Главная Коллекция "Otherreferats" Программирование, компьютеры и кибернетика Частная модель угроз персональных данных информационной системы филиала АО "Газпром газораспределение"

Частная модель угроз персональных данных информационной системы филиала АО "Газпром газораспределение"

Нормативно-правовые, нормативно-технические, методические материалы, используемые при проектировании систем защиты персональных данных. Классификация УБПДн и их источников. Патентный поиск, актуальные угрозы и уровни защищенности персональных данных.

Рубрика Программирование, компьютеры и кибернетика
Вид курсовая работа
Язык русский
Дата добавления 21.03.2019
Размер файла 783,5 K

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Страница:

2) Для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

3) Для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

4) Для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные.

5) Для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

Необходимость обеспечения 4-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

1) Для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает общедоступные персональные данные.

2) Для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

1) Организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения.

2) Обеспечение сохранности носителей персональных данных.

3) Утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей.

4) Использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Для обеспечения 3-го уровня защищенности персональных данных при их обработке в информационных системах помимо выполнения требований, предусмотренных для 4-го уровня защищенности, необходимо, чтобы было назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.

Для обеспечения 2-го уровня защищенности персональных данных при их обработке в информационных системах помимо выполнения требований, предусмотренных для 3-го уровня защищенности, необходимо, чтобы доступ к содержанию электронного журнала сообщений был возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.

Для обеспечения 1-го уровня защищенности персональных данных при их обработке в информационных системах помимо требований, предусмотренных для 2-го уровня защищенности, необходимо выполнение следующих требований:

1) Автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным, содержащимся в информационной системе.

2) Создание структурного подразделения, ответственного за обеспечение безопасности персональных данных в информационной системе, либо возложение на одно из структурных подразделений функций по обеспечению такой безопасности.

ПРИЛОЖЕНИЕ 3

(обязательное)

Перечень обрабатываемых ПДн в Обществе

Наименование (вид) ПДн

Содержание персональных данных

Категория ПДн

Источник получения

Основание для обработки ПДн

Технологический процесс, использующий вид ПДн

Срок хранения, условия прекращения обработки

Общедоступность

Персональные данные работников

Первичные учетные данные работников

ФИО работника и его реквизиты

4 категория

- Субъект ПДн

- Паспорт

- Страховое свидетельство

- ИНН

- Диплом об образовании

- Заявление о приеме на работу

- Трудовая книжка

Трудовое законодательство РФ, согласие субъекта ПДн

- Прием сотрудника на работу

- Увольнение работника

- Начисление работнику зарплаты

- Начисление работнику премии

- Заключение договора с клиентом

- Изменение данных о клиенте

- Выдача справки клиенту

- Расторжение договора с клиентом

На период работы, 75 лет после увольнения

Общедоступные

Сведения о занимаемой должности

- наименование организации

- наименование структурного подразделения

- наименование занимаемой должности

4 категория

- Субъект ПДн

- Трудовой договор

- трудовая книжка

Трудовое законодательство РФ, согласие субъекта ПДн

- Прием сотрудника на работу

- Увольнение работника

- Начисление работнику зарплаты

- Начисление работнику премии

На период работы, 75 лет после увольнения

Общедоступные

Финансовое состояние работника

Сведения о текущем должностном окладе

3 категория

- Субъект ПДн

- Трудовой договор

- приказ о премиях

Трудовое законодательство РФ, согласие субъекта ПДн

- Прием сотрудника на работу

- Увольнение работника

- Начисление работнику зарплаты

На период работы, 75 лет после увольнения

Не общедоступные

Сведения о реквизитах работника

-дата рождения

- адрес прописки

- ИНН

- данные паспорта

-номер страхового свидетельства

3 категория

-Субъект ПДн,

- трудовой договор, - трудовая книжка,

- паспорт,

- страховое свидетельство

Трудовое законодательство РФ, согласие субъекта ПДн

- Прием сотрудника на работу

- Увольнение работника

- Начисление работнику зарплаты

На период работы, 75 лет после увольнения

Не общедоступные

Дополнительные сведения о работнике

- данные об образовании

- данные о детях

-данные о семейном положении и ФИО супруга (и)

3 категория

- Субъект ПДн,

- дипломы,

- паспорт

Трудовое законодательство РФ, согласие субъекта ПДн

- Прием сотрудника на работу

- Увольнение работника

- Начисление работнику зарплаты

- Начисление работнику премии

На период работы, 75 лет после увольнения

Не общедоступные

Персональные данные клиентов

Первичные учетные данные клиента

ФИО клиента

3 категория

Субъект ПДн, договор

- Согласие субъекта ПДн

- Условия договора

- Заключение договора с клиентом

- Изменение данных о клиенте

- Выдача справки клиенту

- Расторжение договора с клиентом

5 лет после расторжения договора

Не общедоступные

Сведения о реквизитах клиента

- адрес прописки

- данные паспорта

- контактные сведенья

- СНИЛС

- ИНН

3 категория

Субъект ПДн, договор

- Согласие субъекта ПДн

- Условия договора

- Заключение договора с клиентом

- Изменение данных о клиенте

- Выдача справки клиенту

- Расторжение договора с клиентом

5 лет после расторжения договора

Не общедоступные

Персональные данные партнеров

Первичные учетные данные партнера

ФИО контрагента

3 категория

Субъект ПДн, договор

- Согласие контрагента

- Условия договора

- Заключение договора с клиентом

- Изменение данных о клиенте

- Расторжение договора с клиентом

5 лет после расторжения договора

Не общедоступные

Сведения о реквизитах партнера

- юридический адрес

-контактные сведенья

-платежные реквизиты

3 категория

Субъект ПДн, договор

- Согласие контрагента

- Условия договора

- Заключение договора с клиентом

- Изменение данных о клиенте

- Расторжение договора с клиентом

5 лет после расторжения договора

Не общедоступные

ПРИЛОЖЕНИЕ 4

(обязательное)

Описание технологических процессов обработки

Наименование процедуры

Описание процедуры

Вид персональных данных

Входящие документы, содержащие ПДн

Исходящие документы, содержащие ПДн

Участники процедуры

Прием сотрудника на работу

Процедура производится при приеме сотрудника на вакансию

1. 1. Первичные учетные данные

1. 2 Сведения о занимаемой должности

1. 3 Сведения о текущем должностном окладе

1. 4 Сведения о реквизитах работника

1. 5 Данные об образовании

- Паспорт

- Страховое свидетельство

- ИНН

- Диплом об образовании

- Заявление о приеме на работу

- Трудовая книжка

- Трудовой договор

- Сведения в БД 1С предприятие

- Сведения об уникальном идентификаторе работника в ИСПДн

- Директор

-Главный бухгалтер

- Главный специалист кадров

Увольнение работника

Процедура производится при увольнении сотрудника из организации. Выполняется удаление данных из средств автоматизированной обработки и передача данных в архив.

1. 1. Первичные учетные данные

1. 2 Сведения о занимаемой должности

1. 3 Сведения о текущем должностном окладе

1. 4 Сведения о реквизитах работника

1. 5 Сведения о семейном положении

-Заявление или приказ об увольнении

- Трудовой договор

- Копии документов работника

- Трудовая книжка

- Расторгнутый трудовой договор

- Копии документов

- Заявление или приказ об увольнении

- Трудовая книжка

- Директор

-Главный бухгалтер

- Главный специалист кадров

Начисление работнику зарплаты

Обработка платежных документов, приказов о премиях при подготовке к оплате

1. 1. Первичные учетные данные

1. 2 Сведения о занимаемой должности

1. 3 Сведения о текущем должностном окладе

1. 4 Сведения о банковских реквизитах работника

1. 5 Сведения о семейном положении

- Трудовой договор

- Сведения из БД работников

- Приказ о премии

- Справка о семейном положении

- Квитанция о начислении зарплаты

- Главный бухгалтер

Начисление работнику премии

Обработка отчетов о выполненных работах, подготовка приказов о премиях

1. 1. Первичные учетные данные

1. 2 Сведения о занимаемой должности

1. 5 Сведения о семейном положении

- Отчет сотрудника о проделанной работе

- Справка о семейном положении

- Приказ о начислении премии

- Директор

-Главный бухгалтер

Заключение договора с клиентом

Процедура производится при заключении договора с новым клиентом

1. 1. Первичные учетные данные работника

2. 1 Первичные учетные данные контрагента

2. 2 Сведения о реквизитах контрагента

2. 3 Дополнительные сведения о контрагенте

- Паспорт

- Реквизиты

- Договор

- Сведения в БД контрагентов

- Главный бухгалтер

Изменение данных о клиенте

Процедура инициируется клиентом при подаче заявления в письменном виде об изменении данных, указанных в договоре

1. 1. Первичные учетные данные работника

2. 1 Первичные учетные данные контрагента

2. 2 Сведения о реквизитах контрагента

2. 3 Дополнительные сведения о контрагенте

- Заявление об изменении данных

- Паспорт

- Измененный договор

- Сведения в БД контрагентов

- Главный бухгалтер

Выдача справки клиенту

Процедура выдачи справки клиенту, содержащей сведения, указанные в договоре

1. 1. Первичные учетные данные работника

2. 1 Первичные учетные данные контрагента

2. 2 Сведения о реквизитах контрагента

2. 3 Дополнительные сведения о контрагенте

- Паспорт

- Справка

- Главный бухгалтер

Расторжение договора с клиентом

Процедура инициируется клиентом при подаче заявления в письменном виде. Производится расторжение существующего договора, удаление сведений о клиенте из БД, сбор обезличенных статистических данных о причине расторжения договора

1. 1. Первичные учетные данные работника

2. 1 Первичные учетные данные контрагента

2. 2 Сведения о реквизитах контрагента

2. 3 Дополнительные сведения о контрагенте

- Заявление о расторжении договора

- Паспорт

- Директор

- Главный бухгалтер

ПРИЛОЖЕНИЕ 5

(обязательное)

Анализ ОРД и рекомендации к дополнению

№

пп

Наименование документа

Характеристика

Замечания

Примечание

Основание для разработки

1

Политика обработки персональных данных

Документ содержит всю необходимую информацию касаемо порядка, целей, сроков и состава обрабатываемых ПДн. В установленном порядке размещен в общем доступе на информационных ресурсах предприятия в сети Интернет.

Указать только смешанную обработку ПДн

Требуется доработка

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. Статья 18. 1. п. 2

2

Положение о порядке обработки и обеспечения безопасности ПДн

В положении четко прописан порядок обработки и обеспечения безопасности ПДн. Формулировки, приведенные в документе, полностью соответствуют действующим нормам законодательства в области защиты персональных данных

1. Требуется уточнить какие данные запрашиваются у субъекта дополнительно.

2. Путаница в определениях биометрии и фотографий.

3. Обработка фотографий ведется, но в документе указано что нет, некорректно.

4. Указано что спец. категории не обрабатывается, но ведется обработка состояния здоровья

5. Не осуществляется уведомление субъекта о том, что его данные начинают обрабатывать, при получении от 3 лица.

6. Нет регистрации уничтожения данных.

Требуется доработка

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ, статья 6

3

Положение о порядке обработки ПДн без использования средств автоматизации

Формулировки, приведенные в документе, соответствуют действующим нормам законодательства в области защиты персональных данных РФ

В документе нет формы уведомления сотрудников об ознакомлении с требованиями постановления Правительства РФ № 687 «Об утверждении требований…»

Доработка не требуется

Постановление Правительства Российской Федерации от 15 сентября 2008 г. N 687 г. Москва «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»

4

Приказ о создании комиссии для классификации ИСПДн

Определяет оператор

Доработка не требуется

Постановление Правительства РФ от 01. 11. 2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»

5

Приказ о назначении ответственных за безопасность ПДн

Ответственным за организацию ЗПДн назначается профильный специалист прошедший обучение.

Доработка не требуется

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. Статья 18. 1 п. 1

6

Описание технологических процессов

Карта жизненного процесса персональных данных

Выполняется на усмотрение оператора

СТР-К

7

Перечень ИСПДн

Перечень информационных систем персональных данных действующих у оператора

Требуется указать место расположения

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. Статья 22 п. 2

8

Перечень ПДн

Перечень персональных данные которые обрабатываются оператором

Доработка не требуется

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. Статья 22 п. 2

9

Приказ и перечень общедоступных сведений

Перечень персональных данные которые оператор размещает в открытых источниках информации

Выполняется на усмотрение оператора

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. Статья 8

10

Приказ о назначении ответственных лиц за ПДн и список ответственных лиц

Назначается персонал, непосредственно имеющий отношение к обработке ПДн

Доработка не требуется

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. Статья 22. 1

11

Частная модель угроз

Основной документ, на котором строится вся защита ПДн и ИС

Модель угроз разработана с завышением требований безопасности

Требуется доработка

Постановление Правительства РФ от 01. 11. 2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»

12

Акт Классификации ИСПДн

Результат аттестационных работ

Указаны слишком высокие УЗ

Постановление Правительства РФ от 01. 11. 2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»

13

План контролируемой зоны

Определение контролируемой физической зоны

Требуется доработка

Постановление Правительства РФ от 01. 11. 2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»

14

Технический паспорт ИСПДн

Описание инфраструктуры ИСПДн

Требуется доработка

Постановление Правительства РФ от 01. 11. 2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»

15

Инструкция по антивирусному контролю

Регламентирует работы с антивирусом и по работе с инцидентами

Содержание определяет оператор

Доработка не требуется

Постановление Правительства РФ от 01. 11. 2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»

16

Журнал учёта обращений субъектов ПДн о выполнении их законных прав

Регистрация обращений по ПДн

Требуется доработка

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. Статья 20

17

Протокол оценки соответствия ИСПДн требованиям

Результат аттестационных испытаний

Выполняется на усмотрение оператора

Постановление Правительства РФ от 01. 11. 2012 N 1119 «Об утверждении требований к защите персональных

данных при их обработке в информационных системах персональных данных»

18

Приказ о архиве

Определение мест хранения бумажных материальных носителей

Доработка не требуется

Постановление Правительства Российской Федерации от 15 сентября 2008 г. N 687 г. Москва «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»

19

Приказ о местах хранения

Определение мест хранения материальных носителей

Требуется уточнить номера помещений в которых ведется обработка

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. глава 2 статья5

20

Приказ и акт проверок

Проведение проверок

Доработка не требуется

Федеральный закон «О персональных данных» от 27. 07. 2006 N 152-ФЗ. глава 2 статья 5

ПРИЛОЖЕНИЕ 6

(обязательное)

Возможные нарушители

Категория нарушителя

Вид нарушителя

Описание

Потенциал

Актуальность

лица, имеющие санкционированный доступ к ИС, но не имеющие доступа к ПДн

внутренний

имеет доступ к фрагментам информации, содержащей ПДн и распространяющейся по внутренним каналам связи ИС; располагает фрагментами информации о топологии ИС (коммуникационной части подсети) и об используемых коммуникационных протоколах и их сервисах;

располагает именами и вести выявление паролей зарегистрированных пользователей;

изменяет конфигурацию технических средств ИС, вносить в нее программно-аппаратные закладки и обеспечивать съем информации, используя непосредственное подключение к техническим средствам ИС.

низкий

актуально

зарегистрированные пользователи ИС, осуществляющие ограниченный доступ к ресурсам ИС с рабочего места

внутренний

обладает всеми возможностями лиц первой категории;

знает, по меньшей мере, одно легальное имя доступа;

обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн; располагает конфиденциальными данными, к которым имеет доступ.

средний

актуально

зарегистрированные пользователи ИС, осуществляющие удаленный доступ к ПДн по локальным и (или) распределенным информационным системам

внутренний

обладает всеми возможностями лиц первой и второй категорий;

располагает информацией о топологии ИС на базе локальной и (или) распределенной информационной системы, через которую осуществляется доступ, и о составе технических средств ИС;

имеет возможность прямого (физического) доступа к фрагментам технических средств ИС.

низкий

актуально

зарегистрированные пользователи с полномочиями системного администратора ИС

внутренний

обладает всеми возможностями лиц предыдущих категорий; обладает полной информацией о системном и прикладном программном обеспечении ИС;

обладает полной информацией о технических средствах и конфигурации ИС;

имеет доступ ко всем техническим средствам обработки информации и данным ИС;

обладает правами конфигурирования и административной настройки технических средств ИС.

средний

актуально

зарегистрированные пользователи с полномочиями администратора безопасности ИС.

внутренний

обладает всеми возможностями лиц предыдущих категорий;

обладает полной информацией об ИС;

имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИС;

не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).

средний

актуально

программисты-разработчики (поставщики) прикладного программного обеспечения и лица, обеспечивающие его сопровождение на защищаемом объекте.

внутренний

обладает информацией об алгоритмах и программах обработки информации на ИС;

обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИС на стадии ее разработки, внедрения и сопровождения;

может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты ПДн, обрабатываемых в ИС.

низкий

актуально

разработчики и лица, обеспечивающие поставку, сопровождение и ремонт технических средств на ИС.

внутренний

обладает возможностями внесения закладок в технические средства ИС на стадии их разработки, внедрения и сопровождения;

может располагать любыми фрагментами информации о топологии ИС и технических средствах обработки и защиты информации в ИС.

низкий

актуально

сотрудник сторонней организации, не являющийся зарегистрированным пользователем ИС, но имеющий право доступа в контролируемую зону

внешний

нарушитель, планируя атаки, скрывает свои несанкционированные действия от лиц, контролирующих соблюдение мер безопасности;

низкий

Не актуально.

В виду внедренных средств защиты информации.

нарушитель, не имеющий прав доступа в контролируемую зону

внешний

несанкционированный доступ может быть следствием как случайных, так и преднамеренных действий;

низкий

Не актуально.

В виду внедренных средств защиты информации.

специалист в области информационных технологий (профессиональный хакер)

внешний

проводит работы по созданию способов и средств атак в научно- исследовательских центрах, специализирующихся в области разработки и анализа программного обеспечения прикладного ПО и средств защиты информации.

средний

Не актуально.

Не является целесообразным для нарушителей с учетом высокой стоимости разработки способов и средств атаки и незначительными негативными последствиям от таких атак.

уволенный сотрудник или уволенные сотрудники организаций, обеспечивающих техническое обслуживание и эксплуатацию ИС

внешний

совершает несанкционированный доступ может быть следствием как случайных, так и преднамеренных действий;

низкий

Не актуально.

В виду внедренных средств защиты информации.

разведывательные службы государств

внешний

нарушитель, планируя атаки, скрывает свои несанкционированные действия от лиц, контролирующих соблюдение мер безопасности;

высокий

Не актуально.

В связи с высокими затратами ресурсов на реализацию, и малой значительностью результата при успешной атаке.

Размещено на Allbest.ru

Страница:


Подобные документы

Работы в архивах красиво оформлены согласно требованиям ВУЗов и содержат рисунки, диаграммы, формулы и т.д.
PPT, PPTX и PDF-файлы представлены только в архивах.
Рекомендуем скачать работу.

© 2000 — 2023, ООО «Олбест» Все права защищены