1 Информационные системы персональных данных как объект обеспечения инфорационной безопасности

1.1 Специфика обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных

1.1.1 Состояние обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных

В интересах обеспечения безопасности ПДн (ОБПДн) принят федеральный закон от 27 июля 2006 г. № 152-ФЗ "О персональных данных", в соответствии с которым оператор ИСПДн обязан принимать необходимые организационные и технические меры для защиты ПДн от неправомерных действий с ними.

Специфический характер ПДн, как объектов защиты от несанкционированных неправомерных действий, проявляется в том, что ущерб от таких действий может проявиться и на уровне общества и государства. Этот ущерб является следствием нарушения нормальной деятельности государственных органов, органов местного самоуправления, муниципальных органов, организаций различных форм собственности, которое может проявляться в невыполнении этими органами и организациями своих функций по отношению к субъектам ПДн. Кроме этого, возможно использование ПДн зарубежными спецслужбами и криминальными группировками для воздействия на субъект ПДн, что может привести к самым различным негативным последствиям (например, к утечке сведений, составляющих государственную тайну, диверсиям и т.п.).

В настоящее время в Государственном реестре баз и банков данных зарегистрировано несколько сотен баз и банков данных, а также АС различного назначения, использующих ПДн. К их числу относятся ГАС "Выборы", АС "Государственный регистр населения", автоматизированная информационная система (АИС) Минтруда России, АИС Пенсионного фонда Российской Федерации, АИС "ЗАГС", специализированная информационно-аналитическая система "Правоохранительный портал" и ряд других. Эти информационные системы используют ПДн различного характера – начиная от паспортных данных физических лиц до информации об их доходах, источниках их получения, семейных отношениях, наличии и характере судимостей. Вопросы ОБПДн в этих системах решаются, как правило, на основе действующих руководящих документов в области защиты информации и, в отдельных случаях, регламентируются специальными (ведомственными) документами (например, "Положение об обеспечении безопасности информации в государственной автоматизированной системе Российской Федерации "Выборы"). Как правило, в качестве основной угрозы безопасности ПДн в этих документах рассматривается угрозы несанкционированного доступа к информации и формулирование соответствующих требований по защите производится на основе руководящего документа ФСТЭК России "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации". В то же время в интересах совершенствования деятельности по организации и проведению работ по обеспечению безопасности ПДн при их обработке в ИСПДн, требуется уточнить и конкретизировать ряд специфических аспектов такой деятельности, в первую очередь – определить:

- цель и основные задачи ОБПДн при их обработке в ИСПДн;

- основные особенности ИСПДн как объектов обеспечения безопасности;

- основные угрозы безопасности ПДн при их обработке в ИСПДн и возможные механизмы их реализации.

1.1.2 Цель и основные задачи обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных

Целью ОБПДн при их обработке в ИСПДн является предотвращение или существенное затруднение неправомерного использования ПДн, накапливаемых, сохраняемых и обрабатываемых с использованием автоматизированных информационных систем, а также обеспечение нейтрализации последствий деструктивных воздействий на ИСПДн и восстановления их нормального функционирования.

Безопасность ПДн должна обеспечиваться применительно к угрозам, связанным:

- с утечкой информации по техническим каналам и несанкционированным доступом к ней, осуществляемым с целью хищения или незаконного распространения этих данных (при этом непосредственного воздействия на сами ПДн не производится);

- с несанкционированными воздействиями на информацию, осуществляемыми с целью ее уничтожения, блокирования, модификации (с непосредственным воздействием на сами ПДн и ИСПДн).

Основными задачами обеспечения безопасности ПДн являются:

а) в стратегическом плане – создание организационных условий для обеспечения безопасности ПДн в Российской Федерации на основе:

- формирования совокупности специальных правовых документов, определяющих права и обязанности операторов ИСПДн, а также ответственность за несоблюдение мер обеспечения безопасности ПДн и за действия, направленные на нарушение нормального функционирования ИСПДн;

- разработки единой методологии организации и ведения работ по обеспечению безопасности ПДн и на ее основе – системы организационно-распорядительных и специальных нормативных документов, определяющих принципы, порядок и алгоритмы решения задач обеспечения безопасности ПДн в зависимости от степени важности (категории) ПДн;

б) в техническом плане – создание условий для всестороннего обеспечения работ по обеспечению безопасности ПДн на основе:

- разработки типовых способов (проектных решений) обеспечения безопасности ПДн с учетом возможностей и особенностей применения технических и программных средств защиты информации на основе составления перечня типовых угроз безопасности ПДн применительно к ИСПДн различного назначения в зависимости от характеристик и особенностей последних;

- дальнейшего развития существующих систем лицензирования, аттестации и сертификации в области защиты информации;

- проведения работ по обеспечению ИСПДн защищенными от деструктивных внешних воздействий средствами и системами сбора, хранения, обработки, передачи и распределения информации;

в) в технологическом плане – исследование особенностей использования существующих и разработка специализированных программных и технических средств обеспечения безопасности ПДн и выработка рекомендаций по их применению на основе:

- обеспечения единства методического подхода к обоснованию требований различных ведомств к средствам обеспечения безопасности ПДн на основе типизации задач обеспечения безопасности с учетом особенностей функционирования ИСПДн;

- согласования технических решений, принятых при разработке различными ведомствами программных и технических средств обеспечения безопасности ПДн, в интересах обеспечения совместимости этих средств как между собой, так и с существующей специализированной техникой защиты информации и контрольно-измерительной аппаратурой общего применения;

- разработки методик применения средств обеспечения безопасности ПДн для решения типовых и конкретных задач защиты персональных данных от неправомерного использования.