Metode de protejare a datelor personale ale utilizatorilor. Selectarea instrumentelor de protecție a datelor cu caracter personal

Un set de măsuri de altă natură, realizate pentru a contracara în mod activ posibilul acces neautorizat la datele cu caracter personal, constând în măsuri de management, protecție efectivă a hardware-ului, formează baza unui Sistem de protecție a datelor cu caracter personal (PDPS) care funcționează eficient.

Scopul introducerii unui set de măsuri care funcționează în mod fiabil este:

Respectarea exactă a cerințelor autorităților de reglementare pentru respectarea prevederilor Legii federale „Cu privire la protecția datelor cu caracter personal”, a prevederilor regulamentelor aprobate care asigură nivelul adecvat de securitate pentru datele cu caracter personal utilizate;

Elaborarea de instrucțiuni care prescriu implementarea anumitor reguli la conversia datelor cu caracter personal utilizate, asigurând protecția acestora.

Probleme de rezolvat
Echipamentul folosit
Domenii de aplicare

Dezvoltarea și implementarea unui sistem de protecție a datelor cu caracter personal (PDSDS) reprezintă o serie de activități tehnice și manageriale menite să asigure protecţie cuprinzătoare informații care sunt recunoscute Lege federala din 27.07. 2006 N 152-FZ date personale.

Operatorul, care sunt agențiile guvernamentale și întreprinderile comerciale care efectuează operațiuni cu date personale, sunt interesați de prelucrarea în siguranță a acestora, recunoscând astfel necesitatea implementării unui sistem de protecție.

Ținând cont de experiența acumulată în timpul implementării proiectelor de creare a SZPDn, pare posibil să se determine un număr de avantaje importante din implementarea sistemului:

În primul rând, este o reducere radicală atât a riscurilor legale, cât și a riscurilor reputaționale care decurg din neconformitate legislatia actuala privind siguranța datelor cu caracter personal.

Al doilea punct important este faptul că construcția bazată științific a sistemului de protecție vă permite să procesați datele personale ale angajaților și clienților fără teamă pentru siguranța acestora. Acest lucru poate deveni un avantaj competitiv puternic atunci când lucrați cu informații confidențiale ale persoanelor și informații destinate numai utilizării oficiale (interne). Un sistem de protecție a securității bine construit face față cu ușurință celor mai comune amenințări - blochează impactul malware-ului, previne furtul bazelor de date de clienți, care este adesea practicat de angajații concediați.

Al treilea factor care motivează implementarea unui PPSD eficient este crearea imaginii companiei de partener de încredere în care se poate avea încredere pentru a asigura confidențialitatea datelor cu caracter personal.

După cum subliniază analiștii, scandalurile frecvente sunt legate de scurgeri informații confidențiale, vă obligă să acordați atenție sistemului de securitate atunci când alegeți un partener contraparte. Acordurile de parteneriat sau condițiile de licitație devin deja obișnuite, necesitând conformitatea documentată de către DOCUP cu reglementările în vigoare.

Nu trebuie să uităm că un PPSD eficient asigură continuitatea tuturor proceselor de afaceri din cadrul companiei în sine, elimină probabilitatea plângerilor clienților, plângerilor justificate ale angajaților și ordinelor amenințătoare din partea autorităților de reglementare de supraveghere.

Etape de lucru pentru a aduce în conformitate cu 152-FZ

1. Inventar, o analiză completă a stării structurilor informaționale implicate în prelucrarea datelor cu caracter personal.

Un astfel de audit pre-proiect oferă informații obiective despre procesele implicate în prelucrarea datelor cu caracter personal în cadrul companiei și măsurile de protecție a acestora. Specialistii Open Vision in obligatoriu se verifică toată documentația oficială, regularitatea activităților desfășurate pentru a respecta cerințele cadrului legal privind securitatea datelor utilizate în muncă acces limitat.

2. Crearea unui concept pentru un sistem de securitate utilizat pentru protejarea datelor cu caracter personal, oferind clientului recomandări temeinice pentru optimizarea procesării datelor cu caracter personal și asigurarea securității informațiilor confidențiale.

În această etapă de lucru, specialiști calificați evaluează opțiuni posibile implementarea proiectului, stabilirea punctelor de plecare pentru implementarea acestuia, stabilirea anumite restricțiiîn funcţie de amploarea proiectului în curs de implementare. Se identifică principalele probleme și se creează rațiunea soluțiilor propuse. Clienții primesc o listă a elementelor software și hardware ale sistemului de securitate a informațiilor în curs de dezvoltare, cu indicarea obligatorie a costului pentru fiecare articol.

3. Clarificare nivel real securitate PD

In timpul lucrarii se determina tip posibil sunt specificate amenințările la adresa datelor cu caracter personal protejate, cu referire la un sistem informațional specific, compoziția așteptată a datelor cu caracter personal și numărul posibil de subiecți. Luând în considerare întregul volum de informații primite, se determină starea reală a sistemului de securitate a datelor cu caracter personal.

4. Dezvoltarea modelului posibile amenințări pentru sistemul de securitate PD, creând un model de atacator

Documentul furnizat clientului este o listă sistematică a posibilelor amenințări la adresa securității datelor personale atunci când lucrează cu acestea sisteme de informare ah date personale (ISPDn). Amenințările la adresa securității datelor cu caracter personal (PDS) pot apărea ca urmare a acțiunilor rău intenționate sau accidentale ale unor persoane, activităților serviciilor de informații străine sau organizațiilor specializate în spionaj, grupurilor criminale specializate care pregătesc un hack de securitate PD care va afecta drepturile și libertăţile atât ale societăţii cât şi ale statului sau ale cetăţenilor .

5. Elaborarea Termenilor de Referință pentru construirea SZPDn

O specificație tehnică specială pentru construirea unei structuri informaționale specifice a unui sistem de protecție a datelor determină scopul acestuia, scopurile urmărite, cerințele pentru suport tehnic și organizatoric, un plan pentru dezvoltarea și crearea directă a unui sistem de protecție a datelor.

6. Crearea proiectului SZPDn

Documentația de proiect creată în această etapă de implementare a SPDn prevede lucrări care țin cont de standardele de securitate a datelor cu acces limitat prevăzute de reglementări.

7. Elaborarea documentatiei organizatorice si administrative

Setul de documente care prescriu regulile de prelucrare și protecție a datelor cu caracter personal este format din zeci de reglementări organizatorice și administrative care sunt necesare pentru a aduce toate procesele pentru funcționarea și siguranța datelor cu caracter personal în conformitate cu standardele legislației în vigoare.

8. Furnizare de instrumente software și hardware de securitate a informațiilor

Clientului i se furnizează elemente software și hardware pentru implementarea SPDn, care au fost testate și respectă cerințele legilor Federației Ruse privind măsurile securitatea informatiei.

9. Instalarea, configurarea echipamentelor de protecție a informațiilor

Pe în această etapă se realizează implementarea instalării echipamentelor SZPDn software, cu setările corespunzătoare. În urma muncii depuse, clientul primește un set de sisteme de protecție a informațiilor compatibile cu cele utilizate structura informatiei pentru lucrul cu PD.

10. Evaluarea eficacității măsurilor luate pentru a crea protectie eficienta date personale

Determinarea eficacității măsurilor de securitate dezvoltate pentru datele restricționate se realizează înainte de lansarea în funcțiune a sistemului de protecție a datelor. Testarea de control a unui sistem care funcționează în structuri comerciale este necesar să fie efectuată la fiecare 3 ani.

11. Certificarea ISPD utilizat pentru conformitatea cu cerințele moderne de securitate a informațiilor

Certificarea ISPD include un set de verificări organizatorice și tehnice (teste de certificare) care vizează confirmarea conformității cu cerințele de securitate a informațiilor. Destinat organizațiilor guvernamentale.

Unul dintre segmentele care se dezvoltă rapid ale pieței IT interne este comerțul online, care se datorează ușurinței tehnice de implementare a acestui proiect, transparența proceselor de afaceri. Comerț electronic recunoscut ca un tip de antreprenoriat eficient și promițător.

Problemele de securitate a informațiilor pentru afaceri pe Internet nu își pierd relevanța; dimpotrivă, o creștere a numărului atacurile hackerilor pe cele mai mari instituții financiare, investirea sumelor uriașe de bani în sisteme de securitate necesită acțiuni în timp util. Iată cum se poate realiza acest lucru și la un nivel acceptabil de costuri.

Mulți, mai ales în stadiul inițial, nu au posibilitatea de a smulge sume importante din cifra de afaceri prin investiții în sisteme de securitate a informațiilor. Afaceri noi, posibile" roci subacvatice» nu sunt cunoscute, iar specificul afacerilor pe Internet necesită schimbări constante.

Ca urmare, se creează un sistem de securitate, dar se dezvoltă „prin cunoștință” sau se plasează o comandă unui freelancer, în cel mai bun scenariu studio web înregistrat oficial. Achiziție deja soluție gata făcută de asemenea, nu poate fi considerată ca oferind un nivel serios de securitate, deoarece apar întrebări cu privire la integrarea sa într-o infrastructură IT existentă.

Sau poate ar trebui să ne gândim dacă sisteme similare oferi nivelul adecvat de securitate? Are antreprenorul însuși calificările necesare pentru a determina nivelul de pregătire al „hack-urilor pe internet”? O astfel de muncă poate minimiza? riscuri posibile? Din păcate, în cele mai multe cazuri, răspunsul este nu.

Deși nu există cerințe deosebit de stricte din partea consumatorului cu privire la siguranța datelor cu caracter personal pe care le transferă către magazinul online în momentul efectuării unei achiziții, acesta nu poate servi drept indicator principal pentru alegerea modalităților de organizare a prelucrării și stocării acestora. informații confidențiale. În general, cumpărătorul nu are posibilitatea de a evalua cât de eficient funcționează protecția datelor sale personale. Da, deocamdată, acest lucru nu este o preocupare deosebită, deoarece prețurile atractive, o descriere frumos scrisă a produsului și livrarea preferențială își ating scopul.

Majoritatea publicului de achiziții nici măcar nu se întreabă unde își trimit datele personale. Fie este un antreprenor individual, fie un antreprenor privat care își dezvoltă propria afacere pe internet. Sau este divizia web a unui mare retailer? electronice de consum. Desigur, atitudinea față de securitatea informațiilor într-un mod mare rețeaua comercială mai strict decât cel al unui antreprenor, care uneori trebuie să livreze în mod independent mărfuri clienților.

Este de remarcat faptul că, în ciuda amenințării tot mai mari de furt de informații confidențiale, încrederea în comerțul online este în continuă creștere. Cumpărătorul introduce informații despre el completând formularul de comandă, uneori fără să-și facă griji măcar cu privire la modul în care angajații magazinului se vor descurca. Sau poate că nu este atât de solicitat pentru procesele de afaceri existente?

Redundanța rezultată a datelor solicitate se supune tocmai Legii federale-152, întrucât există o discrepanță între natura și volumul informațiilor primite și sarcinile existente de prelucrare a acestora pentru procesele de afaceri prevăzute în magazinul online.

Nivel tehnic de dezvoltare internet modern comerțul face posibilă asumarea utilizării sistemelor CRM, datorită cărora este posibilă salvarea datelor despre client pentru interacțiunea ulterioară cu acesta și oferta unui nou produs. Dar este acest lucru necesar pentru nivelul de interacțiune post-vânzare cu cumpărătorul?

Conform Legii Federale 152, informațiile personale pot fi stocate doar pentru perioada de timp necesară procesării lor. După efectuarea unei achiziții sau a unui refuz, toate datele personale trebuie distruse, deoarece stocarea lor nu corespunde specificului proceselor de afaceri care se desfășoară. Există vreo îndoială că practic nimeni nu face asta.

Legea federală 152 conține prevederi care amenință însăși existența comerțului online. Orice organism de inspecție poate solicita proprietarului unui magazin online să furnizeze permisiunea scrisă a cetățeanului de a folosi datele sale personale în activitatea sa. Nicio permisiune similară în scris nu prevede, cel mult se limitează la o notă despre familiarizarea cu regulile magazinului.

Deoarece nu este de așteptat contactul direct în comerțul online, cu excepția întâlnirii cumpărătorului cu curierul pentru a livra mărfurile, conformitatea cu Legea federală nr. 152 poate fi asigurată doar prin depersonalizarea datelor personale ale consumatorilor, iar acest lucru necesită ajustări la procesele de afaceri existente.

Fara indoiala instrument convenabil, simplificând accesul la diverse servicii de informare companiile, portalurile corporative sunt recunoscute pe drept. Cu o rețea dezvoltată de sucursale și birouri situate de la sediul central la distanta lunga Pentru un număr semnificativ de parteneri de afaceri, mijlocul optim de comunicare este o conexiune prin canale VPN care au nivelul corespunzător de securitate. Alegerea unei astfel de soluții de înaltă tehnologie este însă destul de costisitoare și nu este disponibilă pentru fiecare companie. În absența fondurilor gratuite pentru o conexiune sigură, mai mult într-un mod simplu munca este un punct de acces de la Internet.

O caracteristică specială a portalului corporativ, chiar și luând în considerare diferite niveluri infrastructura, este stocarea informațiilor confidențiale ale angajaților, clienților companiei și partenerilor de afaceri entitate legală, precum și plasarea informațiilor financiare ale companiei însăși, a căror dezvăluire ar putea cauza prejudicii. Organizarea eficientă a tuturor proceselor de lucru cu datele cu caracter personal trebuie să țină cont de faptul că scopurile și metodele de prelucrare a datelor pentru fiecare subgrup de subiecți sunt diferite. Este o abordare diferențiată a transformării datelor cu acces restricționat care ar trebui inclusă în conceptul de securitate corporativă.

Nu există nicio îndoială că poziția financiară a companiei creează portal corporativ, face posibilă angajarea de programatori cu experiență sau achiziționarea unei soluții gata făcute care a fost testată de mai multe ori. Cu toate acestea, nu trebuie uitat că securitatea codului nu este singurul parametru care trebuie luat în considerare la dezvoltarea sistem eficient securitatea informatiei. De în general, securitatea informațiilor trebuie să fie recunoscută de conducerea companiei ca parte integrantă sistem comun Securitate.

În ultimii ani, numărul utilizatorilor rețelelor sociale populare de pe RuNet a crescut într-un ritm fără precedent, depășind pragul de 50 de milioane. Cantitatea colosală de date personale acumulate pe rețelele de socializare necesită un control adecvat, ceea ce impun normele Legii Federale-152.

În ciuda primei impresii că informațiile disponibile pe rețelele de socializare pot fi considerate „disponibile publicului”, în fiecare an o cantitate din ce în ce mai mare de date este clasificată de lege drept „date personale confidențiale”.

Faptele de furt de conturi de pe rețelele sociale nu sunt neobișnuite în străinătate și în Rusia. Sute de mii de conturi devin disponibile atacatorilor. Numărul de atacuri de hacker per social media nu este în scădere, experții notează atenția constantă a criminalității cibernetice asupra acestei părți a internetului.

Schemele frauduloase cu orientare socială au un potențial mare, folosind atacuri pharming, spamming și phishing în scopurile lor. Acest întreg set de instrumente moderne de criminalitate cibernetică poate duce la furtul de date confidenţial, care este facilitat de credulitatea și lipsa de experiență a oamenilor. Administratorii rețelelor sociale trebuie să efectueze o monitorizare constantă, identificând incidentele și eliminând consecințele acestora.

Serviciul de internet banking devine din ce în ce mai popular în Rusia sectorul bancar, câteva zeci de instituții financiare oferă integral un astfel de serviciu. Acest lucru se datorează atât lipsei unei platforme de integrare unificate, cât și nivel insuficient automatizarea multor instituții.

La fel ca aplicațiile web obișnuite, serviciile bancare prin internet și sistemele de plată electronică se bazează pe un comun arhitectura client-server. Este recunoscut că „veriga slabă” a unei astfel de interacțiuni este tocmai utilizatorul și acele dispozitive cu care își gestionează propriul cont.

Din păcate, consumatorul nu are posibilitatea să evalueze obiectiv toate riscurile care apar inevitabil la gestionarea unui cont bancar de la distanță. Ca să nu mai vorbim de luarea măsurilor de siguranță corespunzătoare. Prin urmare, băncile trebuie să îmbunătățească cunoștințele clienților cu privire la aceste aspecte.

Este de remarcat faptul că atacatorii își acordă atenția la internet banking de cele mai multe ori nu în scopul de a fura fonduri, deoarece instituțiile financiare oferă securitate maximă pentru tranzacții, ci pentru a obține acces la datele personale ale clientului. Datorită acestui fapt, schemele frauduloase cu carduri bancare, alte metode de furt financiar. Mulți experți sunt siguri că pe piața „neagră”. simpla intrare despre conturile clientului are propria sa valoare.

Statisticile arată clar că crearea și funcționarea serviciului de internet banking în multe structuri nu respectă normele și regulile industriei. Cel mai adesea, fiecare instituție financiară l-a dezvoltat în mod independent, iar standardele existente erau doar de natură consultativă.

Intrarea în vigoare a Legii federale 152 a creat probleme semnificative pentru multe bănci, deoarece controlul autorităților de reglementare asupra siguranței datelor cu caracter personal este înăsprit, ceea ce necesită îmbunătățiri. sistemele existente Securitate. Indiferent de modul în care asociația băncilor a încercat să întârzie începerea Legii federale 152, a devenit totuși necesar să se respecte prevederile acesteia.

9 iunie 2011 la ora 05:20

Practică de protecție a datelor cu caracter personal

Securitatea informațiilor

Sistem local de securitate a informațiilor NSD

SZI NSD este o abreviere pentru un mijloc de protejare a informațiilor împotriva accesului neautorizat. Folosit pentru a preveni acțiunile neautorizate ale utilizatorilor care au acces la stațiile de lucru ISPD. Includeți mecanisme precum controlul sarcinii de la suporturi amovibile(unități CD/DVD, unități flash), control dispozitiv (astfel încât să fie imposibilă conectarea unității flash din stânga și scurgeri de informații), implementarea controlului accesului obligatoriu (nu este necesar pentru ISPD). Voi oferi doar acele instrumente cu care am lucrat personal:
1) Rețea secretă. Poate fi furnizat cu sau fără o placă de control al sarcinii. Funcționează prin secpol.msc, deci este posibil să nu funcționeze pe versiunile Home (Home cu siguranță nu funcționează pe Windows XP și nu am testat încă Vista și Windows 7). Destul de ușor de utilizat, are cel mai bun mecanism de control al dispozitivului pe care l-am văzut vreodată. Există o versiune de rețea concepută pentru integrarea într-o structură de domeniu.
2) Guardian NT. Cel mai bun mecanism controlul accesului obligatoriu. Este mai dificil de operat (din cauza faptului că unele dintre mecanismele de protecție nu pot fi dezactivate). Versiunea de rețea Nu.
3) Ecluza Dallas. Pierde în toți parametrii discutați mai devreme, cu excepția posibilității de implementare normală a opțiunii de rețea într-o rețea fără domeniu.
După cum sugerează și numele, aceste instrumente sunt utilizate pe mașinile locale. Nimic de adăugat aici.

Firewall-uri

Scopul, cred, este clar. În plus, dacă un ISPD este împărțit în două părți de un firewall, atunci acestea pot fi numite pe bună dreptate două ISPD diferite. Pentru ce? Dacă te încadrezi în prima clasă tocmai după numărul de subiecți ai datelor cu caracter personal prelucrate, atunci prin împărțirea ISPD-ului în două părți, vei reduce numărul de subiecți procesați în fiecare ISPD și nu vei mai obține K1, ci K2. În prezent, pe piață există mai multe firewall-uri certificate:
1) VipNet Personal Firewall. Doar un firewall personal, fără bibelouri speciale. Gestionat doar local. Mecanism management centralizat Nu. Pentru a-l porni este nevoie de o parolă, dacă nu o introduci, nu va porni.
2) VipNet Office Firewall. Același lucru, dar acceptă mai multe plăci de rețea, care vă permite să-l instalați pe un gateway și să îl utilizați pentru segmentarea ISPD.
3) SSPT-2. Complexul software și hardware rulează pe FreeBSD, dar nimeni nu vă va lăsa să ajungeți la sistemul de operare în sine. Funcționează rapid și acceptă filtrarea după mulți parametri. Are caracteristică neplăcută- regulile sunt aplicate într-o listă de sus în jos, iar regulile situate în partea de sus au prioritate mai mare. Acest lucru nu este reflectat în documentație; a fost descoperit experimental. Gestionat atât din consola locală, cât și prin interfața web.
4) APKSh „Continent”. În general, acesta nu este un firewall, ci un cripto router, ci cu funcții de firewall. Arhitectural similar cu SSPT-2, dar nu există control de la consola locală - doar printr-o consolă specială de administrator. La ce, la configurare inițială trebuie să specificați interfața la care va fi conectat computerul administratorului.
În plus, Security Code a lansat încă două produse - ITU+ HIPS „Security Studio Endpoint Protection” și Trust Access, un sistem de firewall distribuit care combină firewall-ul și segmentarea folosind autentificarea Kerberos. Deoarece nu am fost nevoit să lucrez cu aceste produse, voi oferi doar link-uri către descrierile lor:
TrustAccess
SSEP
În plus, a fost certificată producția unui alt produs - Stonegate Firewall/VPN. Produs al companiei finlandeze Stonesoft. De asemenea, vine cu un modul de criptare CryptoPRO atașat, care vă permite să-l utilizați ca soluție VPN certificată.

CIPF

Ei sunt mijloacele protecţie criptografică. În plus față de paravanul/VPN Stonegate deja menționat, mai există două soluții VPN:
1) VIPNet Personalizat. Este un complex de VipNet Administrator - un program de management, VipNet Coordinator - un server VPN cu funcții de firewall și VipNet Client - un client VPN și firewall. Programul de management este folosit doar pentru a genera chei și certificate; gestionarea setărilor paravanului de protecție este posibilă doar local. Doar RDP-ul încorporat poate ajuta la administrare. Aceasta include mesageria internă și poșta internă. Singurul avantaj este că este curat soluție software, care poate fi ușor integrat în infrastructura existentă.
2) APKSh „Continent”. În principiu, am vorbit deja despre el. Voi adăuga doar asta ultima versiune au apărut funcțiile client („Continent-AP”) firewall, și există chiar și un client pentru Linux. Gateway-urile cripto în sine sunt gestionate numai din consola de administrator, dar de la distanță. Caracteristicile includ și faptul că pornind configurarea(adică transferul configurației rețelei și a cheilor către gateway-ul cripto) se face local, prin alimentarea cu o unitate flash de la toate informatie necesara. Dacă ați făcut o greșeală la crearea configurației și ați trimis deja gateway-ul cripto la punct îndepărtat- atunci nu veți putea să vă conectați la el de la distanță și să remediați nimic; va trebui să generați din nou configurația și să o transferați cumva într-un punct de la distanță.

Practic, aici este scurta descriere toate echipamentele de protecție certificate cunoscute de mine. Speranţă, aceasta informatie va fi de folos comunitatii.

Sistem local de securitate a informațiilor NSD

SZI NSD este o abreviere pentru un mijloc de protejare a informațiilor împotriva accesului neautorizat. Folosit pentru a preveni acțiunile neautorizate ale utilizatorilor care au acces la stațiile de lucru ISPD. Acestea includ mecanisme precum controlul încărcării de pe medii amovibile (unități CD/DVD, unități flash), controlul dispozitivelor (astfel încât să nu puteți conecta unitatea flash din stânga și informații despre scurgeri), implementarea controlului accesului obligatoriu (nu este necesar pentru ISPD). Voi oferi doar acele instrumente cu care am lucrat personal:
1) Rețea secretă. Poate fi furnizat cu sau fără o placă de control al sarcinii. Funcționează prin secpol.msc, deci este posibil să nu funcționeze pe versiunile Home (Home cu siguranță nu funcționează pe Windows XP și nu am testat încă Vista și Windows 7). Destul de ușor de utilizat, are cel mai bun mecanism de control al dispozitivului pe care l-am văzut vreodată. Există o versiune de rețea concepută pentru integrarea într-o structură de domeniu.
2) Guardian NT. Cel mai bun mecanism pentru controlul accesului obligatoriu. Este mai dificil de operat (din cauza faptului că unele dintre mecanismele de protecție nu pot fi dezactivate). Nu există o versiune online.
3) Ecluza Dallas. Pierde în toți parametrii discutați mai devreme, cu excepția posibilității de implementare normală a opțiunii de rețea într-o rețea fără domeniu.
După cum sugerează și numele, aceste instrumente sunt utilizate pe mașinile locale. Nimic de adăugat aici.

Firewall-uri

Scopul, cred, este clar. În plus, dacă un ISPD este împărțit în două părți de un firewall, atunci acestea pot fi numite pe bună dreptate două ISPD diferite. Pentru ce? Dacă te încadrezi în prima clasă tocmai după numărul de subiecți ai datelor cu caracter personal prelucrate, atunci prin împărțirea ISPD-ului în două părți, vei reduce numărul de subiecți procesați în fiecare ISPD și nu vei mai obține K1, ci K2. În prezent, pe piață există mai multe firewall-uri certificate:
1) VipNet Personal Firewall. Doar un firewall personal, fără bibelouri speciale. Gestionat doar local. Nu există un mecanism de control centralizat. Pentru a-l porni este nevoie de o parolă, dacă nu o introduci, nu va porni.
2) VipNet Office Firewall. Același lucru, dar suportă mai multe plăci de rețea, ceea ce îi permite să fie instalat pe un gateway și folosit pentru segmentarea ISPD.
3) SSPT-2. Complexul software și hardware rulează pe FreeBSD, dar nimeni nu vă va lăsa să ajungeți la sistemul de operare în sine. Funcționează rapid și acceptă filtrarea după mulți parametri. Are o caracteristică neplăcută - regulile sunt aplicate într-o listă de sus în jos, iar regulile situate în partea de sus au prioritate mai mare. Acest lucru nu este reflectat în documentație; a fost descoperit experimental. Gestionat atât din consola locală, cât și prin interfața web.
4) APKSh „Continent”. În general, acesta nu este un firewall, ci un cripto router, ci cu funcții de firewall. Arhitectural similar cu SSPT-2, dar nu există control de la consola locală - doar printr-o consolă specială de administrator. Mai mult, în timpul configurării inițiale trebuie să specificați interfața la care va fi conectat computerul administratorului.
În plus, Security Code a lansat încă două produse - ITU+ HIPS „Security Studio Endpoint Protection” și Trust Access, un sistem de firewall distribuit care combină firewall-ul și segmentarea folosind autentificarea Kerberos. Deoarece nu am fost nevoit să lucrez cu aceste produse, voi oferi doar link-uri către descrierile lor:
TrustAccess
SSEP
În plus, a fost certificată producția unui alt produs - Stonegate Firewall/VPN. Produs al companiei finlandeze Stonesoft. De asemenea, vine cu un modul de criptare CryptoPRO atașat, care vă permite să-l utilizați ca soluție VPN certificată.

CIPF

Sunt, de asemenea, mijloace de protecție criptografică. În plus față de paravanul/VPN Stonegate deja menționat, mai există două soluții VPN:
1) VIPNet Personalizat. Este un complex de VipNet Administrator - un program de management, VipNet Coordinator - un server VPN cu funcții de firewall și VipNet Client - un client VPN și firewall. Programul de management este folosit doar pentru a genera chei și certificate; gestionarea setărilor paravanului de protecție este posibilă doar local. Doar RDP-ul încorporat poate ajuta la administrare. Aceasta include mesageria internă și poșta internă. Singurul avantaj este că este o soluție pur software care poate fi ușor integrată într-o infrastructură existentă.
2) APKSh „Continent”. În principiu, am vorbit deja despre el. Voi adăuga doar că cea mai recentă versiune a clientului (Continent-AP) are funcții de firewall și există chiar și un client pentru Linux. Gateway-urile cripto în sine sunt gestionate numai din consola de administrator, dar de la distanță. De asemenea, merită menționat faptul că setarea inițială (adică transferul configurației rețelei și a cheilor către gateway-ul cripto) se realizează local, prin alimentarea acesteia cu o unitate flash cu toate informațiile necesare. Dacă ați făcut o greșeală la crearea configurației și ați trimis deja gateway-ul cripto la un punct de la distanță, atunci nu vă veți putea conecta la acesta de la distanță și nu veți remedia nimic; va trebui să generați din nou configurația și să o transferați cumva în punct îndepărtat.

Practic, iată o scurtă descriere a tuturor produselor de protecție certificate pe care le cunosc. Sper că aceste informații vor fi utile comunității.

19 ianuarie 2009 15:59

Andrei Șcerbakov

După publicarea Decretului Guvernului Federației Ruse nr. 781 „Cu privire la aprobarea Regulamentului privind asigurarea securității datelor cu caracter personal în timpul prelucrării acestora în sistemele de informații cu caracter personal” din 17 noiembrie 2007 și un ordin comun Serviciul federal pe tehnică și controale la export, FSB al Federației Ruse și ministere tehnologia Informatieiși Comunicarea Federației Ruse din 13 februarie 2008 Nr. 55/86/20 „Cu privire la aprobarea procedurii de clasificare a sistemelor informatice a datelor cu caracter personal” (denumită în continuare „Procedura...”) au apărut două probleme înaintea servicii pentru dezvoltarea și operarea sistemelor informatice (IS) de prelucrare a datelor cu caracter personal aproape întrebarea lui Hamlet:

● cum se clasifică IP destinată protejării datelor cu caracter personal;

● cum să alegeți instrumentele de securitate a informațiilor pentru a proteja datele personale în aceste sisteme.

„Ordinul...” precizează că „se realizează clasificarea sistemelor informaţionale agentii guvernamentale, autoritățile municipale, persoanele juridice și persoanele fizice care organizează și (sau) desfășoară prelucrarea datelor cu caracter personal, precum și determină scopurile și conținutul prelucrării datelor cu caracter personal.” Aceasta înseamnă că datele personale (PD) îl clasifică proprietar, care reprezintă un ajutor serios pentru alegerea obiectivă a metodelor și mijloacelor de protejare a datelor cu caracter personal și creează o bază obiectivă pentru dialogul cu autoritățile de control cu privire la caracterul suficient al măsurilor luate de organizație pentru protejarea datelor cu caracter personal.

La clasificarea IP destinată prelucrării datelor cu caracter personal, se iau în considerare următoarele date inițiale:

● volum PD prelucrat (numărul de subiecți ale căror date cu caracter personal sunt prelucrate în IS);

● caracteristicile de securitate ale datelor cu caracter personal prelucrate în sistemul informatic specificat de proprietarul sistemului informatic;

● structura sistemului informatic;

● disponibilitatea conexiunilor IS la rețelele publice de comunicații și (sau) rețelele internaționale de schimb de informații;

● Mod procesare PD;

● modul de delimitare a drepturilor de acces ale utilizatorilor sistemului informatic;

● locație mijloace tehnice ESTE.

În primul rând, să definim ce reprezintă datele personale. Acestea sunt informații de natură diferită despre anumite persoane. Rețineți că vorbim doar despre informații în formular electronic, introduse, stocate, prelucrate și transmise în sistemul informațional. Aceste informații sunt împărțite în patru categorii principale:

De exemplu, un nume de familie separat este datele din a 4-a categorie, o combinație de nume și adresă este a treia, numele de familie, adresa, numerele de asigurare și cardul sunt a doua, iar dacă la aceste date se adaugă o fișă medicală electronică, atunci rezultatul datele cu caracter personal aparțin exclusiv primei categorii.

Pe baza acestei clasificări, se poate afirma că orice date medicale, precum și fișele de personal care conțin coloana „naționalitate” (și acestea sunt aproape toate chestionarele și fișele personale existente pentru evidența personalului utilizate în prezent), trebuie încadrate în prima categorie. . De asemenea, este clar că bucățile de date cu caracter personal au aproape întotdeauna o categorie mai mică decât totalitatea lor. Chiar Detalii informațiile despre starea de sănătate a unei persoane pot fi lipsite de sens dacă numele său de familie sau alte date care leagă în mod clar aceste informații de pacient sunt necunoscute.

Volumul PD procesat poate lua următoarele valori:

1 - sistemul informatic prelucrează simultan date cu caracter personal ale a peste 100.000 de entități sau date cu caracter personal ale entităților din regiunea Federației Ruse sau Federația Rusăîn general; ·

2 - sistemul informatic prelucrează simultan date cu caracter personal de la 1.000 la 100.000 de subiecți sau date personale ale subiecților care lucrează în sectorul economic al Federației Ruse, într-un organism guvernamental, cu reședința în municipalitate;

3 - sistemul informatic prelucrează simultan date a mai puțin de 1000 de subiecți sau date cu caracter personal ale subiecților unei anumite organizații.

In functie de caracteristicile de securitate ale datelor cu caracter personal prelucrate in sistemul informatic, sistemele informatice se impart in standard si speciale. Primele sunt sistemele informatice care necesită doar suport intimitate date personale.

Caracteristica „confidențialitate” înseamnă că numai persoana căreia îi este destinat poate gestiona (introduce, stoca, procesează și transferă) PD în formă electronică. Pentru a asigura confidențialitatea la transmiterea datelor personale prin rețele, inclusiv prin Internet, este necesar să se utilizeze criptarea datelor.

Sistemele informaționale speciale sunt acele sisteme informaționale în care, indiferent de necesitatea asigurării confidențialității datelor cu caracter personal, se cere să se asigure cel puțin una dintre caracteristicile de securitate ale datelor cu caracter personal, altele decât confidențialitatea (de exemplu, integritatea sau disponibilitatea). Caracteristica de „integritate” înseamnă că datele cu caracter personal ar trebui modificate doar într-un mod reglementat, de exemplu, modificările la dosarul electronic de fișă medicală pot fi făcute numai de un medic autorizat, iar în orice alte cazuri informațiile din fișa medicală nu trebuie fi schimbat. Atunci când sunt transmise prin rețele, integritatea este asigurată prin utilizarea electronică semnatura digitala.

Caracteristica „disponibilitate” înseamnă că lucrul cu PD trebuie furnizat pentru o anumită cantitate de date și utilizatori în conformitate cu reglementările de timp stabilite. Cu alte cuvinte, „disponibilitatea” este o altă formulare a fiabilității sistemului. Rețineți, de asemenea, că vorbirea despre accesibilitate în rețelele deschise este aproape inutilă - nici un singur furnizor nu va oferi acces garantat la date sau transmiterea lor neîntreruptă.

Sistemele informatice speciale includ: ·

● IP în care sunt prelucrate datele personale referitoare la starea de sănătate a subiecților; ·

● IP care prevede adoptarea, bazată exclusiv pe prelucrarea automată a datelor cu caracter personal, a unor decizii care dau naștere la consecințe juridice în raport cu subiectul sau îi afectează în alt mod drepturile și interesele legitime.

După structura lor, sistemele informatice de prelucrare a datelor cu caracter personal se împart în: ·

● către autonome (neconectate la alte IS) destinate prelucrării datelor cu caracter personal (stații de lucru automate); ·

● pentru complexe de statii de lucru automatizate, unite intr-un singur IS prin mijloace de comunicare fara utilizarea tehnologiei acces de la distanță(sisteme informaționale locale); ·

● către complexe de stații de lucru automatizate și (sau) sisteme informaționale locale, combinate într-un singur sistem informațional prin mijloace de comunicare folosind tehnologia de acces la distanță (sisteme de informații distribuite).

Pe baza prezenței conexiunilor la rețelele publice de comunicații și (sau) schimbului internațional de informații, sistemele de informații sunt împărțite în sisteme care au conexiuni și cele care nu au conexiuni.

Pe baza faptului că este obligatorie asigurarea confidențialității datelor, putem identifica elementele necesare ale sistemului informațional pentru prelucrarea datelor cu caracter personal.

În primul rând, sistemul informațional trebuie să identifice utilizatorii și să poată stabili autorități individuale pentru accesul utilizatorilor la datele personale, adică să aibă sisteme de identificare și autentificare și control al accesului.

În al doilea rând, este necesar să se asigure protecția datelor cu caracter personal care pot fi înstrăinate din sistem. De exemplu, transferul de informații pe suporturi amovibile ar trebui controlat. Este foarte probabil ca în unele cazuri să fie necesar să se țină cont de posibilitatea de furt și pierdere (pierdere) echipamente informatice cu date personale. În acest caz, criptarea PD stocată pe mediile computerizate este, de asemenea, obligatorie.

Dacă sistemul are conexiuni la rețele deschise sau implică schimb de date, este obligatorie utilizarea criptării datelor și a semnăturii digitale electronice, precum și asigurarea protecției împotriva atacurilor de la rețele externe, inclusiv protecție antivirus.

Pentru criptare și semnatura electronica se folosesc chei și certificate care sunt generate de utilizatorii înșiși și înregistrate în așa-numitele autorități de certificare.

Foarte punct important- înregistrarea acțiunilor cu date personale, care, pe de o parte, face posibilă identificarea celor responsabili pentru scurgerea acestora și, pe de altă parte, creează motivație psihologică pentru funcţionare corectă cu ei.

Sistemului informatic de prelucrare a datelor cu caracter personal i se poate atribui una dintre următoarele clase: ·

● clasa 1 (K1) - IP pentru care încălcare caracteristici date securitatea datelor cu caracter personal prelucrate în acestea poate duce la consecințe negative semnificative pentru subiecții datelor cu caracter personal;

● clasa 2 (K2) - IP pentru care încălcarea caracteristicilor de securitate specificate ale PD prelucrate în acestea poate duce la consecințe negative pentru subiecții datelor cu caracter personal;

● clasa 3 (K3) - IP pentru care încălcarea caracteristicilor de securitate specificate ale datelor cu caracter personal prelucrate în acestea poate duce la consecințe negative minore pentru subiecții datelor cu caracter personal;

● clasa 4 (K4) - IP pentru care încălcarea caracteristicilor de securitate specificate ale datelor cu caracter personal prelucrate în acestea nu duce la consecințe negative pentru subiecții datelor cu caracter personal.

Tabelul 1.

	Clasa IP în funcție de volumul de date prelucrate

În primul rând, din „Ordinea...” urmează existența categorii date personale. Este logic de implementat agregare baza de date din IS care conține PD în părți care nu se suprapun și care conțin date de diferite categorii. De asemenea, IS-ul pentru procesarea PD trebuie să fie împărțit în contururi, care conțin date dintr-o singură categorie. Acest lucru este foarte posibil, deoarece persoanele sunt identificate în mod unic printr-un număr de pașaport sau TIN sau un număr de poliță de asigurări de sănătate, ceea ce permite ca bazele de date medicale și alte matrice să fie indexate fără ambiguitate. Astfel, este necesar să se respecte principiul că în fiecare circuit IS pentru prelucrarea datelor cu caracter personal este necesar să se utilizeze produse certificate dintr-o clasă, iar contururile ar trebui să fie izolat unul de altul.

Se poate afirma că majoritatea sistemelor informatice de prelucrare a datelor cu caracter personal (în special în scopuri medicale) o vor face special, adică trebuie să asigure nu numai confidențialitatea, ci și integritate alte caracteristici de siguranță și fiabilitate sunt obligatorii.

Când distribuite IP pentru prelucrarea datelor cu caracter personal, chiar dacă este necesar să se asigure numai intimitateîn conformitate cu „Procedura...”. protecția datelor cu caracter personal transmise și stocate. Acest lucru respectă pe deplin cerințele actuale ale FSB al Federației Ruse pentru sistemele informatice automatizate destinate să protejeze informațiile confidențiale care nu constituie secret de stat, și anume prevederea că „toate informațiile confidențiale transmise prin canalele de comunicare trebuie protejate; informațiile transmise prin canalele de comunicare trebuie să fie criptate folosind instrumente de protecție a informațiilor criptografice (CIPF) sau pentru transmiterea lor trebuie utilizate canale de comunicații securizate. Informațiile înregistrate pe medii înstrăinate trebuie protejate.”

Ultima cerință este cu siguranță aplicabilă pentru sistemele de informare cu date cu caracter personal izolate care nu au canale de transmitere a datelor cu caracter personal, adică pentru stațiile de lucru individuale care prelucrează date cu caracter personal.

Aceasta înseamnă că, pentru a prelucra datele cu caracter personal, sistemele de informații trebuie să fie certificate la o clasă nu mai mică de AK2 în clasificarea FSB al Federației Ruse. De exemplu, Windows XP protejat cu pachetul de actualizare Secure Pack Rus corespunde acestei clase. Mijloacele de securitate trebuie să includă mijloace de protecție a informațiilor criptografice (CIPF) de clasă nu mai mică de KS2.

Pe baza acestui fapt, pentru orice sistem informatic de procesare a DP categorii de PD mai mari decât a 4-a (care va include cu siguranță toate sistemele de procesare a DP medicale), va fi necesar să se efectueze toate cerințele clasei AK2în clasificarea FSB al Federației Ruse.

Din arhitectura IP PD cu suficient cantitati mari PD procesat (indicatorul 1 sau 2) va exista cu siguranță o componentă de server, care va necesita și protecție. În acest caz, toate informațiile confidențiale stocate pe mediile magnetice ale stațiilor de lucru și serverelor trebuie protejate, ceea ce îndeplinește cerințele clasei AK3.

Astfel, putem propune o strategie complet justificată de protecție a datelor cu caracter personal, care constă în următoarele: Tabel. 1 se completează după cum urmează (a se vedea tabelul 2).

Masa 2.

Clasa IP în funcție de volumul de date prelucrate




Nu mai jos decât AK3	Nu mai jos decât AK3	Nu mai jos decât AK3

Notă. „-” înseamnă că nu există cerințe.

Astfel, pentru a proteja datele cu caracter personal din prima categorie, care includ toate datele medicale, este necesar să se utilizeze mijloace de protecție de clase nu mai mici decât AK3 și mijloace de protecție criptografică de clase nu mai mici de KS3.

Pentru dotarea practică a IP cu mijloace de securitate, vă putem recomanda produse special adaptate pentru protecția datelor cu caracter personal și care dispun de avizele necesare (certificate și concluzii). Acesta este în primul rând Secure Pack Rus și instrumente de protecție criptografică din familia CryptoPro.

Să încercăm acum să estimăm costurile de echipare a unui loc de muncă pentru procesarea PD. Fără reduceri, prețul pachetului Secure Pack Rus este de aproximativ 2.000 de ruble, în timp ce instrumentele de protecție criptografică ale familiei CryptoPro sunt deja incluse în acest pachet. În plus, pentru a proteja informațiile personale stocate pe computer, este recomandabil să achiziționați unul dintre pachetele de protecție a datelor CryptoPro EFS, Secure Pack Explorer sau Crypto Explorer. Prețul fiecăruia dintre aceste produse variază de la 600 la 1000 de ruble. În total, protejarea unui loc de muncă fără a lua în considerare instalarea și configurarea va costa aproximativ 3.000 de ruble, iar instalarea și adaptarea programelor vor adăuga în mod tradițional 10-15% la cost.

În mod convențional, putem distinge „zece pași mistici pe calea” către un sistem securizat de prelucrare a datelor cu caracter personal.

1. Identificați acele elemente ale IP-ului dvs. care trebuie protejate mai întâi. Mai întâi, aflați exact ce date personale trebuie protejate și unde se află în prezent în sistemul dvs. Apoi verificați dacă locul de muncă al fiecărui angajat are cu adevărat nevoie de protecție a datelor. Ar putea fi mai ușor de evidențiat calculatoare individuale a lucra cu Informații personale, care trebuie protejat în mod deosebit de fiabil? Amintiți-vă că un computer conectat la Internet nu este cel mai bun loc pentru a stoca date personale!

2. Evaluați starea actuală a securității informațiilor. Cât de satisfăcător este? Dacă este posibil, efectuați un audit extern de securitate al sistemului dvs. Clasificați-vă IP-ul conform instrucțiunilor de mai sus. Comparați constatările dvs. cu cele ale auditului extern.

3. Stabiliți cine este în timp dat este responsabil pentru asigurarea protecției IP. Este posibil să restrângem cercul persoanelor de care depinde fiabilitatea acestei protecții? În același timp, rețineți - siguranța nu poate depinde de o singură persoană! Asigurați-vă că numiți auditori; de exemplu, medicul șef poate supraveghea activitatea specialiștilor în completarea și mutarea PD.

4. Fii critic cu cerințele tehnicienilor dacă insistă să instaleze hardware de securitate. Vă rugăm să rețineți, de asemenea, că utilizarea instrumentelor criptografice este o muncă destul de serioasă. Este important să înțelegeți: întreținerea instrumentelor de criptare și utilizarea unei semnături digitale vor interfera cu activitatea de bază a companiei dvs.? De asemenea, vă rugăm să rețineți că nu fiecare angajat poate sau ar trebui să cripteze datele.

5. Pune în ordine securitatea clinicii tale. Stabiliți un regim care să asigure nivelul necesar de securitate a informațiilor, dar nu mergeți prea departe. De exemplu, nu puteți priva oamenii de posibilitatea de a folosi telefoane mobile. De asemenea, este nepotrivit să interziceți angajaților să contacteze e-mailși internetul în scopuri personale. În același timp, este destul de recomandabil să reglementezi procedura de aducere a suporturilor flash și a propriilor laptop-uri pe teritoriul companiei sau să folosești cel disponibil în Secure Pack Funcția Rus dezactivarea unităților USB care nu sunt autorizate pentru utilizare de către administrator

6. Solicitați specialiștilor IT să întocmească un plan de lucru clar pentru crearea și configurarea unui sistem de securitate. Cereți să justificați necesitatea achizițiilor fonduri suplimentare asigurarea securitatii. Insistați asupra garanțiilor că ajustările de securitate nu vor afecta funcționarea de bază a sistemului.

7. Monitorizați implementarea planului de creare a unui sistem de securitate.

8. Ascultați părerile medicilor și angajaților - interferează măsurile de siguranță cu munca și activitățile lor de bază?

9. Menține și verifică starea securității PD și, de asemenea, întărește loialitatea angajaților implicați în securitate.

10. Fii calm cu privire la inovațiile din domeniul securității – conservatorismul sănătos te va economisi bani.

După publicarea Decretului Guvernului Federației Ruse nr. 781 „Cu privire la aprobarea Regulamentului privind asigurarea securității datelor cu caracter personal în timpul prelucrării acestora în sistemele de informații cu caracter personal” din 17 noiembrie 2007 și ordinul comun al Serviciului Federal pentru controlul tehnic și al exporturilor, FSB al Federației Ruse și Ministerul Tehnologiei Informației și Comunicațiilor al Federației Ruse din 13 februarie 2008 nr. 55/86/20 „Cu privire la aprobarea procedurii de clasificare a sistemelor informatice de date cu caracter personal” (denumită în continuare „Procedura...”), au apărut două probleme înainte ca serviciile de dezvoltare și operare a sistemelor informatice (SI) de prelucrare a datelor cu caracter personal aproape întrebarea lui Hamlet:

cum se clasifică IP destinată protejării datelor cu caracter personal;
cum să alegeți instrumentele de securitate a informațiilor pentru a proteja datele personale în aceste sisteme.

„Procedura...” prevede că „clasificarea sistemelor informaționale se realizează de către organele de stat, organele municipale, persoanele juridice și persoanele fizice care organizează și (sau) desfășoară prelucrarea datelor cu caracter personal, precum și determinarea scopurilor și conținutului a prelucrării datelor cu caracter personal.” Aceasta înseamnă că datele personale (PD) îl clasifică proprietar, care reprezintă un ajutor serios pentru alegerea obiectivă a metodelor și mijloacelor de protejare a datelor cu caracter personal și creează o bază obiectivă pentru dialogul cu autoritățile de control cu privire la caracterul suficient al măsurilor luate de organizație pentru protejarea datelor cu caracter personal.

La clasificarea IP destinată prelucrării datelor cu caracter personal se iau în considerare următoarele date inițiale: ·

categorie datele cu caracter personal prelucrate în sistemul informatic; ·
volum PD prelucrat (numărul de subiecți ale căror date cu caracter personal sunt prelucrate în IS); ·
caracteristicile de securitate ale datelor cu caracter personal prelucrate în sistemul informatic specificat de proprietarul sistemului informatic; ·
structura sistemului informatic; ·
disponibilitatea conexiunilor IS la rețelele publice de comunicații și (sau) rețelele internaționale de schimb de informații; ·
modul de procesare PD; ·
modul de delimitare a drepturilor de acces ale utilizatorilor sistemului informatic; ·
amplasarea sistemelor informatice tehnice.

În primul rând, să definim ce reprezintă datele personale. Acestea sunt informații de natură diferită despre anumite persoane. Rețineți că vorbim doar despre informații în formă electronică introduse, stocate, prelucrate și transmise în sistemul informațional. Aceste informații sunt împărțite în patru categorii principale: ·

categoria 1 - PD referitoare la rasă, naționalitate, opinii politice, convingeri religioase și filozofice, stare de sănătate, viață intimă; ·
categoria 2 - PD care vă permite să identificați subiectul datelor cu caracter personal și să obțineți informații suplimentare despre acesta, cu excepția datelor cu caracter personal aferente categoriei 1; ·
categoria 3 - date cu caracter personal care permit identificarea subiectului datelor cu caracter personal; ·
categoria 4 - PD anonimizat și (sau) disponibil publicului.

Pe baza acestei clasificări, se poate afirma că orice date medicale, precum și fișele de personal care conțin coloana „naționalitate” (și acestea sunt aproape toate chestionarele și fișele personale existente pentru evidența personalului utilizate în prezent), trebuie încadrate în prima categorie. . De asemenea, este clar că bucățile de date cu caracter personal au aproape întotdeauna o categorie mai mică decât totalitatea lor. Chiar și informații detaliate despre starea de sănătate a unui individ pot fi lipsite de sens dacă numele său de familie sau alte date care leagă în mod clar aceste informații de pacient sunt necunoscute.

Volumul PD procesat poate lua următoarele valori: ·

- sistemul informatic prelucrează simultan date cu caracter personal ale a peste 100.000 de entități sau date cu caracter personal ale entităților din regiunea Federației Ruse sau a Federației Ruse în ansamblu; ·
- sistemul informațional prelucrează simultan date cu caracter personal de la 1.000 până la 100.000 de subiecți sau date personale ale subiecților care lucrează în sectorul economic al Federației Ruse, într-un organism guvernamental, care locuiește într-o municipalitate; ·
- sistemul informatic prelucrează simultan date a mai puțin de 1000 de subiecți sau date cu caracter personal ale subiecților unei anumite organizații.

Sistemele informaționale speciale sunt acele sisteme informaționale în care, indiferent de necesitatea asigurării confidențialității datelor cu caracter personal, se cere să se asigure cel puțin una dintre caracteristicile de securitate ale datelor cu caracter personal, altele decât confidențialitatea (de exemplu, integritatea sau disponibilitatea). Caracteristica de „integritate” înseamnă că datele cu caracter personal ar trebui modificate doar într-un mod reglementat, de exemplu, doar un medic autorizat poate face modificări la dosarul electronic de fișă medicală, iar în orice alte cazuri informațiile din fișa medicală nu trebuie modificate . Atunci când este transmis prin rețele, integritatea este asigurată prin utilizarea unei semnături digitale electronice.

Sistemele informatice speciale includ: ·

IP în care sunt prelucrate datele personale referitoare la starea de sănătate a subiecților; ·
IP care prevede acceptarea bazată exclusiv pe prelucrare automată decizii privind datele cu caracter personal care dau naștere la consecințe juridice în legătură cu subiectul sau îi afectează în alt mod drepturile și interesele legitime.

După structura lor, sistemele informatice de prelucrare a datelor cu caracter personal se împart în: ·

către autonome (neconectate la alte IS) destinate prelucrării datelor cu caracter personal (stații de lucru automate); ·
la complexe de stații de lucru automatizate combinate într-un singur IS prin intermediul comunicațiilor fără utilizarea tehnologiei de acces la distanță (sisteme informaționale locale); ·
la complexe de stații de lucru automatizate și (sau) sisteme informaționale locale, integrate într-un singur sistem informațional prin mijloace de comunicare folosind tehnologia de acces la distanță (sisteme de informații distribuite).

Pe baza faptului că este obligatorie asigurarea confidențialității datelor, putem identifica elementele necesare ale sistemului informațional pentru prelucrarea datelor cu caracter personal.

În al doilea rând, este necesar să se asigure protecția datelor cu caracter personal care pot fi înstrăinate din sistem. De exemplu, transferul de informații către suporturi amovibile. Este foarte probabil ca in unele cazuri sa fie necesar sa se tina cont de posibilitatea furtului si pierderii (pierderii) echipamentelor informatice cu date personale. În acest caz, criptarea PD stocată pe mediile computerizate este, de asemenea, obligatorie.

În cazul în care sistemul are conexiuni la rețele deschise sau implică schimb de date, este obligatorie utilizarea criptării datelor și a semnăturilor digitale electronice, precum și asigurarea protecției împotriva atacurilor din rețele externe, inclusiv protecție antivirus.

Pentru criptare și semnături electronice se folosesc chei și certificate, care sunt generate de utilizatori înșiși și înregistrate în așa-numitele autorități de certificare.

Un punct foarte important este înregistrarea acțiunilor cu PD, care, pe de o parte, face posibilă identificarea celor responsabili pentru scurgerea acestora și, pe de altă parte, creează o motivație psihologică pentru a lucra corect cu aceștia.

Sistemului informatic de prelucrare a datelor cu caracter personal i se poate atribui una dintre următoarele clase: ·

clasa 1 (K1) - IP pentru care încălcarea caracteristicilor de securitate specificate ale datelor cu caracter personal prelucrate în acestea poate duce la consecințe negative semnificative pentru subiecții datelor cu caracter personal; ·
clasa 2 (K2) - IP pentru care o încălcare a caracteristicilor de securitate specificate ale PD prelucrate în acestea poate duce la consecințe negative pentru subiecții datelor cu caracter personal; ·
clasa 3 (K3) - IP pentru care încălcarea caracteristicilor de securitate specificate ale datelor cu caracter personal prelucrate în acestea poate duce la consecințe negative minore pentru subiecții datelor cu caracter personal; ·
clasa 4 (K4) - IP pentru care încălcarea caracteristicilor de securitate specificate ale datelor cu caracter personal prelucrate în acestea nu duce la consecințe negative pentru subiecții datelor cu caracter personal.

tabelul 1

Categorie
Categorie

Se poate afirma că majoritatea sistemelor informatice de prelucrare a datelor cu caracter personal (în special în scopuri medicale) o vor face special, adică trebuie să asigure nu numai confidențialitatea, ci și integritate obligatorii și alte caracteristici de siguranță și fiabilitate.

Când distribuite IP pentru prelucrarea datelor cu caracter personal, chiar dacă este necesar să se asigure numai intimitateîn conformitate cu „Procedura...” este obligatoriu să protecția datelor cu caracter personal transmise și stocate. Acest lucru respectă pe deplin cerințele actuale ale FSB al Federației Ruse pentru sistemele informatice automatizate destinate să protejeze informațiile confidențiale care nu constituie secret de stat, și anume prevederea că „toate informațiile confidențiale transmise prin canalele de comunicare trebuie protejate; informațiile transmise prin canalele de comunicare trebuie să fie criptate folosind instrumente de protecție a informațiilor criptografice (CIPF) sau pentru transmiterea lor trebuie utilizate canale de comunicații securizate. Informațiile înregistrate pe medii înstrăinate trebuie protejate.”

Din arhitectura PD IS, cu un număr suficient de mare de PD-uri procesate (indicatorul 1 sau 2), se va remarca cu siguranță o componentă de server, care va necesita și protecție. În acest caz, toate informațiile confidențiale stocate pe mediile magnetice ale stațiilor de lucru și serverelor trebuie protejate, ceea ce îndeplinește cerințele clasei AK3.

Astfel, putem propune o strategie complet justificată de protecție a datelor cu caracter personal, care constă în următoarele: Tabel. 1 se completează după cum urmează (a se vedea tabelul 2).

masa 2

categoria IP	Clasa IP în funcție de volumul de date prelucrate
categoria IP



	Nu mai jos decât AK3	Nu mai jos decât AK3	Nu mai jos decât AK3

Notă. „-” înseamnă că nu există cerințe.

În mod convențional, putem distinge „zece pași mistici pe calea” către un sistem securizat de prelucrare a datelor cu caracter personal.

Determinați acele elemente ale IP-ului dvs. care trebuie protejate mai întâi. Mai întâi, aflați exact ce date personale trebuie protejate și unde se află în prezent în sistemul dvs. Apoi verificați dacă locul de muncă al fiecărui angajat are cu adevărat nevoie de protecție a datelor. Poate că ar fi mai ușor să aloci computere separate pentru a lucra cu informații personale care trebuie protejate în mod deosebit de fiabil? Amintiți-vă că un computer conectat la Internet nu este cel mai bun loc pentru a stoca date personale!
Evaluați starea actuală a securității informațiilor. Cât de satisfăcător este? Dacă este posibil, efectuați un audit extern de securitate al sistemului dvs. Clasificați-vă IP-ul conform instrucțiunilor de mai sus. Comparați constatările dvs. cu cele ale auditului extern.
Determinați cine este în prezent responsabil pentru asigurarea protecției IP. Este posibil să restrângem cercul persoanelor de care depinde fiabilitatea acestei protecții? În același timp, rețineți - siguranța nu poate depinde de o singură persoană! Asigurați-vă că numiți auditori; de exemplu, medicul șef poate supraveghea activitatea specialiștilor în completarea și mutarea PD.
Fiți critic cu cerințele specialiștilor dacă insistă să instaleze hardware de securitate. Vă rugăm să rețineți, de asemenea, că utilizarea instrumentelor criptografice este o muncă destul de serioasă. Este important să înțelegeți: întreținerea instrumentelor de criptare și utilizarea unei semnături digitale vor interfera cu activitatea de bază a companiei dvs.? De asemenea, vă rugăm să rețineți că nu fiecare angajat poate sau ar trebui să cripteze datele.
Pune în ordine securitatea clinicii tale. Stabiliți un regim care să asigure nivelul necesar de securitate a informațiilor, dar nu mergeți prea departe. De exemplu, oamenii nu ar trebui să fie lipsiți de capacitatea de a folosi telefoanele mobile. De asemenea, este inadecvat să interziceți angajaților să acceseze e-mailul și internetul în scopuri personale. În același timp, este destul de recomandabil să reglementați procedura de aducere a suporturilor flash și propriilor laptopuri pe teritoriul companiei sau să utilizați funcția disponibilă în Secure Pack Rus pentru a dezactiva unitățile USB neautorizate pentru utilizare de către administrator.
Solicitați specialiștilor IT să întocmească un plan de lucru clar pentru crearea și configurarea unui sistem de securitate. Solicitați să justificați necesitatea achiziționării de echipamente de securitate suplimentare. Insistați asupra garanțiilor că ajustările de securitate nu vor afecta funcționarea de bază a sistemului.
Monitorizează implementarea planului de creare a unui sistem de securitate.
Ascultați opiniile medicilor și angajaților - interferează măsurile de siguranță cu munca și activitățile lor de bază?
Menține și verifică starea securității PD și, de asemenea, întărește loialitatea angajaților de securitate.
Fii calm cu privire la inovațiile din domeniul securității - conservatorismul sănătos te va economisi bani.