Сотрудника, ответственного за использование криптосредств
1. Общие положения.
1.1. Настоящий документ разработан в соответствии с положениями документа «Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных (ФСБ России, № 149/6/6-622, 2008)» (далее Типовые требования) и приказом ФАПСИ от 13.06.2001 № 152 «Об утверждении инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну».
1.2. Настоящий документ определяет права и обязанности сотрудника, ответственного за использование криптосредств в организации.
1.3. Ответственный пользователь криптосредства назначается приказом руководителя.
2. Ответственный пользователь криптосредства обязан:
2.1. Вести поэкземплярный учет используемых криптосредств, эксплуатационной и технической документации к ним;
2.2. Вести учет лиц, допущенных к работе с криптосредствами;
2.3. Производить установку и ввод в эксплуатацию криптосредств в соответствии с эксплуатационной и технической документацией к этим средствам;
2.4. Проверять готовность криптосредств к использованию с составлением заключений о возможности их эксплуатации;
2.5. Не разглашать информацию, к которой он допущен, в том числе сведения о криптосредствах, ключевых документах к ним и других мерах защиты;
2.6. Обеспечивать в соответствии с положениями Типовых требований обеспечение с использованием криптосредств безопасности персональных данных, выполнение требований к обеспечению безопасности криптосредств и ключевых документов к ним;
2.7. Сообщать о ставших ему известными попытках посторонних лиц получить сведения об используемых криптосредствах или ключевых документах к ним ответственному за защиту информации;
2.8. Немедленно уведомлять руководство учреждения о фактах утраты или недостачи криптосредств, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей и о других фактах, которые могут привести к разглашению защищаемых персональных данных;
2.9. Сдать криптосредства, эксплуатационную и техническую документацию к ним, ключевые документы в соответствии с порядком, установленным Типовыми требованиями, при увольнении или отстранении от исполнения обязанностей, связанных с использованием криптосредств.
3. Ответственный пользователь криптосредства имеет право:
3.1. Инициировать разбирательство и составление заключений по фактам нарушения условий, использования криптосредств, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений;
3.2. Ответственному пользователю запрещается разглашать информацию, к которой он допущен, в том числе сведения о криптосредствах, ключевых документах к ним и других мерах защиты.
С должностной инструкцией
ознакомлен _________________
(Ф.И.О.)
ПРИКАЗ
О создании комиссии по классификации информационных систем персональных данных
В целях исполнения положений статьи 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», для проведения классификации информационных систем, обрабатывающих персональные данные
ПРИКАЗЫВАЮ:
1. Утвердить состав Комиссии по классификации информационных систем персональных данных в составе:
председатель комиссии - ___________________________________________;
(должность, Ф.И.О сотрудника)
члены комиссии: _______________________________________________.
(должность, Ф.И.О сотрудников)
2. Комиссии провести классификацию информационных систем персональных данных ЛПУ до _________________ года в соответствии с требованиями законодательства Российской Федерации с оформлением актов классификации информационных систем персональных данных.
3. При проведении классификации комиссии руководствоваться требованиями постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных.
УТВЕРЖДАЮ
АКТ
определения уровня защищенности
персональных данных при их обработке в информационной системе персональных данных (название ИСПДн)
Комиссия, назначенная приказом №_____ от ________________г., в составе:
председатель комиссии – ________________________ _____________________
(Ф.И.О сотрудника) (должность)
члены комиссии: __________________________ _______________________
(Ф.И.О сотрудника) (должность)
__________________________ _______________________
(Ф.И.О сотрудника) (должность)
провела классификацию информационной системы персональных данных (ИСПДн)
_____________________________________________________________________________.
(название ИСПДн)
В ходе работы комиссия установила:
1) категория персональных данных (ПД) – _________________________________;
2) тип субъектов – _____________________________________________________;
3) объем обрабатываемых персональных данных – __________________________;
4) актуальный тип угроз – __________________;
5) заданные характеристики безопасности персональных данных, обрабатываемые в информационной системе ПДн: __________________________________;
6) структура информационной системы: __________________________________;
7) наличие подключений информационной системы к сетям связи общего пользования и (или) сетям международного информационного обмена: ___;
8) режим обработки персональных данных: ________________________________;
9) режим разграничения прав доступа пользователей информационной системы: ____________________________________________________________________________;
10) местонахождение технических средств: _________________________________;
11) последствия для субъектов ПД при нарушении заданных характеристик безопасности ПД: _______________________________________________________________.
12) Является ли ИСПДн ГИС: _____________________________ .
По результатам анализа исходных данных ИСПДн _____________________________
(название ИСПДн)
присваивается уровень защищенности _________.
Председатель комиссии – __________________________________ _______________
Ф.И.О должность
Члены комиссии: __________________________________ _______________
Ф.И.О должность
__________________________________ _______________
Ф.И.О должность
УТВЕРЖДАЮ
Модель угроз безопасности персональных данных при их обработке в информационной системе персональных данных (название ИСПДн)
| СОГЛАСОВАНО | ||
| _________________________ должность | ____________ подпись, дата | ______________ Ф.И.О |
| г. __________________ 20___г. |
Определения
В настоящем документе используются следующие термины и определения:
Безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.
Вирус (компьютерный, программный)– исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению.
Вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных.
Доступ к информации - возможность получения информации и ее использования.
Информационная система персональных данных (ИСПДн) – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.
Контролируемая зона - пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств.
Межсетевой экран - локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и (или) выходящей из информационной системы.
Не декларированные возможности– функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.
Несанкционированный доступ (несанкционированные действия)– доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных.
Носитель информации - физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.
Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Оператор (персональных данных) – государственный орган, муниципальный орган, юридическое или физическое лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.
Перехват (информации) – неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов.
Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
Побочные электромагнитные излучения и наводки– электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания.
Пользователь информационной системы персональных данных – лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования.
Программное (программно-математическое) воздействие – несанкционированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ.
Обозначения и сокращения
АРМ – автоматизированное рабочее место
ИСПДн – информационная система персональных данных
ИС– информационная система
НСД – несанкционированный доступ
ОС – операционная система
ПДн – персональные данные
ПО – программное обеспечение
СЗИ – средства защиты информации
СЗПДн– система (подсистема) защиты персональных данных
СФ СЗПДн – среда функционирования системы (подсистемы) защиты персональных данных
УБПДн – угрозы безопасности персональных данных
Введение
Модель угроз безопасности персональных данных (далее – Модель) при их обработке в ИСПДн ЛПУ строится на основании отчета о результатах проведения внутренней проверки.
В модели угроз представлено описание структуры ИСПДн, состава и режима обработки ПДн, классификация потенциальных нарушителей, оценка исходного уровня защищенности, анализ угроз безопасности персональных данных.
Анализ УБПДн включает:
· Описание угроз;
· Оценку вероятности возникновения угроз;
· Оценку реализуемости угроз;
· Оценку опасности угроз;
· Определение актуальности угроз.
Модель угроз разработана на основании следующих документов:
· Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
· Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
· Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
· Приказ ФСТЭК России от 11.02.2013 № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
· Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
· Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной 15.02.2008 Заместителем директора ФСТЭК России;
· Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденной 14.02.2008 заместителем директора ФСТЭК России.
· Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации, утверждённые ФСБ РФ 21.02.2008 № 149/54-144.
Описание ИСПДн(название ИСПДн)