Документ в очередной раз "колбасит" системы и процедуры защиты ПДн. Он устанавливает требования к защите ПДн при их обработке в ИСПДн и уровни защищенности таких данных.
Посмотрим на документ внимательнее, и постараемся понять, что операторы ПДн должны изменить/доработать в своей СЗПДн.
Вот основные моменты:
- Документ признает утратившим силу постановление №781. Соответственно его требования можем уже не выполнять. А значит и статус приказа 55/86/20, приказа ФСТЭК России №58 и документов по криптографии в ИСПДн от ФСБ России сейчас находятся "в подвешенном" состоянии...
- Основной акцент документа сделан на требования по нейтрализация АКТУАЛЬНЫХ угроз ПДн. В документе дано достаточно противоречивое определение ("Под актуальными угрозами безопасности ПДн понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к ПДн при их обработке в ИСПДн, результатом которого могут стать ... "), претензии к которому идут из-за наличия ссылки на случайный доступ.
Вообще, складывается ситуация, при которой "игры" с моделью угроз будут давать свои плоды в виде снижения перечня требований к ИСПДн. Получается если смотреть с точки зрения здравого смысла, то АУ1 и АУ2 (актуальные угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном ПО соответственно) будут присутствовать почти во всех ИСПДн (конечно если вы не проведете оценку на НДВ ВСЕ прикладное и системное ПО). При этом оператор проводит оценку с учетом возможного вреда для субъекта, а значит может сделать не верный, но подходящий под нормы ПП1119 вывод о том, что АУ типа 3, т.к. вред/ущерб минимальный. - Безопасность ПДн обеспечивает Оператор или уполномоченное лицо (полномочия на обработку ПДн по поручению). Решение по передаче функций защиты ПДн на аутсорсинг вполне может быть обосновано для многих Операторов, однако, они действуют в правовом поле связанном с поручением оператора на обработку, со всеми вытекающими отсюда требованиями...
- Выбор СЗИ для СЗПДн в соответствии с нормативными правовыми актами ФСБ России и ФСТЭК России. Это ожидаемо, однако, обратите внимание, что в этой версии документа про эти спецслужбы написано всего 1 раз и про ФСБ России написано первой, в то время как в ПП781 они упоминаются чаще, но с акцентом на ФСТЭК России. Перетягивание одеяла? Кстати, ожидаем новые документы...
- Выделяется несколько типов ИСПДн по типу ПДн и по типу субъектов ПДн. В целом понятно и удобно работать с ними. 1я классификаця предполагает выделение:
- ИСПДн, в которой обрабатывающей специальные категории ПДн (информация, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов ПДн). Обратите внимание, хотя этот перечень и совпадает со 152-ФЗ, но в соответствующей статье закона (ст.10 152-ФЗ) присутствует упоминание об информации о судимости и требований к ней, а в ПП 1119 ничего об этом не сказано.
- ИСПДн, в которой обрабатываются биометрические ПДн. Обратите внимание теперь на два момента:
- ..."если в ней обрабатываются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личностьи которые используются оператором для установления личности субъектаПДн". Еще один аргумент в пользу того, что фотографии в СКУД не биометрия.
- "...и не обрабатываются сведения, относящиеся к специальным категориям персональных данных.". Вопрос не самый критичный, но все же. Теперь однозначно видна позиция регуляторов, что спецкатегории ПДн критичнее биометрических ПДн.
- ИСПДн, в которой обрабатываются общедоступные ИСПДн. Причем основание для общедоступности - получение из общедоступных источников, созданных в соответствии со 152-ФЗ.
- ИСПДн, в которой обрабатываются иные категории ПДн
Второй тип классификации предполагает выделение: - ИСПДн, в которых обрабатываются ПДн только указанных сотрудников. Закономерный вопрос, "указанных где"? В приказах о приеме на работу? В справочнике сотрудников? Базе данных 1С? Еще одним тонким вопросом может стать договора подряда / ГПХ. Быстро пробежавшись по ТК РФ, я однозначно для себя этот вопрос не решил.
- ИСПДн, в которой обрабатываются ПДн субъектов, не являющихся сотрудниками оператора.
- На уровень защищенности ИСПДн влияют тип угроз, перечень ПДн и количество субъектов ПДн. Долго ломал голову, как лучше представить в виде картинки схему классификации, и пришел к такому виду:
.
.Категория ПДн + кол-воАУ 1 типаАУ 2 типаАУ 3 типаСпец.категории ПДнболее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора112Спец.категории ПДнсотрудников оператора или специальные категории персональных данных менее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора123Биометрические ПДн123Иные категории ПДнболее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора123Иные категории ПДнданных сотрудников оператора или иные категории ПДн менее чем 100000 субъектов ПДн, не являющихся сотрудниками оператора134Общедоступные ПДнболее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора224Общедоступные ПДнсотрудников оператора или общедоступные ПДн менее чем 100 000 субъектов ПДн, не являющихся сотрудниками оператора234 - Перечень требований к уровням защищенности тоже можно представить в таблице. Он очень странный и зачем он такой нужен я понять не могу. Тут есть простые и логичные требования про физическую безопасность и назначение ответственных, так и спорные требования про электронный журнал. Складывается впечатление, что несколько страниц с требованиями потеряны. А если мы вспомним пп781 и п58, то заметим, что в них требований было намного больше
.
.Требования1234Регулярный контроль за выполнением требованийКонтроль за выполнением настоящих требований организуется и проводится оператором (уполномоченным лицом) самостоятельно и (или) с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанный контроль проводится не реже 1 раза в 3 года в сроки, определяемые оператором (уполномоченным лицом).****Физ.безопасность и контроль доступаОрганизация режима обеспечения безопасности помещений, в которых размещена ИСПДн, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения****Безопасность носителейОбеспечение сохранности носителей персональных данных****Перечень допущенных лицУтверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей****Сертифицированные СЗИИспользование СЗИ, прошедших процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз****Назначение ответственного за безопасность ПДнНазначение должностного лица (работника), ответственного за обеспечение безопасности ПДн в ИСПДн***-Контроль доступа к эл.журналу доступа.Обеспечение доступа к содержанию электронного журнала сообщений исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей**--Автоматическая регистрация в эл.журнале доступаАвтоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к ПДн, содержащимся в ИСПДн*---Создание структурного подразделенияСоздание структурного подразделения, ответственного за обеспечение безопасности ПДн в ИСПДн, либо возложение на одно из структурных подразделений функций по обеспечению такой безопасности*--- - Из полезного отмечу , что в требованиях появились слова про регулярный контроль (ура, с конкретной периодичностью) с привлечением лицензиатов ФСТЭК России. Пункт очень здравый и полезный. НО, что они сейчас будут проверять? Есть ли приказ о назначении ответственного, или наличие перечня допущенных лиц, или закрываются ли двери в серверную на СКУД? Бред.
Операторам на данный момент рекомендую проверить себя по следующему чек-листу:
- Разработать/Внедрить если еще не сделали:
- Определить перечень носителей ПДн и требования по их хранению, использованию, транспортировке и уничтожению.
- Обеспечить физическую безопасность носителей ПДн и контроль доступа в помещения обработки ПДн. Хорошей практикой является наличие утвержденного списка лиц, допущенных в серверное помещение. Иногда регуляторы еще и спрашивают про перечень лиц, допущенных во все помещения, где производится обработка ПДн, но, на мой взгляд, это излишне.
- Назначить должностное лицо (работника), ответственного за обеспечение безопасности ПДн в ИСПДн. Обратите внимание, что, как я писал ранее , надо различать ответственного за обработку и за обеспечение безопасности ПДн.
- Внести правки в положение о структурном подразделении, ответственного за обеспечение безопасностиПДн.
- Разработать и утвердить перечень лиц, допущенных к обработке ПДн.
- Для СЗПДн использовать СЗИ, прошедшие процедуру оценки соответствия.
- Определить процедуру регулярных проверок выполнения требований к СЗПДн (процедура внутреннего контроля).
- Пересмотреть/Доработать с учетом новых данных (сделать, если еще не сделали):
- Пересмотреть протокол возможного ущерба субъектам ПДн.
- Пересмотреть и обновить Акты классификации ИСПДн с учетом уровней защищенности.
- Быть готовым к пересмотру и доработке
- Быть готовым к пересмотру модели угроз ИСПДн.
- Быть готовым к пересмотру всей СЗПДн и закупке новых СЗИ.
- Начать думать об электронном журнале (что это и какие технологии используются) и обеспечить его безопасность :)))
