Иван Трещев - Организационное и правовое обеспечение информационной безопасности. Для студентов и специалистов

– расходы по защите информации при ремонте и реконструкции помещений предусматриваются в стоимости этих работ.

2.11. Настоящее положение не распространяется на ИСПДн, обрабатывающие ПДн, отнесенные в установленном порядке к сведениям, составляющим государственную тайну.

3.Классификация информационных систем персональных данных

3.1. Классификация ИСПДн в Организации осуществляется с учетом категорий и объема накапливаемых, обрабатываемых и распределяемых с их использованием ПДн с целью установления методов и способов защиты, необходимых для обеспечения безопасности ПДн.

3.2. Классификация ИСПДн проводится на этапе их создания или в ходе их эксплуатации (для ранее введенных в эксплуатацию и (или) модернизируемых информационных систем).

3.3. Состав, функциональное содержание методов и средств защиты зависит от вида и степени ущерба, возникающего вследствие реализации выявленных угроз безопасности ПДн. При этом ущерб возникает за счет неправомерного или случайного уничтожения, изменения, блокирования, копирования, распространения ПДн или от иных неправомерных действий с ними. В зависимости от объекта, причинение ущерба которому вызывается неправомерными действиями с ПДн, рассматриваются два вида ущерба: непосредственный и опосредованный.

3.4. Непосредственный ущерб связан с причинением физического, материального, финансового или морального вреда непосредственно субъекту ПДн. Он возникает за счет незаконного использования (в том числе распространения) ПДн или за счет несанкционированной модификации этих данных и может проявляться в виде:

– незапланированных и (или) непроизводительных финансовых или материальных затрат субъекта;

– потери субъектом свободы действий вследствие шантажа и угроз, осуществляемых с использованием ПДн;

– нарушения конституционных прав субъекта вследствие вмешательства в его личную жизнь путем осуществления контактов с ним по различным поводам без его на то желания (например – рассылка персонифицированных рекламных предложений и т.п.).

3.5. Опосредованный ущерб связан с причинением вреда обществу и (или) государству вследствие нарушения нормальной деятельности экономических, политических, военных, медицинских, правоохранительных, социальных, кредитно-финансовых и иных государственных органов, органов местного самоуправления, муниципальных органов, организаций различных форм собственности за счет неправомерных действий с ПДн.

3.6. Классификация ИСПДн проводится комиссией, назначаемой начальником Организации, в соответствии с Порядком проведения классификации информационных систем персональных данных, утвержденным Приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. N 55/86/20, и иными руководящими документами по защите ПДн.

3.7. Проведение классификации ИСПДн включает в себя следующие этапы:

– сбор и анализ исходных данных по ИСПДн;

– присвоение ИСПДн соответствующего класса и его документальное оформление.

3.8. При проведении классификации ИСПДн комиссией учитываются следующие исходные данные:

– категория обрабатываемых ПДн в ИСПДн;

– объем обрабатываемых ПДн (количество субъектов ПДн, ПДн которых обрабатываются в ИСПДн);

– заданные характеристики безопасности ПДн, обрабатываемых в ИСПДн;

– структура ИСПДн;

– наличие подключений ИСПДн к сетям связи общего пользования и (или) сетям международного информационного обмена;

– режим обработки ПДн;

– режим разграничения прав доступа к ИСПДн;

– местонахождение технических средств ИСПДн.

3.9. В случае выделения в составе ИСПДн подсистем, каждая из которых является ИСПДн, ИСПДн в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем.

3.10. Результаты классификации ИСПДн оформляются актом, подписанными членами комиссии, и утверждается начальником Организации.

3.11. Класс ИСПДн может быть пересмотрен:

– на основе проведенных комиссией анализа и оценки угроз безопасности ПДн с учетом особенностей и (или) изменений конкретной ИСПДн;

– по результатам мероприятий по контролю и надзору уполномоченными органами за выполнением требований по обеспечению безопасности ПДн при их обработке в ИСПДн.

4. Основные цели и задачи защиты информации на объекте информатизации Организации

4.1. В соответствии с присвоенным классом ИСПДн и моделью угроз безопасности ПДн в Организации должен выполняться комплекс организационнотехнических мероприятий по защите информации, циркулирующей в помещениях, технических системах и средствах передачи, хранения и обработки информации.

4.2. Накопление, обработка, хранение и передача защищаемой информации в Организации происходит на объекте информатизации, который представляет собой совокупность информационных ресурсов, средств и систем обработки информации, используемых» в соответствии с заданной информационной технологией, средств обеспечения, помещений, в которых они установлены, или помещений, предназначенных для ведения конфиденциальных переговоров.

К объекту информатизации в Организации относятся защищаемые, специальные помещения и средства вычислительной техники.

4.3. Целями защиты информации на объекте информатизации являются:

– предотвращение утечки информации по техническим каналам;

– предотвращение уничтожения, искажения, копирования, блокирования информации в системах информатизации за счет НСД к ней;

– соблюдение правового режима использования массивов, программ обработки информации, обеспечение полноты, целостности, достоверности информации в системах ее обработки;

– сохранение возможности управления процессом обработки и пользования информацией.

4.4. К основным задачам защиты информации на объекте информатизации относя гея задачи по предотвращению:

– несанкционированного доведения защищаемой информации до лиц, не имеющих права доступа к этой информации;

– получения защищаемой информации заинтересованным лицом с нарушением установленных прав или правил доступа к защищаемой информации;

– получения защищаемой информации разведкой с помощью технических средств;

– воздействия на защищаемую информацию с нарушением установленных прав или правил на изменение информации, приводящего к ее искажению, уничтожению, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации;

– воздействия на защищаемую информацию ошибок ее пользователя, сбоя технических и программных средств АС, природных явлений или иных нецеленаправленных на изменение информации мероприятий, приводящих к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации.