500_Goncharov_S._A._Informatsionnye_tekhnologii_v_mediaindustrii_Upravlenie_dannymi_

Рисунок 7.29 – Применение виртуальных частных сетей для защиты распределенных баз данных

Рассмотренные в данном разделе средства защиты при межсетевом взаимодействии является достаточными для нейтрализации основных видов угроз.

7.5.Основы защиты баз данных от внутренних угроз

Внастоящее время для защиты баз данных от внешних атак используется большое число средств защиты информации, на каждом предприятии установлены антивирусные средства, средства криптографической защиты информации, межсетевые экраны и др. Однако очень мало внимания уделено защите баз данных от внутренних угроз.

Различные независимые исследования показывают, что наибольшее количество инцидентов информационной безопасности (50-70 %) приходится на внутренние угрозы (рис. 7.30).

91

Рисунок 7.30 – Распределение угроз информационной безопасности

Наиболее частым нарушением информационной безопасности является нарушение конфиденциальности. Сотрудники предприятий умышленно или неумышленно распространяют конфиденциальную информацию. Например, теряют сменные носители информации, происходит хищение мобильных компьютеров и самый незаурядный пример - менеджер после увольнения из одной компании переносит базу данных клиентов в другую.

Наиболее значимыми каналами утечки информации являются:

электронная почта;

интернет (сетевые сервисы: вэб-почта, вэб-формы, вэб-чаты, IM messenger и

др.);

сменные накопители информации (CD, DVD, Flash диски);

твердые копии;

беспроводные протоколы;

резервные копии.

Если проанализировать эти каналы утечки, то можно прийти к выводу, что закрыть эти каналы невозможно.

Во многих организациях электронная почта тесно сопряжена с бизнеспроцессами, как и доступ в сеть Интернет.

Сменные носители на данный момент достигли очень малых размеров и большой емкости и присутствуют в различных современных устройствах (цифровые фотоаппараты, mp3-плееры, мобильные телефоны).

Работа таких устройств по порту USB сделало нештатное их использование довольно легкой задачей. Конечно, можно эти порты заблокировать, отключить, однако на сегодняшний момент большинство периферийных устройств работают с использованием этого порта (принтеры, клавиатуры, манипуляторы и т.д.).

92

Твердым копиям незаслуженно придают очень малое значение, однако любой конфиденциальный документ можно вывести на печать и опубликовать.

Беспроводные протоколы на данный момент завоевывают все большее и большее распространение, практически все мобильные компьютеры имеют возможность соединяться с беспроводными сетями, точки доступа так же доступны. Это позволяет злоумышленнику произвести утечку через неконтролируемый канал.

Резервные копии тоже содержат конфиденциальную информацию, поэтому подлежат защите, как и основное хранилище.

При схожести конечных результатов утечки внутренних нарушителей можно распределить по группам и произвести классификацию их поведения.

Классификация поведения внутренних нарушителей представлена в таблице 7.4.

Таблица 7.4. Классификация поведения внутренних нарушителей

Поскольку полностью закрыть каналы утечки невозможно, необходимо контролировать такие каналы. На рисунке 7.31 представлены сравнительные характеристики систем защиты от внутренних угроз (DLP).

93

Рисунок 7.31 – Сравнительные характеристики средств защиты от внутренних угроз баз данных

Такие средства позволяют лишь контролировать каналы утечки, и в дополнении к ним необходимо использовать организационные меры защиты.

Рассмотренные в данном разделе угрозы являются актуальными для банков данных, содержащих конфиденциальные сведения.

7.6. Особенности защиты баз данных, содержащих персональные данные

По статистике более 80% современных банков данных, используемых в нашей стране, содержат в себе персональные данные граждан Российской Федерации. Таким образом, эти банки данных являются информационными системами персональных данных (ИСПДн) и в соответствии с 152 ФЗ от 27 июля 2006 года такая информация подлежит защите. Поскольку проблема защиты банков данных, содержащих персональные данные, весьма актуальная, то принципы выделены в отдельный раздел.

В соответствии с Федеральным законом «О персональных данных» под информационной системой персональных данных понимается информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных.

Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы [21].

Безопасность персональных данных при их обработке в информационной системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных

94

данных по поручению оператора на основании заключаемого с этим лицом договора. Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе.

Выбор средств защиты информации для системы защиты персональных данных осуществляется оператором в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю.

Классификация ИСПДн осуществляется с учетом категорий и объема накапливаемых, обрабатываемых и распределяемых с их использованием ПДн, а также с учетом типов актуальных угроз информационной безопасности.

Классификация производится с целью установления методов и средств защиты, необходимых для обеспечения безопасности ПДн. Состав и функциональное содержание методов и средств защиты зависит от вида и степени ущерба, возникающего вследствие реализации угроз безопасности ПДн. При этом ущерб возникает за счет неправомерного или случайного уничтожения, изменения, блокирования, копирования, распространения ПДн или от иных неправомерных действий с ними. В зависимости от объекта, причинение ущерба которому, в конечном счете, вызывается неправомерными действиями с ПДн, рассматриваются два вида ущерба: непосредственный и опосредованный.

Непосредственный ущерб связан с причинением физического, материального, финансового или морального вреда непосредственно субъекту ПДн. Он возникает за счет незаконного использования (в том числе распространения) ПДн или за счет несанкционированной модификации этих данных и может проявляться в виде:

нанесения вреда здоровью субъекта ПДн; незапланированных и (или) непроизводительных финансовых или

материальных затрат субъекта; потери субъектом свободы действий вследствие шантажа и угроз,

осуществляемых с использованием ПДн; нарушения конституционных прав субъекта вследствие вмешательства в

его личную жизнь путем осуществления контактов с ним по различным поводам без его на то согласия (например – рассылка персонифицированных рекламных предложений и т.п.).

Опосредованный ущерб связан с причинением вреда обществу и (или) государству вследствие нарушения нормальной деятельности экономических, политических, военных, медицинских, правоохранительных, социальных, кредитно-финансовых и иных государственных органов, органов местного самоуправления, муниципальных органов, организаций различных форм собственности за счет неправомерных действий с ПДн.

95

При классификации информационных систем персональных данных можно выделить следующие категории информационных систем обработки персональных данных:

Информационная система является информационной системой, обрабатывающей специальные категории персональных данных, если в ней обрабатываются персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни субъектов персональных данных.

Информационная система является информационной системой, обрабатывающей биометрические персональные данные, если в ней обрабатываются сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность и которые используются оператором для установления личности субъекта персональных данных, и не обрабатываются сведения, относящиеся к специальным категориям персональных данных.

Информационная система является информационной системой, обрабатывающей общедоступные персональные данные, если в ней обрабатываются персональные данные субъектов персональных данных, полученные только из общедоступных источников персональных данных, созданных в соответствии со статьей 8 Федерального закона "О персональных данных".

Информационная система является информационной системой, обрабатывающей иные категории персональных данных, если в ней не обрабатываются специальные категории ПДн и ПДн сотрудников оператора.

Информационная система является информационной системой, обрабатывающей персональные данные сотрудников оператора, если в ней обрабатываются персональные данные только указанных сотрудников. В остальных случаях информационная система персональных данных является информационной системой, обрабатывающей персональные данные субъектов персональных данных, не являющихся сотрудниками оператора.

Под актуальными угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия. Актуальность угроз рассчитывается в соответствии с документом [23].

Угрозы 1-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в системном программном обеспечении, используемом в информационной системе.

96

Угрозы 2-го типа актуальны для информационной системы, если для нее в том числе актуальны угрозы, связанные с наличием недокументированных (недекларированных) возможностей в прикладном программном обеспечении, используемом в информационной системе.

Угрозы 3-го типа актуальны для информационной системы, если для нее актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

При обработке персональных данных в информационных системах устанавливаются 4 уровня защищенности персональных данных.

Необходимость обеспечения 1-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает либо специальные категории персональных данных, либо биометрические персональные данные, либо иные категории персональных данных;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

Необходимость обеспечения 2-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 1-го типа и информационная система обрабатывает общедоступные персональные данные;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает биометрические персональные данные;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

97

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

Необходимость обеспечения 3-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает общедоступные персональные данные сотрудников оператора или общедоступные персональные данные менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

для информационной системы актуальны угрозы 2-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает специальные категории персональных данных сотрудников оператора или специальные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает биометрические персональные данные;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных более чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

Необходимость обеспечения 4-го уровня защищенности персональных данных при их обработке в информационной системе устанавливается при наличии хотя бы одного из следующих условий:

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает общедоступные персональные данные;

для информационной системы актуальны угрозы 3-го типа и информационная система обрабатывает иные категории персональных данных сотрудников оператора или иные категории персональных данных менее чем 100000 субъектов персональных данных, не являющихся сотрудниками оператора.

98

Для обеспечения 4-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнение следующих требований:

организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

обеспечение сохранности носителей персональных данных;

утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

Для обеспечения 3-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнить следующие условия:

организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

обеспечение сохранности носителей персональных данных;

утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.

Для обеспечения 2-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнить следующие условия:

организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего

99

возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

обеспечение сохранности носителей персональных данных;

утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.

необходимо, чтобы доступ к содержанию электронного журнала сообщений был возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей.

Для обеспечения 1-го уровня защищенности персональных данных при их обработке в информационных системах необходимо выполнить следующие условия:

организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;

обеспечение сохранности носителей персональных данных;

утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе.

необходимо, чтобы доступ к содержанию электронного журнала сообщений был возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым

100