Уровень защищенности персональных данных: количество степеней доступа, определение и порядок проведения классификации информационных систем в нормативных актах

В данном посте хотелось бы осветить такой документ, как Акт определения уровня защищенности ПДн при их обработке в ИСПДн. Это, если можно так сказать, перерождение Акта классификации ИСПДн. Основной камень преткновения, который я встретил, это не совсем понятная картина в том, что является законодательным инструментом в написании данного акта.

Дело в том, что ранее этот акт классификации ИСПДн писался на основании приказа ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20 «Об утверждении порядка проведения классификации информационных систем персональных данных», который и утверждает порядок классификации.

Но издан этот приказ в соответствии с пунктом 6 Постановления Правительства №781 от 17 ноября 2007 г., которое утратило силу в связи с выходом Постановления Правительства № 1119 от 1 ноября 2012. Таким образом, приказ действующий, а вышестоящий документ – нет.

В свою очередь в ПП 1119 нет привязки к категории ИСПДн, однако есть привязка к уровню защищенности персональных данных, который должен быть обеспечен при их обработке в ИСПДн.

Итак начать нужно с названия документа: «Акт определения уровня защищенности персональных данных при их обработке в информационной системе персональных данных «**********» Его я подсмотрел у Андрея Прозорова и оно меня целиком и полностью устроило. Надо отметить, что Андрей и по акту помог некоторыми ми, за что ему отдельное «Спасибо!» («Спасибо» лишним не бывает, Андрей улыбается 😉 ).

Далее по содержанию акта:

Определяем состав комиссии. У меня в документе это реализовано таблицей, однако можно и текстом. Как говорится, на вкус и цвет все фломастеры разные.

После пишем, на основании какого документа мы определяем, какой уровень защищенности нам необходимо обеспечить. Естественно, это ПП 1119. Однако есть мнение, что т.к. приказ №55/86/20 еще не утратил силу, то указать желательно и его. Привычка регулятора может сыграть злую шутку. У меня текст следующий:

«Комиссия, рассмотрев исходные данные информационной системы персональных данных (ИСПДн) «********»в соответствии с Постановлением Правительства Российской Федерации №1119 от 1 ноября 2012 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и учетом приказа ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г. № 55/86/20 «Об утверждении порядка проведения классификации информационных систем персональных данных», определила:»

Это с учетом того, что выше в таблице у меня уже указан состав комиссии.

Далее по пунктам расписываем, что определила комиссия, а именно:

Категории персональных данных, обрабатываемых в информационной системе. Здесь, согласно ПП 1119 у нас есть 4 варианта: иные, общедоступные, биометрические, специальные. Также рекомендую по тексту расписать, что подразумевается под каждой категорией ПДн.
Объём обрабатываемых персональных данных. Здесь все просто, либо менее 100 000, либо более 100 000.
Угрозы, актуальные для информационной системы. Опять таки, типы угроз расписаны в ПП 1119. И также по тексту описываем, какие угрозы к какому типу относятся. Желательно описать, почему именно этот тип угроз, либо сослаться на модель угроз.
Тип субъектов персональных данных, обрабатываемых в информационной системе. Тоже все просто. Это либо только сотрудники оператора, либо нет. Также лучше пояснить, что значит «сотрудники оператора». Вам не сложно, а у регулятора меньше поводов зацепиться.
К специальной или типовой относится ИСПДН. Здесь также лучше расписать, по каким критериям происходит отнесение. Только это уже берется не из ПП 1119, а из «трехглавого» приказа №55/86/20.
Структуру ИСПДн (автономная, локальная, распределенная)
Имеются ли подключения ИСПДн к сетям общего пользования
Режим обработки ПДн в ИСПДн (однопользовательский или многопользовательский)
Имеется ли разграничение доступа
Территориальное расположение ИСПДн (Целиком в пределах РФ или нет)

По сути, п.п. 5-10 здесь не нужны, т.к. для определения уровня защищенности достаточно первых четырех, однако пару лет все-таки рекомендуется не исключать «отголоски» трехглавого приказа, если он, конечно, не будет отменен в явном виде ранее. Моя таблица для определения УЗ ПДн:

Уровень защищенности персональных данных: количество степеней доступа, определение и порядок проведения классификации информационных систем в нормативных актах

Завершающий аккорд: определение необходимого уровня защищенности. Формулировка здесь также свободная, однако я ко всему прочему сделал отсылку на модель угроз:

По результатам анализа исходных данных, а также основываясь на модели угроз безопасности персональных данных при их обработке в информационной системе персональных данных «********», в информационной системе «********» требуется обеспечение Х уровня защищенности персональных данных.

Итоговый документ на двух страницах:

Уровень защищенности персональных данных: количество степеней доступа, определение и порядок проведения классификации информационных систем в нормативных актах Уровень защищенности персональных данных: количество степеней доступа, определение и порядок проведения классификации информационных систем в нормативных актах

Источник: https://bis-expert.ru/blog/5140/43203

Уровни защищенности персональных данных

Ликбез по персональным данным

Уровень защищенности персональных данных — это комплексный показатель, который характеризует выполнение требований, нейтрализующих угрозы безопасности информационных систем персональных данных.

Постановление Правительства № 1119 от 1 ноября 2012

Требованиями к защите ПДн при их обработке в информационных системах (Утв. Постановлением Правительства № 1119 от 01.11.2012) установлены 4 уровня защищенности персональных данных, различающихся перечнем необходимых к выполнению требований по защите информационных систем.

Для определения уровня защищенности необходимо установить категории обрабатываемых персональных данных субъектов (физических лиц), вид обработки по форме отношений между субъектами и организацией, количество субъектов, а также тип угроз актуальных для информационной системы.

Категории обрабатываемых персональных данных (ПДн), подразделяются на 4 группы:
1 группа — специальные категории ПДн, к которым относятся информация о национальной и расовой принадлежности субъекта, о религиозных, философских либо политических убеждениях, информацию о здоровье и интимной жизни субъекта;
2 группа — биометрические ПДн, то есть данные, характеризующие биологические или физиологические особенности субъекта, например фотография или отпечатки пальцев;
3 группа — общедоступные ПДн, то есть сведения о субъекте, полный и неограниченный доступ к которым предоставлен самим субъектом;
4 группа — иные категории ПДн, не представленные в трех предыдущих группах.
По форме отношений между вашей организацией и субъектами обработка подразделяется на 2 вида:

обработка персональных данных работников (субъектов, с которыми ваша организация связана трудовыми отношениями);
обработка персональных данных субъектов, не являющихся работниками вашей организации.

По количеству субъектов, ПДн которых обрабатываются, нормативным актом определены лишь 2 категории:

менее 100 000 субъектов;
более 100 000 субъектов;

К какой категории относить объем, который составляет ровно 100 000 субъектов, к сожалению, не понятно. Вот такая коллизия. Правовой вакуум, как любят говорить наши нормотворцы…

И наконец, типы актуальных угроз:

угрозы 1-го типа связанны с наличием недекларированных (недокументированных) возможностей в системном ПО, используемом в ИСПДн;
угрозы 2-го типа связанны с наличием недекларированных возможностей в прикладном ПО, используемом в ИСПДн;
угрозы 3-го типа не связаны с наличием недекларированных возможностей в программном обеспечении, используемом в ИСПДн.

Как установить тип актуальных угроз не регламентировано, поэтому необходимо привлекать для оценки специалистов в области информационной безопасности.

Установив исходные данные, для конкретной ИСПДн определяется уровень защищенности персональных данных в соответствии со следующей таблицей:

В зависимости от уровня защищенности ПДн определяется перечень требований, выполнение которых необходимо для нейтрализации угроз безопасности персональных данных.

Источник: https://data-sec.ru/personal-data/protection-level/

Акт классификации ИСПДн. Классификация информационных систем персональных данных

Полезная информация

Акт классификации ИСПДн, как правило, является конфиденциальным документом, и должен иметь гриф конфиденциальности («Конфиденциально», «ДСП», «Коммерческая тайна») и учетный номер.

Для проведения классификации на предприятии должна быть создана комиссия. В состав комиссии обязательно должен входить ответственный за защиту персональных данных.

Комиссия должна быть назначена приказом руководителя и осуществлять свою деятельность на основании Положения о комиссии по классификации. По результатам классификации должен быть оформлен акт.

Акт классификации ИСПДн должен утверждаться председателем комиссии и подписываться всеми членами комиссии.

Как составить акт классификации ИСПДн

Акт классификации составляется для каждой выявленной ИСПДн. На основании полученных данных каждой ИСПДн определяется необходимый уровень защищенности персональных данных.

Это нужно для того, чтобы установить требования для обеспечения защиты информационной системы персональных данных. Определение уровня защищенности персональных данных проводится в соответствии с Постановлением Правительства РФ от 01.11.2012 г.

№1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

В акте указывается:

обрабатываемые в системе персональные данные;
объем обрабатываемых персональных данных;
тип актуальных угроз для ИСПДн;
структура информационной системы;
наличие подключений к сетям связи общего пользования и (или) сетям международного информационного обмена;
режим обработки персональных данных в системе;
разграничение прав доступа пользователей;
местонахождение ИСПДн;
уровень защищенности ПДн.

В акт классификации ИСПДн могут входить системы, в которых хранятся такие данные:

специальные категории персональных данных – сведения, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов персональных данных;
биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных;
общедоступные персональные данные – сведения, полученные только из общедоступных источников персональных данных, созданных в соответствии со статьей 8 Федерального закона «О персональных данных».

Довольно редко встречаются системы, в которых обрабатываются персональные данные 3 категории. Это связано с тем, что для реальных задач нужны не только данные идентифицирующие субъекта (ФИО, паспортные данные), но и дополнительная информация о нем (например, сведения о зарплате).

Наиболее часто встречаются информационные системы, в которых обрабатываются персональные данные 2 категории. Например, системы расчета заработной платы сотрудников.

Специальные категории ПДн, как правило, встречаются в учреждениях здравоохранения.

Объем обрабатываемых ПДн определяет количество субъектов, персональные данные которых обрабатываются в системе. Применяется следующая градация:

более чем 100 000 субъектов ПДн;
менее чем 100 000 субъектов ПДн.

Виды угроз безопасности персональных данных

Тип актуальных угроз для ИСПДн:

угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе;
угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе;
угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

По типу информационные системы персональных данных, описываемые в акте классификации ИСПДн, делятся на типовые и специальные.

Типовые ИСПДн – информационные системы, в которых требуется обеспечить только конфиденциальность ПДн.

Специальные ИСПДн – информационные системы, в которых, кроме конфиденциальности, необходимо обеспечить еще хотя бы одну характеристику безопасности персональных данных (целостность, доступность).

Кроме того, к специальным системам относятся все ИСПДн, обрабатывающие данные о здоровье субъектов, и ИСПДн, в которых предусмотрено принятие решений порождающих для субъекта юридические последствия на основании автоматизированной обработки.

Большинство существующих ИСПДн – специальные. Это связано с тем, что кроме конфиденциальности также важно, чтобы ПДн были всегда доступны для обработки, целостны и достоверны. Для всех специальных систем необходимо разработать «Частную модель актуальных угроз».

Классификация информационных системы персональных данных по структуре:

Автономные. Представляет собой одно автоматизированное рабочее место (компьютер).
Локальные. Автоматизированные рабочие места (АРМ), объединенные в локальную сетью.
Распределенные. Автоматизированные рабочие места или локальные сети, связанные между собой при помощи технологий удаленного доступа.

По режиму обработки персональных данных в системе ИСПДн делятся на однопользовательские и многопользовательские. Однопользовательские системы – большая редкость. Как правило, даже за одним автономным рабочим местом работают минимум два человека (на случай отпусков и болезней).

Классификация многопользовательских ИСПДн делятся на:

Без разграничения прав доступа. В таких системах все пользователи имеют доступ ко всей информации.
С разграничением прав доступа. Каждый пользователь имеет доступ к строго определенной части информации в системе.

По месту нахождения ИСПДн делятся на:

Системы, которые полностью находятся в пределах РФ;
Системы которые частично или целиком находятся за пределами РФ.

На этой странице вы можете заполнить шаблон акта классификации ИСПДн и скачать готовый документ в формате Word или PDF.

Источник: https://www.freshdoc.ru/zashita_personalnyh_dannyh/docs/akts/akt_klassifikacii_ispdn/

Об утверждении актов классификации информационных систем персональных данных, приказ дозн ко от 12 мая 2014 года №816

ПРИКАЗ

от 12 мая 2014 года N 816

«ОБ УТВЕРЖДЕНИИ АКТОВ КЛАССИФИКАЦИИ ИНФОРМАЦИОННЫХ СИСТЕМ ПЕРСОНАЛЬНЫХ ДАННЫХ»

В целях обеспечения режима конфиденциальности информации, в том числе персональных данных граждан, при обработке в автоматизированной (информационной) системе, приказываю:1. Утвердить формы актов классификации информационных систем персональных данных согласно приложению 1 к настоящему Приказу.

2. Ответственность за исполнение настоящего приказа возложить на директора ГБУЗ КО «Кемеровский областной медицинский информационно-аналитический центр» А.А.Симоненко.

3. Контроль за исполнением настоящего приказа возложить на первого заместителя начальника департамента О.В.Селедцову.

Начальник департаментаВ.К.ЦОЙ

Приложение 1. Акт классификации персональных данных, связанных с проведением акций по награждению и оказанию помощи больным Кемеровской области в департаменте охраны здоровья населения Кемеровской области

Приложение 1к приказу департаментаохраны здоровья населенияКемеровской областиот 12 мая 2014 года N 816
_______________________________________________________________________
(наименование ИСПДн)
_______________________________________________________________________
(организация)
_______________________________________________________________________
(местоположение)
Комиссия в составе:
Председатель — ____________________________________________________________
Члены комиссии — __________________________________________________________
___________________________________________________________________________

Рассмотрев исходные данные об информационной системе персональных данных, согласно Постановлению Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», комиссией были выявлены следующие исходные данные ИСПДн:

Тип ИСПДн	Категории субъектов	Количество субъектов	Тип актуальных угроз
1 тип	2 тип	3 тип
Специальные категории персональных данных	Не сотрудников	Более 100 000	УЗ 1	УЗ 2	УЗ 3
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4
Сотрудников	Более 100 000	УЗ 1	УЗ 3	УЗ 4
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4

— по структуре ИСПДн — автономная (локальная информационная система);
— по наличию подключений к сетям связи общего назначения — имеющая подключения;
— по режиму обработки персональных данных в ИСПД — однопользовательская;
— по разграничению прав доступа пользователей ИСПД — без разграничения прав доступа;

— в зависимости от местонахождения технических средств ИСПД — в пределах Российской Федерации (г. Кемерово).

На основании анализа исходных данных комиссия решила: информационной системе персональных данных установить уровень защищенности: 4.

Председатель комиссии: ________________________________________________
Члены комиссии: _______________________________________________________
_______________________________________________________

Акт классификации информационной системы персональных данных «Подсистема Мониторинга реализации государственного задания по оказанию высокотехнологичной медицинской помощи за счет средств федерального бюджета» в департаменте охраны здоровья населения .

_______________________________________________________________________
(наименование ИСПДн)
_______________________________________________________________________
(организация)
_______________________________________________________________________
(местоположение)
Комиссия в составе:
Председатель — ____________________________________________________________
Члены комиссии — __________________________________________________________
___________________________________________________________________________

Тип ИСПДн	Категории субъектов	Количество субъектов	Тип актуальных угроз
1 тип	2 тип	3 тип
Специальные категории	Не сотрудников	Более 100 000	УЗ 1	УЗ 2	УЗ 3
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4
персональных данных	Сотрудников	Более 100 000	УЗ 1	УЗ 3	УЗ 4
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4

— по структуре ИСПДн — автономная (распределенная информационная система);
— по наличию подключений к сетям связи общего назначения -имеющая подключения;
— по режиму обработки персональных данных в ИСПД — многопользовательская;
— по разграничению прав доступа пользователей ИСПД — с разграничением прав доступа;

— в зависимости от местонахождения технических средств ИСПД — в пределах Российской Федерации (г. Кемерово).

Председатель комиссии: ________________________________________________
Члены комиссии: _______________________________________________________
_______________________________________________________

Акт классификации информационной системы персональных данных «Подсистема мониторинга санаторно-курортного лечения» в департаменте охраны здоровья населения Кемеровской области

_______________________________________________________________________
(наименование ИСПДн)
_______________________________________________________________________
(организация)
_______________________________________________________________________
(местоположение)
Комиссия в составе:
Председатель — ____________________________________________________________
Члены комиссии — __________________________________________________________
___________________________________________________________________________

Тип ИСПДн	Категории субъектов	Количество субъектов	Тип актуальных угроз
1 тип	2 тип	3 тип
Специальные категории персональных данных	Не сотрудников	Более 100 000	УЗ 1	УЗ 2	УЗ 3
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4
Сотрудников	Более 100 000	УЗ 1	УЗ 3	УЗ 4
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4

— по структуре ИСПДн — автономная (распределенная информационная система);
— по наличию подключений к сетям связи общего назначения — имеющая подключения;
— по режиму обработки персональных данных в ИСПД — многопользовательская;
— по разграничению прав доступа пользователей ИСПД — с разграничением прав доступа;

— в зависимости от местонахождения технических средств ИСПД — в пределах Российской Федерации (г. Кемерово).

Председатель комиссии: ________________________________________________
Члены комиссии: _______________________________________________________
_______________________________________________________

Акт классификации информационной системы персональных данных «Выдача приборов слабослышащим» в департаменте охраны здоровья населения Кемеровской области

_______________________________________________________________________
(наименование ИСПДн)
_______________________________________________________________________
(организация)
_______________________________________________________________________
(местоположение)
Комиссия в составе:
Председатель — ____________________________________________________________
Члены комиссии — __________________________________________________________
___________________________________________________________________________

Тип ИСПДн	Категории субъектов	Количество субъектов	Тип актуальных угроз
1 тип	2 тип	3 тип
Специальные категории персональных данных	Не сотрудников	Более 100 000	УЗ 1	УЗ 2	УЗ 3
Менее чем 100000	УЗ 1	УЗ 3	УЗ 4
Сотрудников	Более 100 000	УЗ 1	УЗ 3	УЗ 4
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4

— по структуре ИСПДн — автономная (распределенная информационная система);
— по наличию подключений к сетям связи общего назначения — имеющая подключения;
— по режиму обработки персональных данных в ИСПД — однопользовательская;
— по разграничению прав доступа пользователей ИСПД — без разграничения прав доступа;

— в зависимости от местонахождения технических средств ИСПД — в пределах Российской Федерации (г. Кемерово).

Председатель комиссии: ________________________________________________
Члены комиссии: _______________________________________________________
_______________________________________________________

Акт классификации информационной системы персональных данных «Система мониторинга оказания специализированной медицинской помощи» в департаменте охраны здоровья населения Кемеровской области

_______________________________________________________________________
(наименование ИСПДн)
_______________________________________________________________________
(организация)
_______________________________________________________________________
(местоположение)
Комиссия в составе:
Председатель — ____________________________________________________________
Члены комиссии — __________________________________________________________
___________________________________________________________________________

Тип ИСПДн	Категории субъектов	Количество субъектов	Тип актуальных угроз
1 тип	2 тип	3 тип
Специальные категории персональных данных	Не сотрудников	Более 100 000	УЗ 1	УЗ 2	УЗ 3
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4
Сотрудников	Более 100 000	УЗ 1	УЗ 3	УЗ 4
Менее чем 100 000	УЗ 1	УЗ 3	УЗ 4

— по структуре ИСПДн — автономная (распределенная информационная система);
— по наличию подключений к сетям связи общего назначения — имеющая подключения;
— по режиму обработки персональных данных в ИСПД — многопользовательская;
— по разграничению прав доступа пользователей ИСПД — с разграничением прав доступа;

— в зависимости от местонахождения технических средств ИСПД — в пределах Российской Федерации (г. Кемерово).

Председатель комиссии: ________________________________________________
Члены комиссии: _______________________________________________________

Источник: http://docs.cntd.ru/document/430596166

Классы защиты персональных данных | Уровни защищенности персональных данных

Параметры защиты персональных данных (ПД) – это некоторая совокупность определенных условий по соблюдению требований правовых норм, позволяющая эффективно защитить информационные системы, содержащие, перерабатывающие и использующие эту информацию, от несанкционированного доступа.

Категории ИСПДн

К основным данным персонального характера относятся ФИО, дата рождения, адрес проживания, имущественное состояние, наличие образования, принадлежность к какой-либо профессии. Операторами этих и многих других данных являются госорганы, муниципальные органы, физические и юридические лица, обрабатывающие ПД.

Субъектами ПД являются физические лица. Оператор обязан создать необходимые условия по защите этой информации в соответствии с нормами законодательства РФ.

Постановлением № 1119 от 1 декабря 2012 г. вместо применяемых в России ранее классов информационных систем персональных данных (ИСПДн) применяются уровни защищенности ПД. Этот документ определяет конкретные требования к защите ПД при работе с ними в информсистемах и к уровням их защищенности.

Уровень защищенности зависит от:

категорий данных;
актуальных угроз;
числа людей, обработка ПД которых осуществляется;
контингента граждан – субъектов этих данных.

Информсистемы ПД делятся на четыре категории:

Биометрические содержат информацию о биологии и физиологии субъекта, с помощью которой становится возможной идентификация его персоны.
Специальные включают в себя расовую и национальную принадлежность, политические предпочтения, религиозные или философские верования и убеждения, информацию о состоянии физического и психического здоровья, сексуальном выборе и жизни.
К общедоступным отнесены сведения об основных персональных данных, являющихся достоянием широких масс благодаря легкодоступным источникам, в которых они хранятся и обрабатываются.
Иные ИСПДн используют данные, отсутствующие в предыдущих группах.

Объемы обрабатываемых личных данных в ИСПДн делятся на две группы: до 100 000 человек и более 100 000.

По форме взаимодействия между оператором и субъектами работа с ПД делится на два вида:

работа с ПД сотрудников;
работа с ПД других людей.

К числу актуальных угроз безопасности ПД можно отнести намеренный или случайный несанкционированный доступ, в результате чего данные могут быть уничтоженными, сфальсифицированными, измененными, блокированными, скопированными, распространенными средствами массовой информации и т. п.

Возможность устанавливать типы существующих актуальных угроз предоставляется самому оператору с привлечением специалистов по информационной безопасности.

К актуальным типам угроз относят:

недокументированные возможности системного программного обеспечения ИСПДн, которые позволяют осуществлять несанкционированный вход;
недокументированные возможности прикладного ПО;
другие угрозы.

Уровни защищенности ИСПДн

Всего существует четыре уровня защищенности (УЗ) ПД.

УЗ-1 устанавливается:

если существуют угрозы I типа и информсистема работает со специальными, биометрическими или иными категориями ПД;
если существуют угрозы II типа и информсистема работает со специальными категориями ПД свыше 100 тысяч граждан.

УЗ-2 устанавливается при угрозах типов:

I и работе с общедоступными личными данными;
II и работе с личными данными служащих оператора или при работе со специальной категорией ниже 100 тысяч человек;
II и работе с использованием биометрических личных данных;
II и обработке общедоступных личных данных при количестве от 100 тысяч человек (без персонала оператора);
II и работе с другими видами ПД с количеством от 100 тысяч человек (без учета работников оператора);
III и работе со специальной категорией более чем 100 тысяч человек (не считая персонала оператора).

УЗ-3 устанавливается при наличии угроз следующих типов:

II, включая работу с ПД общедоступного характера с количеством людей до 100 тысяч человек;
II с работой с другими категориями до 100 тысяч человек;
III с обработкой специальных категорий до 100 тысяч человек;
III с использованием биометрических ПД;
III с работой с другими категориями, превышающими 100 тысяч человек (кроме персонала оператора).

УЗ-4 устанавливается при угрозах:

III типа и работе с общедоступной информацией;
III типа и обработке других категорий меньше 100 тысяч человек.

Требования к защите личных данных для существующих уровней защищенности

Требования	Уровни защищенности
1	2	3	4
Запрет присутствия посторонних личностей в местах обработки ПД	+	+	+	+
Сохранность носителей данных	+	+	+	+
Составление руководством списка работников, которые имеют свободный доступ к личным данным	+	+	+	+
Использование сертифицированных, согласно законодательству, устройств защиты данных	+	+	+	+
Назначение ответственного сотрудника за надлежащее обеспечение защиты ПД	+	+	+	—
Ограничение доступности электронного журнала сообщений	+	+	—	—
Если служебные полномочия сотрудника изменяются, то делается автоматическая запись в электронный журнал безопасности	+	—	—	—
В составе учреждения, обрабатывающего ПД, должен быть отдел, занимающийся вопросами безопасности	+	—	—	—

Если уровень защищенности ПД уже установлен, становится возможным подбор подходящих мер организационного и технического характера обеспечения безопасности ПД в соответствии с приказом № 21 от 18.02.2013 ФСТЭК РФ.

Требования приводятся в исполнение самим оператором, или к этой работе привлекаются по договорам юридические или физические лица, имеющие лицензию на технические способы защиты конфиденциальной информации. Оператор ИСПДн определяет уровень защищенности ПД и оформляет соответствующий акт.

Проверка выполнения предусмотренных норм безопасности должна осуществляться не реже одного раза в три года.

Источник: https://searchinform.ru/resheniya/biznes-zadachi/zaschita-personalnykh-dannykh/realizaciya-zashchity-personalnyh-dannyh/klassy-zashchity-personalnyh-dannyh/

Классификация информационных систем персональных данных

Можно скачать этот документ в формате MS Word. Скачивание доступно только зарегистрированным пользователям.

Классификация ИСПДн осуществляется непосредственно оператором на основании следующих руководящих и методических документов, подлежащих исполнению при проведении работ:
Классификация ИСПДн проводится на этапе создания ИСПДн или в ходе их эксплуатации (для ранее введенных в эксплуатацию и (или) модернизируемых ИСПДн) с целью установления методов и способов защиты информации, необходимых для обеспечения безопасности ПДн.
Проведение классификации ИСПДн включает в себя следующие этапы:

сбор и анализ исходных данных по информационной системе;
присвоение информационной системе соответствующего класса и его документальное оформление.

Для проведения классификации оператор создает комиссию по классификации ИСПДн, состав комиссии утверждается руководителем оператора (Проект приказа).

На первом этапе комиссия проводит сбор и анализ исходных данных по каждой информационной системе, обрабатывающей сведения, указанные в Перечне персональных данных, подлежащих защите, а именно:

Состав и структура ПДн	Перечислить какие ПДн обрабатываются в ИСПДн
Категория ПДн, обрабатываемых в ИСПДн	Хпд: 1 / 2 / 3 / 4
Объем ПДн, обрабатываемых в ИСПДн	Хнпд: 1 / 2 / 3
Количество рабочих станций, входящих в состав ИСПДн
Структура ИСПДн	Автоматизированное рабочее место/Локальная ИСПДн / Распределенная ИСПДн
Количество пользователей, допущенных к работе в ИСПДн
Режим обработки ПДн в ИСПДн	Однопользовательская ИСПДн / многопользовательская ИСПДн с равными правами доступа/ многопользовательская ИСПДн с разными правами доступа
Подключение ИСПДн к локальным (распределенным) сетям общего пользования	Имеется / не имеется
Подключение ИСПДн к сетям международного информационного обмена	Имеется / не имеется
Тип ИСПДн	Типовая / специальная
Местонахождение технических средств ИСПДн	Все технические средства ИСПДн находятся в пределах Российской Федерации / технические средства ИСПДн частично или целиком находятся за пределами Российской Федерации

ПДн обрабатываемые в ИСПДн. Должен быть определен перечень ПДн, обработка которых ведется в ИСПДн.
Категория ПДн, обрабатываемых в ИСПДн (Хпд). Исходя из особенностей ПДн определяются следующие категории обрабатываемых в информационной системе ПДн:

категория 1 — ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;
категория 2 — ПДн, позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию, за исключением ПДн, относящихся к категории 1;
категория 3 — ПДн, позволяющие идентифицировать субъекта

ПДн;

категория 4 — обезличенные и (или) общедоступные ПДн.

К ПДн позволяющим идентифицировать человека относятся такие данные, которые позволяют установить личность человека.

Например, на основании только фамилии, имени и отчества нельзя точно установить личность, т.к. существуют полные однофамильцы. Но если в ИСПДн помимо ФИО обрабатываются также данные об адресе проживания, биометрические данные (фотографическое изображение), данные о месте работы и т.д., то уже на основании их можно выделить конкретного человека.

Обезличенными данными являются данные, на основании которых нельзя идентифицировать субъекта ПДн.

Объем ПДн, обрабатываемых в ИСПДн (Хнцд). Должен быть определен объем записей ПДн в ИСПДн, может принимать значение:

1 — в информационной системе одновременно обрабатываются ПДн более чем 100 000 субъектов ПДн или ПДн субъектов ПДн в пределах субъекта Российской Федерации или Российской Федерации в целом;
2 — в информационной системе одновременно обрабатываются ПДн от 1000 до 100 000 субъектов ПДн или ПДн субъектов ПДн, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования;
3 — в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов ПДн или ПДн субъектов ПДн в пределах конкретной организации.

Количество рабочих станций, входящих в состав ИСПДн. Должен быть определен перечень рабочих станций, задействованных в каком-либо качестве в обработке ПДн в ИСПДн и (или) имеющих незащищенное физическое подключение к ИСПДн.
Структура ИСПДн. ИСПДн является:

АРМ, если вся обработка ПДн производится в рамках одного рабочего места;
локальной информационной системой, если вся обработка ПДн производится в рамках одной ЛВС;
распределенной информационной системой, если обработка ПДн производится в рамках комплекса АРМ и (или) локальных информационных систем, объединенных в единую информационную систему средствами связи с использованием технологии удаленного доступа, т.е. элементы ИСПДн разнесены территориально, например, в ИСПДн включена сеть филиала, и связь между территориально удаленными элементами осуществляется по каналам сетей общего пользования и (или) международного обмена.

Количество пользователей, допущенных к работе в ИСПДн. Должен быть определен перечень пользователей, допущенных к ПДн в ИСПДн.
Режим обработки ПДн в ИСПДн. ИСПДн является однопользовательской, если сотрудник обрабатывающий ПДн совмещает в себе функции администратора (осуществляет настройка и поддержку технических и программных средств) и оператора. Во всех других случаях ИСПДн является многопользовательской.

Если в ИСПДн все пользователи (администраторы, операторы, разработчики) обладают одинаковым набором прав доступа или осуществляют вход под единой учетной записью и вход под другими учетными записями не осуществляется, то эта ИСПДн с равными правами доступа (полномочиями) ко всей информации ИСПДн разных пользователей, в противном случае с разными правами доступа (полномочиями) ко всей информации ИСПДн разных пользователей.

Подключение ИСПДн к локальным (распределенным) сетям общего пользования. Если ИСПДн или ее элементы имеет подключение к локальным (распределенным) сетям общего пользования, вне зависимости обусловлено ли это служебной необходимостью или нет, то ИСПДн имеет подключение.
Подключение ИСПДн к сетям международного информационного обмена. Если ИСПДн или ее элементы имеет подключение к сети Интернет или другим сетям международного информационного обмена, вне зависимости обусловлено ли это служебной необходимостью или нет, то ИСПДн имеет подключение.
Тип ИСПДн. Все ИСПДн подразделяются на типовые и специальные. К типовым системам относятся системы, в которых требуется обеспечить только свойство конфиденциальности ПДн. Специальные ИСПДн — ИСПДн, в которых вне зависимости от необходимости обеспечения конфиденциальности ПДн требуется обеспечить хотя бы одну из характеристик безопасности ПДн, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий). Характеристики безопасности задаются по решению оператора.

К специальным ИСПДн должны быть отнесены:

ИСПДн, в которых обрабатываются ПДн, касающиеся состояния здоровья субъектов ПДн;
ИСПДн, в которых предусмотрено принятие на основании исключительно автоматизированной обработки ПДн решений, порождающих юридические последствия в отношении субъекта ПДн или иным образом затрагивающих его права и законные интересы.

Местонахождение технических средств ИСПДн. Все технические средства ИСПДн находятся в пределах Российской Федерации или технические средства ИСПДн частично или целиком находятся за пределами Российской Федерации.

На втором этапе комиссия по результатам анализа исходных данных типовой ИСПДн присваивается один из следующих классов:

класс 1 (К1) — информационные системы, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов ПДн;
класс 2 (К2) — информационные системы, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к негативным последствиям для субъектов ПДн;
класс 3 (К3) — информационные системы, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов ПДн;
класс 4 (К4) — информационные системы, для которых нарушение заданной характеристики безопасности ПДн, обрабатываемых в них, не приводит к негативным последствиям для субъектов ПДн.

Класс типовой ИСПДн определяется в соответствии с таблицей:

ХщХнпд	3	2	1
категория 4	К4	К4	К4
категория 3	К3	К3	К3
категория 2	К3	К2	К1
категория 1	К1	К1	К1

По результатам исходных данных класс специальной ИСПДн определяется на основе частной модели угроз безопасности ПДн.

Как в случае с типовыми ИСПДн, для специальных систем, необходимо определить класс. Классификация специальных систем по аналогии с типовыми нужна для того, чтобы в дальнейшем можно было спроектировать систему защиты ИСПДн, поскольку в документах ФСТЭК России защита для любых систем строится с учетом их класса и модели угроз.

В случае выделения в составе ИСПДн подсистем, каждая из которых является ИСПДн, ИСПДн в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем.
Результаты классификации оформляются соответствующим актом оператора для каждой выявленной ИСПДн (Проект акта).
Акт классификации ИСПДн утверждается председателем комиссии по классификации и подписывается всеми членами комиссии.
Пример присвоения класса:

В соответствии с Порядком проведения классификации информационных систем персональных данных утвержденного приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13 февраля 2008 г.

№ 55/86/20, на основании категории и объема обрабатываемых персональных данных и в соответствии с моделью угроз безопасности персональных данных (в случае ее разработки) информационная система персональных данных (наименование ИСПДн) классифицируется, как типовая/специальная ИСПДн класса_______________________________ .

Класс ИСПДн может быть пересмотрен:

по решению оператора на основе проведенных им анализа и оценки УБПДн с учетом особенностей и (или) изменений конкретной ИСПДн;
по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности ПДн при их обработке в ИСПДн.

В процессе классификации для снижения затрат на создание СЗПДн и оптимизации класса ИСПДн необходимо рассмотреть и по возможности использовать следующие инструменты:

Сегментация. Физическая или логическая сегментация ИСПДн по классам обрабатываемой информации, выделение сегментов сети, в которых происходит автоматизированная обработка ПДн. Данные работы можно провести с помощью внедрения в ЛВС оператора сертифицированных по требованиям ФСТЭК России МЭ.
Обезличивание. Введение в процесс обработки ПДн процедуры обезличивания существенно упростит задачи по защите ПДн. После выполнения обезличивания защите будет подлежать лишь справочник, позволяющий выполнить обратное преобразование.
Разделение ПДн на части. В этом случае возможно уменьшение количества субъектов ПДн, обрабатываемых в ИСПДн. Это может быть достигнуто, например, за счет использования таблиц перекрестных ссылок в базах данных.
Постановка требований поставщикам и разработчикам систем обработки ПДн. Включение требований наличия в составе закупаемых информационных систем средств, обеспечивающих защиту ПДн в соответствии с действующим законодательством, позволит снизить затраты на приобретение дополнительных СЗИ.

Войдите или зарегистрируйтесь, чтобы оставлять комментарии.Забыли пароль?

Источник: https://itsec2012.ru/klassifikaciya-informacionnyh-sistem-personalnyh-dannyh