Курсовая работа

Организационно-правовое обеспечение информационной безопасности сетей и систем

Курсовая работа | назад

БАЗОВАЯ МОДЕЛЬ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ
(Также в DOC версии Microsoft Word)

МЕТОДИКА ОПРЕДЕЛЕНИЯ АКТУАЛЬНЫХ УГРОЗ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В ИНФОРМАЦИОННЫХ СИСТЕМАХ ПЕРСОНАЛЬНЫХ ДАННЫХ
(Также в PDF версии)

Пакет шаблонов для организации ИБ

Кафедра Безопасность и управление

в телекоммуникациях

Киселев А.А.

Методические указания к

выполнению курсовой работы

по дисциплине «Основы организационно-правового обеспечения информационной безопасности сетей и систем»

для студентов заочного обучения

(с применением дистанционных технологий)

по направлению 210700 «Инфокоммуникационные технологии и

системы связи»,

квалификации (степень) бакалавр,

профиль «Защищенные системы и сети связи»

Новосибирск, 2014

Содержание

1. Задание на курсовую работу. 3

2. Теоритические положения. 4

2.1. Нормативная база. 4

2.2 Пакет документов для проверки. 6

2.3. Этапы работ проектирования. 7

2.3.1. Инвентаризация информационных ресурсов. 8

2.3.2. Ограничение доступа работников к персональным данным. 8

2.3.3. Документальное регламентирование работы с персональными данными 8

2.3.4. Формирование модели угроз безопасности ПДн. 9

2.3.5. Классификация ИСПДн. 10

2.3.6. Составление и отправка в уполномоченный орган уведомления. 10

2.3.7. Приведение системы в соответствие с требованиями регуляторов. 11

2.3.8. Аттестация (сертификация) ИСПДн. 11

2.3.9. Организация эксплуатации ИСПДн и контроля за безопасностью.. 12

2.4 Ответственность за нарушение ФЗ №152 «О персональных данных». 13

3. Ход выполнение работы.. 14

# 1. Задание на курсовую работу

Курсовая работа «Разработка проекта организационного обеспечения защиты персональных данных» выполняется в рамках дисциплины «Основы организационно-правового обеспечения информационной безопасности сетей и систем», студентами заочного обучения (с применением дистанционных технологий).

Целью выполнения урсовой работы является получение навыков разработки пакета документов по обеспечению защиты персональных данных в организации на предприятии, котором работает обучаемый студент.

Можно отметить следующие задачи выполнения урсовой работы:

1) Получение навыка разработки нормативных документов.

2) Формирование нужного перечня документов с аргументацией своего выбора.

# 2. Теоритические положения

## 2.1. Нормативная база

При работе, направленной на организацию защиты персональных данных (ПДн) на объекте проектирования необходимо ознакомиться со следующим меняющимся перечнем основных документов.

Основополагающим документом, определяющим права и свободы граждан в нашей стране, является Конституция Российской Федерации. В сфере защиты информации стоит уделить особое внимание статье 23 и статье 24, которые гласят:

Статья 23

1. Каждый имеет право на неприкосновенность частной жизни, личную и семейную тайну, защиту своей чести и доброго имени.

2. Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения.

Статья 24

1. Сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются.

2. Органы государственной власти и органы местного самоуправления, их должностные лица обязаны обеспечить каждому возможность ознакомления с документами и материалами, непосредственно затрагивающими его права и свободы, если иное не предусмотрено законом.

Федеральные, конституционные законы, кодексы:

1. Федеральный закон от 19 декабря 2005 г. №160-ФЗ "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных".

2. Трудовой кодекс Российской Федерации от 30 декабря 2001 г. № 197-ФЗ (с последними изменениями от 18 июня 2013 г.) Глава 14.

3. Федеральный закон от 27 июля 2006 г. N 149-ФЗ "Об информации, информационных технологиях и о защите информации" (с последними изменениями от 21 июля 2011 г.).

4. Федеральный закон РФ 27.07.2006 г. N 152-ФЗ "О персональных данных" (последняя редакция закона).

Указы и распоряжения президента РФ:

1. Указ президента Российской Федерации об утверждении перечня сведений конфиденциального характера (в ред. Указа Президента РФ от 23.09.2005 № 1111).

Постановления и распоряжения правительства РФ:

1. Постановление Правительства от 1 ноября 2012 г. № 1119 ”Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных”.

2. Постановление Правительства от 15 сентября 2008 г. № 687 “Об утверждении положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации”.

Приказы ФСТЭК:

1. (ФСТЭК России). Приказ. «18» февраля 2013 г. Москва № 21. Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных.

2. Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных. ФСТЭК России, 2008 год.

3. "Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных" (утв. ФСТЭК РФ 14.02.2008).

Нормативные правовые акты федеральных органов исполнительной власти:

1. Постановление Правительства Российской Федерации от 21 марта 2012 г. N 211 "Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных“.

2. Приказ Министерства связи и массовых коммуникаций Российской Федерации от 14 ноября 2011 г. N 312 «Об утверждении Административного регламента исполнения Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций государственной функции по осуществлению государственного контроля (надзора) за соответствием обработки персональных данных требованиям законодательства российской федерации в области персональных данных».

Кроме этого справочно можно обращаться к следующим источникам:

Указ Президента РФ 6.03.1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера»;

Постановление Правительства РФ 17.11.07г. N 781;

Приказ ФСТЭК, ФСБ, Мининформсвязи 13.02.08 г. N 55/86/20;

· Приказ ФСТЭК России №58 "Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных";

· Кодекс Российской Федерации об административных правонарушениях № 195-ФЗ - Глава 13;

· ГОСТ Р ИСО/МЭК 17799-2005;

· ГОСТ Р ИСО/МЭК 27001-2006;

· Приказ Федеральной службы по надзору в сфере массовых коммуникаций, связи и охраны культурного наследия №154 «Об утверждении положения о ведении реестра операторов, осуществляющих обработку персональных данных»;

· Постановление Правительства РФ №512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;

· Постановление Правительства РФ №781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;

· Указ Президента РФ №609 «Об утверждении Положения о персональных данных государственного гражданского служащего Российской Федерации и ведении его личного дела»;

· Конвенция о защите физических лиц при автоматизированной обработке персональных данных (Страсбург, 28 января 1981 г.);

· Уголовный кодекс Российской Федерации (УК РФ) №63-ФЗ;

· Гражданский кодекс Российской Федерации №230-ФЗ, часть 4;

· Гражданский кодекс Российской Федерации (ГК РФ) №14-ФЗ, часть вторая;

· Постановление Правительства Российской Федерации №504 «О лицензировании деятельности по технической защите конфиденциальной информации»;

· NIST Special Publication 800-122. Guide to Protecting the Confidentiality of Personally Identifiable Information (PII);

· BS 10012:2009 "Защита данных - Спецификация системы управления персональными данными". (Рекомендовано http://www.ispdn.ru);

## 2.2 Пакет документов для проверки

При разработке организационного обеспечения следует посредством документов, предназначенных для проверки регулирующим органом, закрепить документально утвержденные в организации правила по всем стадиям выполняемых с ПДн действиями. Перечень документов:

1. Положение о защите персональных данных;

2. Положение о подразделении по защите информации;

3. Приказ о назначении лиц, ответственных за обработку ПДн;

4. Концепция информационной безопасности;

5. Политика информационной безопасности;

6. Перечень персональных данных, подлежащих защите;

7. Приказ о проведении внутренней проверки;

8. Отчет о результатах проведения внутренней проверки;

9. Акт классификации информационной системы персональных данных;

10. Положение о разграничении прав доступа к обрабатываемым персональным данным;

11. Модель угроз безопасности персональных данных;

12. План мероприятий по защите ПДн;

13. Порядок резервирования технических средств и программного обеспечения, баз данных и средств защиты информации;

14. План внутренних проверок;

15. Журнал учета мероприятий по контролю безопасности ПДн;

16. Журнал учета обращений субъектов ПДн о выполнении их законных прав;

17. Инструкция администратора информационной системы персональных данных;

18. Инструкция пользователя информационной системы персональных данных;

19. Инструкция администратора безопасности информационной системы персональных данных;

20. Инструкция пользователя по обеспечению безопасности обработки ПДн при возникновении внештатных ситуаций;

21. Перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним;

22. Типовое Техническое задание на разработку системы обеспечения безопасности информации объекта вычислительной техники;

23. Эскизный проект на создание системы обеспечения безопасности информации объекта вычислительной техники;

24. Положение об Электронном журнале обращений пользователей информационных систем персональных данных (проект приказа);

25. Методические рекомендации для организации защиты информации при обработке персональных данных.

## 2.3. Этапы работ проектирования

Таким образом, организация защиты персональных данных должна производиться в несколько этапов:

1. Инвентаризация информационных ресурсов.

2. Ограничение доступа работников к персональным данным.

3. Документальное регламентирование работы с персональными данными .

4. Формирование модели угроз безопасности персональных данных.

5. Классификация информационных систем персональных данных (ИСПДн) образовательных учреждений.

6. Составление и отправка в уполномоченный орган уведомления об обработке персональных данных.

7. Приведение системы защиты персональных данных в соответствие с требованиями регуляторов.

8. Создание подсистемы информационной безопасности ИСПДн и ее аттестация (сертификация) – для ИСПДн классов К1, К2.

9. Организация эксплуатации и контроля безопасности ИСПДн.

### 2.3.1. Инвентаризация информационных ресурсов

Инвентаризация информационных ресурсов- это выявление присутствия и осуществления обработки ПДн во всех эксплуатируемых в организации информационных системах и традиционных хранилищах данных. В качестве информационных систем, относящихся, к ИСПДн выступают:

· электронный журнал/дневник,

· «1С-Бюджет»,

· «1С-Зарплата-Кадры»,

· автоматизированная информационная библиотечная система,

· информационная система «Налогоплательщик» и другие.

На данном этапе следует: утвердить положение о защите ПДн, сформировать концепцию и определить политику информационной безопасности и составить перечень ПДн, подлежащих защите.

#### Места обработки персональных данных:

· бухгалтерия;

· библиотека;

· учительская;

· отдел кадров;

· медпункт.

### 2.3.2. Ограничение доступа работников к персональным данным

Ограничение доступа работников организации к ПДн –неотъемлемая часть мероприятий по обеспечению безопасности ПДн при их обработке в информационных системах. Допуск к обработке ПДн должен быть только у тех сотрудников, которым это необходимо для выполнения служебных (трудовых) обязанностей.

На данном этапе следует: в необходимой мере ограничить как электронный, так и физический доступ к персональным данным, хранящимся в образовательном учреждении.

### 2.3.3. Документальное регламентирование работы с персональными данными

Согласно статье 86 Трудового кодекса РФ, работники и их представители должны быть ознакомлены под роспись с теми документами работодателя, которые устанавливают порядок обработки персональных данных работников, а также их права и обязанности в этой области.

Субъект ПДн самостоятельно решает вопрос их передачи кому-либо, оформляя свое намерение документально.

На данном этапе следует: собрать согласия на обработку ПДн, издать приказ о назначении лиц, ответственных за обработку ПДн и положение о разграничении прав доступа к обрабатываемым ПДн, составить инструкции администратора ИСПДн, пользователя ИСПДн и администратора безопасности ИСПДн.

Согласия на обработку персональных данных физических лиц

В соответствии со статьей 9 ФЗ-№152 «О персональных данных» обработка ПДн субъекта осуществляется только при условии наличия его письменного согласия с указанием следующих данных:

· фамилия, имя, отчество, адрес субъекта ПДн, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;

· наименование (фамилия, имя, отчество) и адрес оператора, получающего согласие субъекта ПДн;

· цель обработки ПДн;

· перечень ПДн, на обработку которых дается согласие субъекта ПДн;

· перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки ПДн;

· срок, в течение которого действует согласие, а также порядок его отзыва.

Подписанные согласия должны хранятся операторами ПДн и могут быть предоставлены только по требованию регуляторов и других уполномоченных органов РФ.

### 2.3.4. Формирование модели угроз безопасности ПДн

Частная модель угроз безопасности персональных данных, хранящихся в информационной системе, формируется на основании следующих документов, утвержденных Федеральной службой по техническому и экспортному контролю (ФСТЭК):

· Базовая модель угроз безопасности ПДн при их обработке в ИСПДн;

· Методика определения актуальных угроз безопасности ПДн при их обработке в ИСПДн.

На данном этапе следует сформировать модель угроз безопасности ПДн, обрабатываемых и хранящихся на объекте проектирования.

### 2.3.5. Классификация ИСПДн

На данном этапе следует составить акты классификации используемых на объекте проектирования информационных систем персональных данных.

### 2.3.6. Составление и отправка в уполномоченный орган уведомления

Уведомление об обработке ПДн оформляется на бланке оператора и направляется в территориальный орган Роскомнадзора Министерства связи и массовых коммуникаций РФ на бумажном носителе или в форме электронного документа с подписью уполномоченного лица. В форме указываются данные об обработчике, цель обработки, категории данных, категории субъектов, данные которых обрабатываются, правовое основание обработки, дата ее начала, срок (условие) ее прекращения и прочее.

На данном этапе следует: на сайте Уполномоченного органа по защите прав субъектов персональных данных http://www.pd.rsoc.ru/operators-registry/notification/form/, заполнить и отправить форму уведомления в электронном виде или распечатать на бумажном носителе.

### 2.3.7. Приведение системы в соответствие с требованиями регуляторов

В ФЗ №152 «О персональных данных» сказано, что оператор персональных данных обязан принимать все необходимые меры по защите безопасности ПДн. Это означает потребность оператора в использовании современных высокотехнологичных способов хранения ПДн.

На данном этапе следует: создать перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним; положение о подразделении по защите информации; методические рекомендации для организации защиты информации при обработке персональных данных; инструкцию пользователя по обеспечению безопасности обработки ПД при возникновении внештатных ситуаций, а также утвердить план мероприятий по защите ПДн.

### 2.3.8. Аттестация (сертификация) ИСПДн

Для обеспечения безопасности ИСПДн требуется проводить мероприятия по организации и техническому сопровождению защиты обрабатываемых персональных данных. В качестве оценки соответствия ИСПДн 1 и 2 классов требованиям к безопасности ПДн используется обязательная сертификация (аттестация).

На данном этапе следует: создать эскизный проект системы обеспечения безопасности информации объекта вычислительной техники и типовое техническое задание на разработку системы обеспечения безопасности информации объекта вычислительной техники, а также определить порядок резервирования технических средств защиты информации.

Перечень объектов информатизации, подлежащих аттестации

Обязательной аттестации подлежат следующие объекты информатизации:

1. Автоматизированные системы различного уровня и назначения.

2. Системы связи, приема, обработки и передачи данных.

3. Системы отображения и размножения.

4. Помещения, предназначенные для ведения конфиденциальных переговоров.

### 2.3.9. Организация эксплуатации ИСПДн и контроля за безопасностью

Мероприятия по обеспечению безопасности ПДн при их обработке в информационных системах включают в себя:

· контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

· разбирательство и составление заключений по фактам несоблюдения условий хранения носителей ПДн, использования средств защиты информации, которые могут привести к нарушению конфиденциальности ПДн.

На данном этапе следует:

· Разработать проект приказа о положении об электронном журнале обращений пользователей информационных систем персональных данных → создать журнал учета обращений субъектов ПДн о выполнении их законных прав и журнал учета мероприятий по контролю.

· Сформировать план внутренних проверок → издать приказ о проведении внутренней проверки → составить отчет о результатах проведения внутренней проверки.

Поддержание эффективной системы защиты ПДн

Для поддержания системы защиты персональных данных на высоком уровне требуется проведение следующих мероприятий:

1. Развертывание полноценной системы обработки ПДн. Необходимо чтобы система обладает качественными техническими ресурсами, применение которых позволяет осуществлять безопасную обработку персональных данных на предприятии.

2. Полномасштабное внедрение средств защиты. Высококвалифицированные специалисты предприятия должны обеспечивать постоянный контроль и необходимое техническое обслуживание системы защиты персональных данных сотрудников.

3. Аттестация ИСПДн. Информационная система предприятия должна иметь все необходимые лицензии и сертификаты для обработки персональных данных.

4. Приведение всех процессов обработки ПДн в соответствие с требованиями закона. То есть предприятие должно в итоге отвечать требованиям законодательства в области защиты персональных данных.

5. Реакция на регулярные проверки и прочее.

## 2.4 Ответственность за нарушение ФЗ №152 «О персональных данных»

· Административная ответственность: штраф или штраф с конфискацией несертифицированных средств обеспечения безопасности и шифровальных средств. Административный кодекс, ст. 13.11, 13.12, 13.14

· Дисциплинарная ответственность: увольнение провинившегося работника. Трудовой кодекс РФ, ст. 81 и 90

· Уголовная ответственность: от исправительных работ и лишения права занимать определенные должности до ареста. Уголовный кодекс, ст. 137, 140, 272

# 3. Ход выполнение работы

Задание:

В соответствии с исходными данными на вашем предприятии необходимо разработать пакет документов, позволяющих пройти проверку в регулирующем органе.

Шаблоны документов следует брать из приложенного архива – «Архив документов».

Перечень итоговых документов, входящих в пакет следует сделать на основании алгоритма на рисунке 3.1

При оформлении можно использовать легендирование, с соответствующими пояснениями.

Требование по оформлению курсовой работы

Текст и его оформление

Размер шрифта 14 пунктов, шрифт Times New Roman, обычный; одинарный межстрочный интервал; размер полей: левого – 30 мм, правого – 10 мм, верхнего – 20 мм, нижнего – 20 мм.

Список используемой литературы

Список литературы должен содержать источники не старше 5 лет. Требование по количеству источников не менее 15.

Для оформления текста необходимо использовать ГОСТ 7.32-2001 «Система стандартов по информации, библиотечному и издательскому делу. Отчет о научно-исследовательской работе. Структура и правила оформления»

Рисунок 3.1 – Алгоритм выбора перечня документов

наверх

назад