Please enable JavaScript.

Coggle requires JavaScript to display documents.

Персональные данные (ОСНОВНЫЕ ОПРЕДЕЛЕНИЯ (АВТОМАТИЗИРОВАННАЯ ОБРАБОТКА…

- - - - ПРИКАЗ №17
        
        Требования к организации защиты информации, содержащейся в информационной системе
        
        Формирование требований к защите информации, содержащейся в информационной системе
        
        Разработка системы защиты информации информационной системы
        
        Внедрение системы защиты информации информационной системы
        
        Аттестация информационной системы и ввод ее в действие
        
        Обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы
        
        Обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации
        
        Общие положения
        
        Настоящие Требования разработаны в соответствии с Федеральным законом от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации"
        
        В документе устанавливаются требования к обеспечению защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну (далее - информация), от утечки по техническим каналам, несанкционированного доступа, специальных воздействий на такую информацию (носители информации) в целях ее добывания, уничтожения, искажения или блокирования доступа к ней (далее - защита информации) при обработке указанной информации в государственных информационных системах.
        
        Настоящие Требования являются обязательными при обработке информации в государственных информационных системах, функционирующих на территории Российской Федерации, а также в муниципальных информационных системах, если иное не установлено законодательством Российской Федерации о местном самоуправлении.
        
        Настоящие Требования предназначены для обладателей информации, заказчиков, заключивших государственный контракт на создание государственной информационной системы (далее - заказчики) и операторов государственных информационных систем (далее - операторы).
        
        При обработке в государственной информационной системе информации, содержащей персональные данные, настоящие Требования применяются наряду с требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 (Собрание законодательства Российской Федерации, 2012, N 45, ст. 6257).
        
        По решению обладателя информации (заказчика) или оператора настоящие Требования могут применяться для защиты информации, содержащейся в негосударственных информационных системах.
        
        Защита информации, содержащейся в государственной информационной системе (далее - информационная система), обеспечивается путем выполнения обладателем информации (заказчиком) и (или) оператором требований к организации защиты информации, содержащейся в информационной системе, и требований к мерам защиты информации, содержащейся в информационной системе.
        
        Требования к мерам защиты информации, содержащейся в информационной системе
      - ПРИКАЗ №21
        
        ОБЩИЕ ПОЛОЖЕНИЯ
        
        Меры по обеспечению безопасности персональных данных реализуются в рамках системы защиты персональных данных, создаваемой в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, и должны быть направлены на нейтрализацию актуальных угроз безопасности персональных данных.
        
        Оценка эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению безопасности персональных данных проводится оператором самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации. Указанная оценка проводится не реже одного раза в 3 года.
        
        Меры по обеспечению безопасности персональных данных реализуются в том числе посредством применения в информационной системе средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.
        
        Меры по обеспечению безопасности персональных данных при их обработке в государственных информационных системах принимаются в соответствии с требованиями о защите информации, содержащейся в государственных информационных системах, устанавливаемыми ФСТЭК России в пределах своих полномочий в соответствии с частью 5 статьи 16 Федерального закона от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации"
        
        Безопасность персональных данных при их обработке в информационной системе персональных данных (далее - информационная система) обеспечивает оператор или лицо, осуществляющее обработку персональных данных по поручению оператора в соответствии с законодательством Российской Федерации.
        
        Настоящий документ разработан в соответствии с частью 4 статьи 19 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных"
        
        МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПДн
        
        Контроль (анализ) защищенности персональных данных (АНЗ)
        
        Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей
        
        Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации
        
        Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации
        
        Контроль состава технических средств, программного обеспечения и средств защиты информации
        
        Контроль правил генерации и смены паролей пользователей, заведения и удаления учетных записей пользователей, реализации правил разграничения доступа, полномочий пользователей в информационной системе
        
        Обеспечение доступности персональных данных (ОДТ)
        
        Использование отказоустойчивых технических средств
        
        Резервирование технических средств, программного обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы
        
        Контроль безотказного функционирования технических средств, обнаружение и локализация отказов функционирования, принятие мер по восстановлению отказавших средств и их тестирование
        
        Периодическое резервное копирование персональных данных на резервные машинные носители персональных данных
        
        Обеспечение возможности восстановления персональных данных с резервных машинных носителей персональных данных (резервных копий) в течение установленного временного интервала
        
        Обнаружение вторжений (СОВ)
        
        Обнаружение вторжений
        
        Обновление базы решающих правил
        
        Защита среды виртуализации (ЗСВ)
        
        Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации
        
        Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин
        
        Регистрация событий безопасности в виртуальной инфраструктуре
        
        Управление (фильтрация, маршрутизация, контроль соединения, однонаправленная передача) потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры
        
        Доверенная загрузка серверов виртуализации, виртуальной машины (контейнера), серверов управления виртуализацией
        
        Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных
        
        Контроль целостности виртуальной инфраструктуры и ее конфигураций
        
        Резервное копирование данных, резервирование технических средств, программного обеспечения виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры
        
        Реализация и управление антивирусной защитой в виртуальной инфраструктуре
        
        Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки персональных данных отдельным пользователем и (или) группой пользователей
        
        Антивирусная защита (АВЗ)
        
        Реализация антивирусной защиты
        
        Обновление базы данных признаков вредоносных компьютерных программ (вирусов)
        
        Защита технических средств (ЗТС)
        
        Защита информации, обрабатываемой техническими средствами, от ее утечки по техническим каналам
        
        Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования
        
        Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средствам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены
        
        Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр
        
        Защита от внешних воздействий (воздействий окружающей среды, нестабильности электроснабжения, кондиционирования и иных внешних факторов)
        
        Регистрация событий безопасности (РСБ)
        
        Определение событий безопасности, подлежащих регистрации, и сроков их хранения
        
        Определение состава и содержания информации о событиях безопасности, подлежащих регистрации
        
        Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения
        
        Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти
        
        Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них
        
        Генерирование временных меток и (или) синхронизация системного времени в информационной системе
        
        Защита информации о событиях безопасности
        
        Защита информационной системы, ее средств, систем связи и передачи данных (ЗИС)
        
        Разделение в информационной системе функций по управлению (администрированию) информационной системой, управлению (администрированию) системой защиты персональных данных, функций по обработке персональных данных и иных функций информационной системы
        
        Предотвращение задержки или прерывания выполнения процессов с высоким приоритетом со стороны процессов с низким приоритетом
        
        Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи
        
        Обеспечение доверенных канала, маршрута между администратором, пользователем и средствами защиты информации (функциями безопасности средств защиты информации)
        
        Запрет несанкционированной удаленной активации видеокамер, микрофонов и иных периферийных устройств, которые могут активироваться удаленно, и оповещение пользователей об активации таких устройств
        
        Передача и контроль целостности атрибутов безопасности (меток безопасности), связанных с персональными данными, при обмене ими с иными информационными системами
        
        Контроль санкционированного и исключение несанкционированного использования технологий мобильного кода, в том числе регистрация событий, связанных с использованием технологий мобильного кода, их анализ и реагирование на нарушения, связанные с использованием технологий мобильного кода
        
        Контроль санкционированного и исключение несанкционированного использования технологий передачи речи, в том числе регистрация событий, связанных с использованием технологий передачи речи, их анализ и реагирование на нарушения, связанные с использованием технологий передачи речи
        
        Контроль санкционированной и исключение несанкционированной передачи видеоинформации, в том числе регистрация событий, связанных с передачей видеоинформации, их анализ и реагирование на нарушения, связанные с передачей видеоинформации
        
        Подтверждение происхождения источника информации, получаемой в процессе определения сетевых адресов по сетевым именам или определения сетевых имен по сетевым адресам
        
        Обеспечение подлинности сетевых соединений (сеансов взаимодействия), в том числе для защиты от подмены сетевых устройств и сервисов
        
        Исключение возможности отрицания пользователем факта отправки персональных данных другому пользователю
        
        Исключение возможности отрицания пользователем факта получения персональных данных от другого пользователя
        
        Использование устройств терминального доступа для обработки персональных данных
        
        Защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки персональных данных
        
        Выявление, анализ и блокирование в информационной системы скрытых каналов передачи информации в обход реализованных мер или внутри разрешенных сетевых протоколов
        
        Разбиение информационной системы на сегменты (сегментирование информационной системы) и обеспечение защиты периметров сегментов информационной системы
        
        Обеспечение загрузки и исполнения программного обеспечения с машинных носителей персональных данных, доступных только для чтения, и контроль целостности данного программного обеспечения
        
        Изоляция процессов (выполнение программ) в выделенной области памяти
        
        Защита беспроводных соединений, применяемых в информационной системе
        
        Защита машинных носителей персональных данных (ЗНИ)
        
        Учет машинных носителей персональных данных
        
        Управление доступом к машинным носителям персональных данных
        
        Контроль перемещения машинных носителей персональных данных за пределы контролируемой зоны
        
        Исключение возможности несанкционированного ознакомления с содержанием персональных данных,хранящихся на машинных носителях, и (или) использования носителей персональных данных в иных информационных системах
        
        Контроль использования интерфейсов ввода (вывода) информации на машинные носители персональных данных
        
        Контроль ввода (вывода) информации на машинные носители персональных данных
        
        Контроль подключения машинных носителей персональных данных
        
        Уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания
        
        Выявление инцидентов и реагирование на них (ИНЦ)
        
        Определение лиц, ответственных за выявление инцидентов и реагирование на них
        
        Обнаружение, идентификация и регистрация инцидентов
        
        Своевременное информирование лиц, ответственных за выявление инцидентов и реагирование на них, о возникновении инцидентов в информационной системе пользователями и администраторами
        
        Анализ инцидентов, в том числе определение источников и причин возникновения инцидентов, а также оценка их последствий
        
        Принятие мер по устранению последствий инцидентов
        
        Планирование и принятие мер по предотвращению повторного возникновения инцидентов
        
        Ограничение программной среды (ОПС)
        
        Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения
        
        Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения
        
        Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов
        
        Управление временными файлами, в том числе запрет, разрешение, перенаправление записи, удаление временных файлов
        
        Управление доступом субъектов доступа к объектам доступа (УПД)
        
        Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей
        
        Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа
        
        Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами
        
        Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы
        
        Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы
        
        Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе)
        
        Предупреждение пользователя при его входе в информационную систему о том, что в информационной системе реализованы меры по обеспечению безопасности персональных данных, и о необходимости соблюдения установленных оператором правил обработки персональных данных
        
        Оповещение пользователя после успешного входа в информационную систему о его предыдущем входе в информационную систему
        
        Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы
        
        Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу
        
        Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации
        
        Поддержка и сохранение атрибутов безопасности (меток безопасности), связанных с информацией в процессе ее хранения и обработки
        
        Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети
        
        Регламентация и контроль использования в информационной системе технологий беспроводного доступа
        
        Регламентация и контроль использования в информационной системе мобильных технических средств
        
        Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы)
        
        Обеспечение доверенной загрузки средств вычислительной техники
        
        Идентификация и аутентификация субъектов доступа и объектов доступа (ИАФ)
        
        Идентификация и аутентификация пользователей, являющихся работниками оператора
        
        Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных
        
        Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов
        
        Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации
        
        Защита обратной связи при вводе аутентификационной информации
        
        Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей)
        
        Управление конфигурацией информационной системы и системы защиты персональных данных (УКФ)
        
        Определение лиц, которым разрешены действия по внесению изменений в конфигурацию информационной системы и системы защиты персональных данных
        
        Управление изменениями конфигурации информационной системы и системы защиты персональных данных
        
        Анализ потенциального воздействия планируемых изменений в конфигурации информационной системы и системы защиты персональных данных на обеспечение защиты персональных данных и согласование изменений в конфигурации информационной системы с должностным лицом (работником), ответственным за обеспечение безопасности персональных данных
        
        Документирование информации (данных) об изменениях в конфигурации информационной системы и системы защиты персональных данных
        
        Обеспечение целостности информационной системы и персональных данных (ОЦЛ)
        
        Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций
        
        Контроль целостности персональных данных, содержащихся в базах данных информационной системы
        
        Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации
        
        Обнаружение и реагирование на поступление в информационную систему незапрашиваемых электронных сообщений (писем, документов) и иной информации, не относящихся к функционированию информационной системы (защита от спама)
        
        Контроль содержания информации, передаваемой из информационной системы (контейнерный, основанный на свойствах объекта доступа, и (или) контентный, основанный на поиске запрещенной к передаче информации с использованием сигнатур, масок и иных методов),методов), и исключение неправомерной передачи информации из информационной системы
        
        Ограничение прав пользователей по вводу информации в информационную систему
        
        Контроль точности, полноты и правильности данных, вводимых в информационную систему
        
        Контроль ошибочных действий пользователей по вводу и (или) передаче персональных данных и предупреждение пользователей об ошибочных действиях