ФЕДЕРАЛЬНАЯ

 

СЛУЖБА

 

ПО

 

ТЕХНИЧЕСКОМУ

 

И

 

ЭКСПОРТНОМУ

 

КОНТРОЛЮ

 

 
 

 

УТВЕРЖДЕНЫ

 

Заместителем

 

директора

 

ФСТЭК

 

России

 

15 

февраля

 2008 

г

. 

 

 
 
 
 
 
 
 
 
 
 

ОСНОВНЫЕ

 

МЕРОПРИЯТИЯ

 

ПО

 

ОРГАНИЗАЦИИ

 

И

 

ТЕХНИЧЕСКОМУ

 

ОБЕСПЕЧЕНИЮ

 

БЕЗОПАСНОСТИ

 

ПЕРСОНАЛЬНЫХ

 

ДАННЫХ

, 

ОБРАБАТЫВАЕМЫХ

 

В

 

ИНФОРМАЦИОННЫХ

 

СИСТЕМАХ

 

ПЕРСОНАЛЬНЫХ

 

ДАННЫХ

 

 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

________________________________________________________________ 

Примечание

: 

пометка

 «

для

 

служебного

 

пользования

» 

снята

 

Решением

 

ФСТЭК

 

России

 

от

 11 

ноября

 2009 

г

. 

 
 
 

 

2

 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

 
 
 

 
 
 
 
 
 

 
 
 
 
 
 
 
 
© 

Федеральная

 

служба

 

по

 

техническому

 

и

 

экспортному

 

контролю

. 

 

3

Содержание

 

Обозначения

 

и

 

сокращения

 ………………………………………………........ 

4 

1. 

Термины

 

и

 

определения

 ……………………………………………............. 

5 

2. 

Общие

 

положения

 ……………………………………………………........... 

9 

3. 

Основные

 

мероприятия

 

по

 

организации

 

обеспечения

 

безопасности

 

персональных

 

данных

 ……………………………………………………..... 

 
11 

4. 

Мероприятия

 

по

 

техническому

 

обеспечению

 

безопасности

 

персональных

 

данных

 

при

 

их

 

обработке

 

в

 

информационных

 

системах

 

персональных

 

данных

 ……………………………………………………..... 

 
 
15 

 

 

4

Обозначения

 

и

 

сокращения

 

АВС

 – 

антивирусные

 

средства

 

ВПр

 – 

вредоносная

 

программа

 

ИСПДн

 – 

информационная

 

система

 

персональных

 

данных

 

КЗ

 – 

контролируемая

 

зона

 

МЭ

 – 

межсетевой

 

экран

 

НДВ

 – 

недекларированные

 

возможности

 

НСД

 – 

несанкционированный

 

доступ

 

ПДн

 – 

персональные

 

данные

 

ПМВ

 – 

программно

-

математическое

 

воздействие

 

ПО

 – 

программное

 

обеспечение

 

ПЭВМ

 – 

персональная

 

электронно

-

вычислительная

 

машина

 

ПЭМИН

 – 

побочные

 

электромагнитные

 

излучения

 

и

 

наводки

 

САЗ

 – 

система

 

анализа

 

защищенности

 

СЗИ

 – 

средства

 

защиты

 

информации

 

СЗПДн

 – 

система

 (

подсистема

) 

защиты

 

персональных

 

данных

 

СОВ

 – 

система

 

обнаружения

 

вторжений

 

 

 

 

 

5

1. 

Термины

 

и

 

определения

 

В

 

настоящем

 

документе

 

используются

 

следующие

 

термины

 

и

 

их

 

определения

: 

Безопасность

 

персональных

 

данных

 

– 

состояние

 

защищенности

 

персональных

 

данных

, 

при

 

котором

 

обеспечиваются

 

их

 

конфиденциальность

, 

доступность

 

и

 

целостность

 

при

 

их

 

обработке

 

в

 

информационных

 

системах

 

персональных

 

данных

.

 

Блокирование

 

персональных

 

данных

 

– 

временное

 

прекращение

 

сбора

, 

систематизации

, 

накопления

, 

использования

, 

распространения

 

персональных

 

данных

, 

в

 

том

 

числе

 

их

 

передачи

. 

Вирус

  (

компьютерный

, 

программный

) – 

исполняемый

 

программный

 

код

 

или

 

интерпретируемый

 

набор

 

инструкций

, 

обладающий

 

свойствами

 

несанкционированного

 

распространения

 

и

 

самовоспроизведения

. 

Созданные

 

дубликаты

 

компьютерного

 

вируса

 

не

 

всегда

 

совпадают

 

с

 

оригиналом

, 

но

 

сохраняют

 

способность

 

к

 

дальнейшему

 

распространению

 

и

 

самовоспроизведению

.

 

Вредоносная

 

программа

 

–

 

программа

, 

предназначенная

 

для

 

осуществления

 

несанкционированного

 

доступа

 

и

  (

или

) 

воздействия

 

на

 

персональные

 

данные

 

или

 

ресурсы

 

информационной

 

системы

 

персональных

 

данных

.  

Вспомогательные

 

технические

 

средства

 

и

 

системы

 

–

 

технические

 

средства

 

и

 

системы

, 

не

 

предназначенные

 

для

 

передачи

, 

обработки

 

и

 

хранения

 

персональных

 

данных

, 

устанавливаемые

 

совместно

 

с

 

техническими

 

средствами

 

и

 

системами

, 

предназначенными

 

для

 

обработки

 

персональных

 

данных

, 

или

 

в

 

помещениях

, 

в

 

которых

 

установлены

 

информационные

 

системы

 

персональных

 

данных

. 

Доступ

 

к

 

информации

 

– 

возможность

 

получения

 

информации

 

и

 

ее

 

использования

. 

Защищаемая

 

информация

 

–

 

информация

, 

являющаяся

 

предметом

 

собственности

 

и

 

подлежащая

 

защите

 

в

 

соответствии

 

с

 

требованиями

 

правовых

 

документов

 

или

 

требованиями

, 

устанавливаемыми

 

собственником

 

информации

. 

Идентификация

 

– 

присвоение

 

субъектам

 

и

 

объектам

 

доступа

 

идентификатора

 

и

 (

или

) 

сравнение

 

предъявляемого

 

идентификатора

 

с

 

перечнем

 

присвоенных

 

идентификаторов

. 

Информационная

 

система

 

персональных

 

данных

 – 

информационная

 

система

, 

представляющая

 

собой

 

совокупность

 

персональных

 

данных

, 

содержащихся

 

в

 

базе

 

данных

, 

а

 

также

 

информационных

 

технологий

 

и

 

технических

 

средств

, 

позволяющих

 

осуществлять

 

обработку

 

таких

 

персональных

 

данных

 

с

 

использованием

 

средств

 

автоматизации

 

или

 

без

 

использования

 

таких

 

средств

.

 

Информационные

 

технологии

 – 

процессы

, 

методы

 

поиска

, 

сбора

, 

хранения

, 

обработки

, 

представления

, 

распространения

 

информации

 

и

 

способы

 

осуществления

 

таких

 

процессов

 

и

 

методов

.

 

Конфиденциальность

 

персональных

 

данных

 

– 

обязательное

 

для

 

соблюдения

 

оператором

 

или

 

иным

 

получившим

 

доступ

 

к

 

персональным

 

данным

 

лицом

 

требование

 

не

 

допускать

 

их

 

распространения

 

без

 

согласия

 

субъекта

 

персональных

 

данных

 

или

 

наличия

 

иного

 

законного

 

основания

. 

Контролируемая

 

зона

 – 

пространство

  (

территория

, 

здание

, 

часть

 

здания

, 

помещение

), 

в

 

котором

 

исключено

 

неконтролируемое

 

пребывание

 

посторонних

 

лиц

, 

а

 

также

 

транспортных

, 

технических

 

и

 

иных

 

материальных

 

средств

. 

Межсетевой

 

экран

 – 

локальное

  (

однокомпонентное

) 

или

 

функционально

-

распределенное

 

программное

  (

программно

-

аппаратное

) 

средство

  (

комплекс

), 

реализующее

 

контроль

 

за

 

информацией

, 

поступающей

 

в

 

информационную

 

систему

 

персональных

 

данных

 

и

 (

или

) 

выходящей

 

из

 

информационной

 

системы

.

 

Недекларированные

 

возможности

 

– 

функциональные

 

возможности

 

средств

 

вычислительной

 

техники

 

и

  (

или

) 

программного

 

обеспечения

, 

не

 

описанные

 

или

 

не

 

соответствующие

 

описанным

 

в

 

документации

, 

при

 

использовании

 

которых

 

возможно

 

нарушение

 

конфиденциальности

, 

доступности

 

или

 

целостности

 

обрабатываемой

 

информации

. 

 

6

Несанкционированный

 

доступ

  (

несанкционированные

 

действия

) 

–

 

доступ

 

к

 

информации

 

или

 

действия

 

с

 

информацией

, 

осуществляемые

 

с

 

нарушением

 

установленных

 

прав

 

и

  (

или

) 

правил

 

доступа

 

к

 

информации

 

или

 

действий

 

с

 

ней

 

с

 

применением

 

штатных

 

средств

 

информационной

 

системы

 

или

 

средств

, 

аналогичных

 

им

 

по

 

своим

 

функциональному

 

предназначению

 

и

 

техническим

 

характеристикам

. 

Обработка

 

персональных

 

данных

 

– 

действия

  (

операции

) 

с

 

персональными

 

данными

, 

включая

 

сбор

, 

систематизацию

, 

накопление

, 

хранение

, 

уточнение

  (

обновление

, 

изменение

), 

использование

, 

распространение

  (

в

 

том

 

числе

 

передачу

), 

обезличивание

, 

блокирование

, 

уничтожение

 

персональных

 

данных

. 

Оператор

 

– 

государственный

 

орган

, 

муниципальный

 

орган

, 

юридическое

 

или

 

физическое

 

лицо

, 

организующие

 

и

 (

или

) 

осуществляющие

 

обработку

 

персональных

 

данных

, 

а

 

также

 

определяющие

 

цели

 

и

 

содержание

 

обработки

 

персональных

 

данных

. 

Перехват

 (

информации

) - 

неправомерное

 

получение

 

информации

 

с

 

использованием

 

технического

 

средства

, 

осуществляющего

 

обнаружение

, 

прием

 

и

 

обработку

 

информативных

 

сигналов

.

 

Персональные

 

данные

 – 

любая

 

информация

, 

относящаяся

 

к

 

определенному

 

или

 

определяемому

 

на

 

основании

 

такой

 

информации

 

физическому

 

лицу

 (

субъекту

 

персональных

 

данных

), 

в

 

том

 

числе

 

его

 

фамилия

, 

имя

, 

отчество

, 

дата

 

и

 

место

 

рождения

, 

адрес

, 

семейное

, 

социальное

, 

имущественное

 

положение

, 

образование

, 

профессия

, 

доходы

, 

другая

 

информация

. 

Побочные

 

электромагнитные

 

излучения

 

и

 

наводки

 – 

электромагнитные

 

излучения

 

технических

 

средств

 

обработки

 

защищаемой

 

информации

, 

возникающие

 

как

 

побочное

 

явление

 

и

 

вызванные

 

электрическими

 

сигналами

, 

действующими

 

в

 

их

 

электрических

 

и

 

магнитных

 

цепях

, 

а

 

также

 

электромагнитные

 

наводки

 

этих

 

сигналов

 

на

 

токопроводящие

 

линии

, 

конструкции

 

и

 

цепи

 

питания

. 

Пользователь

 

информационной

 

системы

 

персональных

 

данных

 

– 

лицо

, 

участвующее

 

в

 

функционировании

 

информационной

 

системы

 

персональных

 

данных

 

или

 

использующее

 

результаты

 

ее

 

функционирования

.

 

Правила

 

разграничения

 

доступа

 

– 

совокупность

 

правил

, 

регламентирующих

 

права

 

доступа

 

субъектов

 

доступа

 

к

 

объектам

 

доступа

. 

Программная

 

закладка

 

– 

скрытно

 

внесенный

 

в

 

программное

 

обеспечение

 

функциональный

 

объект

, 

который

 

при

 

определенных

 

условиях

 

способен

 

обеспечить

 

несанкционированное

 

программное

 

воздействие

. 

Программная

 

закладка

 

может

 

быть

 

реализована

 

в

 

виде

 

вредоносной

 

программы

 

или

 

программного

 

кода

. 

Программное

  (

программно

-

математическое

) 

воздействие

 – 

несанкционированное

 

воздействие

 

на

 

ресурсы

 

автоматизированной

 

информационной

 

системы

, 

осуществляемое

 

с

 

использованием

 

вредоносных

 

программ

. 

Ресурс

 

информационной

 

системы

 – 

именованный

 

элемент

 

системного

, 

прикладного

 

или

 

аппаратного

 

обеспечения

 

функционирования

 

информационной

 

системы

. 

Средства

 

вычислительной

 

техники

 

–

 

совокупность

 

программных

 

и

 

технических

 

элементов

 

систем

 

обработки

 

данных

, 

способных

 

функционировать

 

самостоятельно

 

или

 

в

 

составе

 

других

 

систем

.

 

Субъект

 

доступа

  (

субъект

) 

– 

лицо

 

или

 

процесс

, 

действия

 

которого

 

регламентируются

 

правилами

 

разграничения

 

доступа

. 

Технические

 

средства

 

информационной

 

системы

 

персональных

 

данных

 –

 

средства

 

вычислительной

 

техники

, 

информационно

-

вычислительные

 

комплексы

 

и

 

сети

, 

средства

 

и

 

системы

 

передачи

, 

приема

 

и

 

обработки

 

персональных

 

данных

  (

средства

 

и

 

системы

 

звукозаписи

, 

звукоусиления

, 

звуковоспроизведения

, 

переговорные

 

и

 

телевизионные

 

устройства

, 

средства

 

изготовления

, 

тиражирования

 

документов

 

и

 

другие

 

технические

 

средства

 

обработки

 

речевой

, 

графической

, 

видео

- 

и

 

буквенно

-

цифровой

 

информации

), 

программные

 

средства

 (

операционные

 

системы

, 

системы

 

управления

 

базами

 

данных

 

и

 

т

.

п

.), 

средства

 

защиты

 

информации

.

 

 

7

Технический

 

канал

 

утечки

 

информации

 

–

 

совокупность

 

носителя

 

информации

 

(

средства

 

обработки

), 

физической

 

среды

 

распространения

 

информативного

 

сигнала

 

и

 

средств

, 

которыми

 

добывается

 

защищаемая

 

информация

. 

Угрозы

 

безопасности

 

персональных

 

данных

 – 

совокупность

 

условий

 

и

 

факторов

, 

создающих

 

опасность

 

несанкционированного

, 

в

 

том

 

числе

 

случайного

, 

доступа

 

к

 

персональным

 

данным

, 

результатом

 

которого

 

может

 

стать

 

уничтожение

, 

изменение

, 

блокирование

, 

копирование

, 

распространение

 

персональных

 

данных

, 

а

 

также

 

иных

 

несанкционированных

 

действий

  

при

 

их

 

обработке

 

в

 

информационной

 

системе

 

персональных

 

данных

. 

Уничтожение

 

персональных

 

данных

 – 

действия

, 

в

 

результате

 

которых

 

невозможно

 

восстановить

 

содержание

 

персональных

 

данных

 

в

 

информационной

 

системе

 

персональных

 

данных

 

или

 

в

 

результате

 

которых

 

уничтожаются

 

материальные

 

носители

 

персональных

 

данных

. 

Утечка

 (

защищаемой

) 

информации

 

по

 

техническим

 

каналам

 

– 

неконтролируемое

 

распространение

 

информации

 

от

 

носителя

 

защищаемой

 

информации

 

через

 

физическую

 

среду

 

до

 

технического

 

средства

, 

осуществляющего

 

перехват

 

информации

. 

Уполномоченное

 

оператором

 

лицо

 – 

лицо

, 

которому

 

на

 

основании

 

договора

 

оператор

 

поручает

 

обработку

 

персональных

 

данных

. 

Целостность

 

информации

 

– 

состояние

 

информации

, 

при

 

котором

 

отсутствует

 

любое

 

ее

 

изменение

 

либо

 

изменение

 

осуществляется

 

только

 

преднамеренно

 

субъектами

, 

имеющими

 

на

 

него

 

право

. 

 

8

2. 

Общие

 

положения

 

2.1. 

Настоящий

 

документ

 

разработан

 

на

 

основе

 

Федерального

 

закона

 

от

 27 

июля

 2006 

г

. 

№

 152-

ФЗ

  «

О

 

персональных

 

данных

»

 

и

 

в

 

соответствии

 

с

  «

Положением

 

об

 

обеспечении

 

безопасности

 

персональных

 

данных

 

при

 

их

 

обработке

 

в

 

информационных

 

системах

 

персональных

 

данных

», 

утвержденным

 

постановлением

 

Правительства

 

Российской

 

Федерации

 

от

 17 

ноября

 2007 

г

. 

№

 781, 

с

 

целью

 

совершенствования

 

методического

 

обеспечения

 

деятельности

 

в

 

данной

 

области

 

государственных

 

и

 

муниципальных

 

органов

, 

юридических

 

и

 

физических

 

лиц

, 

организующих

 

и

  (

или

) 

осуществляющих

 

обработку

 

персональных

 

данных

 

(

ПДн

), 

определяющих

 

цели

 

и

 

содержание

 

обработки

 

ПДн

  (

операторов

), 

а

 

также

 

заказчиков

 

и

 

разработчиков

 

информационных

 

систем

 

персональных

 

данных

  (

ИСПДн

) 

при

 

решении

 

ими

 

задач

 

по

 

обеспечению

 

безопасности

 

ПДн

.  

2.2. 

Обеспечение

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

 

достигается

 

путем

 

исключения

 

несанкционированного

, 

в

 

том

 

числе

 

случайного

, 

доступа

 

к

 

персональным

 

данным

, 

результатом

 

которого

 

могут

 

стать

 

уничтожение

, 

изменение

, 

блокирование

, 

копирование

, 

распространение

 

персональных

 

данных

, 

а

 

также

 

иные

 

несанкционированные

 

действия

.  

Мероприятия

 

по

 

обеспечению

 

безопасности

 

ПДн

 

формулируются

 

в

 

зависимости

 

от

 

класса

 

ИСПДн

, 

определяемого

 

с

 

учетом

 

возможного

 

возникновения

 

угроз

 

безопасности

 

жизненно

 

важным

 

интересам

 

личности

, 

общества

 

и

 

государства

. 

2.3. 

Положения

 

настоящего

 

документа

 

не

 

распространяются

 

на

 

ИСПДн

, 

обрабатывающие

 

ПДн

, 

отнесенные

 

в

 

установленном

 

порядке

 

к

 

сведениям

, 

составляющими

 

государственную

 

тайну

. 

Порядок

 

и

 

содержание

 

мероприятий

 

по

 

защите

 

информации

, 

содержащей

 

сведения

, 

составляющие

 

государственную

 

тайну

, 

определяются

 

в

 

соответствии

 

с

 

нормативными

 

и

 

методическими

 

документами

 

в

 

области

 

защиты

 

государственной

 

тайны

. 

2.4. 

Настоящий

 

документ

 

является

 

методическим

 

документом

, 

определяющим

 

мероприятия

 

по

 

организации

 

и

 

техническому

 

обеспечению

 

безопасности

 

ПДн

  (

не

 

криптографическими

 

методами

) 

при

 

их

 

обработке

 

в

 

ИСПДн

, 

в

 

интересах

 

решения

 

задач

: 

проведения

 

мероприятий

, 

направленных

 

на

 

предотвращение

 

несанкционированного

 

доступа

 

к

 

ПДн

 

и

 (

или

) 

передачи

 

их

 

лицам

, 

не

 

имеющим

 

права

 

доступа

 

к

 

такой

 

информации

; 

своевременного

 

обнаружения

 

фактов

 

несанкционированного

  

доступа

  (

НСД

)  

к

  

ПДн

; 

недопущения

 

воздействия

 

на

 

технические

 

средства

 

автоматизированной

 

обработки

 

ПДн

, 

в

 

результате

 

которого

 

может

 

быть

 

нарушено

 

их

 

функционирование

; 

возможности

 

незамедлительного

 

восстановления

 

ПДн

, 

модифицированных

 

или

 

уничтоженных

 

вследствие

 

НСД

 

к

 

ним

; 

постоянного

 

контроля

 

за

 

обеспечением

 

уровня

 

защищенности

 

ПДн

. 

Обеспечение

 

безопасности

 

ПДн

 

с

 

использованием

 

криптографических

 

методов

 

в

 

настоящем

 

документе

 

не

 

рассматривается

. 

Порядок

 

организации

 

и

 

обеспечения

 

указанных

 

работ

 

определяется

 

в

 

соответствии

 

с

 

нормативными

 

документами

 

Федеральной

 

службы

 

безопасности

 

Российской

 

Федерации

. 

2.5. 

Настоящий

 

документ

 

применяется

 

для

 

обеспечения

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

 

следующих

 

видов

: 

ИСПДн

 

государственных

 

органов

, 

организующих

 

и

 (

или

) 

осуществляющих

 

обработку

 

персональных

 

данных

, 

а

 

также

 

определяющих

 

цели

 

и

 

содержание

 

обработки

 

персональных

 

данных

; 

 

9

ИСПДн

 

муниципальных

 

органов

, 

организующих

 

и

 (

или

) 

осуществляющих

 

обработку

 

персональных

 

данных

, 

а

 

также

 

определяющих

 

цели

 

и

 

содержание

 

обработки

 

персональных

 

данных

; 

ИСПДн

 

юридических

 

лиц

, 

организующих

 

и

  (

или

) 

осуществляющих

 

обработку

 

персональных

 

данных

, 

а

 

также

 

определяющих

 

цели

 

и

 

содержание

 

обработки

 

персональных

 

данных

; 

ИСПДн

 

физических

 

лиц

, 

организующих

 

и

  (

или

) 

осуществляющих

 

обработку

 

персональных

 

данных

, 

а

 

также

 

определяющих

 

цели

 

и

 

содержание

 

обработки

 

персональных

 

данных

  (

за

 

исключением

 

случаев

, 

когда

 

последние

 

используют

 

указанные

 

системы

 

исключительно

 

для

 

личных

 

и

 

семейных

 

нужд

). 

2.6. 

Работы

 

по

 

обеспечению

 

безопасности

 

ПДн

 

при

 

их

 

обработке

  

в

 

ИСПДн

 

являются

 

неотъемлемой

 

частью

 

работ

 

по

 

созданию

 

ИСПДн

. 

Результатом

 

этих

 

работ

 

должно

 

являться

 

создание

 

системы

  (

подсистемы

) 

защиты

 

персональных

 

данных

 

ИСПДн

. 

2.7. 

Для

 

обеспечения

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

 

осуществляется

 

защита

 

речевой

 

информации

 

и

 

информации

, 

обрабатываемой

 

техническими

 

средствами

, 

а

 

также

 

информации

, 

представленной

 

в

 

виде

 

информативных

 

электрических

 

сигналов

, 

физических

 

полей

, 

носителей

 

на

 

бумажной

, 

магнитной

, 

оптической

 

и

 

иной

 

основе

, 

в

 

виде

 

информационных

 

массивов

 

и

 

баз

 

данных

 

в

 

ИСПДн

. 

2.8. 

Основными

 

мероприятиями

 

по

 

организации

 

и

 

техническому

 

обеспечению

 

безопасности

 

ПДн

 

в

 

ИСПДн

 

являются

: 

мероприятия

 

по

 

организации

 

обеспечения

 

безопасности

 

ПДн

, 

включая

 

классификацию

 

ИСПДн

; 

мероприятия

 

по

 

техническому

 

обеспечению

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

, 

включающие

 

мероприятия

 

по

 

размещению

, 

специальному

 

оборудованию

, 

охране

 

и

 

организации

 

режима

 

допуска

 

в

 

помещения

, 

где

 

ведется

 

работа

 

с

 

ПДн

, 

мероприятия

 

по

 

закрытию

 

технических

 

каналов

 

утечки

 

ПДн

 

при

 

их

 

обработке

 

в

 

информационных

 

системах

, 

мероприятия

 

по

 

защите

 

ПДн

 

от

 

несанкционированного

 

доступа

 

и

 

определению

 

порядка

 

выбора

 

средств

 

защиты

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

. 

2.9. 

При

 

обработке

 

ПДн

 

в

 

ИСПДн

 

возможно

 

возникновение

 

угроз

 

безопасности

 

ПДн

, 

включающих

 

совокупность

 

условий

 

и

 

факторов

, 

создающих

 

опасность

 

несанкционированного

, 

в

 

том

 

числе

 

случайного

, 

доступа

 

к

 

ПДн

. 

Модель

 

угроз

 

применительно

 

к

 

конкретной

 

ИСПДн

 

разрабатывается

 

в

 

соответствии

 

с

 

«

Методикой

 

определения

 

актуальных

 

угроз

 

безопасности

 

персональных

 

данных

 

при

 

их

 

обработке

 

в

 

информационных

 

системах

 

персональных

 

данных

» 

на

 

основе

 «

Базовой

 

модели

 

угроз

 

безопасности

 

персональных

 

данных

 

при

 

их

 

обработке

 

в

 

информационных

 

системах

 

персональных

 

данных

».  

Выявление

 

и

 

учет

 

угроз

 

безопасности

 

ПДн

 

в

 

конкретных

 

условиях

 

составляют

 

основу

 

для

 

планирования

 

и

 

осуществления

 

мероприятий

, 

направленных

 

на

 

обеспечение

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

. 

 

10

3. 

Основные

 

мероприятия

 

по

 

организации

 

обеспечения

 

безопасности

 

персональных

 

данных

 

3.1. 

Под

 

организацией

 

обеспечения

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

 

понимается

 

формирование

 

и

 

реализация

 

совокупности

 

согласованных

 

по

 

цели

, 

задачам

, 

месту

 

и

 

времени

 

организационных

 

и

 

технических

 

мероприятий

, 

направленных

 

на

 

минимизацию

 

ущерба

 

от

 

возможной

 

реализации

 

угроз

 

безопасности

 

ПДн

.  

3.2. 

Обязанности

 

по

 

реализации

 

необходимых

 

организационных

 

и

 

технических

 

мероприятий

 

для

 

защиты

 

ПДн

 

от

 

неправомерного

 

или

 

случайного

 

доступа

 

к

 

ним

, 

уничтожения

, 

изменения

, 

блокирования

, 

копирования

, 

распространения

 

ПДн

, 

а

 

также

 

иных

 

неправомерных

 

действий

 

с

 

ними

, 

возлагаются

 

на

 

оператора

. 

Для

 

разработки

 

и

 

осуществления

 

мероприятий

 

по

 

организации

 

и

 

обеспечению

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

 

оператором

 

или

 

уполномоченным

 

им

 

лицом

 

должно

 

назначаться

 

структурное

 

подразделение

 

или

 

должностное

 

лицо

  (

работник

), 

ответственное

 

за

 

обеспечение

 

безопасности

 

ПДн

. 

3.3. 

Технические

 

и

 

программные

 

средства

, 

используемые

 

для

 

обработки

 

ПДн

 

в

 

ИСПДн

, 

должны

 

удовлетворять

 

установленным

 

в

 

соответствии

 

с

 

законодательством

 

Российской

 

Федерации

 

требованиям

, 

обеспечивающим

 

защиту

 

информации

.  

Средства

 

защиты

 

информации

, 

применяемые

 

в

 

ИСПДн

, 

в

 

установленном

 

порядке

 

проходят

 

процедуру

 

оценки

 

соответствия

, 

включая

 

сертификацию

 

на

 

соответствие

 

требованиям

 

по

 

безопасности

 

информации

. 

3.4. 

Обеспечение

 

безопасности

 

ПДн

 

осуществляется

 

путем

 

выполнения

 

комплекса

 

организационных

 

и

 

технических

 

мероприятий

, 

реализуемых

 

в

 

рамках

 

создаваемой

 

системы

 

(

подсистемы

) 

защиты

 

персональных

 

данных

 (

СЗПДн

). 

Структура

, 

состав

 

и

 

основные

 

функции

 

СЗПДн

 

определяются

 

исходя

 

из

 

класса

 

ИСПДн

. 

СЗПДн

 

включает

 

организационные

 

меры

 

и

 

технические

 

средства

 

защиты

 

информации

 (

в

 

том

 

числе

 

шифровальные

 (

криптографические

) 

средства

, 

средства

 

предотвращения

 

несанкционированного

 

доступа

, 

утечки

 

информации

 

по

 

техническим

 

каналам

, 

программно

-

технических

 

воздействий

 

на

 

технические

 

средства

 

обработки

 

ПДн

), 

а

 

также

 

используемые

 

в

 

информационной

 

системе

 

информационные

 

технологии

. 

3.5. 

Рекомендуются

 

следующие

 

стадии

 

создания

 

СЗПДн

: 

предпроектная

 

стадия

, 

включающая

 

предпроектное

 

обследование

 

ИСПДн

, 

разработку

 

технического

 (

частного

 

технического

) 

задания

 

на

 

ее

 

создание

; 

стадия

 

проектирования

  (

разработки

 

проектов

) 

и

 

реализации

 

ИСПДн

, 

включающая

 

разработку

 

СЗПДн

 

в

 

составе

 

ИСПДн

; 

стадия

 

ввода

 

в

 

действие

 

СЗПДн

, 

включающая

 

опытную

 

эксплуатацию

 

и

 

приемо

-

сдаточные

 

испытания

 

средств

 

защиты

 

информации

, 

а

 

также

 

оценку

 

соответствия

 

ИСПДн

 

требованиям

 

безопасности

 

информации

. 

3.6. 

На

 

предпроектной

 

стадии

 

по

 

обследованию

 

ИСПДн

 

рекомендуются

 

следующие

 

мероприятия

: 

устанавливается

 

необходимость

 

обработки

 

ПДн

 

в

 

ИСПДн

; 

определяется

 

перечень

 

ПДн

, 

подлежащих

 

защите

 

от

 

НСД

; 

определяются

 

условия

 

расположения

 

ИСПДн

 

относительно

 

границ

 

контролируемой

 

зоны

 (

КЗ

); 

определяются

 

конфигурация

 

и

 

топология

 

ИСПДн

 

в

 

целом

 

и

 

ее

 

отдельных

 

компонентов

, 

физические

, 

функциональные

 

и

 

технологические

 

связи

 

как

 

внутри

 

этих

 

систем

, 

так

 

и

 

с

 

другими

 

системами

 

различного

 

уровня

 

и

 

назначения

; 

определяются

 

технические

 

средства

 

и

 

системы

, 

предполагаемые

 

к

 

использованию

 

в

 

разрабатываемой

 

ИСПДн

, 

условия

 

их

 

расположения

, 

общесистемные

 

и

 

прикладные

 

программные

 

средства

, 

имеющиеся

 

и

 

предлагаемые

 

к

 

разработке

; 

определяются

 

режимы

 

обработки

 

ПДн

 

в

 

ИСПДн

 

в

 

целом

 

и

 

в

 

отдельных

 

компонентах

; 

определяется

 

класс

 

ИСПДн

; 

 

11

уточняется

 

степень

 

участия

 

должностных

 

лиц

 

в

 

обработке

 

ПДн

, 

характер

 

их

 

взаимодействия

 

между

 

собой

; 

определяются

 

(

уточняются

) 

угрозы

 

безопасности

 

ПДн

 

применительно

  

к

 

конкретным

 

условиям

 

функционирования

 

ИСПДн

 (

разработка

 

частной

 

модели

 

угроз

). 

3.7. 

По

 

результатам

 

предпроектного

 

обследования

 

на

 

основе

 

настоящего

 

документа

 

с

 

учетом

 

установленного

 

класса

 

ИСПДн

 

задаются

 

конкретные

 

требования

 

по

 

обеспечению

 

безопасности

 

ПДн

, 

включаемые

 

в

 

техническое

 (

частное

 

техническое

) 

задание

 

на

 

разработку

 

СЗПДн

. 

3.8. 

Техническое

  (

частное

 

техническое

) 

задание

 

на

 

разработку

 

СЗПДн

 

должно

 

содержать

: 

обоснование

 

разработки

 

СЗПДн

; 

исходные

 

данные

 

создаваемой

  (

модернизируемой

) 

ИСПДн

 

в

 

техническом

, 

программном

, 

информационном

 

и

 

организационном

 

аспектах

; 

класс

 

ИСПДн

; 

ссылку

 

на

 

нормативные

 

документы

, 

с

 

учетом

 

которых

 

будет

 

разрабатываться

 

СЗПДн

 

и

 

приниматься

 

в

 

эксплуатацию

 

ИСПДн

; 

конкретизацию

 

мероприятий

 

и

 

требований

 

к

 

СЗПДн

; 

перечень

 

предполагаемых

 

к

 

использованию

 

сертифицированных

 

средств

 

защиты

 

информации

; 

обоснование

 

проведения

 

разработок

 

собственных

 

средств

 

защиты

 

информации

 

при

 

невозможности

 

или

 

нецелесообразности

 

использования

 

имеющихся

 

на

 

рынке

 

сертифицированных

 

средств

 

защиты

 

информации

; 

состав

, 

содержание

 

и

 

сроки

 

проведения

 

работ

 

по

 

этапам

 

разработки

 

и

 

внедрения

 

СЗПДн

. 

3.9. 

В

 

целях

 

дифференцированного

 

подхода

 

к

 

обеспечению

 

безопасности

 

ПДн

 

в

 

зависимости

 

от

 

объема

 

обрабатываемых

 

ПДн

 

и

 

угроз

 

безопасности

 

жизненно

 

важным

 

интересам

 

личности

, 

общества

 

и

 

государства

 

ИСПДн

 

подразделяются

 

на

 

следующие

 

классы

: 

класс

 1 (

К

1) – 

ИСПДн

, 

для

 

которых

 

нарушение

 

заданной

 

характеристики

 

безопасности

 

ПДн

, 

обрабатываемых

 

в

 

них

, 

может

 

привести

 

к

 

значительным

 

негативным

 

последствиям

 

для

 

субъектов

 

персональных

 

данных

; 

класс

 2 (

К

2) – 

ИСПДн

, 

для

 

которых

 

нарушение

 

заданной

 

характеристики

 

безопасности

 

ПДн

, 

обрабатываемых

 

в

 

них

, 

может

 

привести

 

к

 

негативным

 

последствиям

 

для

 

субъектов

 

персональных

 

данных

; 

класс

 3 (

К

3) – 

ИСПДн

, 

для

 

которых

 

нарушение

 

заданной

 

характеристики

 

безопасности

 

ПДн

, 

обрабатываемых

 

в

 

них

, 

может

 

привести

 

к

 

незначительным

 

негативным

 

последствиям

 

для

 

субъектов

 

персональных

 

данных

; 

класс

 4 (

К

4) – 

ИСПДн

, 

для

 

которых

 

нарушение

 

заданной

 

характеристики

 

безопасности

 

ПДн

, 

обрабатываемых

 

в

 

них

, 

не

 

приводит

 

к

 

негативным

 

последствиям

 

для

 

субъектов

 

персональных

 

данных

. 

Классификация

 

ИСПДн

 

проводится

 

оператором

 

в

 

соответствии

 

с

  «

Порядком

 

проведения

 

классификации

 

информационных

 

систем

 

персональных

 

данных

», 

утвержденным

 

приказом

 

ФСТЭК

 

России

, 

ФСБ

 

России

 

и

 

Мининформсвязи

 

России

 

от

 13 

февраля

 2008 

г

. 

№

 

55/86/20. 

3.10. 

На

 

стадии

 

проектирования

 

и

 

создания

 

ИСПДн

 (

СЗПДн

) 

проводятся

 

следующие

 

мероприятия

: 

разработка

 

задания

 

и

 

проекта

 

проведения

 

работ

  (

в

 

том

 

числе

 

строительных

 

и

 

строительно

-

монтажных

) 

по

 

созданию

  (

реконструкции

) 

ИСПДн

 

в

 

соответствии

 

с

 

требованиями

 

технического

 (

частного

 

технического

) 

задания

 

на

 

разработку

 

СЗПДн

; 

выполнение

 

работ

 

в

 

соответствии

 

с

 

проектной

 

документацией

; 

обоснование

 

и

 

закупка

 

совокупности

 

используемых

 

в

 

ИСПДн

 

серийно

 

выпускаемых

 

технических

 

средств

 

обработки

, 

передачи

 

и

 

хранения

 

информации

; 

 

12

разработка

 

мероприятий

 

по

 

защите

 

информации

 

в

 

соответствии

 

с

 

предъявляемыми

 

требованиями

; 

обоснование

 

и

 

закупка

 

совокупности

 

используемых

 

в

 

ИСПДн

 

сертифицированных

 

технических

, 

программных

 

и

 

программно

-

технических

 

средств

 

защиты

 

информации

 

и

 

их

 

установка

; 

проведение

 

сертификации

 

по

 

требованиям

 

безопасности

 

информации

 

технических

, 

программных

 

и

 

программно

-

технических

 

средств

 

защиты

 

информации

 

в

 

случае

, 

когда

 

на

 

рынке

 

отсутствуют

 

требуемые

 

сертифицированные

 

средства

 

защиты

 

информации

; 

разработка

 

и

 

реализация

 

разрешительной

 

системы

 

доступа

 

пользователей

 

к

 

обрабатываемой

 

на

 

ИСПДн

 

информации

; 

определение

 

подразделений

 

и

 

назначение

 

лиц

, 

ответственных

 

за

 

эксплуатацию

 

средств

 

защиты

 

информации

, 

с

 

их

 

обучением

 

по

 

направлению

 

обеспечения

 

безопасности

 

ПДн

; 

разработка

 

эксплуатационной

 

документации

 

на

 

ИСПДн

 

и

 

средства

 

защиты

 

информации

, 

а

 

также

 

организационно

-

распорядительной

 

документации

 

по

 

защите

 

информации

 (

приказов

, 

инструкций

 

и

 

других

 

документов

); 

выполнение

 

других

 

мероприятий

, 

характерных

 

для

 

конкретных

 

ИСПДн

 

и

 

направлений

 

обеспечения

 

безопасности

 

ПДн

. 

3.11. 

На

 

стадии

 

ввода

 

в

 

действие

 

ИСПДн

 (

СЗПДн

) 

осуществляются

: 

выполнение

 

генерации

 

пакета

 

прикладных

 

программ

 

в

 

комплексе

 

с

 

программными

 

средствами

 

защиты

 

информации

; 

опытная

 

эксплуатация

 

средств

 

защиты

 

информации

 

в

 

комплексе

 

с

 

другими

 

техническими

 

и

 

программными

 

средствами

 

в

 

целях

 

проверки

 

их

 

работоспособности

 

в

 

составе

 

ИСПДн

; 

приемо

-

сдаточные

 

испытания

 

средств

 

защиты

 

информации

 

по

 

результатам

 

опытной

 

эксплуатации

; 

организация

 

охраны

 

и

 

физической

 

защиты

 

помещений

 

ИСПДн

, 

исключающих

 

несанкционированный

 

доступ

 

к

 

техническим

 

средствам

 

ИСПДн

, 

их

 

хищение

 

и

 

нарушение

 

работоспособности

, 

хищение

 

носителей

 

информации

; 

оценка

 

соответствия

 

ИСПДн

 

требованиям

 

безопасности

 

ПДн

. 

Оценка

 

соответствия

 

ИСПДн

 

требованиям

 

безопасности

 

ПДн

 

проводится

 

в

 

виде

:  

для

 

ИСПДн

 1 

и

 2 

классов

 – 

обязательной

 

сертификации

 (

аттестации

) 

по

 

требованиям

 

безопасности

 

информации

; 

для

 

ИСПДн

 3 

класса

 – 

декларирования

 

соответствия

 

требованиям

 

безопасности

 

информации

. 

Для

 

ИСПДн

 4 

класса

 

оценка

 

соответствия

 

проводится

 

по

 

решению

 

оператора

. 

3.12. 

Для

 

ИСПДн

, 

находящихся

 

в

 

эксплуатации

 

до

 

введения

 

в

 

действие

 

Федерального

 

закона

 

от

 27 

июля

 2006 

г

. 

№

 152-

ФЗ

 «

О

 

персональных

 

данных

», 

должен

 

быть

 

предусмотрен

 

комплекс

 

мероприятий

 

по

 

их

 

доработке

, 

обеспечивающий

 

безопасность

 

ПДн

 

в

 

соответствии

 

с

 

требованиями

 

Федерального

 

закона

  «

О

 

персональных

 

данных

» 

от

 27 

июля

 2006 

года

  

№

 152-

ФЗ

 

и

  «

Положением

 

об

 

обеспечении

 

безопасности

 

персональных

 

данных

 

при

 

их

 

обработке

 

в

 

информационных

 

системах

 

персональных

 

данных

», 

утвержденным

 

постановлением

 

Правительства

 

Российской

 

Федерации

  

от

 17 

ноября

 2007 

г

. 

№

 781, 

в

 

срок

 

до

 1 

января

 2010 

г

. 

3.13. 

Для

 

функционирующих

 

ИСПДн

 

доработка

  (

модернизация

) 

СЗПДн

 

должна

 

проводиться

 

в

 

случае

, 

если

: 

изменился

 

состав

 

или

 

структура

 

самой

 

ИСПДн

 

или

 

технические

 

особенности

 

ее

 

построения

  (

изменился

 

состав

 

или

 

структура

 

программного

 

обеспечения

, 

технических

 

средств

 

обработки

 

ПДн

, 

топологии

 

ИСПДн

); 

изменился

 

состав

 

угроз

 

безопасности

 

ПДн

 

в

 

ИСПДн

; 

изменился

 

класс

 

ИСПДн

. 

 

13

3.14. 

В

 

соответствии

 

с

 

положениями

 

Федерального

 

закона

  

от

 8 

августа

 2001 

г

. 

№

 128  «

О

 

лицензировании

 

отдельных

 

видов

 

деятельности

» 

и

 

требованиями

 

постановления

 

Правительства

 

Российской

 

Федерации

 

от

 16 

августа

 2006 

г

. 

№

 504  «

О

 

лицензировании

 

деятельности

 

по

 

технической

 

защите

 

конфиденциальной

 

информации

» 

операторы

 

ИСПДн

 

при

 

проведении

 

мероприятий

 

по

 

обеспечению

 

безопасности

 

ПДн

  (

конфиденциальной

 

информации

) 

при

 

их

 

обработке

 

в

 

ИСПДн

 1,2 

и

 3 

(

распределенные

 

системы

) 

классов

 

должны

 

получить

 

лицензию

 

на

 

осуществление

 

деятельности

 

по

 

технической

 

защите

 

конфиденциальной

 

информации

 

в

 

установленном

 

порядке

. 

 

14

4. 

Мероприятия

 

по

 

техническому

 

обеспечению

 

безопасности

  

персональных

 

данных

 

при

 

их

 

обработке

  

в

 

информационных

 

системах

 

персональных

 

данных

 

4.1. 

В

 

интересах

 

технического

 

обеспечения

 

безопасности

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

 

в

 

зависимости

 

от

 

класса

 

информационной

 

системы

 

должны

 

быть

 

реализованы

 

следующие

 

мероприятия

: 

мероприятия

 

по

 

защите

 

от

 

НСД

 

и

 

неправомерных

 

действий

 

к

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

; 

мероприятия

 

по

 

защите

 

информации

 

от

 

утечки

 

по

 

техническим

 

каналам

. 

4.2. 

В

 

состав

 

мероприятий

 

по

 

защите

 

ПДн

 

при

 

их

 

обработке

 

в

 

ИСПДн

 

от

 

НСД

 

и

 

неправомерных

 

действий

 

входят

 

следующие

 

мероприятия

: 

защита

 

от

 

НСД

 

при

 

однопользовательском

 

режиме

 

обработки

 

ПДн

; 

защита

 

от

 

НСД

 

при

 

многопользовательском

 

режиме

 

обработки

 

ПДн

  

и

 

равных

 

правах

 

доступа

 

к

 

ним

 

субъектов

 

доступа

; 

защита

 

от

 

НСД

 

при

 

многопользовательском

 

режиме

 

обработки

 

ПДн

  

и

 

разных

 

правах

 

доступа

; 

защита

 

информации

 

при

 

межсетевом

 

взаимодействии

 

ИСПДн

; 

антивирусная

 

защита

; 

обнаружение

 

вторжений

. 

Мероприятия

 

по

 

защите

 

ПДн

 

реализуются

 

в

 

рамках

 

подсистем

: 

управления

 

доступом

, 

регистрации

 

и

 

учета

, 

обеспечения

 

целостности

, 

криптографической

 

защиты

, 

антивирусной

 

защиты

, 

обнаружения

 

вторжений

. 

Мероприятия

 

по

 

обнаружению

 

вторжений

 

в

 

ИСПДн

 

проводятся

 

в

 

соответствии

 

с

 

требованиями

 

нормативных

 

документов

 

Федеральной

 

службы

 

безопасности

 

Российской

 

Федерации

. 

Кроме

 

этого

, 

в

 

ИСПДн

 

должен

 

проводиться

 

контроль

 

на

 

наличие

 

недекларированных

 

возможностей

 

в

 

программном

 

и

 

программно

-

аппаратном

 

обеспечении

 

и

 

анализ

 

защищенности

 

системного

 

и

 

прикладного

 

программного

 

обеспечения

. 

4.2.1. 

Для

 

ИСПДн

 4 

класса

 

перечень

 

мероприятий

 

по

 

защите

 

ПДн

 

определяется

 

оператором

 

в

 

зависимости

 

от

 

ущерба

, 

который

 

может

 

быть

 

нанесен

 

вследствие

 

несанкционированного

 

или

 

непреднамеренного

 

доступа

 

к

 

ПДн

. 

4.2.2. 

Для

 

ИСПДн

 3 

класса

 

при

 

однопользовательском

 

режиме

 

обработки

 

ПДн

 

должны

 

проводиться

 

следующие

 

мероприятия

: 

а

) 

в

  

подсистеме

 

управления

 

доступом

: 

должны

 

осуществляться

 

идентификация

 

и

 

проверка

 

подлинности

 

субъектов

 

доступа

 

при

 

входе

 

в

 

операционную

 

систему

 

ИСПДн

 

по

 

паролю

 

условно

-

постоянного

 

действия

, 

длиной

 

не

 

менее

 

шести

 

буквенно

-

цифровых

 

символов

; 

при

 

наличии

 

подключения

 

ИСПДн

 

к

 

сетям

 

общего

 

пользования

 

должно

 

применяться

 

межсетевое

 

экранирование

, 

при

 

котором

 

межсетевой

 

экран

 (

МЭ

) 

должен

 

обеспечивать

 

принятие

 

решения

 

по

 

фильтрации

 

для

 

каждого

 

сетевого

 

пакета

 

независимо

, 

идентификацию

 

и

 

аутентификацию

 

администратора

 

МЭ

 

при

 

его

 

локальных

 

запросах

 

на

 

доступ

, 

возможность

 

для

 

идентификации

 

и

 

аутентификации

 

по

 

идентификатору

  (

коду

) 

и

 

паролю

 

условно

-

постоянного

 

действия

, 

регистрацию

 

входа

  (

выхода

) 

администратора

 

МЭ

 

в

 

систему

  (

из

 

системы

) 

либо

 

загрузки

 

и

 

инициализации

 

системы

 

и

 

ее

 

программного

 

останова

, 

контроль

 

целостности

 

своей

 

программной

 

и

 

информационной

 

части

, 

фильтрацию

 

пакетов

 

служебных

 

протоколов

, 

служащих

 

для

 

диагностики

 

и

 

управления

 

работой

 

сетевых

 

устройств

, 

фильтрацию

 

с

 

учетом

 

входного

 

и

 

выходного

 

сетевого

 

интерфейса

 

как

 

средство

 

проверки

 

подлинности

 

сетевых

 

адресов

, 

фильтрацию

 

с

 

учетом

 

любых

 

значимых

 

полей

 

сетевых

 

пакетов

, 

восстановление

 

после

 

сбоев

 

и

 

отказов

 

оборудования

, 

возможность

 

регламентного

 

тестирования

 

реализации

 

правил

 

фильтрации

, 

процесса

 

идентификации

, 

аутентификации

 

и

 

регистрации

 

действий

 

администратора

 

МЭ

, 

контроль

 

целостности

 

программной

 

и

 

информационной

 

части

 

МЭ

, 

восстановления

 

после

 

сбоев

 

и

 

отказов

; 

 

15

должна

 

проводиться

 

идентификация

 

и

 

аутентификация

 

субъектов

 

доступа

 

при

 

входе

 

в

 

средство

 

защиты

 

от

 

программно

-

математических

 

воздействий

 (

ПМВ

) 

и

 

перед

 

выполнением

 

ими

 

любых

 

операций

 

по

 

управлению

 

функциями

 

средства

 

защиты

 

от

 

ПМВ

 

по

 

паролю

 (

или

 

с

 

использованием

 

иного

 

механизма

 

аутентификации

) 

условно

-

постоянного

 

действия

 

длиной

 

не

 

менее

 

шести

 

буквенно

-

цифровых

 

символов

; 

любые

 

действия

 

субъектов

 

доступа

 

по

 

управлению

 

функциями

 

средства

 

защиты

 

от

 

ПМВ

 

должны

 

выполняться

 

только

 

после

 

проведения

 

его

 

успешной

 

аутентификации

; 

должны

 

быть

 

предусмотрены

 

механизмы

 

блокирования

 

доступа

 

к

 

средствам

 

защиты

 

от

 

ПМВ

 

при

 

выполнении

 

устанавливаемого

 

числа

 

неудачных

 

попыток

 

ввода

 

пароля

; 

должна

 

проводиться

 

идентификация

 

файлов

, 

каталогов

, 

программных

 

модулей

, 

внешних

 

устройств

, 

используемых

 

средства

 

защиты

 

от

 

ПМВ

; 

б

) 

в

 

подсистеме

 

регистрации

 

и

 

учета

: 

должна

 

осуществляться

 

регистрация

 

входа

  (

выхода

) 

субъекта

 

доступа

 

в

 

систему

  (

из

 

системы

) 

либо

 

регистрация

 

загрузки

 

и

 

инициализации

 

операционной

 

системы

 

и

 

ее

 

программного

 

останова

. 

Регистрация

 

выхода

 

из

 

системы

 

или

 

останова

 

не

 

проводится

 

в

 

моменты

 

аппаратурного

 

отключения

 

ИСПДн

. 

В

 

параметрах

 

регистрации

 

указываются

 

дата

 

и

 

время

 

входа

  (

выхода

) 

субъекта

 

доступа

 

в

 

систему

  (

из

 

системы

) 

или

 

загрузки

  (

останова

) 

системы

; 

должен

 

проводиться

 

учет

 

всех

 

защищаемых

 

носителей

 

информации

 

с

 

помощью

 

их

 

любой

 

маркировки

 

и

 

с

 

занесением

 

учетных

 

данных

 

в

 

журнал

 (

учетную

 

карточку

); 

должна

 

проводиться

 

регистрация

 

входа

  (

выхода

) 

субъектов

 

доступа

 

в

 

средство

 

защиты

 

от

 

ПМВ

, 

регистрация

 

загрузки

 

и

 

инициализации

 

этого

 

средства

 

и

 

ее

 

программного

 

останова

. 

В

 

параметрах

 

регистрации

 

указывается

 

время

 

и

 

дата

 

входа

  (

выхода

) 

субъекта

 

доступа

 

в

 

средство

 

защиты

 

от

 

ПМВ

 

или

 

загрузки

  (

останова

) 

этого

 

средства

, 

а

 

также

 

идентификатор

 

субъекта

 

доступа

, 

инициировавшего

 

данные

 

действия

; 

должна

 

проводиться

 

регистрация

 

событий

 

проверки

 

и

 

обнаружения

 

ПМВ

. 

В

 

параметрах

 

регистрации

 

указываются

 

время

 

и

 

дата

 

проверки

 

или

 

обнаружения

 

ПМВ

, 

идентификатор

 

субъекта

 

доступа

, 

инициировавшего

 

данные

 

действия

, 

характер

 

выполняемых

 

действий

 

по

 

проверке

, 

тип

 

обнаруженной

 

вредоносной

 

программы

  (

ВПр

), 

результат

 

действий

 

средства

 

защиты

 

по

 

блокированию

 

ПМВ

; 

должна

 

проводиться

 

регистрация

 

событий

 

по

 

внедрению

 

в

 

средство

 

защиты

 

от

 

ПМВ

 

пакетов

 

обновлений

. 

В

 

параметрах

 

регистрации

 

указываются

 

время

 

и

 

дата

 

обновления

, 

идентификатор

 

субъекта

 

доступа

, 

инициировавшего

 

данное

 

действие

, 

версия

 

и

 

контрольная

 

сумма

 

пакета

 

обновления

; 

должна

 

проводиться

 

регистрация

 

событий

 

запуска

  (

завершения

) 

работы

   

модулей

 

средства

 

защиты

 

от

 

ПМВ

. 

В

 

параметрах

 

регистрации

 

указываются

 

время

 

и

 

дата

 

запуска

 

(

завершения

) 

работы

, 

идентификатор

 

модуля

, 

идентификатор

 

субъекта

 

доступа

, 

инициировавшего

 

данное

 

действие

, 

результат

 

запуска

 (

завершения

) 

работы

; 

должна

 

проводиться

 

регистрация

 

событий

 

управления

 

субъектом

 

доступа

 

функциями

 

средства

 

защиты

 

от

 

ПМВ

. 

В

 

параметрах

 

регистрации

 

указываются

 

время

 

и

 

дата

 

события

 

управления

 

каждой

 

функцией

, 

идентификатор

 

и

 

спецификация

 

функции

, 

идентификатор

 

субъекта

 

доступа

, 

инициировавшего

 

данное

 

действие

, 

результат

 

действия

; 

должна

 

проводиться

 

регистрация

 

событий

 

попыток

 

доступа

 

программных

 

средств

 

к

 

модулям

 

средства

 

защиты

 

от

 

ПМВ

 

или

 

специальным

 

ловушкам

. 

В

 

параметрах

 

регистрации

 

указываются

 

время

 

и

 

дата

 

попытки

 

доступа

, 

идентификатор

 

модуля

, 

идентификатор

 

и

 

спецификация

 

модуля

 

средства

 

защиты

 

от

 

ПМВ

 (

специальной

 

ловушки

), 

результат

 

попытки

 

доступа

; 

должна

 

проводиться

 

регистрация

 

событий

 

отката

 

для

 

средства

 

защиты

 

от

 

ПМВ

. 

В

 

параметрах

 

регистрации

 

указываются

 

время

 

и

 

дата

 

события

 

отката

, 

спецификация

 

действий

 

отката

, 

идентификатор

 

субъекта

 

доступа

, 

инициировавшего

 

данное

 

действие

, 

результат

 

действия

; 

 

16

данные

 

регистрации

 

должны

 

быть

 

защищены

 

от

 

их

 

уничтожения

 

или

 

модификации

 

нарушителем

; 

должны

 

быть

 

реализованы

 

механизмы

 

сохранения

 

данных

 

регистрации

 

в

 

случае

 

сокращения

 

отведенных

 

под

 

них

 

ресурсов

; 

должны

 

быть

 

реализованы

 

механизмы

 

просмотра

 

и

 

анализа

 

данных

 

регистрации

 

и

 

их

 

фильтрации

 

по

 

заданному

 

набору

 

параметров

; 

должен

 

проводиться

 

автоматический

 

непрерывный

 

мониторинг

 

событий

, 

которые

 

могут

 

являться

 

причиной

 

реализации

 

ПМВ

  (

создание

, 

редактирование

, 

запись

, 

компиляция

 

объектов

, 

которые

 

могут

 

содержать

 

ВПр

). 

должен

 

быть

 

реализован

 

механизм

 

автоматического

 

анализа

 

данных

 

регистрации

 

по

 

шаблонам

 

типовых

 

проявлений

 

ПМВ

 

с

 

автоматическим

 

их

 

блокированием

 

и

 

уведомлением

 

администратора

 

безопасности

; 

в

) 

в

 

подсистеме

 

обеспечения

 

целостности

: 

должна

 

быть

 

обеспечена

 

целостность

 

программных

 

средств

 

защиты

 

в

 

составе

 

СЗПДн

, 

а

 

также

 

неизменность

 

программной

 

среды

. 

При

 

этом

 

целостность

 

средств

 

защиты

 

проверяется

 

при

 

загрузке

 

системы

 

по

 

наличию

 

имен

  (

идентификаторов

) 

компонентов

 

СЗПДн

, 

целостность

 

программной

 

среды

 

обеспечивается

 

отсутствием

 

в

 

ИСПДн

 

средств

 

разработки

 

и

 

отладки

 

программ

; 

должна

 

осуществляться

 

физическая

 

охрана

 

ИСПДн

 

(

устройств

  

и

 

носителей

 

информации

), 

предусматривающая

 

контроль

 

доступа

 

в

 

помещения

 

ИСПДн

 

посторонних

 

лиц

, 

наличие

 

надежных

 

препятствий

 

для

 

несанкционированного

 

проникновения

 

в

 

помещения

 

ИСПДн

 

и

 

хранилище

 

носителей

 

информации

; 

должно

 

проводиться

 

периодическое

 

тестирование

 

функций

 

СЗПДн

 

при

 

изменении

 

программной

 

среды

 

и

 

персонала

 

ИСПДн

 

с

 

помощью

 

тест

-

программ

, 

имитирующих

 

попытки

 

НСД

; 

должны

 

быть

 

в

 

наличии

 

средства

 

восстановления

 

СЗПДн

, 

предусматривающие

 

ведение

 

двух

 

копий

 

программных

 

средств

 

защиты

 

информации

, 

их

 

периодическое

 

обновление

 

и

 

контроль

 

работоспособности

; 

должна

 

проводиться

 

проверка

 

целостности

 

модулей

 

средства

 

защиты

  

от

 

ПМВ

, 

необходимых

 

для

 

его

 

корректного

 

функционирования

, 

при

 

его

 

загрузке

 

с

 

использованием

 

контрольных

 

сумм

; 

должны

 

быть

 

обеспечена

 

возможность

 

восстановления

 

средства

 

защиты

 

от

 

ПМВ

, 

предусматривающая

 

ведение

 

двух

 

копий

 

программного

 

средств

 

защиты

, 

его

 

периодическое

 

обновление

 

и

 

контроль

 

работоспособности

; 

должны

 

быть

 

реализованы

 

механизмы

 

проверки

 

целостности

 

пакетов

 

обновлений

 

средства

 

защиты

 

от

 

ПМВ

 

с

 

использованием

 

контрольных

 

сумм

; 

г

) 

в

 

подсистеме

 

антивирусной

 

защиты

: 

должна

 

проводиться

 

автоматическая

 

проверка

 

на

 

наличие

 

ВПр

 

или

 

последствий

 

ПМВ

 

при

 

импорте

 

в

 

ИСПДн

 

всех

 

программных

 

модулей

 (

прикладных

 

программ

), 

которые

 

могут

 

содержать

 

ВПр

, 

по

 

их

 

типовым

 

шаблонам

 

и

 

с

 

помощью

 

эвристического

 

анализа

; 

должны

 

быть

 

реализованы

 

механизмы

 

автоматического

 

блокирования

 

обнаруженных

 

ВПр

 

путем

 

их

 

удаления

 

из

 

программных

 

модулей

  

или

 

уничтожения

; 

должна

 

выполняться

 

регулярно

 (

при

 

первом

 

запуске

 

средств

 

защиты

 

ПДн

 

от

 

ПМВ

 

и

 

с

 

устанавливаемой

 

периодичностью

) 

проверка

 

на

 

предмет

 

наличия

  

в

 

них

 

ВПр

; 

должна

 

инициироваться

 

автоматическая

 

проверка

 

ИСПДн

 

на

 

предмет

 

наличия

 

ВПр

 

при

 

выявлении

 

факта

 

ПМВ

; 

должен

 

быть

 

реализован

 

механизм

 

отката

 

для

 

устанавливаемого

 

числа

 

операций

 

удаления

 

ВПр

 

из

 

оперативной

 

или

 

постоянной

 

памяти

, 

из

 

программных

 

модулей

 

и

 

прикладных

 

программ

 

или

 

программных

 

средств

, 

содержащих

 

ВПр

.