Дипломна робота на тему: Розробка системи захисту персональних даних на підприємстві ПАТ "Сітібанк". Як забезпечити захист персональних даних у компанії Письмова згода на обробку персональних даних

Безпека персональних даних у банку

Що таке особисті дані?

Згідно з визначенням з федерального закону, персональні дані - будь-яка інформація, що відноситься до певної або визначається на підставі такої інформації фізичній особі (суб'єкту персональних даних), у тому числі його прізвище, ім'я, по батькові, рік, місяць, дата та місце народження, адреса, сімейний, соціальний, майновий стан, освіта, професія, доходи, інша інформація.

Де є персональні дані?

Персональні дані (ПДн) у банку перебувають у наступних системах:

Автоматизована банківська система (АБС);

Системи Клієнт-Банк;

Системи миттєвого переказу грошей;

Бухгалтерські системи обліку;

Кадрові системи обліку;

Корпоративна інформаційна система;

Внутрішній веб-портал.

ПДн можуть бути присутніми на паперових документах (договори, форми, накази, інструкції, анкети, угоди тощо).

Які документи встановлюють вимоги щодо захисту персональних даних?

Федеральні закони

Федеральний закон № 149-ФЗ від 27 липня 2006 року «Про інформацію, інформаційні технології та захист інформації»;

Постанови Уряду

Постанова уряду Російської Федерації№ 781 від 17 листопада 2007 року «Про затвердження положення про забезпечення безпеки персональних даних під час їх обробки інформаційних системахперсональних даних»;

Постанова Уряду Російської Федерації № 957 від 29 грудня 2007 року "Про затвердження положень про ліцензування окремих видів діяльності, пов'язаних із шифрувальними (криптографічними) засобами";

Постанова Уряду Російської Федерації № 687 від 15 вересня 2008 року "Про затвердження положення про особливості обробки персональних даних, що здійснюється без використання засобів автоматизації".

ФСТЕК Росії

Спільний наказ ФСТЕК Росії, ФСБ Росії та Мінінформзв'язку Росії від 13 лютого 2008 р. № 55/86/20 "Про затвердження порядку проведення класифікації інформаційних систем персональних даних";

Керівний документ ФСТЕК Росії «Базова модель загроз безпеці персональних даних під час їхньої обробки в інформаційних системах персональних даних»;

Керівний документ ФСТЕК Росії «Методика визначення актуальних загроз безпеці персональних даних під час їхньої обробки в інформаційних системах персональних даних»;

Наказ ФСТЕК Росії від 5 лютого 2010 р. № 58 «Про затвердження положення про методи та засоби захисту інформації в інформаційних персональних даних».

ФСБ Росії

Наказ ФАПСІ від 13 червня 2001 р. № 152 «Про затвердження інструкції про організацію та забезпечення безпеки зберігання, обробки та передачі каналами зв'язку з використанням засобів криптографічного захистуінформації з обмеженим доступом, що не містить відомостей, що становлять державну таємницю»;

Наказ ФСБ РФ від 9 лютого 2005 р. № 66 «Про затвердження положення про розробку, виробництво, реалізацію та експлуатацію шифрувальних (криптографічних) засобів захисту інформації (становище ПКЗ-2005)»;

Керівний документ ФСБ Росії від 21 лютого 2008 р. №149/54-144 «Методичні рекомендації щодо забезпечення за допомогою криптозасобів безпеки персональних даних при їх обробці в інформаційних системах персональних даних із використанням засобів автоматизації»;

Керівний документ ФСБ Росії від 21 лютого 2008 р. №149/6/6-622 «Типові вимоги щодо організації та забезпечення функціонування шифрувальних (криптографічних) засобів, призначених для захисту інформації, що не містить відомостей, що становлять державну таємницю, у разі їх використання забезпечення безпеки персональних даних під час їх обробки в інформаційних системах персональних даних»;

Стандарт Банку Росії

СТО БР ІББС-1.0-2010 Забезпечення інформаційної безпеки організацій банківської системи РФ. Загальні положення";

СТО БР ІББС-1.1-2007 «Забезпечення інформаційної безпеки організацій банківської системи РФ. Аудит інформаційної безпеки»;

СТО БР ІББС-1.2-2010 «Забезпечення інформаційної безпеки організацій банківської системи РФ. Методика оцінки відповідності інформаційної безпеки організацій банківської системи Російської Федерації вимогам СТО БР ІББС-1.0-20хх»;

РС БР ІББС-2.0-2007 «Забезпечення інформаційної безпеки організацій банківської системи РФ. Методичні рекомендації щодо документації у сфері забезпечення інформаційної безпеки відповідно до вимог СТО БР ІББС-1.0»;

РС БР ІББС-2.1-2007 «Забезпечення інформаційної безпеки організацій банківської системи РФ. Посібник із самооцінки відповідності інформаційної безпеки організацій банківської системи РФ вимогами СТО БР ІББС-1.0»;

РС БР ІББС-2.3-2010 «Забезпечення ІБ організацій банківської системи РФ. Вимоги щодо забезпечення безпеки персональних даних в інформаційних системах персональних даних організацій банківської системи РФ»;

РС БР ІББС-2.4-2010 «Забезпечення ІБ організацій банківської системи РФ. Галузева приватна модель загроз безпеці персональних даних під час їхньої обробки в інформаційних системах ПД організацій банків банківської системи РФ»;

Методичні рекомендації щодо виконання законодавчих вимог при обробці персональних даних в організаціях БС РФ, розроблені спільно Банком Росії, АРБ ​​та Асоціацією регіональних банків Росії (Асоціацією «Росія»).

Як слід захищати персональні дані?

Відповідно до вимог методичних документів для захисту ПДН, загальним для всіх видів ІСПДН, є такі підсистеми:

Підсистема контролю доступу;

Підсистема реєстрації та обліку;

Підсистема забезпечення цілісності;

Підсистема міжмережевої безпеки.

Якщо ІСПДн підключено до мережі Інтернет, необхідно додатково використовувати наступні підсистеми:

Підсистема антивірусної безпеки;

Підсистема виявлення вторгнень;

Підсистема аналізу захищеності.

Також необхідно використовувати електронні замкита/або електронні ключідля надійної ідентифікації та аутентифікації користувачів.

Якщо ІСПДн є розподіленою додатково для запобігання несанкціонованого доступу, шляхом відділення інформації, що захищається від загальнодоступної, необхідно використовувати криптографію при передачі ПДн незахищеними каналами зв'язку, а також, ЕЦП, для підтвердження справжності даних.

Така розбивка на підсистеми та формування на їх основі переліку продуктів для захисту ПДН є загальноприйнятою та використовується у більшості випадків.

Від чого потрібно захищати персональні дані?

Якщо завданням є забезпечення лише конфіденційності ПДН, необхідно здійснювати заходи та/або використовувати технічні засоби, спрямовані на запобігання несанкціонованому доступу, то така ІСПД стає типовою.

Якщо додатково пред'являються вимоги щодо забезпечення інших властивостей інформаційної безпеки, таких як забезпечення цілісності, доступності, а також їх похідних (невідмовність, підзвітність, адекватність, надійність та ін), то така ІСПД стає спеціальною. У більшості випадків будь-яка ІСПДн буде спеціальною, тобто крім класів ПДн для визначення механізмів захисту потрібно керуватися створюваною для цього моделлю загроз.

Як зменшити клас ПДН?

Для того щоб зменшити та спростити заходи щодо захисту ПДН, Банки йдуть на різні хитрощі. Нижче наводжу найбільш типові способи, що дозволяють зменшити вартість засобів захисту. Однак, саме по собі таке «перекроювання» інформаційних систем Банку є досить складним та трудомістким завданням.

Зменшення кількості майданчиків

Як було показано вище, якщо ІСПДн є розподіленою, то до її захисту пред'являються підвищені вимоги, щоб їх зменшити потрібно спробувати уникнути розподілених ІСПДн.

При розподіленій ІСПДн ПДн знаходяться на різних майданчиках, ПДн передаються по неконтрольованих Банком каналах зв'язку, а в загальному випадку це означає, що ПДн виходять або залишають контрольовану зону. Тоді, перш за все, необхідно локалізувати ПДН, зменшивши кількість майданчиків, на яких вони будуть. У деяких випадках це реально, але якщо розглядати АБС, то такої можливості швидше за все не буде.

Зменшення кількості серверів

Якщо ІСПД є локальною, тобто функціонує в межах локальної мережі Банку, то найбільш простим способом зменшення вартості витрат на захист буде зменшення кількості серверного обладнання, на яких присутні та/або обробляються ПДн.

Зменшення кількості АРМ та персоналу

За будь-якого типу ІСПДн (у вигляді АРМ, локальної, розподіленої) кінцевою обробкою ПДН, як правило, займається персонал Банку. Якщо не використовувати термінальний доступ, про який буде сказано нижче, має сенс зменшити кількість персоналу Банку, який займається обробкою ПДН або має доступ до них.

Поділ ІС за допомогою МСЕ

Для того, щоб зменшити кількість ПДн, а значить і зменшити вартість засобів захисту, гарним способомє поділ інформаційних мережна сегменти, у яких ведеться обробка ПДН. Для цього необхідно встановити та використовувати міжмережеві екрани, до портів яких слід приєднати сегменти з ПДН. Часто все серверне обладнання розташоване в демілітаризованій зоні, тобто в сегментах відокремлених від загальнодоступних та банківських мереж міжмережевими екранами. Цей спосіб також вимагає суттєвого «перекроювання» інформаційних мереж. Існує метод, заснований на так званому «лінійному шифруванні», тобто шифруванні каналу клієнт-клієнт, клієнт-сервер, сервер-сервер. Таке шифрування мережного трафіку може бути реалізовано як при використанні спеціальних засобів захисту, так і при використанні стандартної технології IPSec, однак вона не є сертифікованою ФСБ Росії, що є істотним її мінусом.

Іншим способом поділу ІСПД в масштабах всієї мережі могла б стати технологія віртуальних мереж– VLAN, проте фактично VLAN це лише ідентифікатор в одному з полів мережного пакета, що дозволяє говорити про цю технологію як про «айтішну». Тому розподіл мереж за допомогою VLAN не звільняє від використання технологій захисту інформації.

Розподіл баз даних на частини

Припустимо, що є база даних, що складається з тисячі записів: П.І.Б. та сума вкладу.

Створимо дві інші бази даних. Введемо додатковий унікальний ідентифікатор. Розділимо таблицю на дві частини, в першу помістимо поля П.І.Б та ідентифікатор, в іншу ідентифікатор та суму вкладу.

Таким чином, якщо кожен співробітник може обробляти лише одну з цих нових баз даних, то захист ПДН суттєво спрощується, якщо не зводиться нанівець. Очевидно, що цінність такої бази даних суттєво нижча, ніж вихідна. Обидві ж бази даних будуть на найбільш захищеному сервері. Насправді полів у базі даних набагато більше, проте даний принципможе працювати майже кожному разі, т.к. кількість значущих з погляду безпеки ПДн полів не така вже й велика, а скоріше дуже обмежена. У граничному випадку можна зберігати ключові відповідності на ПК, що не входить до локальну мережуабо навіть не використовувати автоматизовану обробку.

Знеособлення ПДН

Відповідно до визначення з 152-ФЗ, знеособлення ПДН – дії, у яких неможливо визначити належність ПДн конкретному суб'єкту ПДн. З цього визначення випливає серія способів, з яких можна отримати ПДн, якими неможливо визначити належність ПДн. Наприклад, якщо для цілей обробки не важливі точні дані певних полів, їх можна або не відображати або відображати лише діапазони, в які вони потрапляють. Наприклад, вік 20-30, 30-40 і т.д. Адресу можна «округлити» до району, округу або міста: Царицино, Південний, Москва. Залежно від необхідності процес знеособлення ПДн може бути оборотним або незворотним. До незворотного належать перераховані вище способи «округлення», а до оборотного, наприклад, шифрування. З моєї точки зору, шифрування (кодування) може бути способом знеособлення даних і повинно застосовуватися для цих цілей.

«Тонкі клієнти» та термінальний доступ

Використання технологій «тонкого клієнта» і відповідної технології термінального доступу на серверах дозволяє істотно знизити вимоги до захисту ПДн. Справа в тому, що при використанні «тонких» клієнтів та термінального доступу на ПК співробітників Банку не потрібно встановлювати спеціалізоване ПЗ, таке як клієнтські частини баз даних, клієнтські частини АБС і т.д. Більше того, на ПК співробітників Банку не потрібно встановлювати жодних спеціальних засобів захисту. Дані технології дозволяють відображати на своєму робочому місці інформацію з баз даних, що зберігаються на серверах та здійснювати управління обробкою ПДН. Ці технології апріорі безпечні, т.к. термінальними політиками легко обмежити можливості кінцевих клієнтів (персоналу Банку) з копіювання, отже, і поширення ПДн. Канал зв'язку між серверами та ПК із «тонким клієнтом» легко піддається шифруванню, тобто простими способамиможна забезпечити конфіденційність переданих даних.

Швидкість потенційних витоків даних обмежуватиметься лише візуальним каналом, що визначається швидкістю фотоапарата або відеокамери, проте при введенні спеціальних організаційних заходів таке копіювання стає дуже скрутним.

Чим можна захистити особисті дані?

У широкому значенні під забезпеченням захисту від несанкціонованого доступу розуміється комплекс організаційних та технічних заходів. Ці заходи ґрунтуються на розумінні механізмів запобігання несанкціонованому доступу на різних рівнях:

Ідентифікація та аутентифікація (також двофакторна або строга). Це може бути (операційна система, інфраструктурне програмне забезпечення, прикладне програмне забезпечення, апаратні засоби, наприклад електронні ключі);

Реєстрація та облік. Це може бути журналування (логування, протоколювання) подій у всіх перерахованих вище системах, ПЗ та засобах);

Забезпечення цілісності. Це може бути розрахунок за контрольними сумами контрольованих файлів, забезпечення цілісності програмних компонентів, використання замкнутого програмного середовища, а також забезпечення довіреного завантаження ОС);

Міжмережевий екран, як шлюзовий, і локальний;

Антивірусна безпека (застосовується до трьох рівнів оборони, так званий ешелонований або мультивендорний підхід);

Криптографія (функціонально застосовується на різних рівнях моделі OSI (мережевий, транспортний та вище), та забезпечує різний захисний функціонал).

є декілька комплексних продуктів, що мають розвинений НСД функціонал. Всі вони відрізняються типами застосування, підтримкою обладнання, ПЗ та топологією реалізації.

При розподіленій або має підключення до мережі загального користування (Інтернет, Ростелеком та ін.) ІСПДн застосовуються продукти аналізу захищеності (MaxPatrol від ПозитивТехнолоджис, яка не має прямих конкурентів в РФ), а також виявлення та запобігання вторгненням (IDS/IPS) – як на рівні шлюзу, і рівні кінцевого вузла.

Як можна передавати персональні дані?

Якщо ІСПДн є розподіленою, це означає необхідність передавати ПДН незахищеними каналами зв'язку. До речі, до незахищеного каналу відноситься і «повітряний». Для захисту ПДн у каналах зв'язку можуть використовуватись різні способи:

Шифрування каналу зв'язку. Може забезпечуватись будь-яким способом, таким як VPN між шлюзами, VPN між серверами, VPN між робочими станціями (InfoTecs ViPNet Custom, Інформзахист АПКШ Континент та ін.);

Пакетна комутація MPLS. Передача пакетів відбувається різними шляхами відповідно до міток, які присвоюються мережевим обладнанням. Наприклад, MPLS-мережа Ростелеком має сертифікат відповідності мережі пакетної комутації вимогам інформаційної безпеки ФСТЭК Росії, що гарантією високої захищеності послуг, що надаються її основі;

Шифрування документів. Може застосовуватись різне програмне забезпеченнядля шифрування файлів із даними, а також файли-контейнери (ViPNet SafeDisk, InfoWatch CryptoStorage, True Crypt та ін.);

Шифрування архівів. Можуть застосовуватися різні архіватори, які дозволяють архівувати та шифрувати файли, використовуючи криптостійкі алгоритми, такі як AES. (WinRAR, WinZIP, 7-ZIP та ін.).

Чи потрібно використати сертифіковані засоби захисту?

На сьогоднішній день є єдина вимога ФСТЕК Росії щодо сертифікації засобів захисту ПДн. Вимога стосується забезпечення 4 рівня недекларованих можливостей, тому з останнього питання наведу лише три тези:

Система сертифікації засобів захисту;

Достатньо виконати вимоги законодавства;

Сертифікувати інформаційну систему персональних даних загалом не потрібно.

Шауро Євген

Джабраїл Матієв, керівник напряму захисту персональних даних по комерційній частині компаніїReignVox

Постійна робота з величезними масивами клієнтських даних вимагає від банку будь-якого формату постійної роботиу сфері захисту цих даних.

Саме тому тема інформаційної безпеки, а разом із нею і тема довіри, є особливо актуальною у фінансовому секторі. Більше того, вимога захистити будь-які персональні дані, що входять до структури інформаційної системи сучасної фінансової компанії, є законодавчо обґрунтованим – федеральний закон №152 «Про персональні дані» абсолютно чітко зобов'язує кожну компанію, яка обробляє ці дані, провести їх захист у строго визначені терміни. Як нові, так і вже існуючі інформаційні системи, що опрацьовують персональні дані, мають бути приведені у відповідність до вимог законодавства у строк до 1 січня 2011 року. Враховуючи такі строго визначені часові межі, в організацій, які обробляють таку інформацію, залишається все менше часу, щоб виконати вимоги закону.

З чого слід розпочинати роботу із захисту персональних даних? На які терміни роботи розраховувати? Кому доручити проведення робіт? Яка середня вартість проекту та як мінімізувати витрати? Всі ці питання є актуальними сьогодні для будь-якої компанії, яка веде бізнес у фінансовому секторі. Експертні відповіді на них дозволяє дати великий досвід компанії ReignVox у сфері захисту персональних даних у фінансових структурах.

Життя в режимі зворотного відліку

Федеральний закон № 152 «Про персональні дані» набирає повної сили з 1 січня 2011 року – понад півроку попереду до визначеного законотворцями терміну. Але не варто піддаватися оманливому враженню про надлишок часу.

По-перше, впровадження проекту, спрямованого на виконання вимог щодо захисту персональних даних, вимагає від чотирьох до шести місяців залежно від його складності. Але і ця цифра не є остаточною - терміни можуть збільшитися до шести-вісім місяцівза рахунок того періоду, який банк витратить на вибір гідного інтегратора для розробки та ведення проекту. Проведення такого типу робіт самотужки загрожує банку втратою об'єктивності на стадії обстеження та аналізу, існуючих у ньому засобів захисту, а також необхідністю знайти для даної роботи окремі трудові ресурси. У цьому випадку слід пам'ятати і про такі фактори, як наявність підготовлених за тематикою захисту персональних даних фахівців, необхідного обсягу нормативно-методичного забезпечення, вільних ресурсів під завдання захисту персональних даних. Практика показує, що зазвичай усім цим вимогам у комплексі відповідають саме сторонні інтегратори.

По-друге, повертаючись до теми термінів, поставлених законом «Про персональні дані» перед операторами даних (а про те, що банки якраз і є такими операторами, питання вже не стоїть у принципі), що б там не говорили про їхнє «перенесення» », Перші перевірки регуляторів вже мають місце. Висновок - цілком логічне: актуальність проблеми не просто збереглася, вона в рази зросла, і її рішення стає нагальною необхідністю.

"А скринька просто відкривався ..."

Навколо завдання щодо приведення ІСПДн у відповідність до положень закону «Про персональні дані» протягом останнього часу ведуться активні дискусії, підсумок яких зводиться в основному до одного: розв'язання цього завдання дуже проблематичне в силу сукупності її організаційних та правових особливостей. Такий висновок не цілком вірний: практика застосування вимог щодо захисту персональних даних, що з'явилася протягом першого кварталу 2010 року (у тому числі й банківській сфері), підтверджує зрозумілість та інтерпретованість вимог, що пред'являються до ІСПДн. Їхнє формулювання, виконання та документальне підтвердження останнього з мінімальним ризиком будь-яких помилок не так складно у своїй реалізації, скільки важливо з точки зору безпеки банківського бізнесу. Ще більше спрощує завдання можливість передоручити її сторонньому інтегратору, чиї фахівці максимально оперативно та професійно виконають проект захисту персональних даних з урахуванням індивідуальних особливостей банківського бізнесу.

Таким чином, першочерговим завданням стає вибір компанії-інтегратора, якій буде вирішено довірити ведення проекту.

"Типовий" = "Ексклюзивний"?

Такий знак рівності між цими взаємовиключними поняттями має право на існування. Це твердження підкріплюється практичним досвідом вже завершених компанією ReignVox успішних проектів захисту персональних даних.

З одного боку, кожен такий проект включає стандартну кількість етапів: етап обстеження інформаційних систем персональних даних, етап проектування системи захисту персональних даних, етап впровадження СЗПДН, етап оцінки відповідності ІСПДн вимогам закону і етап підтримки створеної системи. Причому оцінка відповідності ІСПДн, як етап, має необов'язковий характер і проводиться на розсуд компанії-замовника. Так само як і етап підтримки створеної системи.

Типовість зазвичай закінчується на першому етапі (етапі обстеження інформаційних систем), оскільки саме він дозволяє виявити та описати ті вимоги, які будуть пред'явлені надалі до систем. І ці параметри вже індивідуальні та орієнтовані кожного конкретного замовника, оптимізовані відповідно до його потребами .

У ході цього обстеження аналізуються інформаційні ресурси, типові рішення, що застосовуються під час побудови IT-інфраструктури, інформаційні потоки персональних даних, наявні системи та засоби захисту інформації.

На цьому етапі розробляється модель загроз і порушника безпеки ПДн, оцінюється необхідність забезпечення безпеки ПДн в ИСПДн з допомогою криптосредств.

Класична схема проведення другого етапу включає аудит нормативної бази та оцінку її відповідності вимогам регуляторів. Його результатом стає розробка відсутніх внутрішніх документів, і навіть розробка технічного завдання розробку СЗПДн. На цьому ж етапі інтегратор розпочинає безпосередню розробку комплексу заходів щодо захисту інформації.

Після закінчення цього етапу банк вже цілком здатний успішно пройти перевірку одного із регуляторів.

Суть третього етапу зводиться до впровадження систем та настроювання існуючих засобів захисту. Після тестування, у разі потреби, проводиться доопрацювання комплексу технічних та програмних засобів.

На кожному з описаних етапів перед компанією ReignVox, як перед інтегратором, постають різні додаткові завдання, обумовлені специфікою бізнесу, що веде компанія-замовник її розмірами, інфраструктурою, активністю бізнес-процесів та багатьма іншими пунктами. І з багатьох таких складових щоразу складається нова, індивідуально адаптована концепція проекту захисту персональних даних.

«…і вівці цілі»

Мінімізація видатків, оптимізація бюджету, економія - яке словосполучення не підбери, суть залишиться однією - раціональний підхід до використання грошових ресурсів - саме він є другим наріжним каменем успішності фінансової структури (після довіри, звичайно ж). А тому прагнення по можливості скоротити витрати не на шкоду інформаційній безпеці є закономірним і цілком досяжним.

Вартість середньостатистичного типового проекту створення системи захисту персональних даних для банківської структури становить близько 1,5 млн. руб. При розрахунку цієї суми враховується і низка принципів, дотримання яких дозволяє скоротити бюджет створення системи захисту персональних даних.

Насамперед ми прагнемо максимально зберегти вже існуючу в організації ІТ-інфраструктуру. Зазвичай говорять про два полярні сценарії захисту ПДН. Перший – докорінна переробка всіх ИСПДн, а другий – формальний, полягає лише у випуску внутрішніх нормативних документів, без внесення змін до ИСПДн. Ми вважаємо оптимальним третій варіант, який полягає саме в збереженні ІТ-інфраструктури банку, що діє, що супроводжується видозміною деяких її елементів, додаванням нових, необхідних для забезпечення відповідності законодавству.

У цьому випадку йдеться про перший принцип, заснований на максимальному використанні існуючих засобів захисту інформаціїпід час проектування систем захисту інформації. Засоби захисту в будь-якій компанії застосовуються незалежно від необхідності захисту персональних даних, це системи антивірусного захисту, і вбудовані засоби контролю доступу операційної системи, і міжмережні екрани та багато інших засобів. Тому максимальна кількість вимог закривається засобами захисту. І лише у тому випадку, якщо якісь вимоги не задовольняються поточними засобами захисту, необхідно закупити та впровадити додаткові.

Другий принцип - принцип економічного логічного структурування інформаційних системперсональних даних Дотримуючись цього принципу, у рамках застосування проекту захисту персональних даних у банку, економічно обгрунтованим стає об'єднання кількох систем, що у одному приміщенні, в одну, разом із зниженням класу некритичних сегментів. Таким чином, створюється ІСПДн "Центр обробки даних", захист в якому забезпечується по периметру. Це дозволяє значною мірою мінімізувати витрати на поділ потоків у межах різних систем.

Принцип третій захищатися лише від актуальних загроз. При цьому актуалізація загроз описується в обов'язковому для спеціальних систем документі, що має назву «Модель загроз». При актуалізації загроз відкидаються ті їх, чия ймовірність низька, а збитки під час реалізації – невеликий.

За умови використання вже відпрацьованих методик завдання з приведення ІСПДН будь-якого банку у відповідність до вимог законодавства в строк до 1 січня 2011 року повністю реалізується. Для максимальної успішності впровадження подібних технологій у банківській сфері, все ж таки необхідно пам'ятати про комплексний підхід до роботи над проектом. В даному випадку мається на увазі організація спільної роботи фахівців різних підрозділів – фахівців з IT-технологій, з інформаційної безпеки та управління проектами, фінансистів, юристів – які гарантують дотримання необхідного збалансованості загального підходу до захисту критичних даних у рамках фінансової структури.

Довідка: ReignVox – російська компанія, що спеціалізується на інноваційних проектах та розробках у галузі інформаційних технологій та забезпечення їх інформаційної безпеки.

Метою створення компанії є надання послуг із забезпечення захисту персональних даних відповідно до вимог закону «Про персональні дані» ФЗ-152 від 27.07.2006 р. та побудови комплексних систем захисту інформації.

ReignVox є членом міжрегіональної громадської організації "Асоціація захисту інформації" (МГО "АЗІ"), асоційованим членом "Інфокомунікаційного союзу" (Infocommunication Union), а також членом Асоціації регіональних банків Росії.

Компанія ReignVox має значний досвід успішної реалізації проектів захисту персональних даних у великих комерційних банках. Серед її клієнтів НОТА-Банк, Зовнішекономбанк, «ЦентроКредит», «Темпбанк», «Альта-Банк» та ін.

Оцінити:

ВСТУП

Актуальність. У сучасному світіінформація стає стратегічним ресурсом, одним із основних багатств економічно розвиненої держави. Швидке вдосконалення інформатизації в Росії, проникнення її у всі сфери життєво важливих інтересів особистості, суспільства та держави викликали, крім безперечних переваг, і появу низки суттєвих проблем. Однією з них стала потреба захисту інформації. З огляду на, що у час економічний потенціал дедалі більше визначається рівнем розвитку інформаційної структури, пропорційно зростає потенційна вразливість економіки від інформаційних впливів.

Розповсюдження комп'ютерних систем, об'єднання в комунікаційні мережі посилює можливості електронного проникнення у них. Проблема комп'ютерної злочинності у всіх країнах світу, незалежно від їхнього географічного положення, викликає необхідність залучення дедалі більшої уваги та сил громадськості для організації боротьби з цим видом злочинів. Особливо широкий розмах набули злочинів в автоматизованих банківських системах та в електронній комерції. За закордонними даними, втрати у банках внаслідок комп'ютерних злочинів щороку становлять багато мільярдів доларів. Хоча рівень впровадження нових інформаційних технологій у практику у Росії настільки значний, комп'ютерні злочину з кожним днем ​​дають себе знати дедалі більше, а захист держави й суспільства від них перетворилася на суперзавдання для компетентних органів.

Актуальність питання захисту персональних даних ні в кого немає сумнівів. Насамперед це зумовлено терміном, визначеним для приведення інформаційних систем персональних даних (ІСПД) у відповідність до Федерального закону від 27.07.2006 № 152-ФЗ «Про персональні дані». Термін цей невблаганно наближається, і водночас очевидна складність виконання вимог керівних документів регуляторів провокує безліч спорів та неоднозначних трактувань. Водночас закритість деяких керівних документів, їх невизначений правовий статус, як і низка інших питань, не сприяють вирішенню проблеми. Все це створює ситуацію, коли нормативну базу не остаточно визначено, а виконувати вимоги законодавства необхідно вже зараз.

травня 2009 р. відбулося перше засідання робочої групиз проблематики персональних даних АРБ. На заході в ході відкритого обговорення були чітко окреслені проблемні галузі, що хвилюють банківську спільноту. В основному вони стосувалися саме технічного захиступерсональних даних та майбутньої взаємодії між кредитно-фінансовими установами та ФСТЕК. Представники Банку Росії озвучили у своєму виступі напрацювання щодо організації виконання закону «Про персональні дані». Принципово новими і важливими можна назвати спроби Банку Росії знайти компроміс із регуляторами щодо формулювання технічних вимог для банківського співтовариства. Особливо хочеться відзначити активність ЦБ РФ у роботі з ФСТЕК Росії. Враховуючи всю величезну масу складнощів при виконанні вимог керівних документів ФСТЕК, Банк Росії прийняв рішення щодо підготовки власних документів (проектів документів), які на сьогоднішній день узгоджуються з ФСТЕК. Можна припустити, що є високою ймовірність появи нового галузевого стандарту для кредитно-фінансових установ за персональними даними.

Метою курсової є дослідження способів захисту персональних даних у банківських он-лайн системах.

Досягнення мети вирішувалися такі:

вивчення підходів, основних засад забезпечення безпеки;

визначення методів та засобів забезпечення безпеки;

виявлення особливостей забезпечення безпеки персональних даних у банківських онлайн-системах;

розробка заходів щодо забезпечення безпеки персональних даних у банківських онлайн-системах.

Об'єктом дослідження є інформаційні банківські системи.

Предметом дослідження є безпека інформації персонального характеру в он-лайн банківських системах.

Теоретико-методологічною основою дослідження слугували теоретичні положення, роботи вчених, дослідження спеціалістів з питань забезпечення інформації.

Методологічною основою курсової роботи став системний підхід до дослідження проблеми безпеки.

Використані логічний, порівняльно-правовий, системний аналіз. Крім того, використаний метод структурного аналізу дозволяє з необхідною ретельністю вивчити окремі компоненти явища, що вивчається, і провести аналіз співвідношення цих елементів один з одним, а також із загальним цілим.

1. Теоретичні аспекти захисту персональних даних у банківських он-лайн системах

1.1 Підходи, принципи забезпечення безпеки

Під забезпеченням безпеки інформаційних систем розуміють заходи, які оберігають інформаційну систему від випадкового чи навмисного втручання у режими її функціонування.

Існує два важливі підходи до забезпечення комп'ютерної безпеки.

Перший - фрагментарний, у його рамках відбувається орієнтація протидія суворо певним загрозам за певних умов (наприклад, спеціалізовані антивірусні засоби, автономні засоби шифрування тощо.). У підходу є як переваги - які передбачають високий рівень вибірковості у частині суворо певної проблеми, і недоліки - які передбачають фрагментарність захисту - тобто. суворо певних елементів.

Процес управління захистом інформації включає компоненти, представлені на рис. 1.

Другий підхід - системний, його особливістю є те, що в його рамках до захисту інформації ставляться масштабніше - створюється захищене середовище обробки, зберігання та передачі інформації, що поєднує різнорідні методи та засоби протидії загрозам: програмно-технічні, правові, організаційно-економічні. За допомогою захищеного середовища можна гарантувати певний рівень безпеки автоматизованої інформаційної системи.

Системний підхід до захисту базується на таких методологічних принципах:

кінцевої мети – абсолютного пріоритету кінцевої (глобальної) мети;

єдності - спільного розгляду системи як " цілого " і як сукупності елементів (елементів);

зв'язності - розгляду будь-якої частини системи спільно з її зв'язками з оточенням;

модульної побудови - виділення модулів у системі та розгляду її як сукупності модулів;

ієрархії - запровадження ієрархії частин (елементів) та його ранжирування;

функціональності - спільного розгляду структури та функції з пріоритетом функції над структурою;

розвитку - обліку змінності системи, її здатність до розвитку, розширення, заміни частин, накопичення інформації;

децентралізації - поєднання у прийнятих рішеннях та управлінні централізації та децентралізації;

невизначеності - урахування невизначеностей та випадковостей у системі.

Сучасні дослідники виділяють такі методологічні,

організаційні та реалізаційні засади інформаційної (у тому числі комп'ютерної) безпеки.

Принцип законності. Перебуває у дотриманні чинного законодавства у сфері забезпечення інформаційної безпеки.

Принцип невизначеності. Виникає внаслідок неясності поведінки суб'єкта, тобто. хто, коли, де і як може порушити безпеку об'єкта захисту.

Принцип неможливості створення ідеальної системи захисту. Випливає із принципу невизначеності та обмеженості ресурсів зазначених коштів.

Принципи мінімального ризику та мінімальної шкоди. Випливають із неможливості створення ідеальної системи захисту. Відповідно до нього необхідно враховувати конкретні умови існування об'єкта захисту для будь-якого моменту часу.

Принцип безпечного времени.Предполагает облік абсолютного часу, тобто. протягом якого необхідне збереження об'єктів захисту; та відносного часу, тобто. проміжок часу з моменту виявлення зловмисних дій до досягнення мети зловмисником.

Принцип «захисту всіх від усіх». Передбачає організацію захисних заходів проти всіх форм загроз об'єктам захисту, що є наслідком принципу невизначеності.

Принципи персональної ответственности. Передбачає персональну відповідальність кожного співробітника підприємства, установи та організації за дотримання режиму безпеки у межах своїх повноважень, функціональних обов'язків та чинних інструкцій.

Принцип обмеження повноважень. передбачає обмеження повноважень суб'єкта на ознайомлення з інформацією, до якої не потрібно доступу для нормального виконання ним своїх функціональних обов'язків, а також введення заборони доступу до об'єктів і зон, перебування в яких не потрібне за діяльністю.

Принцип взаємодії та співробітництва. У внутрішньому прояві передбачає культивування довірчих відносин між співробітниками, які відповідають за безпеку (у тому числі інформаційну), та персоналом. У зовнішньому прояві – налагодження співпраці з усіма зацікавленими організаціями та особами (наприклад, правоохоронними органами).

Принцип комплексності та індивідуальності. Має на увазі неможливість забезпечення безпеки об'єкта захисту будь-яким одним заходом, а лише сукупністю комплексних, взаємопов'язаних та дублюючих один одного заходів, що реалізуються з індивідуальною прив'язкою до конкретних умов.

Принцип послідовних рубежів безпеки. Передбачає якомога більш раннє сповіщення про посягання на безпеку того чи іншого об'єкта захисту або іншу несприятливу подію з метою збільшення ймовірності того, що завчасний сигнал тривоги засобів захисту забезпечить співробітникам, відповідальним за безпеку, можливість організувати ефективні заходи щодо протидії.

Принципи рівноміцності та рівнопотужності рубежів захисту. Рівноміцність має на увазі відсутність незахищених ділянок у межах захисту. Рівнопотужність передбачає відносно однакову величину захищеності рубежів захисту відповідно до ступеня загроз об'єкту захисту.

Методами забезпечення захисту інформації для підприємства є такі:

Перешкода - метод фізичного перегородження шляху зловмиснику до інформації, що захищається (до апаратури, носіїв інформації тощо).

Управління доступом – метод захисту інформації регулюванням використання всіх ресурсів автоматизованої інформаційної системи підприємства. Управління доступом включає такі функції захисту:

ідентифікацію користувачів, персоналу та ресурсів інформаційної системи (присвоєння кожному об'єкту персонального ідентифікатора);

автентифікацію (встановлення справжності) об'єкта або суб'єкта за пред'явленим ним ідентифікатором;

перевірку повноважень (перевірка відповідності дня тижня, часу доби, запитуваних ресурсів та процедур встановленого регламенту);

реєстрацію звернень до ресурсів, що захищаються;

реагування (сигналізація, відключення, затримка робіт, відмова у запиті при спробах несанкціонованих дій).

Маскування – метод захисту інформації в автоматизованій інформаційній системі підприємства шляхом її криптографічного закриття.

Регламентація - метод захисту, що створює такі умови автоматизованої обробки, зберігання та передачі, у яких можливість несанкціонованого доступу до неї зводилася до мінімуму.

Примус - метод захисту інформації, при якому користувачі та персонал системи змушені дотримуватися правил обробки, передачі та використання інформації, що захищається під загрозою матеріальної, адміністративної та кримінальної відповідальності.

Сприяння - метод захисту інформації, який спонукає користувачів і персонал системи не порушувати встановлені правила за рахунок дотримання моральних та етичних норм, що склалися.

Зазначені вище методи забезпечення інформаційної безпеки реалізуються за допомогою таких основних засобів: фізичних, апаратних, програмних, апаратно-програмних, криптографічних, організаційних, законодавчих та морально-етичних.

Фізичні засоби захисту призначені для зовнішньої охорони території об'єктів, захисту компонентів автоматизованої інформаційної системи підприємства та реалізуються у вигляді автономних пристроїв та систем.

Апаратні засоби захисту - це електронні, електромеханічні та інші пристрої, які безпосередньо вбудовані в блоки автоматизованої інформаційної системи або оформлені у вигляді самостійних пристроїв і сполучаються з цими блоками. Вони призначені для внутрішнього захисту структурних елементів засобів та систем обчислювальної техніки: терміналів, процесорів, периферійного обладнання, ліній зв'язку та ін.

Програмні засоби захисту призначені для виконання логічних та інтелектуальних функцій захисту та включаються або до складу програмного забезпечення автоматизованої інформаційної системи, або до складу засобів, комплексів та систем апаратури контролю.

Програмні засоби захисту є найбільш поширеним видом захисту, володіючи такими позитивними властивостями: універсальністю, гнучкістю, простотою реалізації, можливістю зміни та розвитку. Ця обставина робить їх одночасно і найуразливішими елементами захисту інформаційної системи підприємства.

Апаратно-програмні засоби захисту - засоби, в яких програмні (мікропрограмні) та апаратні частини повністю взаємопов'язані та нероздільні.

Криптографічні засоби – засоби захисту за допомогою перетворення інформації (шифрування).

Організаційні засоби - організаційно-технічні та організаційно-правові заходи щодо регламентації поведінки персоналу.

Законодавчі засоби - правові акти країни, що регламентують правила використання, обробки та передачі інформації обмеженого доступу та які встановлюють заходи відповідальності за порушення цих правил.

Морально-етичні засоби - норми, традиції у суспільстві, наприклад: Кодекс професійної поведінки членів Асоціації користувачів ЕОМ у США.

1.2 Методи та засоби забезпечення безпеки

Для реалізації заходів безпеки використовуються різні механізми шифрування. Для чого використовуються ці методи? Спочатку, під час відправлення даних (тексту, промови чи малюнка) вони незахищені, чи, як називають фахівці - відкриті. Відкриті дані легко можуть перехопити інші користувачі (навмисне або не умшленно). Якщо є мета недопущення попадання певної інформації стороннім особам, такі дані шифрують. Користувач, якому призначається зазначена інформація, потім дишифрує його, використовуючи зворотне перетворення криптограми, отримуючи дані в потрібному йому вигляді.

Шифрування буває симетричне (використовується один секретний ключ для шифрування) і асиметричне (використовується один загальнодоступний ключ для шифрування, а для дешифрування - інший, не взаємопов'язані - тобто при знанні одного з них не можна визначити інший).

Механізмами безпеки є такі:

) Механізми цифрової електронного підписузасновані на алгоритмах асиметричного шифрування та включають дві процедури: формування підпису відправником та його впізнання одержувачем. Формування підпису відправником забезпечує шифрування блоку даних чи його доповнення криптографічної, контрольної сумою, й у обох випадках використовується секретний ключ відправника. Для пізнання використовується загальнодоступний ключ.

) Механізми контролю доступу здійснюють перевірку повноважень програм та користувачів на доступ до ресурсів мережі. При доступі до ресурсу через з'єднання контроль виконується як у точці ініціації, так і в проміжних точках, а також кінцевій точці.

) Механізми забезпечення цілісності даних застосовуються до окремого блоку та до потоку даних. Відправник доповнює переданий блок криптографічної сумою, а одержувач порівнює її з криптографічним значенням, що відповідає прийнятому блоку. Розбіжність свідчить про спотворення інформації у блоці.

) Механізми постановки трафіку. Грунтуються на генерації об'єктами АІС блоків, їх шифруванні та організації передачі каналами мережі. Тим самим нейтралізується можливість отримання інформації за допомогою спостереження за зовнішніми характеристиками потоків, що циркулюють каналами зв'язку.

) Механізми управління маршрутизацією забезпечують вибір маршрутів руху інформації по комунікаційної мережітаким чином, щоб виключити передачу секретних відомостей небезпечними фізично ненадійними каналами.

) Механізми арбітражу забезпечують підтвердження характеристик даних, що передаються між об'єктами, третьою стороною. Для цього інформація, що надсилається або одержується об'єктами, проходить через арбітра, що дозволяє йому згодом підтверджувати згадані характеристики.

Основними недоліками системи безпеки економічних об'єктів є:

-вузьке, несистемне розуміння проблеми безпеки об'єкта;

-зневага до профілактики загроз, робота за принципом «З'явилася загроза - починаємо її усувати»;

-некомпетентність в економіці безпеки, невміння зіставляти витрати та результати;

-«технократизм» керівництва та спеціалістів служби безпеки, інтерпретація всіх завдань мовою знайомої їм області.

Як висновок з першого розділу роботи визначимо наступне. Забезпеченням безпеки інформаційних систем називають певні заходи, за допомогою яких оберігають інформаційну систему від випадкового чи навмисного втручання у режими її функціонування. Для забезпечення безпеки передбачено два основні підходи: 1) фрагментарний, у межах якого здійснюється протидія певним загрозам за певних умов; і 2) системний, в рамках якого створюється захищене середовище обробки, зберігання та передачі інформації, що поєднує різного роду методи та засоби протидії загрозам. Для захисту інформації застосовуються різні засоби та механізми. До засобів віднесемо: шифрування, цифрову електронний запис, контроль доступу, постановку трафіку та ін.

банківський онлайн системабезпека

2. Особливості забезпечення безпеки персональних даних у банківських он-лайн системах

2.1. Загальні умови забезпечення безпеки персональних даних у банківських он-лайн системах

Захист персональної інформації - це стан захищеності інформації та інфраструктури, що підтримує її (комп'ютерів, ліній зв'язку, систем електроживлення тощо) від випадкових або навмисних впливів, що загрожують заподіянням шкоди власникам або користувачам цієї інформації.

Також під інформаційною безпекою облікових даних розуміють: забезпечену надійність роботи комп'ютера; збереження цінних облікових даних; захист персональної інформації від внесення до неї змін неуповноваженими особами;

Об'єктами інформаційної безпеки в обліку є інформаційні ресурси, що містять відомості, віднесені до комерційної таємниці, та конфіденційну інформацію; а також засоби та системи інформатизації.

Власник інформаційних ресурсів, інформаційних систем, технологій та засобів їх забезпечення – це суб'єкт, який здійснює володіння та користування зазначеними об'єктами та реалізує повноваження розпорядження в межах, встановлених законом.

Користувач інформації - це суб'єкт, що звертається до інформаційної системи або посередника за отриманням необхідної інформації та користується нею.

Інформаційні ресурси - це окремі документи та окремі масиви документів, документи та масиви документів в інформаційних системах.

Загроза інформаційної безпеки полягає в потенційно можливій дії, яка за допомогою впливу на компоненти персональної системи може призвести до шкоди власникам інформаційних ресурсів або користувачам системи.

Правовий режим інформаційних ресурсів визначається нормами, що встановлюють:

порядок документування інформації;

право власності на окремі документи та окремі масиви

документів, документи та масиви документів в інформаційних системах; категорію інформації щодо рівня доступу до неї; порядок правового захисту інформації

Основний принцип, що порушується під час реалізації інформаційної загрози у бухгалтерському обліку, - це принцип документування інформації. Обліковий документ, отриманий з автоматизованої інформаційної системи обліку, набуває юридичної чинності після його підписання посадовцем у порядку, встановленому законодавством РФ.

Все безліч потенційних загрозв обліку за своєю природою виникнення можна розділити на два класи: природні (об'єктивні) і штучні.

Природні загрози викликаються об'єктивними причинами, зазвичай, які залежать від бухгалтера, які ведуть повного чи часткового знищення бухгалтерії разом із її компонентами. До таких стихійних явищ належать: землетруси, удари блискавкою, пожежі тощо.

Штучні загрози пов'язані з діяльністю людей. Їх можна поділити на ненавмисні (ненавмисні), викликані здатністю співробітників робити будь-які помилки через неуважність, або втому, хворобливий стан і т.п. Наприклад, бухгалтер під час введення відомостей у комп'ютер може натиснути не ту клавішу, зробити ненавмисні помилки у програмі, занести вірус, випадково розголосити паролі.

Навмисні (навмисні) загрози пов'язані з корисливими устремліннями людей - зловмисників, які навмисно створюють недостовірні документи.

Загрози безпеки з погляду їхньої спрямованості можна поділити на такі групи:

загрози проникнення та зчитування даних з баз облікових даних та комп'ютерних програм їх обробки;

загрози збереження облікових даних, що призводять або їх знищення, або зміни, зокрема фальсифікація платіжних документів (платіжних вимог, доручень тощо.);

загрози доступності даних, що виникають, коли користувач не може отримати доступ до облікових даних;

загроза відмови від виконання операцій, коли один користувач передає повідомлення іншому, а потім не підтверджує надіслані дані.

Інформаційні процеси - процеси збирання, обробки, накопичення, зберігання, пошуку та поширення інформації.

Інформаційна система - організаційно-упорядкована сукупність документів (масивів документів та інформаційних технологій, у тому числі з використанням засобів обчислювальної техніки та зв'язку, що реалізують інформаційні процеси).

Документування інформації здійснюється у порядку, встановленому органами державної влади, відповідальними за організацію діловодства, стандартизацію документів та їх масивів, безпеку Російської Федерації.

Залежно від джерела загроз їх можна поділити на внутрішні та зовнішні.

Джерелом внутрішніх загроз є діяльність персоналу організації. Зовнішні загрози надходять ззовні від співробітників інших організацій, від хакерів та інших осіб.

Зовнішні загрози можна поділити на:

локальні, які передбачають проникнення порушника на територію організації та отримання ним доступу до окремого комп'ютера чи локальної мережі;

віддалені загрози притаманні систем, підключених до глобальних мереж (Internet, система міжнародних банківських розрахунків SWIFT та інших.).

Такі ризики виникають найчастіше у системі електронних платежів при розрахунках постачальників із покупцями, використання у розрахунках мереж Internet. Джерела таких інформаційних атак можуть бути за тисячі кілометрів. Причому впливають як ЕОМ, а й бухгалтерська інформація.

Навмисними та ненавмисними помилками в обліку, що призводять до збільшення облікового ризику, є: помилки в записі облікових даних; неправильні коди; несанкціоновані облікові операції; порушення контрольних лімітів; пропущені облікові записи; помилки при обробці чи виведенні даних; помилки при формуванні чи коригуванні довідників; неповні облікові записи; неправильне віднесення записів за періодами; фальсифікація даних; порушення вимог нормативних актів; порушення принципів персональної політики; невідповідність якості послуг потребам користувачів.

Особливу небезпеку становлять відомості, що становлять комерційну таємницю і що стосуються персональної та звітної інформації (дані про партнерів, клієнтів, банки, аналітичну інформацію про діяльність на ринку). Щоб цю та аналогічну інформацію було захищено, необхідно оформити договори зі співробітниками бухгалтерії, фінансових служб та інших економічних підрозділів із зазначенням переліку відомостей, що не підлягають розголосу.

Захист інформації в автоматизованих облікових системах будується з наступних основних принципів.

Забезпечення фізичного поділу областей, призначених для обробки секретної та несекретної інформації.

Забезпечення криптографічного захисту інформації. Забезпечення аутентифікації абонентів та абонентських установок. Забезпечення розмежування доступу суб'єктів та їх процесів до інформації. Забезпечення встановлення справжності та цілісності документальних повідомлень під час їх передачі каналами зв'язку.

Забезпечення захисту обладнання та технічних засобів системи, приміщень, де вони розміщуються, від витоку конфіденційної інформації з технічних каналів.

Забезпечення захисту шифротехніки, обладнання, технічних та програмних засобів від витоку інформації за рахунок апаратних та програмних закладок.

Забезпечення контролю за цілісністю програмної та інформаційної частини автоматизованої системи.

Використання як механізми захисту тільки вітчизняних

Державні інформаційні ресурси Російської Федерації є відкритими та загальнодоступними. Винятком є ​​документована інформація, віднесена законом до категорії обмеженого доступу. Документована інформація з обмеженим доступом за умовами її правового режиму поділяється на інформацію, віднесену до державної таємниці та конфіденційну. Перелік відомостей конфіденційного характеру, зокрема відомостей, пов'язаних із комерційною діяльністю, встановлено Указом президента Російської Федерації від 6 березня 1997 р. № 188 (додаток №) розробок.

Забезпечення організаційно-режимних заходів захисту. Доцільно використання та додаткових заходів щодо забезпечення безпеки зв'язку в системі.

Організація захисту відомостей про інтенсивність, тривалість та трафік обміну інформації.

Використання для передачі та обробки інформації каналів та способів, що ускладнюють перехоплення.

Захист інформації від несанкціонованого доступу спрямовано формування у інформації, що захищається трьох основних властивостей:

конфіденційність (засекречена інформація має бути доступна лише тому, кому вона призначена);

цілісність (інформація, на основі якої приймаються важливі рішення, має бути достовірною, точною та повністю захищеною від можливих ненавмисних та зловмисних спотворень);

готовність (інформація та відповідні інформаційні служби мають бути доступні, готові до обслуговування зацікавлених осіб завжди, коли у них виникає потреба).

p align="justify"> Методами забезпечення захисту персональної інформації є: перешкоди; управління доступом, маскування, регламентація, примус, спонукання.

Перешкодою слід вважати метод фізичного перегородження шляху зловмисника до персональної інформації, що захищається. Цей метод реалізується пропускною системою підприємства, включаючи наявність охорони на вході до нього, запобігання шляху сторонніх осіб у бухгалтерію, касу та ін.

Управлінням доступом є метод захисту персональної та звітної інформації, що реалізується за рахунок:

аутентифікації - встановлення справжності об'єкта або суб'єкта за пред'явленим ним ідентифікатором (здійснюється шляхом зіставлення введеного ідентифікатора з комп'ютера, що зберігається в пам'яті);

перевірки повноважень - перевірки відповідності запитуваних ресурсів та виконуваних операцій за виділеними ресурсами та дозволеними процедурами; реєстрації звернень до ресурсів, що захищаються;

інформування та реагування при спробах несанкціонованих дій. (Криптографія – спосіб захисту за допомогою перетворення інформації (шифрування)).

У комплексі БЕСТ-4 розмежування доступу інформації здійснюється на рівні окремих підсистем і забезпечується шляхом завдання роздільних паролів доступу. При початковому налаштуванніабо в будь-який момент роботи з програмою адміністратор системи може встановити або змінити один або кілька паролів. Пароль запитується під час кожного входу в підсистему.

Крім цього, у деяких модулях передбачена своя система розмежування доступу до інформації. Вона забезпечує можливість захисту спеціальними паролями кожного пункту меню. Паролями можна також захистити доступ до окремих підмножин первинних документів: так, в АРМ «Облік запасів на складі» та «Облік товарів та продукції» є можливість задавати паролі доступу до кожного складу окремо, в АРМ «Облік касових операцій» - паролі доступу до кожній касі, в АРМ «Облік розрахунків із банком» - паролі доступу до кожного банківського рахунку.

Особливо слід зазначити ту обставину, що для ефективного розмежування доступу до інформації необхідно насамперед захистити паролями самі режими визначення паролів доступу до тих чи інших блоків.

У 1С.Підприємство, версія 7.7 існує свій захист інформації - права доступу.З метою інтеграції та поділу доступу користувачів до інформації при роботі з системою 1С.Підприємство в мережі персональних комп'ютерів, конфігуратор системи дозволяє встановити кожному за користувача права працювати з інформацією, оброблюваної системою. Права можуть бути задані в досить широких межах - від можливості перегляду деяких видів документів до повного наборуправ щодо введення, перегляду, коригування та видалення будь-яких видів даних.

Призначення користувачеві прав доступу провадиться у 2 етапи. На першому етапі створюються типові набори прав для роботи з інформацією, що відрізняються, як правило, широтою можливостей доступу. На другому етапі користувачеві ставиться у відповідність один із таких типових наборів прав.

Вся робота зі створення типових наборів прав проводиться на закладці "Права" вікна "Конфігурація". Це вікно викликається на екран вибором пункту "відкрити конфігурацію" з меню "Конфігурація" головного меню програми

2.2 Комплекс заходів забезпечення безпеки персональних даних у банківських он-лайн системах

Обґрунтування комплексу заходів щодо забезпечення безпеки ПДН в ІСПДн проводиться з урахуванням результатів оцінки небезпеки загроз та визначення класу ІСПДн на основі «Основних заходів щодо організації та технічного забезпеченнябезпеки персональних даних, що обробляються в інформаційних системах персональних даних».

При цьому мають бути визначені заходи щодо:

виявлення та закриття технічних каналів витоку ПДн в ІСПДн;

захист ПДН від несанкціонованого доступу та неправомірних дій;

встановлення, налаштування та застосування засобів захисту.

Заходи щодо виявлення та закриття технічних каналів витоку ПДн в ІСПДн формулюються на основі аналізу та оцінки загроз безпеці ПДн.

Заходи захисту ПДН при їх обробці в ІСПДн від несанкціонованого доступу та неправомірних дій включають:

керування доступом;

реєстрацію та облік;

забезпечення цілісності;

контроль відсутності недекларованих можливостей;

антивірусний захист;

забезпечення безпечної міжмережевої взаємодії ІСПДН;

аналіз захищеності;

виявлення вторгнень.

Підсистему управління доступом, реєстрації та обліку рекомендується реалізовувати на основі програмних засобів блокування несанкціонованих дій, сигналізації та реєстрації. Це спеціальні, що не входять до ядра будь-якої операційної системи програмні та програмно-апаратні засоби захисту самих операційних систем, електронних баз ПДН та прикладних програм. Вони виконують функції захисту самостійно або в комплексі з іншими засобами захисту та спрямовані на виключення або утруднення виконання небезпечних для ІСПД дій користувача або порушника. До них відносяться спеціальні утилітита програмні комплекси захисту, у яких реалізуються функції діагностики, реєстрації, знищення, сигналізації та імітації.

Засоби діагностики здійснюють тестування файлової системи та баз ПДН, постійне збирання інформації про функціонування елементів підсистеми забезпечення безпеки інформації.

Засоби знищення призначені для знищення залишкових даних та можуть передбачати аварійне знищення даних у разі загрози НСД, яка не може бути блокована системою.

Засоби сигналізації призначені для попередження операторів при їх зверненні до ПДн, що захищаються, і для попередження адміністратора при виявленні факту НСД до ПДн та інших фактів порушення штатного режиму функціонування ІСПДн.

Засоби імітації моделюють роботу з порушниками при виявленні спроби НСД до ПДн або програмних засобів, що захищаються. Імітація дозволяє збільшити час на визначення місця і характеру НСД, що особливо важливо в територіально розподілених мережах, і дезінформувати порушника про місце знаходження ПДН, що захищаються.

Підсистема забезпечення цілісності реалізується переважно операційними системами та системами управління базами даних. Засоби підвищення достовірності та забезпечення цілісності переданих даних та надійності транзакцій, що вбудовуються в операційні системи та системи управління базами даних, засновані на розрахунку контрольних сум, повідомленні про збій у передачі пакета повідомлення, повторі передачі не прийнятого пакета.

Підсистема контролю відсутності недекларованих можливостей реалізується здебільшого з урахуванням систем управління базами даних, засобів захисту, антивірусних засобів захисту.

Для забезпечення безпеки ПДН та програмно-апаратного середовища ІСПДн, що здійснює обробку цієї інформації, рекомендується застосовувати спеціальні засоби антивірусного захисту, що виконують:

виявлення та (або) блокування деструктивних вірусних впливів на загальносистемне та прикладне програмне забезпечення, що реалізує обробку ПДн, а також на ПДн;

виявлення та видалення невідомих вірусів;

забезпечення самоконтролю (запобігання інфікуванню) даного антивірусного засобу при його запуску.

При виборі засобів антивірусного захисту доцільно враховувати такі фактори:

сумісність зазначених коштів зі штатним програмним забезпеченням ІСПДН;

ступінь зниження продуктивності функціонування ІСПДН за основним призначенням;

наявність засобів централізованого управління функціонуванням засобів антивірусного захисту з робочого місця адміністратора безпеки інформації в ІСПДН;

можливість оперативного оповіщення адміністратора безпеки інформації в ІСПДн про всі події та факти прояву програмно-математичних впливів (ПМВ);

наявність докладної документації з експлуатації засобу антивірусного захисту;

можливість здійснення періодичного тестування чи самотестування засобу антивірусного захисту;

можливість нарощування складу засобів захисту від ПМВ новими додатковими засобами без суттєвих обмежень працездатності ІСПДн та «конфлікту» з іншими типами засобів захисту.

Опис порядку встановлення, налаштування, конфігурування та адміністрування засобів антивірусного захисту, а також порядку дій у разі виявлення факту вірусної атаки або інших порушень вимог щодо захисту від програмно-математичних впливів мають бути включені до керівництва адміністратора безпеки інформації в ІСПДн.

Для здійснення розмежування доступу до ресурсів ІСПДн при міжмережевій взаємодії застосовується міжмережеве екранування, яке реалізується програмними та програмно-апаратними міжмережевими екранами (МЕ). Міжмережевий екран встановлюється між мережею, що називається внутрішньою, і зовнішньою мережею. Міжмережевий екран входить до складу мережі, що захищається. Для нього шляхом налаштувань окремо задаються правила, що обмежують доступ із внутрішньої мережі до зовнішньої і навпаки.

Для забезпечення безпечної міжмережевої взаємодії ІСПДн 3 і 4 класів рекомендується використовувати МЕ не нижче п'ятого рівня захищеності.

Для забезпечення безпечної міжмережевої взаємодії в ІСПДн 2 класу рекомендується використовувати МЕ не нижче за четвертий рівень захищеності.

Для забезпечення безпечної міжмережевої взаємодії ІСПДн 1 класу рекомендується використовувати МЕ не нижче третього рівня захищеності.

Підсистема аналізу захищеності реалізується на основі використання засобів тестування (аналізу захищеності) та контролю (аудиту) безпеки інформації.

Засоби аналізу захищеності застосовуються з метою контролю налаштувань захисту операційних систем на робочих станціях та серверах та дозволяють оцінити можливість проведення порушниками атак на мережеве обладнання, контролюють безпеку програмного забезпечення. Для цього вони досліджують топологію мережі, шукають незахищені чи несанкціоновані мережеві підключення, перевіряють налаштування міжмережевих екранів. Подібний аналіз проводиться на підставі детальних описів уразливостей параметрів засобів захисту (наприклад, комутаторів, маршрутизаторів, міжмережевих екранів) або вразливостей операційних систем або прикладного програмного забезпечення. Результатом роботи засобу аналізу захищеності є звіт, у якому узагальнюються відомості про виявлені уразливості.

Засоби виявлення вразливостей можуть функціонувати на мережевому рівні(у цьому випадку вони називаються "network-based"), рівні операційної системи ("host-based") та рівні програми ("application-based"). Застосовуючи програмне забезпечення, що сканує, можна швидко скласти карту всіх доступних вузлів ІСПДн, виявити використовуються на кожному з них сервіси і протоколи, визначити їх основні налаштування і зробити припущення щодо ймовірності реалізації НСД.

За результатами сканування системи виробляють рекомендації та заходи, що дозволяють усунути виявлені недоліки.

Для виявлення загроз НСД з допомогою міжмережевого взаємодії застосовуються системи виявлення вторгнень. Такі системи будуються з урахуванням особливостей реалізації атак, етапів їх розвитку та засновані на цілій низці методів виявлення атак.

Виділяють три групи методів виявлення атак:

сигнатурні методи;

методи виявлення аномалій;

комбіновані методи (що використовують спільно алгоритми, визначені у сигнатурних методах та методах виявлення аномалій).

Для виявлення вторгнень в ІСПДн 3 та 4 класів рекомендується використовувати системи виявлення мережевих атак, що використовують сигнатурні методи аналізу.

Для виявлення вторгнень в ІСПДн 1 і 2 класів рекомендується використовувати системи виявлення мережевих атак, що використовують поряд із сигнатурними методами аналізу методи виявлення аномалій.

Для захисту ПДН від витоку технічних каналів застосовуються організаційні та технічні заходи, спрямовані на виключення витоку акустичної (мовленнєвої), видової інформації, а також витоку інформації за рахунок побічних електромагнітних випромінюваньта наведень.

Як висновок з другого розділу роботи робимо такі висновки. Захистом персональної інформації є стан захищеності інформації та інфраструктури, що її підтримує, від випадкових або навмисних впливів природного або штучного характеру, що загрожують заподіянням шкоди власникам або користувачам цієї інформації. інформатизації. Основні методи, що використовуються в рамках захисту є: виявляють і безпосередньо захищають.

ВИСНОВОК

Проблема інформаційної безпеки економічних об'єктів багатоаспектна і потребує подальшого опрацювання.

У світі інформатизація стає стратегічним національним ресурсом, однією з основних багатств економічно розвиненої держави. Швидке вдосконалення інформатизації в Росії, проникнення її в усі сфери життєво важливих інтересів особистості, суспільства і держави спричинили безперечні переваги та появу низки суттєвих проблем. Однією з них стала необхідність захисту інформації. Враховуючи, що нині економічний потенціал дедалі більше визначається рівнем розвитку інформаційної інфраструктури, пропорційно зростає потенційна вразливість економіки стосовно інформаційних впливів.

Реалізація загроз інформаційній безпеці полягає у порушенні конфіденційності, цілісності та доступності інформації. З позицій системного підходу до захисту інформації необхідно використовувати весь арсенал наявних засобів захисту у всіх структурних елементах економічного об'єкта та на всіх етапах технологічного циклу обробки інформації. Методи та засоби захисту повинні надійно перекривати можливі шляхи неправомірного доступу до секретів, що охороняються. Ефективність інформаційної безпеки означає, що витрати на її здійснення не повинні бути більшими за можливі втрати від реалізації інформаційних загроз. Планування безпеки інформації здійснюється шляхом розроблення кожною службою детальних планів захисту інформації. Необхідна чіткість у здійсненні повноважень та прав користувачів на доступ до певних видів інформації, забезпечення контролю засобів захисту та негайного реагування на їх вихід з ладу.

СПИСОК ЛІТЕРАТУРИ

1.Автоматизовані інформаційні технології у банківській діяльності / за ред. проф. Г.А. Титоренко. - М: Фінстатінформ, 2007

2.Автоматизовані інформаційні технології економіки / Під ред. проф. Г.А. Титоренко. - М: ЮНІТІ, 2010

.Агєєв А. С. Організація та сучасні методи захисту інформації. - М: Концерн "Банк. Діловий Центр", 2009

.Аджієв, В. Міфи про безпеку програмного забезпечення: уроки знаменитих катастроф. - Відкриті системи, 199. №6

.Алексєєв, В.І. Інформаційна безпекамуніципальних утворень. – Воронеж: Вид-во ВДТУ, 2008.

.Алексєєв, В.М. Міжнародні критерії оцінки безпеки інформаційних технологій та їх практичне застосування: Навчальний посібник. - Пенза: Вид-во Пенз. держ. ун-ту, 2002

.Алексєєв, В.М. Нормативне забезпечення захисту від несанкціонованого доступу. - Пенза: Вид-во Пенз. держ. ун-ту, 2007

.Алексєєв, В.М. Забезпечення інформаційної безпеки розробки програмних засобів. - Пенза: Вид-во Пенз. держ. ун-ту, 2008

.Альошин, Л.І. Захист інформації та інформаційна безпека: Курс лекцій Л. І. Альошин; Моск. держ. ун-т культури. - М: Моск. держ. ун-т культури, 2010

.Ахраменка, Н.Ф. та ін Злочин і покарання у платіжній системі з електронними документами// Управління захистом інформації, 1998

.Банки та банківські операції. Підручник/За ред. Є.Ф. Жукова. - М.: Банки та біржі, ЮНІТІ, 2008

.Барсуков, В.С. Безпека: технології, засоби, послуги. – М.: Кудіц – Образ, 2007

.Батурін, Ю.М. Проблеми комп'ютерного права. - М: Юрид. літ., 1991

.Батурін, Ю.М. Комп'ютерна злочинність та комп'ютерна безпека. М: Юр.літ., 2009

.Безруков, Н.М. Введення у комп'ютерну вірусологію. Загальні принципи функціонування, класифікація та каталог найпоширеніших вірусів у М5-005. К., 2005

.Биков, В.А. Електронний бізнес та безпека / В. А. Биков. - М: Радіо і зв'язок, 2000

.Варфоломєєв, А.А. Інформаційна безпека. Математичні засади криптології. Ч. 1. - М: МІФІ, 1995

.Вєхов, В.Б. Комп'ютерні злочини: Способи вчинення та розкриття. - М: Право і Закон, 1996

.Волобуєв, С.В. Введення в інформаційну безпеку. - Обнінськ: Обн. ін-т атом.енергетики, 2001

.Волобуєв, С.В. Інформаційна безпека автоматизованих систем. - Обнінськ: Обн. ін-т атом.енергетики, 2001

.Всеросійська науково-практична конференція "Інформаційна безпека в системі вищої школи", 28-29 лист. 2000, НДТУ, Новосибірськ, Росія: ІБВШ 2000. - Новосибірськ, 2001

23.Галатенко, В.А. Інформаційна безпека: практичний підхід В. А. Галатенка; За ред. В. Б. Бетеліна; Ріс. акад. наук, Наук.-дослід. ін-т систем. дослідні. - М: Наука, 1998

.Галатенко, В.А.. Основи інформаційної безпеки: Курс лекцій. - М: Інтернет-Ун-т інформ. технологій, 2003

.Геннадієва, Є.Г. Теоретичні засади інформатики та інформаційна безпека. - М: Радіо і зв'язок, 2000

.Гіка, СебастіанНарчіс. Приховування інформації у графічних файлах формату ВМР Дис. ... канд. техн. наук: 05.13.19 – СПб., 2001

.Гіка, С.М. Приховування інформації у графічних файлах формату ВМР: Автореф. дис. ... канд. техн. наук: 05.13.19 С.-Петерб. держ. ін-т точ. механіки та оптики. - СПб., 2001

.Голубєв, В.В. Управління безпекою. - С-Петербург: Пітер, 2004

.Горбатов, В.С. Інформаційна безпека. Основи правового захисту. - М: МІФІ(ТУ), 1995

.Горлова, І.І., ред. Інформаційна свобода та інформаційна безпека: Матеріали міжнар. наук. конф., Краснодар, 30-31 жовт. 2001 р. - Краснодар, 2001

.Грінсберг, А.С. та ін Захист інформаційних ресурсів державного управління. - М: ЮНІТІ, 2003

.Інформаційна безпека Росії за умов глобального інформаційного суспільства"ІНФОФОРУМ-5": Зб. матеріалів 5-й Всерос. конф., Москва, 4-5 лют. 2003 - М.: ТОВ Ред. журн. Бізнес та Безпека Росії, 2003

.Інформаційна безпека: Зб. метод. матеріалів М-во освіти Ріс. Федерації [та ін]. - М: ЦНІІАТОМІНФОРМ, 2003

34.Інформаційні технології// Економіка життя й. №25, 2001

35.Інформаційні технології у маркетингу: Підручник для вузів.- М.: 2003

.Інформаційні технології в економіці та управлінні: Підручник / Козирєв А.А. - М.: Вид-во Михайлова В.А., 2005

.Лопатін, В.М. Інформаційна безпека Росії Дис. ... д-ра юрид. наук: 12.00.01

.Лукашин, В.І. Інформаційна безпека. - М: Моск. держ. ун-т економіки, статистики та інформатики

.Лучин, І.М., Желдаков А.А., Кузнєцов Н.А. Зламування парольного захисту // Інформатизація правоохоронних систем. М., 1996

.МакКлар, Стюарт. Хакінг у Web. Атаки та захист Стюарт Мак-Клар, Сауміл Шах, Шрірай Шах. - М: Вільямс, 2003

.Малюк, А.А. Теоретичні засади формалізації прогнозної оцінки рівня безпеки інформації у системах обробки даних. - М: МІФІ, 1998СПб., 2000

.Економічна ефективність систем інформаційної безпеки. Чоботар П.П. – Молдовська економічна академія, 2003

.Яковлєв, В.В. Інформаційна безпека та захист інформації в корпоративних мережахзалізничного транспорту. - М., 2002

.Ярочкін, В.І. Інформаційна безпека. - М: Світ, 2003

.Ярочкін, В.І. Інформаційна безпека. - М: Фонд "Світ", 2003: Акад. Проект

.Ясенєв, В.М. Автоматизовані інформаційні системи в економіці та забезпечення їхньої безпеки: Навчальний посібник. – Н.Новгород, 2002

Схожі роботи на - Захист персональних даних у банківських он-лайн системах

Особливо затребуваною для російських підрозділів іноземних компаній вона стала у зв'язку з додаванням частини 5 статті 18 до 152-ФЗ «Про персональні дані»: «…оператор зобов'язаний забезпечити запис, систематизацію, накопичення, зберігання, уточнення (оновлення, зміна), вилучення персональних данихгромадян Російської Федерації з використанням баз даних, що знаходяться на території Російської Федерації» . У законі є низка винятків, але погодьтеся, на випадок перевірки регулятором хочеться мати козирі надійніше, ніж «а нас це не стосується».

Покарання для порушників дуже серйозні. Онлайн-магазини, соціальні мережі, інформаційні сайти, інші бізнеси, пов'язані з інтернетомв разі претензій з боку наглядових органівможуть бути закриті. Ймовірно, при першій перевірці регулятором буде дано час на усунення недоліків, але термін зазвичай обмежений. Якщо проблему не буде вирішено дуже швидко (що без попередньої підготовкизробити важко), збитки ніяк не компенсувати. Блокування сайтів призводить не тільки до паузи у продажах, це означає втрату ринкової частки.

Поява в «чорному списку» порушників закону про ПДН для офлайн-компаній проходить менш драматично. Але це спричиняє репутаційні ризики, що для іноземних компаній є суттєвим фактором. Крім того, зараз майже не залишилося видів діяльності, яких взагалі не стосується захисту персональних даних. Банки, торгівля, навіть виробництво – усі ведуть клієнтські бази, а отже, підпадають під дію відповідних законів.

Тут важливо розуміти, що всередині компаній питання також не можна розглядати ізольовано. Захист ПДн не вдасться обмежити встановленням сертифікованих засобів захисту на серверах та замиканням паперових карток у сейфи. У персональних даних багато точок входу в компанію - відділи продажів, HR, служби обслуговування клієнтів, іноді також навчальні центри, закупівельні комісії та інші підрозділи. Управління захистом ПДН – комплексний процес, який торкається IT, документообіг, регламенти, юридичне оформлення

Давайте розглянемо, що потрібно для запуску та обслуговування такого процесу.

Які дані вважаються персональними

Строго кажучи, будь-яка інформація, яка стосується прямо чи опосередковано до певної фізичної особи – це її персональні дані. Зауважте, йдеться про людей, не про юридичних осіб. Виходить, достатньо вказати ПІБ та адресу проживання, щоб ініціювати захист цих (а також пов'язаних із ними) даних. Тим не менш, отримання електронного листаз чиїмись персональними даними у вигляді підпису та телефонного номераще не привід їх боронити. Ключовий термін: "Поняття збору персональних даних". Для прояснення контексту кілька статей Закону «Про персональні дані» хочу виділити окремо.

Стаття 5. Принципи опрацювання персональних даних. Слід мати чіткі цілі, з яких ясно слідує, навіщо ця інформація збирається. Інакше навіть за повного дотримання решти і правил можливі санкції.

Стаття 10. Спеціальні категорії персональних даних. Наприклад, кадрова служба може фіксувати обмеження для відряджень, зокрема вагітність співробітниць. Зрозуміло, такі додаткові відомостітакож підлягають захисту. Це сильно розширює розуміння ПДН, а також список відділів та інформаційних сховищ компанії, в яких потрібно приділяти увагу захисту.

Стаття 12. Транскордонна передача персональних даних. Якщо інформаційна система з даними громадян РФ знаходиться на території країни, яка не ратифікувала Конвенцію про захист персональних даних (наприклад, в Ізраїлі), слід дотримуватися положень російського законодавства.

Стаття 22. Повідомлення про обробку персональних даних. Обов'язкова умова для того, щоб не привертати надмірну увагу регулятора. Ведете підприємницьку діяльність, пов'язану з ПДН – повідомте про це самі, не чекаючи перевірок.

Де можуть бути персональні дані

Технічно ПДн можуть бути де завгодно, починаючи з друкованих носіїв (паперові картотеки) до машинних носіїв ( жорсткі диски, флешки, компакт-диски та інше). Тобто у фокусі уваги будь-які сховища даних, що під визначення ІСПДн (інформаційні системи персональних даних).

Географія розташування – окреме велике питання. З одного боку, персональні дані росіян ( фізичних осіб, що є громадянами РФ) повинні зберігатися на території Російської Федерації. З іншого боку, на даний момент це швидше вектор розвитку ситуації, ніж факт, що відбувся. Багато міжнародних та експортних компаній, різні холдинги, спільні підприємства історично мають розподілену інфраструктуру – і одразу це не зміниться. На відміну від методів зберігання та захисту ПДН, які мають бути скориговані практично зараз, одразу.

Мінімальний список відділів, що беруть участь у записі, систематизації, накопиченні, зберіганні, уточненні (оновленні, зміні), витягу ПДН:

• Кадрова служба.
• Відділ продажу.
• Юридичний відділ.

Оскільки рідко де панує ідеальний порядок, насправді до цього «очікуваного» списку часто можуть додаватися найнепередбачуваніші підрозділи. Наприклад, на складі можуть бути записані персоніфіковані відомості про постачальників, або служба охорони може вести власний докладний облік усіх, хто входить на територію. Таким чином, до речі, склад ПДН для співробітників може бути доповнений даними щодо клієнтів, партнерів, підрядників, а також випадкових і навіть чужих відвідувачів – ПДн яких стають «криміналом» при фотографуванні на перепустку, скануванні посвідчення особи та в деяких інших випадках. СКУД (системи контролю та управління доступом) запросто можуть стати джерелом проблем у контексті захисту ПДн. Тому відповідь на запитання "Де?" з погляду дотримання Закону звучить так: повсюдно на підзвітній території. Точніше можна відповісти лише провівши відповідний аудит. Це перший етап проектуіз захисту персональних даних. Повний списокйого ключових фаз:

1) Аудит поточної ситуації у компанії.

2) Проектування технічного рішення.

3) Підготовка процесу захисту персональних даних.

4) Перевірка технічного рішення та процесу захисту ПДн на відповідність законодавству РФ і регламентам підприємства.

5) Використання технічного рішення.

6) Запуск процесу захисту персональних даних.

1. Аудит поточної ситуації у компанії

Насамперед, уточніть у кадровій службі та в інших підрозділах, які використовують паперові носії з персональними даними:

• Чи є форми згоди на обробку персональних даних? Вони заповнені та підписані?
• Чи дотримується Положення про особливості обробки персональних даних, що здійснюється без використання засобів автоматизації від 15 вересня 2008 року № 687?

Визначте географічне розташування ІСПДн:

• У яких країнах вони?
• На якій підставі?
• Чи є договори щодо їх використання?
• Який технологічний захист застосовується для запобігання витоку ПДН ?
• Які організаційні заходи вживаються для захисту ПДН?

В ідеалі, інформаційна система з ПДН росіян має відповідати всім вимогам закону 152-ФЗ «Про персональні дані», навіть якщо перебуває за кордоном.

Зрештою, зверніть увагу на значний список документів, який потрібен у разі перевірки (це ще не все, тільки основний перелік):

• Повідомлення про обробку ПДН.
• Документ, що визначає відповідального за організацію обробки ПДН.
• Перелік співробітників, допущених до обробки ПДН.
• Документ, що визначає місця зберігання ПДН.
• Довідка про обробку спеціальних та біометричних категорій ПДн.
• Довідка про здійснення транскордонної передачі ПДН.
• Типові форми документів із ПДн.
• Типова форма згоди на обробку ПДН.
• Порядок передачі ПДН третім особам.
• Порядок обліку звернень суб'єктів ПДН.
• Перелік інформаційних систем персональних даних (ІСПД).
• Документи, що регламентують резервування даних в ІСПД.
• Перелік засобів захисту інформації, що використовуються.
• Порядок знищення ПДН.
• Матриця доступу.
• Модель загроз.
• Журнал обліку машинних носіїв ПДН.
• Документ, що визначає рівні захищеності для кожної ІСПДн відповідно до ПП-1119 від 1 листопада 2012 року «Про затвердження вимог щодо захисту персональних даних під час їх обробки в інформаційних системах персональних даних».

2. Проектування технічного рішення

Опис організаційних та технічних заходів, які мають бути вжиті для захисту ПДН, наводиться у Главі 4. «Обов'язки оператора» Закону 152-ФЗ «Про персональні дані». Технічне рішення має базуватись на положеннях статті 2 Закону 242-ФЗ від 21 липня 2014 року.

Але як дотримати закон і обробляти ПДН громадян РФ на території Росії у разі, коли ІСПДн все ж таки знаходиться за кордоном? Тут є кілька варіантів:

• Фізичний перенесення інформаційної системи та БД на територію РФ. Якщо технічно реалізовано – це буде найпростіше.
• Залишаємо ІСПД за кордоном, але в Росії створюємо її копію і налагоджуємо односторонню реплікацію ПДН громадян РФ з російської копії в іноземну. При цьому в зарубіжній системі треба виключити можливість модифікації ПДН громадян РФ, всі правки лише через російську ІСПДн.
• ІСПДн дещо і всі вони за кордоном. Перенесення може бути дорогим, або взагалі технічно неможливий (наприклад, не можна виділити частину бази з ПДН громадян РФ і винести її в Росію). У цьому випадку рішенням може стати створення нової ІСПДн на будь-якій доступній платформі на сервері в Росії, звідки здійснюватиметься одностороння реплікація в кожну зарубіжну ІСПДн. Відзначу, що вибір платформи залишається за компанією.

Якщо ІСПДн повністю і монопольно не перенесено до Росії, не забудьте в довідці про транскордонну передачу даних вказати, кому і який саме набір ПДн надсилається. В повідомленні про обробку потрібно вказати мету передачі персональних даних. Повторюся, ця мета має бути законною та чітко обґрунтованою.

3. Підготовка процесу захисту персональних даних

Процес захисту персональних даних повинен визначати щонайменше такі моменти:

• Список відповідальних за обробку персональних даних у компанії.
• Порядок надання доступу до ІСПД. В ідеалі це матриця доступу з рівнем доступу для кожної посади або конкретного співробітника (читання/читання-запис/модифікація). Або список доступних ПДн кожної посади. Тут все залежить від реалізації ІВ та вимог компанії.
• Аудит доступу до персональних даних та аналіз спроб доступу з порушенням рівнів доступу.
• Аналіз причин недоступності персональних даних.
• Порядок реагування на запити суб'єктів ПДН щодо своїх ПДн.
• Перегляд переліку персональних даних, що передаються за межі компанії.
• Перегляд одержувачів персональних даних, зокрема за кордоном.
• Періодичний перегляд моделі загроз для ПДН, а також зміна рівня захищеності персональних даних через зміну моделі загроз.
• Підтримка документів компанії в актуальному стані (список вищий, і його можна доповнювати, при необхідності).

Тут можна деталізувати кожен пункт, але особливу увагу хочу звернути до рівня захищеності. Він визначається на основі наступних документів (читати послідовно):

1. «Методика визначення актуальних загроз безпекиперсональних даних під час їхньої обробки в інформаційних системах персональних даних» (ФСТЕК РФ 14 лютого 2008 року).

2. Постанова Уряду РФ № 1119 від 1 листопада 2012 «Про затвердження вимог до захисту персональних даних при їх обробці в інформаційних системах персональних даних».

3. Наказ ФСТЕК № 21 від 18 лютого 2013 року «Про затвердження складу та змісту організаційних та технічних заходів щодо забезпечення безпеки персональних даних при їх обробці в інформаційних системах персональних даних».

Також, не забудьте врахувати необхідність наявності таких категорій витрат, як:

• Організація проектної командита управління проектом.
• Розробники для кожної із платформ ІСПДн.
• Серверні потужності (власні або орендовані в дата-центрі).

До завершення другого та третього етапів проекту ви повинні мати:

• Розрахунок витрат.
• Вимоги до якості.
• Строки та календарний план проекту.
• Технічні та організаційні ризики проекту.

4. Перевірка технічного рішення та процесу щодо захисту ПДн на відповідність законодавству РФ та регламентам компанії

Короткий за формулюванням, але важливий етап, у якого потрібно переконатися у цьому, що це заплановані дії не суперечать законодавству РФ і правилам компанії (наприклад, політикам безпеки). Якщо цього не зробити, у фундамент проекту буде закладено бомбу, яка може «рванути» надалі, знищивши користь від досягнутих результатів.

5. Впровадження технічного рішення

Тут все більш-менш очевидно. Конкретика залежить від вихідної ситуації та рішень. Але в загальному випадку має вийти приблизно така картина:

• Виділено серверні потужності.
• Мережеві інженери надали достатню пропускну здатність каналів між приймачем та передавачем ПДН.
• Розробники налагодили реплікацію між базами даних ІСПДН.
• Адміністратори запобігли змінам в ІСПДн, які перебувають за кордоном.

Відповідальна особа за захист ПДН або «власник процесу» може бути однією і тією ж особою або різними. Сам факт, що «власник процесу» має підготувати всю документацію та організувати весь процес захисту ПДН. Для цього мають бути повідомлені усі зацікавлені особи, співробітники проінструктовані, а IT-служба сприятиме впровадженню технічних заходів щодо захисту даних.

6. Запуск процесу захисту персональних даних

Це важливий етап, і в певному сенсі мета всього проекту – встановити контроль на потік. Крім технічних рішеньта нормативної документації тут критично важлива роль власника процесу. Він має відслідковувати зміни не лише у законодавстві, а й у IT-інфраструктурі. Отже, необхідні відповідні навички та компетенції.

Крім того, що критично важливо в умовах реальної роботи, власнику процесу захисту ПДН потрібні всі необхідні повноваження та адміністративна підтримка керівництва компанії. Інакше він буде вічним прохачем, на якого ніхто не звертає уваги, і через деякий час проект можна буде перезапускати, знову починаючи з аудиту.

Нюанси

Кілька моментів, які легко випустити з уваги:

• Якщо ви працюєте з дата-центром, потрібен договір про надання послуг надання серверних потужностей, згідно з яким ваша компанія зберігає дані на легальних засадах та контролює їх.
• Потрібні ліцензії на програмне забезпечення, що використовується для збирання, зберігання та обробки ПДН, або договори про його оренду.
• У разі розташування ИСПДн за кордоном необхідний договір з компанією, що володіє там системою - для гарантії дотримання законодавства РФ стосовно персональних даних росіян.
• Якщо персональні дані передаються підряднику вашої компанії (наприклад, партнеру з IT-аутсорсингу), то у разі витоку ПДн від аутсорсера ви нестимете відповідальність за претензіями. У свою чергу ваша компанія може пред'явити претензії аутсорсеру. Можливо, цей фактор може вплинути на факт передачі робіт на аутсорс.

І ще раз найголовніше – захист персональних даних не можна взяти та забезпечити. Це процес. Безперервний ітераційний процес, який сильно залежатиме від подальших змін у законодавстві, а також від формату та суворості застосування цих норм на практиці.