zum Schutz personenbezogener Daten getroffen werden müssen, finden Sie im Kapitel 4 „Pflichten des Betreibers“ des Gesetzes 152-FZ „Über personenbezogene Daten“. Die technische Lösung muss auf den Bestimmungen von Artikel 2 des Gesetzes 242-FZ vom 21. Juli 2014 basieren.

Aber wie kann man die Gesetze einhalten und die personenbezogenen Daten von Bürgern der Russischen Föderation auf dem Territorium Russlands verarbeiten, wenn sich die Datenquelle noch im Ausland befindet? Hier gibt es mehrere Möglichkeiten:

• Physischer Transfer Informationssystem und Datenbank auf dem Territorium der Russischen Föderation. Wenn es technisch machbar ist, ist dies am einfachsten.
• Wir belassen die PD-Daten im Ausland, aber in Russland erstellen wir eine Kopie davon und richten eine einseitige Replikation der PD-Daten russischer Staatsbürger von der russischen Kopie auf die ausländische Kopie ein. Gleichzeitig muss in einem ausländischen System die Möglichkeit einer Änderung der personenbezogenen Daten von Bürgern der Russischen Föderation ausgeschlossen werden; alle Änderungen dürfen nur über das russische ISPD vorgenommen werden.
• Es gibt mehrere ISPDs und sie sind alle im Ausland. Die Übertragung kann teuer oder technisch nicht machbar sein (z. B. ist es unmöglich, einen Teil der Datenbank mit personenbezogenen Daten von Bürgern der Russischen Föderation auszuwählen und nach Russland zu übertragen). In diesem Fall besteht die Lösung möglicherweise darin, auf einer beliebigen verfügbaren Plattform auf einem Server in Russland einen neuen ISPD zu erstellen, von dem aus die unidirektionale Replikation zu jedem ausländischen ISPD durchgeführt wird. Ich stelle fest, dass die Wahl der Plattform beim Unternehmen liegt.

Wenn die PDn nicht vollständig und ausschließlich nach Russland übertragen werden, vergessen Sie nicht, in der Bescheinigung über die grenzüberschreitende Datenübertragung anzugeben, an wen und welcher konkrete Satz von PDn gesendet wird. Aus der Verarbeitungsmitteilung muss der Zweck der Übermittlung personenbezogener Daten hervorgehen. Auch dieses Ziel muss legitim und klar begründet sein.

3. Vorbereitung des Prozesses zum Schutz personenbezogener Daten

Der Prozess zum Schutz personenbezogener Daten sollte mindestens die folgenden Punkte festlegen:

• Liste der Verantwortlichen für die Verarbeitung personenbezogener Daten im Unternehmen.
• Das Verfahren zur Bereitstellung des Zugangs zum ISPD. Im Idealfall handelt es sich dabei um eine Zugriffsmatrix mit einer Zugriffsebene für jede Position oder jeden einzelnen Mitarbeiter (Lesen/Lesen-Schreiben/Ändern). Oder eine Liste der verfügbaren persönlichen Daten für jede Position. Es hängt alles von der Umsetzung des IP und den Anforderungen des Unternehmens ab.
• Prüfung des Zugriffs auf personenbezogene Daten und Analyse von Zugriffsversuchen unter Verletzung der Zugriffsebenen.
• Analyse der Gründe für die Nichtverfügbarkeit personenbezogener Daten.
• Das Verfahren zur Beantwortung von Anfragen von PD-Personen bezüglich ihrer PD.
• Überarbeitung der Liste der personenbezogenen Daten, die außerhalb des Unternehmens übermittelt werden.
• Überprüfung der Empfänger personenbezogener Daten, auch im Ausland.
• Regelmäßige Überprüfung des Bedrohungsmodells für personenbezogene Daten sowie Änderungen des Schutzniveaus personenbezogener Daten im Zusammenhang mit Änderungen im Bedrohungsmodell.
• Halten Sie die Unternehmensdokumente auf dem neuesten Stand (die Liste finden Sie oben und kann bei Bedarf ergänzt werden).

Hier können Sie jeden Punkt detailliert beschreiben, ich möchte jedoch ein besonderes Augenmerk auf das Sicherheitsniveau legen. Sie wird auf der Grundlage der folgenden Dokumente ermittelt (nacheinander lesen):

1. „Methodik zur Identifizierung aktueller Bedrohungen.“ Sicherheit personenbezogene Daten, wenn sie in Informationssystemen für personenbezogene Daten verarbeitet werden“ (FSTEC RF 14. Februar 2008).

2. Erlass der Regierung der Russischen Föderation Nr. 1119 vom 1. November 2012 „Über die Genehmigung von Anforderungen zum Schutz personenbezogener Daten bei ihrer Verarbeitung in Informationssystemen für personenbezogene Daten.“

3. FSTEC-Verordnung Nr. 21 vom 18. Februar 2013 „Über die Genehmigung der Zusammensetzung und des Inhalts organisatorischer und technischer Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten während ihrer Verarbeitung in Informationssystemen für personenbezogene Daten.“

Vergessen Sie auch nicht, die Notwendigkeit von Ausgabenkategorien zu berücksichtigen wie:

• Organisation Projektteam und Projektmanagement.
• Entwickler für jede der ISPDn-Plattformen.
• Serverkapazität (eigene oder in einem Rechenzentrum gemietet).

Am Ende der zweiten und dritten Phase des Projekts sollten Sie Folgendes haben:

• Kostenkalkulation.
• Qualitätsanforderungen.
• Projektfristen und Zeitplan.
• Technische und organisatorische Risiken des Projekts.

4. Überprüfung der technischen Lösung und des Prozesses zum Schutz personenbezogener Daten auf Übereinstimmung mit der Gesetzgebung der Russischen Föderation und den Unternehmensvorschriften

Kurz formuliert, aber wichtige Etappe, innerhalb dessen Sie sicherstellen müssen, dass alle geplanten Maßnahmen nicht im Widerspruch zur Gesetzgebung der Russischen Föderation und den Unternehmensregeln (z. B. Sicherheitsrichtlinien) stehen. Geschieht dies nicht, wird eine Bombe in das Fundament des Projekts gelegt, die in Zukunft „explodieren“ kann und den Nutzen der erzielten Ergebnisse zunichte macht.

5. Implementierung einer technischen Lösung

Hier ist alles mehr oder weniger offensichtlich. Die Einzelheiten hängen von der Ausgangssituation und Entscheidungen ab. Aber im Allgemeinen sollte das Bild ungefähr so ​​aussehen:

• Serverkapazität wurde zugewiesen.
• Netzwerkingenieure haben für ausreichende Kanalkapazität zwischen dem PDn-Empfänger und dem Sender gesorgt.
• Die Entwickler haben eine Replikation zwischen ISPDn-Datenbanken etabliert.
• Administratoren verhinderten Änderungen an im Ausland ansässigen ISPDs.

Der Verantwortliche für den Schutz personenbezogener Daten oder der „Prozesseigentümer“ kann dieselbe oder eine andere Person sein. Tatsache ist, dass der „Prozesseigentümer“ die gesamte Dokumentation vorbereiten und den gesamten Prozess zum Schutz personenbezogener Daten organisieren muss. Hierzu ist die Benachrichtigung aller Interessenten, die Unterweisung der Mitarbeiter und die Ermöglichung der Umsetzung technischer Maßnahmen zum Schutz der Daten durch den IT-Dienst erforderlich.

6. Einleitung des Prozesses zum Schutz personenbezogener Daten

Dies ist ein wichtiger Schritt, und in gewisser Weise besteht das Ziel des gesamten Projekts darin, den Fluss unter Kontrolle zu bringen. Außerdem technische Lösungen und regulatorischer Dokumentation ist die Rolle des Prozessverantwortlichen hier von entscheidender Bedeutung. Er muss nicht nur Änderungen in der Gesetzgebung, sondern auch in der IT-Infrastruktur überwachen. Das bedeutet, dass entsprechende Fähigkeiten und Kompetenzen erforderlich sind.

Darüber hinaus ist es bei den Bedingungen von entscheidender Bedeutung echte Arbeit Der Inhaber des Prozesses zum Schutz personenbezogener Daten benötigt alle erforderlichen Befugnisse und administrative Unterstützung durch die Unternehmensleitung. Andernfalls wird er ein ewiger „Bittsteller“ sein, dem niemand Beachtung schenkt, und nach einiger Zeit kann das Projekt neu gestartet werden, beginnend mit der Prüfung.

Nuancen

Ein paar Punkte, die man leicht übersieht:

• Wenn Sie mit einem Rechenzentrum zusammenarbeiten, benötigen Sie einen Servicevertrag zur Bereitstellung von Serverkapazitäten, nach dem Ihr Unternehmen Daten rechtmäßig speichert und kontrolliert.
• Sie benötigen Lizenzen für die Software, mit der personenbezogene Daten erhoben, gespeichert und verarbeitet werden, oder Mietverträge.
• Befindet sich das ISPD im Ausland, ist eine Vereinbarung mit dem Unternehmen erforderlich, das dort das System besitzt – um die Einhaltung der Gesetzgebung der Russischen Föderation in Bezug auf die personenbezogenen Daten von Russen zu gewährleisten.
• Wenn personenbezogene Daten an einen Auftragnehmer Ihres Unternehmens (z. B. einen IT-Outsourcing-Partner) übermittelt werden, haften Sie im Falle eines Verlusts personenbezogener Daten seitens des Outsourcers für Ansprüche. Im Gegenzug kann Ihr Unternehmen Ansprüche gegen den Outsourcer geltend machen. Vielleicht kann dieser Faktor die Tatsache der Auslagerung von Arbeit beeinflussen.

Und noch einmal: Das Wichtigste ist, dass der Schutz personenbezogener Daten nicht einfach gewährleistet werden kann. Es ist ein Prozess. Ein fortlaufender iterativer Prozess, der in hohem Maße von weiteren Änderungen in der Gesetzgebung sowie vom Format und der Strenge der praktischen Anwendung dieser Regeln abhängen wird.