منتجات حديثة لحماية البيانات الشخصية للبنك. تحسين نظام حماية البيانات الشخصية لبنك JSC Alfa Bank

موضع

بشأن حماية البيانات الشخصية

العملاء (المشتركون)

في Ortes-Finance LLC

المصطلحات والتعريفات

1.1. معلومات شخصية- أي معلومات تتعلق بفرد تم تحديده أو تحديده على أساس هذه المعلومات (موضوع البيانات الشخصية) ، بما في ذلك اسمه الأخير ، واسمه الأول ، واسم الأب ، والسنة ، والشهر ، وتاريخ ومكان الميلاد ، والعنوان ، وعنوان البريد الإلكتروني ، رقم الهاتف ، الأسرة ، الحالة الاجتماعية ، الملكية ، التعليم ، المهنة ، الدخل ، معلومات أخرى.

1.2. معالجة البيانات الشخصية- الإجراءات (العمليات) مع البيانات الشخصية ، بما في ذلك الجمع والتنظيم والتراكم والتخزين والتوضيح (التحديث والتغيير) والاستخدام والتوزيع (بما في ذلك النقل) وتبديد الشخصية والحظر.

1.3. سرية البيانات الشخصية- شرط إلزامي للشخص المسؤول المعين الذي تمكن من الوصول إلى البيانات الشخصية لمنع توزيعها دون موافقة الموضوع أو أي أسس قانونية أخرى.

1.4. نشر البيانات الشخصية- الإجراءات التي تهدف إلى نقل البيانات الشخصية إلى دائرة معينة من الأشخاص (نقل البيانات الشخصية) أو التعرف على البيانات الشخصية لعدد غير محدود من الأشخاص ، بما في ذلك الكشف عن البيانات الشخصية في وسائل الإعلام ، والتنسيب في شبكات المعلومات والاتصالات أو توفير الوصول إلى البيانات الشخصية بأي طريقة أو بأي طريقة أخرى.

1.5. استخدام البيانات الشخصية- الإجراءات (العمليات) مع البيانات الشخصية التي يتم إجراؤها بغرض اتخاذ القرارات أو تنفيذ إجراءات أخرى تؤدي إلى عواقب قانونية فيما يتعلق بأشخاص البيانات الشخصية أو تؤثر بطريقة أخرى على حقوقهم وحرياتهم أو حقوق وحريات الأشخاص الآخرين.

1.6. منع البيانات الشخصية- الإيقاف المؤقت لجمع البيانات الشخصية وتنظيمها وتجميعها واستخدامها وتوزيعها ، بما في ذلك نقلها.

1.7. إتلاف البيانات الشخصية- الإجراءات التي يستحيل نتيجة لها استعادة محتوى البيانات الشخصية في نظام معلومات البيانات الشخصية أو نتيجة تدمير ناقلات المواد للبيانات الشخصية.

1.8. نزع الطابع الشخصي عن البيانات الشخصية- الإجراءات التي يستحيل نتيجة لها دون استخدام معلومات إضافيةتحديد ملكية البيانات الشخصية من قبل موضوع معين.

1.9. البيانات الشخصية العامة- البيانات الشخصية ، والوصول إلى عدد غير محدود من الأشخاص التي يتم منحها بموافقة الموضوع أو التي ، وفقًا للقوانين الفيدرالية ، لا تخضع لمتطلبات السرية.

1.10. معلومة- المعلومات (الرسائل ، البيانات) بغض النظر عن شكل عرضها.

1.11. العميل (موضوع البيانات الشخصية)- مستهلك فردي لخدمات Ortes-Finance LLC ، المشار إليها فيما يلي باسم "المنظمة".

1.12. المشغل أو العامل- هيئة حكومية أو هيئة بلدية أو كيان قانوني أو فرد ، بشكل مستقل أو بالاشتراك مع أشخاص آخرين ينظمون و (أو) ينفذون معالجة البيانات الشخصية ، وكذلك تحديد أغراض معالجة البيانات الشخصية ، وتكوين البيانات الشخصية البيانات المراد معالجتها ، الإجراءات (العمليات) التي تتم باستخدام البيانات الشخصية. في إطار هذه اللوائح ، المشغل هو شركة ذات مسؤولية محدودة "Ortes-Finance" ؛

2. الأحكام العامة.

2.1. تم تطوير هذه اللائحة الخاصة بمعالجة البيانات الشخصية (المشار إليها فيما يلي باسم اللائحة) وفقًا للدستور الاتحاد الروسي، القانون المدني للاتحاد الروسي ، القانون الاتحادي "بشأن المعلومات وتكنولوجيا المعلومات وحماية المعلومات" ، القانون الاتحادي 152-FZ "بشأن البيانات الشخصية" ، والقوانين الفيدرالية الأخرى.

2.2. الغرض من تطوير اللائحة هو تحديد إجراءات معالجة وحماية البيانات الشخصية لجميع عملاء المنظمة ، الذين تخضع بياناتهم للمعالجة ، بناءً على سلطة المشغل ؛ ضمان حماية حقوق وحريات الشخص والمواطن في معالجة بياناته الشخصية ، بما في ذلك حماية حقوق الخصوصية والأسرار الشخصية والعائلية ، وكذلك تحديد مسؤولية المسؤولين الذين لديهم إمكانية الوصول إلى البيانات الشخصية لـ عدم الامتثال لمتطلبات القواعد التي تحكم معالجة البيانات الشخصية وحمايتها.

2.3 إجراءات دخول النظام حيز التنفيذ وتغييره.

2.3.1. تدخل هذه اللائحة حيز التنفيذ من لحظة الموافقة عليها من قبل المدير العام للمنظمة وتكون سارية إلى أجل غير مسمى ، حتى يتم استبدالها بلائحة جديدة.

2.3.2. يتم إجراء التغييرات على اللوائح على أساس أوامر المدير العام للمنظمة.

3. تكوين البيانات الشخصية.

3.1. يشمل تكوين البيانات الشخصية للعملاء ما يلي:

3.1.1. الاسم الكامل.

3.1.2. سنة الميلاد.

3.1.3. شهر الولادة.

3.1.4. تاريخ الميلاد.

3.1.5. مكان الميلاد.

3.1.6. بيانات جواز السفر

3.1.7. عنوان البريد الإلكتروني.

3.1.8. رقم الهاتف (المنزل ، الخلية).

3.2 يجوز للمؤسسة إنشاء (إنشاء وجمع) وتخزين المستندات والمعلومات التالية ، بما في ذلك في شكل إلكتروني ، تحتوي على بيانات حول العملاء:

3.2.1. طلب إجراء مسح حول إمكانية توصيل فرد.

3.2.2. اتفاقية (عرض عام).

3.2.3. تأكيد الانضمام إلى العقد.

3.2.5. نسخ من وثائق الهوية ، بالإضافة إلى المستندات الأخرى المقدمة من العميل والتي تحتوي على بيانات شخصية.

3.2.6. بيانات عن مدفوعات الطلبات (سلع / خدمات) ، بما في ذلك الدفع وتفاصيل أخرى عن العميل.

4. الغرض من معالجة البيانات الشخصية.

4.1 الغرض من معالجة البيانات الشخصية هو تنفيذ مجموعة من الإجراءات التي تهدف إلى تحقيق الهدف ، بما في ذلك:

4.1.1. تقديم الاستشارات وخدمات المعلومات.

4.1.2. المعاملات الأخرى التي لا يحظرها القانون ، بالإضافة إلى مجموعة من الإجراءات المتعلقة بالبيانات الشخصية اللازمة لتنفيذ المعاملات المذكورة أعلاه.

4.1.3. من أجل الامتثال لمتطلبات تشريعات الاتحاد الروسي.

4.2 شرط إنهاء معالجة البيانات الشخصية هو تصفية المنظمة ، وكذلك المتطلبات المقابلة للعميل.

5. جمع ومعالجة وحماية البيانات الشخصية.

5.1 إجراءات الحصول على (جمع) البيانات الشخصية:

5.1.1. يجب الحصول على جميع البيانات الشخصية للعميل منه شخصيًا بموافقته الخطية ، باستثناء الحالات المحددة في الفقرتين 5.1.4 و 5.1.6 من هذه اللوائح والحالات الأخرى المنصوص عليها في قوانين الاتحاد الروسي.

5.1.2. يتم تخزين موافقة العميل على استخدام بياناته الشخصية في المنظمة في شكل ورقي و / أو إلكتروني.

5.1.3. موافقة الخاضع لمعالجة البيانات الشخصية صالحة طوال مدة العقد ، وكذلك في غضون 5 سنواتمن تاريخ إنهاء العلاقة التعاقدية بين العميل والمنظمة. بعد انتهاء الفترة المحددة ، تعتبر الموافقة ممددة لكل خمس سنوات لاحقة في حالة عدم وجود معلومات حول انسحابها.

5.1.4. إذا كان لا يمكن الحصول على البيانات الشخصية للعميل إلا من طرف ثالث ، فيجب إخطار العميل بذلك مسبقًا ويجب الحصول على موافقة كتابية منه. يجب أن يحصل الطرف الثالث الذي يقدم البيانات الشخصية للعميل على موافقة الشخص الخاضع لنقل البيانات الشخصية إلى المنظمة. تلتزم المنظمة بالحصول على تأكيد من طرف ثالث يقوم بنقل البيانات الشخصية للعميل بأن البيانات الشخصية يتم نقلها بموافقته. تلتزم المنظمة ، عند التعامل مع أطراف ثالثة ، بإبرام اتفاقية معهم بشأن سرية المعلومات المتعلقة بالبيانات الشخصية للعملاء.

5.1.5. تلتزم المنظمة بإبلاغ العميل عن الأغراض والمصادر المزعومة وطرق الحصول على البيانات الشخصية ، فضلاً عن طبيعة البيانات الشخصية التي سيتم الحصول عليها وعواقب رفض العميل إعطاء البيانات الشخصية لإعطاء موافقة كتابية لتلقيها. هم.

5.1.6. تتم معالجة البيانات الشخصية للعملاء دون موافقتهم في الحالات التالية:

5.1.6.1. البيانات الشخصية عامة.

5.1.6.2. بناءً على طلب الهيئات الحكومية المختصة في الحالات التي ينص عليها القانون الاتحادي.

5.1.6.3. تتم معالجة البيانات الشخصية على أساس قانون اتحادي يحدد الغرض منه ، وشروط الحصول على البيانات الشخصية ودائرة الأشخاص الذين تخضع بياناتهم الشخصية للمعالجة ، وكذلك تحديد سلطة المشغل.

5.1.6.4. تتم معالجة البيانات الشخصية لغرض إبرام وتنفيذ اتفاقية ، يكون أحد الأطراف موضوع البيانات الشخصية - العميل.

5.1.6.5. تتم معالجة البيانات الشخصية لأغراض إحصائية ، مع مراعاة عدم التخصيص الإلزامي للبيانات الشخصية.

5.1.6.6. في الحالات الأخرى التي ينص عليها القانون.

5.1.7. لا يحق للمنظمة تلقي ومعالجة البيانات الشخصية للعميل حول العرق أو الجنسية أو الآراء السياسية أو المعتقدات الدينية أو الفلسفية أو الحالة الصحية أو الحياة الحميمة.

5.2 إجراءات معالجة البيانات الشخصية:

5.2.1. موضوع البيانات الشخصية يزود المنظمة بمعلومات موثوقة عن نفسه.

5.2.2. يمكن فقط لموظفي المنظمة الذين يُسمح لهم بالعمل مع البيانات الشخصية للعميل والذين وقعوا اتفاقية عدم الكشف عن البيانات الشخصية للعميل الوصول إلى معالجة البيانات الشخصية للعملاء.

5.2.3. يحق للأشخاص التالية أسماؤهم الوصول إلى البيانات الشخصية للعميل في المنظمة:

مدير عام المنظمة.

الموظفون المسؤولون عن التسويات المالية (مدير ، محاسب).

موظفو إدارة علاقات العملاء (رئيس قسم المبيعات ، مدير).

 موظفو تكنولوجيا المعلومات (المدير الفني ، مسؤول النظام).

 العميل كموضوع للبيانات الشخصية.

5.2.3.1. يتم تحديد قائمة أسماء موظفي المنظمة الذين يمكنهم الوصول إلى البيانات الشخصية للعملاء بأمر من المدير العام للمنظمة.

5.2.4. قد تتم معالجة البيانات الشخصية للعميل فقط للأغراض التي تحددها اللائحة والامتثال للقوانين والإجراءات القانونية التنظيمية الأخرى للاتحاد الروسي.

5.2.5. عند تحديد نطاق ومحتوى البيانات الشخصية المعالجة ، تسترشد المنظمة بدستور الاتحاد الروسي وقانون البيانات الشخصية والقوانين الفيدرالية الأخرى.

5.3 حماية المعلومات الشخصية:

5.3.1. تُفهم حماية البيانات الشخصية للعميل على أنها مجموعة من التدابير (التنظيمية والإدارية والتقنية والقانونية) التي تهدف إلى منع الوصول غير المصرح به أو العرضي إليها ، أو إتلافها أو تعديلها أو حظرها أو نسخها أو توزيعها ، وكذلك كإجراءات غير قانونية أخرى.

5.3.2. تتم حماية البيانات الشخصية للعميل على حساب المنظمة بالطريقة المنصوص عليها في القانون الفيدرالي للاتحاد الروسي.

5.3.3. عند حماية البيانات الشخصية للعملاء ، تتخذ المنظمة جميع الإجراءات التنظيمية والإدارية والقانونية والفنية اللازمة ، بما في ذلك:

 الحماية من الفيروسات.

 التحليل الأمني.

 كشف التسلل والوقاية منه.

 التحكم في الوصول.

 التسجيل والمحاسبة.

 ضمان النزاهة.

 تنظيم الإجراءات المحلية التنظيمية والمنهجية التي تنظم حماية البيانات الشخصية.

5.3.4. يتولى المدير العام للمنظمة التنظيم العام لحماية البيانات الشخصية للعملاء.

5.3.5. يمكن لموظفي المنظمة الذين يحتاجون إلى بيانات شخصية فيما يتعلق بأداء واجبات العمل الخاصة بهم الوصول إلى البيانات الشخصية للعميل.

5.3.6. يُطلب من جميع الموظفين المشاركين في استلام ومعالجة وحماية البيانات الشخصية للعملاء التوقيع على اتفاقية عدم إفشاء للبيانات الشخصية للعملاء.

5.3.7. يتضمن إجراء الوصول إلى البيانات الشخصية للعميل ما يلي:

إطلاع الموظف على هذه اللائحة مقابل التوقيع. إذا كانت هناك إجراءات تنظيمية أخرى (أوامر ، تعليمات ، تعليمات ، وما إلى ذلك) تنظم معالجة وحماية البيانات الشخصية للعميل ، تتم مراجعة هذه الإجراءات أيضًا ضد التوقيع.

 مطالبة الموظف (باستثناء المدير العام) بالتزام كتابي بالحفاظ على سرية البيانات الشخصية للعملاء والامتثال لقواعد معالجتها وفقًا للإجراءات المحلية الداخلية للمنظمة التي تنظم قضايا ضمان أمن المعلومات السرية.

5.3.8. موظف المنظمة الذي لديه حق الوصول إلى البيانات الشخصية للعملاء فيما يتعلق بأداء واجبات العمل:

 يضمن تخزين المعلومات التي تحتوي على البيانات الشخصية للعميل ، باستثناء الوصول إليها من قبل أطراف ثالثة.

 في حالة عدم وجود موظف ، يجب ألا تكون هناك مستندات تحتوي على بيانات شخصية للعملاء في مكان عمله.

 عند الذهاب في إجازة ، أثناء رحلة عمل وفي حالات أخرى من الغياب الطويل للموظف في مكان عمله ، فإنه ملزم بنقل المستندات والوسائط الأخرى التي تحتوي على بيانات شخصية للعملاء إلى شخص يقوم ، بموجب إجراء محلي من قبل الشركة (أمر ، أمر) ، ستعهد بتنفيذ واجباته العمالية.

 إذا لم يتم تعيين مثل هذا الشخص ، فسيتم نقل المستندات والوسائط الأخرى التي تحتوي على البيانات الشخصية للعملاء إلى موظف آخر لديه حق الوصول إلى البيانات الشخصية للعملاء بناءً على توجيه من المدير العام للمنظمة.

 عند فصل موظف لديه حق الوصول إلى البيانات الشخصية للعملاء ، يتم نقل المستندات والوسائط الأخرى التي تحتوي على البيانات الشخصية للعملاء إلى موظف آخر لديه حق الوصول إلى البيانات الشخصية للعملاء بناءً على توجيه من المدير العام .

 من أجل إنجاز المهمة الموكلة إليها وعلى أساس مذكرة بقرار إيجابي من المدير العام ، يمكن توفير الوصول إلى البيانات الشخصية للعميل لموظف آخر. يُحظر الوصول إلى البيانات الشخصية للعميل من قبل الموظفين الآخرين في المنظمة الذين ليس لديهم وصول رسمي بشكل صحيح.

5.3.9. يوفر مدير الموارد البشرية:

تعريف الموظفين بهذه اللائحة مقابل التوقيع عليها.

 مطالبة الموظفين بالتزام كتابي بالحفاظ على سرية البيانات الشخصية للعميل (اتفاقية عدم الإفشاء) والامتثال لقواعد معالجتها.

 الرقابة العامة على امتثال الموظفين لتدابير حماية البيانات الشخصية للعميل.

5.3.10. يوفر مسؤول النظام حماية البيانات الشخصية للعملاء المخزنة في قواعد البيانات الإلكترونية للمنظمة من الوصول غير المصرح به وتشويه المعلومات وإتلافها ، وكذلك من الإجراءات غير القانونية الأخرى.

5.4. تخزين البيانات الشخصية:

5.4.1. يتم تخزين البيانات الشخصية للعملاء على الورق في الخزائن.

5.4.2. يتم تخزين البيانات الشخصية للعملاء إلكترونيًا في شبكة الكمبيوتر المحلية للمؤسسة ، في مجلدات وملفات إلكترونية بتنسيق حواسيب شخصيةالمدير العام والموظفون المفوضون بمعالجة البيانات الشخصية للعملاء.

5.4.3. يتم تخزين المستندات التي تحتوي على البيانات الشخصية للعملاء في خزائن قابلة للقفل (خزائن) توفر الحماية ضد الوصول غير المصرح به. في نهاية يوم العمل ، يتم وضع جميع المستندات التي تحتوي على البيانات الشخصية للعملاء في خزائن (خزائن) توفر الحماية من الوصول غير المصرح به.

5.4.4. يتم ضمان حماية الوصول إلى قواعد البيانات الإلكترونية التي تحتوي على البيانات الشخصية للعملاء من خلال:

 استخدام برامج مكافحة الفيروسات والقرصنة المرخصة التي لا تسمح بالوصول غير المصرح به إلى الشبكة المحلية للمؤسسة.

 التفريق بين حقوق الوصول باستخدام حساب.

 نظام كلمات المرور من مرحلتين: على مستوى شبكة الكمبيوتر المحلية وعلى مستوى قواعد البيانات. يتم تعيين كلمات المرور من قبل مسؤول النظام في المؤسسة ويتم توصيلها بشكل فردي للموظفين الذين يمكنهم الوصول إلى البيانات الشخصية للعملاء.

5.4.4.1. يتم حظر الوصول غير المصرح به إلى جهاز الكمبيوتر ، الذي يحتوي على البيانات الشخصية للعملاء ، بواسطة كلمة مرور يحددها مسؤول النظام ولا يخضع للكشف.

5.4.4.2. جميع المجلدات والملفات الإلكترونية التي تحتوي على البيانات الشخصية للعملاء محمية بكلمة مرور ، يتم تعيينها من قبل موظف المؤسسة المسؤول عن الكمبيوتر الشخصي ويتم إبلاغ مسؤول النظام بها.

5.4.4.3. يقوم مسؤول النظام بتغيير كلمات المرور مرة واحدة على الأقل كل 3 أشهر.

5.4.5. يُسمح بنسخ البيانات الشخصية للعميل وعمل مقتطفات منها للأغراض الرسمية فقط بإذن كتابي من المدير العام للمنظمة.

5.4.6. لا يتم تقديم الردود على الطلبات المكتوبة من المنظمات والمؤسسات الأخرى حول البيانات الشخصية للعملاء إلا بموافقة كتابية من العميل نفسه ، ما لم ينص القانون على خلاف ذلك. يتم تقديم الإجابات كتابيًا ، على ورق الشركة ذي الرأسية ، وإلى الحد الذي يسمح بعدم الكشف عن الكمية الزائدة من البيانات الشخصية للعميل.

6. حظر ، تبديد الشخصية ، إتلاف البيانات الشخصية

6.1 إجراء حظر وإلغاء حظر البيانات الشخصية:

6.1.1. يتم حظر البيانات الشخصية للعملاء من خلال طلب مكتوب من العميل.

6.1.2. يتضمن حظر البيانات الشخصية ما يلي:

6.1.2.2. حظر نشر البيانات الشخصية بأي وسيلة (البريد الإلكتروني ، الخلوية، ناقلات المواد).

6.1.2.4. سحب المستندات الورقية المتعلقة بالعميل والتي تحتوي على بياناته الشخصية من سير العمل الداخلي للمنظمة وحظر استخدامها.

6.1.3. يمكن إزالة حظر البيانات الشخصية للعميل مؤقتًا إذا كان ذلك مطلوبًا للامتثال لتشريعات الاتحاد الروسي.

6.1.4. يتم إلغاء حظر البيانات الشخصية للعميل بموافقته الخطية (إذا كانت هناك حاجة للحصول على موافقة) أو طلب العميل.

6.1.5. تستلزم الموافقة المتكررة للعميل على معالجة بياناته الشخصية (إذا لزم الأمر ، الحصول عليها) إلغاء حظر بياناته الشخصية.

6.2 إجراءات تبديد الشخصية وإتلاف البيانات الشخصية:

6.2.1. يحدث عدم تخصيص البيانات الشخصية للعميل بناءً على طلب كتابي من العميل ، بشرط أن تكون جميع العلاقات التعاقدية قد اكتملت وأن تكون قد مرت 5 سنوات على الأقل من تاريخ انتهاء العقد الأخير.

6.2.2. عند نزع الطابع الشخصي عن البيانات الشخصية بتنسيق نظم المعلومات ah يتم استبدالها بمجموعة من الأحرف التي يستحيل من خلالها تحديد ما إذا كانت البيانات الشخصية تنتمي إلى عميل معين.

6.2.3. يتم إتلاف حاملات المستندات الورقية عند نزع الطابع الشخصي عن البيانات الشخصية.

6.2.4. تلتزم المنظمة بضمان السرية فيما يتعلق بالبيانات الشخصية إذا كان من الضروري اختبار أنظمة المعلومات على أراضي المطور وإلغاء الطابع الشخصي للبيانات الشخصية في أنظمة المعلومات المنقولة إلى المطور.

6.2.5. يعني إتلاف البيانات الشخصية للعميل إنهاء أي وصول إلى البيانات الشخصية للعميل.

6.2.6. عندما يتم إتلاف البيانات الشخصية للعميل ، لا يمكن لموظفي المنظمة الوصول إلى البيانات الشخصية للموضوع في أنظمة المعلومات.

6.2.7. عند إتلاف البيانات الشخصية ، يتم إتلاف حاملات المستندات الورقية ، وتصبح البيانات الشخصية في أنظمة المعلومات غير شخصية. لا يمكن استعادة البيانات الشخصية.

6.2.8. لا يمكن التراجع عن عملية تدمير البيانات الشخصية.

6.2.9. يتم تحديد الفترة التي يمكن بعدها تشغيل إتلاف البيانات الشخصية للعميل بنهاية الفترة المحددة في الفقرة 7.3 من هذه اللوائح.

7. نقل وتخزين البيانات الشخصية

7.1 نقل البيانات الشخصية:

7.1.1. يُفهم نقل البيانات الشخصية للموضوع على أنه نشر المعلومات من خلال قنوات الاتصال ووسائل الإعلام المادية.

7.1.2. عند نقل البيانات الشخصية ، يجب على موظفي المؤسسة الامتثال للمتطلبات التالية:

7.1.2.1. لا تفصح عن بيانات العميل الشخصية لأغراض تجارية.

7.1.2.2. لا تفصح عن بيانات العميل الشخصية لطرف ثالث دون موافقة كتابية من العميل ، باستثناء ما ينص عليه القانون الفيدرالي للاتحاد الروسي.

7.1.2.3. تحذير الأشخاص الذين يتلقون البيانات الشخصية للعميل من أنه لا يمكن استخدام هذه البيانات إلا للأغراض التي تم الإبلاغ عنها من أجلها ، ومطالبة هؤلاء الأشخاص بتأكيد مراعاة هذه القاعدة ؛

7.1.2.4. السماح بالوصول إلى البيانات الشخصية للعملاء فقط للأشخاص المصرح لهم بشكل خاص ، بينما يجب أن يكون لهؤلاء الأشخاص الحق في تلقي فقط تلك البيانات الشخصية للعملاء الضرورية لأداء وظائف محددة.

7.1.2.5. نقل البيانات الشخصية للعميل داخل المنظمة وفقًا لهذه اللوائح والوثائق التنظيمية والتكنولوجية وتوصيف الوظائف.

7.1.2.6. تزويد العميل بإمكانية الوصول إلى بياناته الشخصية عند الاتصال أو عند تلقي طلب من العميل. تلتزم المنظمة بتزويد العميل بمعلومات حول توفر البيانات الشخصية عنه ، وكذلك توفير فرصة للتعرف عليها في غضون عشرة أيام عمل من تاريخ الطلب.

7.1.2.7. نقل البيانات الشخصية للعميل إلى ممثلي العميل بالطريقة المنصوص عليها في القانون والوثائق التنظيمية والتكنولوجية وقصر هذه المعلومات فقط على تلك البيانات الشخصية للموضوع الضرورية للممثلين المحددين لأداء وظائفهم.

7.2 تخزين واستخدام البيانات الشخصية:

7.2.1. يشير تخزين البيانات الشخصية إلى وجود سجلات في أنظمة المعلومات وعلى الوسائط المادية.

7.2.2. تتم معالجة البيانات الشخصية للعملاء وتخزينها في أنظمة المعلومات ، وكذلك على الورق في المنظمة. يتم أيضًا تخزين البيانات الشخصية للعملاء في شكل إلكتروني: في شبكة الكمبيوتر المحلية للمنظمة ، في مجلدات وملفات إلكترونية في جهاز الكمبيوتر الخاص بالمدير العام والموظفين المخولين بمعالجة البيانات الشخصية للعملاء.

7.2.3. لا يجوز تنفيذ تخزين البيانات الشخصية للعميل أكثر مما تتطلبه أغراض المعالجة ، ما لم تنص القوانين الفيدرالية للاتحاد الروسي على خلاف ذلك.

7.3. شروط تخزين البيانات الشخصية:

7.3.1. شروط تخزين عقود القانون المدني التي تحتوي على البيانات الشخصية للعملاء ، وكذلك المستندات المصاحبة لإبرامها وتنفيذها - 5 سنوات من تاريخ انتهاء العقود.

7.3.2. خلال فترة التخزين ، لا يمكن التخلص من البيانات الشخصية أو إتلافها.

7.3.3. بعد انتهاء فترة التخزين ، يمكن نزع الطابع الشخصي عن البيانات الشخصية في أنظمة المعلومات وإتلافها على الورق بالطريقة المنصوص عليها في اللوائح والتشريعات الحالية للاتحاد الروسي. (ملحق قانون إتلاف البيانات الشخصية)

8. حقوق مشغل البيانات الشخصية

يحق للمنظمة:

8.1 دافع عن مصالحك في المحكمة.

8.2 تقديم البيانات الشخصية للعملاء إلى جهات خارجية ، إذا كان ذلك منصوصًا عليه بموجب القانون المعمول به (الضرائب ، ووكالات إنفاذ القانون ، وما إلى ذلك).

8.3 رفض تقديم البيانات الشخصية في الحالات التي ينص عليها القانون.

8.4 استخدام البيانات الشخصية للعميل دون موافقته ، في الحالات المنصوص عليها في تشريعات الاتحاد الروسي.

9. حقوق العميل

للعميل الحق في:

9.1 طلب توضيح بياناتهم الشخصية ، أو حظرها أو إتلافها إذا كانت البيانات الشخصية غير مكتملة ، أو قديمة ، أو غير موثوقة ، أو تم الحصول عليها بشكل غير قانوني أو غير ضرورية للغرض المعلن للمعالجة ، وكذلك اتخاذ الإجراءات القانونية لحماية حقوقهم ؛

9.2. طلب قائمة بالبيانات الشخصية المعالجة المتوفرة في المؤسسة ومصدر استلامها.

9.3 تلقي معلومات حول شروط معالجة البيانات الشخصية ، بما في ذلك شروط تخزينها.

9.4 طلب إخطار جميع الأشخاص الذين تم إبلاغهم مسبقًا ببيانات شخصية غير صحيحة أو غير كاملة بجميع الاستثناءات أو التصحيحات أو الإضافات التي تم إجراؤها عليهم.

9.5 مناشدة الهيئة المخولة لحماية حقوق أصحاب البيانات الشخصية أو في المحكمة ضد الإجراءات أو الإغفالات غير القانونية في معالجة بياناته الشخصية.

10. المسؤولية عن انتهاك القواعد التي تحكم معالجة وحماية البيانات الشخصية

10.1. يتحمل موظفو المنظمة المذنبون بانتهاك القواعد التي تحكم استلام ومعالجة وحماية البيانات الشخصية مسؤولية تأديبية أو إدارية أو مدنية أو جنائية وفقًا للتشريعات الحالية للاتحاد الروسي والإجراءات المحلية الداخلية للمنظمة.

1. الأسس النظرية لأمن البيانات الشخصية

1.1 الإطار التشريعي لحماية البيانات الشخصية في الاتحاد الروسي

1.3.1 الخصائص العامةمصادر التهديدات بالوصول غير المصرح به إلى نظام المعلومات للبيانات الشخصية.

1.3.2 الخصائص العامة لتهديدات الوصول المباشر إلى بيئة تشغيل نظام معلومات البيانات الشخصية

1.3.3 الخصائص العامة لتهديدات أمن البيانات الشخصية المنفذة باستخدام بروتوكولات العمل عبر الإنترنت

1.4 خصائص البنك وأنشطته

1.5 قواعد البيانات الشخصية

1.5.1 نظام معلومات البيانات الشخصية لموظفي المنظمة

1.5.2 نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته

1.5.3 نظام معلومات البيانات الشخصية للنظام المصرفي الآلي

1.6 الجهاز والتهديدات المحلية شبكة الكمبيوترإناء

1.7 أدوات أمن المعلومات

2.2 حماية البرامج والأجهزة

2.3 نهج الأمان الأساسي

2.3.1 نظام التوعية بأمن المعلومات للموظفين

2.3.4 كيف يعمل الموظفون مع البريد الإلكتروني

2.3.5 سياسة كلمة المرور الخاصة بالبنك

3. التبرير الاقتصادي للمشروع

خاتمة

التطبيقات.

مقدمة

استمرت الحوسبة المنتشرة التي بدأت في نهاية القرن العشرين حتى يومنا هذا. تعمل أتمتة العمليات في المؤسسات على زيادة إنتاجية العمال. يمكن لمستخدمي نظم المعلومات الحصول بسرعة على البيانات اللازمة لأداء واجباتهم. في الوقت نفسه ، إلى جانب تسهيل الوصول إلى البيانات ، هناك مشاكل تتعلق بأمان هذه البيانات. من خلال الوصول إلى أنظمة المعلومات المختلفة ، يمكن للمهاجمين استخدامها لتحقيق مكاسب شخصية: جمع البيانات لبيعها في السوق السوداء ، والسرقة مالمن عملاء المنظمة ، وسرقة الأسرار التجارية للمنظمة.

لذلك ، فإن مشكلة الحماية حرجة معلومات مهمةللمنظمات حاد للغاية. أصبح معروفًا بشكل متزايد من وسائل الإعلام حول التقنيات أو الأساليب المختلفة لسرقة الأموال عن طريق اختراق أنظمة المعلومات الخاصة بالمؤسسات المالية. بعد الوصول إلى أنظمة المعلومات الخاصة بالبيانات الشخصية ، يمكن للمهاجم سرقة بيانات عملاء المؤسسات المالية ، ونشر معلومات حول معاملاتهم المالية ، مما يتسبب في ضرر مالي وسمعة لعميل البنك. بالإضافة إلى ذلك ، بعد معرفة بيانات حول العميل ، يمكن للمحتالين الاتصال بالعميل مباشرة ، والتظاهر بأنهم موظفين في البنك والاحتيال ، باستخدام تقنيات الهندسة الاجتماعية ، ومعرفة كلمات المرور من الأنظمة المصرفية البعيدة وسحب الأموال من حساب العميل.

في بلدنا ، مشكلة سرقة البيانات الشخصية والتوزيع غير القانوني لها حادة للغاية. يوجد عدد كبير من الموارد على الإنترنت تحتوي على قواعد بيانات شخصية مسروقة ، والتي يمكن مساعدتها ، على سبيل المثال ، حسب الرقم تليفون محموليمكن العثور عليها جدًا معلومات مفصلةحسب الشخص ، بما في ذلك تفاصيل جوازات السفر والعناوين السكنية والصور الفوتوغرافية وغير ذلك الكثير.

في مشروع التخرج هذا ، أستكشف عملية إنشاء نظام حماية البيانات الشخصية في PJSC Citibank.

1. أساسيات أمن البيانات الشخصية

1.1 الأساس القانوني لحماية البيانات الشخصية

اليوم في روسيا ، يتم تنفيذ اللوائح الحكومية في مجال ضمان أمن البيانات الشخصية. الإجراءات القانونية الرئيسية التي تنظم نظام حماية البيانات الشخصية في الاتحاد الروسي هي دستور الاتحاد الروسي والقانون الفيدرالي "بشأن البيانات الشخصية" المؤرخ 27 يوليو 2006 رقم 152-FZ. يحدد هذان القانونان الرئيسيان الأطروحات الرئيسية حول البيانات الشخصية في الاتحاد الروسي:

لكل مواطن الحق في الخصوصية والأسرار الشخصية والعائلية وحماية شرفه وسمعته ؛

لكل فرد الحق في خصوصية المراسلات والمحادثات الهاتفية والمراسلات البريدية والبرقية وغيرها. لا يُسمح بتقييد هذا الحق إلا بناءً على قرار من المحكمة ؛

لا يُسمح بجمع وتخزين واستخدام ونشر معلومات عن الحياة الخاصة لأي شخص دون موافقته ؛

يجب أن تتم معالجة البيانات الشخصية على أساس قانوني وعادل ؛

يجب أن تقتصر معالجة البيانات الشخصية على تحقيق أغراض مشروعة ومحددة مسبقًا. لا يجوز معالجة البيانات الشخصية التي لا تتوافق مع أغراض جمع البيانات الشخصية.

لا يجوز الجمع بين قواعد البيانات التي تحتوي على بيانات شخصية ، والتي تتم معالجتها لأغراض لا تتوافق مع بعضها البعض.

فقط البيانات الشخصية التي تلبي أغراض معالجتها تخضع للمعالجة.

عند معالجة البيانات الشخصية ، يجب ضمان دقة البيانات الشخصية ، وكفايتها ، وإذا لزم الأمر ، ملاءمتها فيما يتعلق بأغراض معالجة البيانات الشخصية. يجب على المشغل اتخاذ التدابير اللازمة أو التأكد من اتخاذها لإزالة أو توضيح البيانات غير الكاملة أو غير الدقيقة.

يجب أن يتم تخزين البيانات الشخصية في شكل يسمح بتحديد موضوع البيانات الشخصية ، ليس أكثر مما تتطلبه أغراض معالجة البيانات الشخصية ، ما لم يتم تحديد فترة تخزين البيانات الشخصية بموجب القانون الفيدرالي ، وهي اتفاقية تنص على موضوع البيانات الشخصية طرف أو مستفيد أو ضامن. تخضع البيانات الشخصية المعالجة للتدمير أو نزع الشخصية عند الوصول إلى أهداف المعالجة أو في حالة فقدان الحاجة إلى تحقيق هذه الأهداف ، ما لم ينص القانون الفيدرالي على خلاف ذلك.

اللوائح الأخرى التي لها تأثير قانوني في مجال حماية البيانات الشخصية في المنظمات الخدمات المصرفيةالاتحاد الروسي:

القانون الاتحادي للاتحاد الروسي بتاريخ 27 يوليو 2006 رقم 149 FZ "بشأن المعلومات وتكنولوجيا المعلومات وحماية المعلومات" ؛

قانون العمل في الاتحاد الروسي (الفصل 14) ؛

المرسوم الصادر عن حكومة الاتحاد الروسي بتاريخ 1 نوفمبر 2012 رقم 1119 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" ؛

طلب FSTEC من روسيابتاريخ 18 فبراير 2013 رقم 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية".

انظر في التعريفات الرئيسية المستخدمة في التشريع.

البيانات الشخصية - أي معلومات تتعلق بشخص طبيعي محدد الهوية أو يمكن التعرف عليه بشكل مباشر أو غير مباشر (موضوع البيانات الشخصية).

مشغل البيانات الشخصية - هيئة حكومية أو هيئة بلدية أو كيان قانوني أو فرد ، بشكل مستقل أو بالاشتراك مع أشخاص آخرين ينظمون و (أو) ينفذون معالجة البيانات الشخصية ، وكذلك تحديد أغراض معالجة البيانات الشخصية ، وتكوين البيانات الشخصية. البيانات المراد معالجتها ، الإجراءات (العمليات) التي تتم باستخدام البيانات الشخصية ؛

معالجة البيانات الشخصية - أي إجراء (عملية) أو مجموعة إجراءات (عمليات) يتم إجراؤها باستخدام أو بدون استخدام أدوات التشغيل الآلي مع البيانات الشخصية ، بما في ذلك الجمع والتسجيل والتنظيم والتراكم والتخزين والتوضيح (التحديث والتغيير) والاستخراج ، استخدام ، نقل (توزيع ، توفير ، وصول) ، تبديد الشخصية ، حظر ، حذف ، إتلاف البيانات الشخصية ؛

المعالجة الآلية للبيانات الشخصية - معالجة البيانات الشخصية باستخدام تكنولوجيا الكمبيوتر ؛

نشر البيانات الشخصية - الإجراءات التي تهدف إلى الكشف عن البيانات الشخصية لدائرة غير محددة من الأشخاص ؛

توفير البيانات الشخصية - الإجراءات التي تهدف إلى الكشف عن البيانات الشخصية لشخص معين أو دائرة معينة من الأشخاص ؛

حظر البيانات الشخصية - التعليق المؤقت لمعالجة البيانات الشخصية (ما لم تكن المعالجة ضرورية لتوضيح البيانات الشخصية) ؛

إتلاف البيانات الشخصية - الإجراءات ، نتيجة لذلك يصبح من المستحيل استعادة محتوى البيانات الشخصية في نظام معلومات البيانات الشخصية و (أو) نتيجة تدمير ناقلات البيانات الشخصية المادية ؛

نزع الطابع الشخصي عن البيانات الشخصية - الإجراءات ، نتيجة لذلك يصبح من المستحيل ، بدون استخدام معلومات إضافية ، تحديد ملكية البيانات الشخصية من قبل موضوع معين من البيانات الشخصية ؛

نظام معلومات البيانات الشخصية - مجموعة من البيانات الشخصية الواردة في قواعد البيانات وتقنيات المعلومات التي تضمن معالجتها و الوسائل التقنية;

نقل البيانات الشخصية عبر الحدود - نقل البيانات الشخصية إلى أراضي دولة أجنبية إلى سلطة دولة أجنبية أو فرد أجنبي أو أجنبي كيان قانوني.

البيانات الشخصية البيومترية - المعلومات التي تميز الخصائص الفسيولوجية والبيولوجية للشخص ، والتي على أساسها يمكن تحديد هويته (البيانات الشخصية البيومترية) والتي يستخدمها المشغل لتحديد موضوع البيانات الشخصية.

أمن البيانات الشخصية - حالة حماية البيانات الشخصية ، والتي تتميز بقدرة المستخدمين والوسائل التقنية وتقنيات المعلومات لضمان سرية وسلامة وتوافر البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية

1.2 تصنيف التهديدات لأمن المعلومات من البيانات الشخصية.

يُفهم تهديد أمن المعلومات على أنه تهديد بانتهاك خصائص أمن المعلومات - توافر أصول معلومات المنظمة أو سلامتها أو سريتها.

تعمل قائمة التهديدات وتقييم احتمالية تنفيذها بالإضافة إلى نموذج الدخيل كأساس لتحليل مخاطر التهديدات وصياغة المتطلبات لنظام حماية النظام الآلي. بالإضافة إلى تحديد التهديدات المحتملة ، من الضروري تحليل التهديدات المحددة بناءً على تصنيفها وفقًا لعدد من الخصائص. تتيح لك التهديدات المقابلة لكل ميزة تصنيف تحسين المتطلبات التي تعكسها هذه الميزة.

نظرًا لأن المعلومات المخزنة والمعالجة في AS الحديث تتعرض لعدد كبير جدًا من العوامل ، يصبح من المستحيل إضفاء الطابع الرسمي على مهمة وصف المجموعة الكاملة من التهديدات. لذلك ، بالنسبة للنظام المحمي ، لا يتم تحديد قائمة التهديدات ، ولكن قائمة فئات التهديد.

يمكن تصنيف التهديدات المحتملة لأمن معلومات AS وفقًا للميزات الأساسية التالية:

حسب طبيعة الحدوث:

التهديدات الطبيعية الناجمة عن التأثير على NPP من العمليات الفيزيائية الموضوعية أو الكوارث الطبيعية ؛

التهديدات الاصطناعية لسلامة NPP الناجمة عن الأنشطة البشرية.

حسب درجة قصد المظهر:

التهديدات الناجمة عن الخطأ البشري أو الإهمال ، مثل إساءة استخدام معدات الحماية ، والإهمال في التعامل مع البيانات ؛

تهديدات العمل المتعمد ، مثل اختراق نظام آلي من قبل المتسللين ، وتدمير البيانات من قبل موظفي المنظمة من أجل الانتقام من صاحب العمل.

بحسب المصدر المباشر للتهديدات:

الأخطار الطبيعية ، مثل الكوارث الطبيعية والكوارث من صنع الإنسان ؛

التهديدات البشرية ، على سبيل المثال: إتلاف المعلومات ، والكشف عن البيانات السرية ؛

البرامج الثابتة المسموح بها ، مثل فشل الأجهزة المادي ، وأخطاء البرامج ، وتعارض البرامج ؛

البرامج والأجهزة غير المصرح بها ، على سبيل المثال ، إدخال أخطاء الأجهزة وأخطاء البرامج.

حسب موقع مصدر التهديد:

خارج المنطقة الخاضعة للرقابة ، على سبيل المثال ، اعتراض البيانات المنقولة عبر قنوات الاتصال ؛

O داخل المنطقة الخاضعة للرقابة ، على سبيل المثال ، النسخ غير المصرح به للمعلومات ، والوصول غير المصرح به إلى المنطقة المحمية ؛

مباشرة في نظام آلي ، على سبيل المثال ، الاستخدام غير الصحيح لموارد AS.

حسب درجة الاعتماد على نشاط AS:

بغض النظر عن نشاط الاتحاد الأفريقي ، على سبيل المثال ، السرقة المادية لوسائط التخزين ؛

فقط أثناء معالجة البيانات ، مثل الإصابة بالبرامج الضارة.

حسب درجة التأثير على المكيف:

التهديدات الخطيرة التي ، عند تنفيذها ، لا تغير أي شيء في هيكل ومحتوى AS ، على سبيل المثال ، التهديد بنسخ البيانات السرية ؛

التهديدات النشطة التي ، عند كشفها ، تقوم بإجراء تغييرات على بنية ومحتوى AS ، على سبيل المثال ، حذف البيانات وتعديلها.

حسب مراحل وصول المستخدمين أو البرامج إلى الموارد:

التهديدات التي تظهر في مرحلة الوصول إلى موارد AS ، على سبيل المثال: تهديدات الوصول غير المصرح به إلى AS ؛

التهديدات التي تظهر بعد السماح بالوصول إلى موارد AS ، على سبيل المثال ، الاستخدام غير الصحيح لموارد AS.

عن طريق الوصول إلى موارد AS:

تم تنفيذ التهديدات باستخدام مسار الوصول القياسي إلى موارد AS

تم تنفيذ التهديدات باستخدام مسار مخفي غير قياسي للوصول إلى موارد AS ، على سبيل المثال: الوصول غير المصرح به إلى موارد AS باستخدام ميزات غير موثقةبرنامج مثبت.

وفقًا للموقع الحالي للمعلومات المخزنة والمعالجة في AS:

تهديدات الوصول إلى المعلومات الموجودة على أجهزة التخزين الخارجية ، على سبيل المثال: نسخ المعلومات السرية من وسائط التخزين ؛

تهديدات الوصول إلى المعلومات الموجودة في ذاكرة الوصول العشوائي، على سبيل المثال: قراءة المعلومات المتبقية من ذاكرة الوصول العشوائي ، والوصول إلى منطقة نظام ذاكرة الوصول العشوائي عن طريق برامج التطبيق ؛

تهديدات الوصول إلى المعلومات المتداولة في خطوط الاتصال ، على سبيل المثال: الاتصال غير القانوني بخطوط الاتصال من أجل إزالة المعلومات ، وإرسال البيانات المعدلة ؛

تنقسم التأثيرات الخطرة على نظام آلي إلى عرضي ومتعمد.

يمكن أن تكون أسباب التأثيرات العرضية أثناء تشغيل محطة الطاقة النووية:

حالات الطوارئ بسبب الكوارث الطبيعية وانقطاع التيار الكهربائي ؛

رفض الخدمة

أخطاء البرامج ؛

أخطاء في عمل موظفي الخدمة والمستخدمين ؛

التدخل في خطوط الاتصال بسبب التأثيرات البيئية.

يعد استخدام الأخطاء في البرامج الطريقة الأكثر شيوعًا لانتهاك أمن المعلومات لأنظمة المعلومات. اعتمادًا على مدى تعقيد البرنامج ، يزداد عدد الأخطاء. يمكن للمهاجمين العثور على نقاط الضعف هذه ومن خلالها يمكنهم الوصول إلى نظام معلومات المنظمة. لتقليل هذه التهديدات ، من الضروري تحديث إصدارات البرامج في جميع الأوقات.

ترتبط التهديدات المتعمدة بالأفعال المستهدفة للمتطفلين. ينقسم المهاجمون إلى نوعين: مهاجم داخلي ومهاجم خارجي. يرتكب متطفل داخلي إجراءات غير قانونية أثناء وجوده داخل المنطقة الخاضعة للرقابة من النظام الآلي ويمكنه استخدام السلطة الرسمية للوصول المصرح به إلى النظام الآلي. لا يمتلك المهاجم الخارجي حق الوصول إلى المنطقة الخاضعة للرقابة ، ولكن يمكنه العمل في وقت واحد مع مهاجم داخلي لتحقيق أهدافه.

هناك ثلاثة تهديدات رئيسية لأمن المعلومات موجهة مباشرة إلى المعلومات المحمية:

انتهاك السرية - لا يتم تغيير المعلومات السرية ، ولكنها تصبح متاحة لأطراف ثالثة غير مسموح لهم بالوصول إلى هذه المعلومات. عندما يتحقق هذا التهديد ، هناك احتمال كبير أن يقوم المهاجم بالإفصاح عن المعلومات المسروقة ، مما قد يؤدي إلى إلحاق ضرر مالي أو ضرر بالسمعة. انتهاك سلامة المعلومات المحمية - تشويه المعلومات أو تغييرها أو إتلافها. يمكن انتهاك سلامة المعلومات ليس عن قصد ، ولكن نتيجة عدم كفاءة أو إهمال موظف في المؤسسة. يمكن للمهاجم أيضًا انتهاك النزاهة لتحقيق أهدافه الخاصة. على سبيل المثال ، تغيير تفاصيل الحساب في نظام مصرفي آلي من أجل تحويل الأموال إلى حساب المهاجم أو استبدال البيانات الشخصية لعميل المؤسسة من أجل الحصول على معلومات حول تعاون العميل مع المنظمة.

انتهاك توافر المعلومات المحمية أو رفض الخدمة - الإجراءات التي لا يستطيع فيها المستخدم المصرح له الوصول إلى المعلومات المحمية لأسباب مثل: فشل الأجهزة أو البرامج أو فشل شبكة المنطقة المحلية.

بعد النظر في تهديدات الأنظمة الآلية ، يمكنك المتابعة لتحليل التهديدات التي يتعرض لها نظام معلومات البيانات الشخصية.

نظام معلومات البيانات الشخصية - مجموعة من البيانات الشخصية الواردة في قواعد البيانات وتقنيات المعلومات والوسائل التقنية التي تضمن معالجتها.

أنظمة معلومات البيانات الشخصية هي مجموعة من المعلومات والبرامج وعناصر الأجهزة ، بالإضافة إلى تقنيات المعلومات المستخدمة في معالجة البيانات الشخصية.

العناصر الرئيسية لـ ISPD هي:

البيانات الشخصية الموجودة في قواعد البيانات ؛

تقنيات المعلومات المستخدمة في معالجة PD ؛

الوسائل التقنية التي تعالج البيانات الشخصية (أجهزة الكمبيوتر ، وأنظمة المعلومات والحاسوب والشبكات ، ووسائل وأنظمة إرسال واستقبال ومعالجة البيانات الشخصية ، ووسائل وأنظمة تسجيل الصوت ، وتضخيم الصوت ، واستنساخ الصوت ، ووسائل التصنيع ، وتكرار المستندات وغيرها. الوسائل التقنية لمعالجة الكلام والرسوم والفيديو والمعلومات الأبجدية الرقمية) ؛

برمجة(أنظمة التشغيل وأنظمة إدارة قواعد البيانات وما إلى ذلك) ؛

وسائل حماية المعلومات ISPDn؛

الوسائل والأنظمة التقنية المساعدة - الوسائل والأنظمة التقنية ، اتصالاتها ، غير المخصصة لمعالجة البيانات الشخصية ، ولكنها موجودة في المباني التي يوجد بها ISPD.

تهديدات لأمن البيانات الشخصية - مجموعة من الشروط والعوامل التي تخلق خطر غير المصرح به ، بما في ذلك الوصول العرضي إلى البيانات الشخصية ، مما قد يؤدي إلى إتلاف البيانات الشخصية وتعديلها وحظرها ونسخها وتوزيعها ، وكذلك الإجراءات الأخرى غير المصرح بها أثناء معالجتها في نظام البيانات الشخصية للمعلومات.

تشمل خصائص نظام معلومات البيانات الشخصية التي تسبب ظهور UBPD فئة وحجم البيانات الشخصية المعالجة في نظام معلومات البيانات الشخصية ، وهيكل نظام معلومات البيانات الشخصية ، ووجود اتصالات ISPD بشبكات الاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية ، وخصائص أمن النظام الفرعي للبيانات الشخصية التي تتم معالجتها في ISPD ، وأنماط معالجة البيانات الشخصية ، وأنماط التمايز في حقوق الوصول لمستخدمي ISPD ، وموقع وشروط وضع وسائل ISPD التقنية.

تتميز خصائص بيئة الانتشار للإشارات الإعلامية التي تحتوي على معلومات محمية بنوع البيئة المادية التي يتم فيها توزيع PD ويتم تحديدها عند تقييم إمكانية تنفيذ UBPD. يتم تحديد إمكانيات مصادر UBPD من خلال مجموعة من طرق الوصول غير المصرح به و (أو) العرضي إلى PD ، ونتيجة لذلك يمكن للسرية (النسخ والتوزيع غير القانوني) والتكامل (التدمير والتعديل) والتوافر (الحجب) لـ PD أن تنتهك.

يتحقق التهديد لأمن البيانات الشخصية نتيجة لتشكيل قناة لتنفيذ UBPD بين مصدر التهديد وناقل (مصدر) PD ، مما يخلق ظروفًا لانتهاك أمان PD.

العناصر الرئيسية لقناة تنفيذ UBPD (الشكل 1) هي:

مصدر UBPD - موضوع أو كائن مادي أو ظاهرة فيزيائية تخلق UBPD ؛

بيئة توزيع PD أو التأثيرات التي يمكن أن ينتشر فيها مجال مادي أو إشارة أو بيانات أو برامج ويؤثر على الخصائص المحمية للبيانات الشخصية ؛

حامل البيانات الشخصية - كائن فردي أو مادي ، بما في ذلك المجال المادي الذي تنعكس فيه PD في شكل رموز وصور وإشارات وحلول وعمليات تقنية وخصائص كمية للكميات المادية.

الشكل 1. مخطط معمم للقناة لتنفيذ التهديدات لأمن البيانات الشخصية

قد تحتوي ناقلات PD على معلومات معروضة في الأشكال التالية:

المعلومات الصوتية (الكلام) الواردة مباشرة في الكلام المنطوق لمستخدم ISPD عندما يؤدي الوظيفة مدخل الصوت PD في نظام معلومات البيانات الشخصية ، أو مستنسخة بوسائل ISPD الصوتية (إذا تم توفير هذه الوظائف بواسطة تقنية معالجة PD) ، وكذلك مضمنة في المجالات الكهرومغناطيسية والإشارات الكهربائية التي تنشأ بسبب تحويل المعلومات الصوتية ؛

عرض المعلومات (السادس) المعروضة في شكل نصوص وصور أجهزة مختلفةعرض المعلومات من أجهزة الكمبيوتر والمعلومات وأنظمة الكمبيوتر والوسائل التقنية لمعالجة المعلومات الرسومية والفيديو والأبجدية الرقمية التي تشكل جزءًا من ISPD ؛

المعلومات المعالجة (المتداولة) في ISPD ، في شكل إشارات كهربائية ، كهرومغناطيسية ، بصرية ؛

المعلومات المعالجة في ISPD ، المقدمة في شكل بتات ، بايت ، ملفات وهياكل منطقية أخرى.

من أجل تكوين قائمة منهجية لـ UBPDs أثناء معالجتها في ISPDs وتطوير نماذج خاصة على أساسها فيما يتعلق بنوع معين من ISPDs ، يتم تصنيف التهديدات وفقًا للسمات التالية (الشكل 2):

حسب نوع المعلومات المحمية من UBPD ، التي تحتوي على PD ؛

حسب أنواع المصادر المحتملة لـ UBPD ؛

حسب نوع ISPD ، الذي يتم توجيه تنفيذ UBPD إليه ؛

وفقًا لطريقة تنفيذ UBPD ؛

حسب نوع ملكية المعلومات التي يتم انتهاكها (نوع الإجراءات غير المصرح بها التي يتم تنفيذها مع PD) ؛

عن طريق الضعف المستغل ؛

حسب موضوع التأثير.

وفقًا لأنواع المصادر المحتملة لـ UBPD ، يتم تمييز ما يلي

فئات التهديد:

التهديدات المرتبطة بالإجراءات المتعمدة أو غير المقصودة للأشخاص الذين لديهم إمكانية الوصول إلى ISPD ، بما في ذلك مستخدمي نظام معلومات البيانات الشخصية ، وتنفيذ التهديدات مباشرة في ISPD (المخالف الداخلي) ؛

التهديدات المرتبطة بالإجراءات المتعمدة أو غير المقصودة للأشخاص الذين ليس لديهم إمكانية الوصول إلى ISPD ، وتنفيذ التهديدات من الشبكات الخارجيةالاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية (دخيل خارجي).

بالإضافة إلى ذلك ، يمكن أن تنشأ التهديدات من إدخال أخطاء الأجهزة والبرامج الضارة.

وفقًا لنوع ISPD ، الذي يهدف إلى تنفيذ UBPD ، يتم تمييز الفئات التالية من التهديدات:

معالجة UBPD في ISPD على أساس محطة عمل مستقلة (AWP) ؛

تتم معالجة UBPD في ISPD على أساس مكان عمل مؤتمت متصل بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD على أساس أنظمة المعلومات المحلية دون الاتصال بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD على أساس أنظمة المعلومات المحلية المتصلة بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD على أساس أنظمة المعلومات الموزعة دون الاتصال بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD استنادًا إلى أنظمة المعلومات الموزعة المتصلة بشبكة عامة (بشبكة تبادل المعلومات الدولية).

يتم تمييز الفئات التالية من التهديدات وفقًا لأساليب تنفيذ UBPD:

التهديدات المرتبطة بـ UA to PD (بما في ذلك التهديدات بإدخال برامج ضارة) ؛

تهديدات تسرب البيانات الشخصية من خلال القنوات التقنية لتسرب المعلومات ؛

تهديدات التأثيرات الخاصة على ISPD.

وفقًا لنوع الإجراءات غير المصرح بها التي يتم تنفيذها باستخدام PD ، يتم تمييز فئات التهديدات التالية:

التهديدات التي تؤدي إلى انتهاك سرية PD (النسخ أو التوزيع غير المصرح به) ، والتي لا يؤثر تنفيذها بشكل مباشر على محتوى المعلومات ؛

التهديدات التي تؤدي إلى التأثير غير المصرح به ، بما في ذلك العرضي ، على محتوى المعلومات ، مما يؤدي إلى تغيير PD أو إتلافه ؛

التهديدات التي تؤدي إلى التأثير غير المصرح به ، بما في ذلك التأثير العرضي ، على عناصر البرامج أو الأجهزة والبرامج الخاصة بـ ISPD ، ونتيجة لذلك يتم حظر PD.

تتميز فئات التهديد التالية بالثغرة الأمنية المستغلة:

التهديدات المنفذة باستخدام ثغرات برمجيات النظام ؛

التهديدات التي يتم تنفيذها باستخدام نقاط الضعف في برامج التطبيقات ؛

التهديدات الناتجة عن استخدام ثغرة أمنية ناتجة عن وجود علامة تبويب الجهاز في AS ؛

التهديدات المنفذة باستخدام نقاط الضعف في بروتوكولات اتصالات الشبكة وقنوات نقل البيانات ؛

التهديدات الناتجة عن استغلال الضعف الناجم عن أوجه القصور في تنظيم VBI من NSD ؛

التهديدات المنفذة باستخدام نقاط الضعف التي تسبب وجود قنوات تقنية لتسرب المعلومات ؛

تم تنفيذ التهديدات باستخدام ثغرات أمنية المعلومات.

وفقًا لهدف التأثير ، يتم تمييز فئات التهديدات التالية:

التهديدات لأمن PD التي تمت معالجتها في محطة العمل ؛

التهديدات لأمن PD التي تتم معالجتها في أدوات معالجة مخصصة (الطابعات ، الراسمات ، الراسمات ، الشاشات عن بعد ، أجهزة عرض الفيديو ، أدوات إعادة إنتاج الصوت ، إلخ) ؛

التهديدات لأمن PD المنقولة عبر شبكات الاتصال ؛

تهديدات البرامج التطبيقية التي تعالج PD ؛

التهديدات لبرامج النظام التي تضمن عمل ISPD.

يمكن أن يؤدي تنفيذ أحد UBPDs للفئات المدرجة أو دمجها إلى الأنواع التالية من العواقب على موضوعات PD:

عواقب سلبية كبيرة على موضوعات PD ؛

عواقب سلبية على موضوعات PD ؛

عواقب سلبية غير مهمة على موضوعات PD.

يتم وصف تهديدات تسرب البيانات الشخصية من خلال القنوات التقنية بشكل لا لبس فيه من خلال خصائص مصدر المعلومات ووسيلة التوزيع ومستقبل الإشارة الإعلامية ، أي أنها تحددها الخصائص قناة تقنيةتسريبات PD.

يتم تقديم تهديدات الوصول غير المصرح به (UAH) كمجموعة من الفئات المعممة للمصادر المحتملة لتهديدات UA ونقاط ضعف البرامج والبرامج. المعدات ISPD ، وطرق تنفيذ التهديدات ، والأشياء المؤثرة (ناقلات المعلومات المحمية ، والأدلة ، والدلائل ، والملفات مع PD أو PD أنفسهم) والإجراءات المدمرة المحتملة. يتم وصف هذا التمثيل من خلال الترميز الرسمي التالي (الشكل 2).

1.3 الخصائص العامة لمصادر التهديد في أنظمة معلومات البيانات الشخصية

يتم تنفيذ التهديدات التي تتعرض لها UA في ISPD باستخدام البرامج والبرامج والأجهزة عندما يتم الوصول غير المصرح به ، بما في ذلك العرضي ، مما يؤدي إلى انتهاك سرية وسلامة وتوافر PD ، وتشمل:

تهديدات الوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر باستخدام برامج قياسية (أدوات نظام التشغيلأو برامج التطبيق العامة) ؛

تهديدات إنشاء أوضاع غير طبيعية لتشغيل البرامج (البرامج والأجهزة) بسبب التغييرات المتعمدة في بيانات الخدمة ، وتجاهل القيود المفروضة على تكوين وخصائص المعلومات المعالجة المقدمة في الظروف العادية ، وتشويه (تعديل) البيانات نفسها ، إلخ.؛

الشكل 2 تصنيف الشكل 2 معالجة UBPD في نظم معلومات البيانات الشخصية

تهديدات إدخال البرامج الخبيثة (تأثير البرمجيات الرياضية).

يوضح الشكل 3 تكوين عناصر وصف تهديدات الوصول إلى الخدمات على المعلومات الواردة في ISPD.

بالإضافة إلى ذلك ، فإن التهديدات المركبة ممكنة ، وهي مزيج من هذه التهديدات. على سبيل المثال ، نظرًا لإدخال برامج ضارة ، يمكن إنشاء شروط لـ UA في بيئة تشغيل الكمبيوتر ، بما في ذلك عن طريق تشكيل غير تقليدي قنوات المعلوماتوصول.

تنقسم تهديدات الوصول غير المصرح به إلى بيئة تشغيل ISPD باستخدام برنامج قياسي إلى تهديدات مباشرة و الوصول عن بعد. يتم تنفيذ تهديدات الوصول المباشر باستخدام البرامج والبرامج الثابتة I / O للكمبيوتر. يتم تنفيذ تهديدات الوصول عن بعد باستخدام بروتوكولات اتصالات الشبكة.

يتم تنفيذ مثل هذه التهديدات فيما يتعلق بـ ISPD على أساس مكان عمل مؤتمت غير مدرج في شبكة الاتصالات العامة ، وفيما يتعلق بجميع ISPD المتصلة بشبكات الاتصالات العامة وشبكات تبادل المعلومات الدولية.

الشكل 3 تصنيف UBPD المعالج في أنظمة معلومات البيانات الشخصية

1.3.1 وصف عام لمصادر تهديدات الوصول غير المصرح به في نظام المعلومات للبيانات الشخصية.

يمكن أن تكون مصادر التهديدات في نظام معلومات البيانات الشخصية:

دخيل

حامل برنامج ضار ؛

إشارة مرجعية للأجهزة.

يتم تحديد التهديدات الأمنية PD المرتبطة بإدخال أخطاء في الأجهزة وفقًا للوثائق التنظيمية لدائرة الأمن الفيدرالية في الاتحاد الروسي بالطريقة التي تحددها.

وفقًا لوجود حق الوصول الدائم أو الوصول لمرة واحدة إلى المنطقة الخاضعة للرقابة من ISPD ، يتم تقسيم المخالفين إلى نوعين:

المخالفون الذين ليس لديهم وصول إلى ISPD ، الذين يدركون التهديدات من شبكات الاتصال العامة الخارجية و (أو) شبكات تبادل المعلومات الدولية ، هم منتهكون خارجيون ؛

المخالفون الذين لديهم إمكانية الوصول إلى ISPD ، بما في ذلك مستخدمي ISPD الذين ينفذون التهديدات مباشرة في ISPD ، هم منتهكون داخليون.

يمكن أن يكون الدخلاء الخارجيون:

المنظمات المتنافسة ؛

شركاء عديمي الضمير

الموضوعات الخارجية (الأفراد).

الدخيل الخارجي لديه القدرات التالية:

لإجراء وصول غير مصرح به إلى قنوات الاتصال التي تتجاوز مباني المكتب ؛

إجراء وصول غير مصرح به من خلال محطات العمل المتصلة بشبكات الاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية ؛

إجراء وصول غير مصرح به إلى المعلومات باستخدام إجراءات برمجية خاصة من خلال فيروسات البرامج أو البرامج الضارة أو الإشارات المرجعية الخوارزمية أو البرامج ؛

إجراء وصول غير مصرح به من خلال العناصر البنية التحتية للمعلوماتنظام المعلومات الخاص بالبيانات الشخصية ، والتي تكون خلال دورة حياتها (التحديث ، الصيانة ، الإصلاح ، التخلص) خارج المنطقة الخاضعة للرقابة ؛

لإجراء وصول غير مصرح به من خلال أنظمة المعلومات من الإدارات والمنظمات والمؤسسات المتفاعلة عندما تكون متصلة بـ ISPD.

يتم تقسيم المخالفين المحتملين الداخليين إلى ثماني فئات حسب طريقة الوصول وصلاحية الوصول إلى PD.

تشمل الفئة الأولى الأشخاص الذين أذن لهم بالوصول إلى ISPD ، لكن ليس لديهم حق الوصول إلى PD. يشمل هذا النوع من الجناة المسؤولين الذين يقدمون الأداء الطبيعي ISPDn.

الوصول إلى أجزاء من المعلومات التي تحتوي على PD ويتم توزيعها عبر قنوات اتصال ISPD الداخلية ؛

للحصول على أجزاء من المعلومات حول طوبولوجيا ISPD وبروتوكولات الاتصال المستخدمة وخدماتها ؛

الحصول على أسماء المستخدمين المسجلين وتحديد كلمات مرورهم ؛

قم بتغيير تكوين أجهزة ISPD ، وأدخل إشارات مرجعية للبرامج والأجهزة فيه وقم بتوفير استرجاع المعلومات باستخدام اتصال مباشر بجهاز ISPD.

يمتلك جميع إمكانيات الأشخاص من الفئة الأولى ؛

يعرف على الأقل اسم وصول قانوني واحد ؛

يحتوي على جميع السمات الضرورية التي توفر الوصول إلى مجموعة فرعية معينة من PD ؛

لديه بيانات سرية يمكنه الوصول إليها.

يجب أن يتم تنظيم حقوق الوصول والمصادقة والوصول إلى مجموعة فرعية معينة من PD بواسطة قواعد التحكم في الوصول ذات الصلة.

لديه كل إمكانيات الأشخاص من الفئتين الأولى والثانية ؛

لديه معلومات حول طوبولوجيا ISPD بناءً على نظام معلومات محلي و (أو) موزع يتم من خلاله توفير الوصول ، وحول تكوين الوسائل التقنية لـ ISPD ؛

لديه إمكانية الوصول المباشر (المادي) إلى أجزاء من الوسائل التقنية ISPD.

يمتلك معلومات كاملةحول النظام والبرمجيات التطبيقية المستخدمة في قطاع (جزء) من ISPD ؛

يمتلك معلومات كاملة حول الوسائل التقنية وتكوين قطاع ISPD (جزء) ؛

لديه حق الوصول إلى أدوات أمن المعلومات والتسجيل ، وكذلك إلى العناصر الفرديةالمستخدمة في الجزء (جزء) من ISPD ؛

لديه إمكانية الوصول إلى جميع الوسائل التقنية لقطاع ISPD (جزء) ؛

لديه الحق في تكوين وإدارة مجموعة فرعية من الوسائل التقنية لقطاع ISPD (جزء).

صلاحيات مسؤول نظام ISPD.

لديه كل إمكانيات الأشخاص من الفئات السابقة ؛

يمتلك معلومات كاملة عن النظام وبرامج التطبيقات الخاصة بـ ISPD ؛

يمتلك معلومات كاملة حول الوسائل التقنية وتكوين ISPD ؛

لديه حق الوصول إلى جميع الوسائل التقنية لمعالجة المعلومات وبيانات ISPD ؛

يمتلك حقوق التكوين والإعداد الإداري للوسائل التقنية لـ ISPD.

يقوم مسؤول النظام بتكوين وإدارة البرامج والأجهزة ، بما في ذلك الأجهزة المسؤولة عن أمان الكائن المحمي: الأدوات حماية التشفيرالمعلومات والمراقبة والتسجيل والأرشفة والحماية من الوصول غير المصرح به.

لديه كل إمكانيات الأشخاص من الفئات السابقة ؛

يمتلك معلومات كاملة عن ISPD ؛

لديه إمكانية الوصول إلى أدوات أمن المعلومات والتسجيل وبعض العناصر الرئيسية لـ ISPD ؛

ليس لديه حقوق وصول لتكوين أجهزة الشبكة ، باستثناء أجهزة التحكم (التفتيش).

يمتلك معلومات حول الخوارزميات وبرامج معالجة المعلومات على ISPD ؛

لديه القدرة على إدخال أخطاء ، وميزات غير معلن عنها ، وإشارات مرجعية للبرامج ، وبرامج ضارة برمجة ISPD في مرحلة تطويره وتنفيذه وصيانته ؛

يمكن أن تحتوي على أي أجزاء من المعلومات حول طوبولوجيا ISPD والوسائل التقنية لمعالجة وحماية PD التي تتم معالجتها في ISPD.

لديه القدرة على عمل إشارات مرجعية في الوسائل التقنية لـ ISPD في مرحلة تطويرها وتنفيذها وصيانتها ؛

يمكن أن تحتوي على أي أجزاء من المعلومات حول طوبولوجيا ISPD والوسائل التقنية لمعالجة المعلومات وحمايتها في ISPD.

يمكن أن يكون ناقل البرنامج الضار عنصرًا في جهاز الكمبيوتر أو حاوية برامج. إذا كانت البرامج الضارة غير مرتبطة بأي تطبيق برنامج، ثم باعتبارها الناقل لها تعتبر:

الوسائط الغريبة ، أي قرص مرن ، الأقراص الضوئية، ذاكرة متنقله؛

وسائط تخزين مدمجة ( الأقراص الصلبة، رقائق ذاكرة الوصول العشوائي ، المعالج ، الرقائق لوحة النظام، رقاقات الأجهزة المضمنة في وحدة النظام، - محول الفيديو ، وكارت الشبكة ، وكارت الصوت ، والمودم ، وأجهزة الإدخال / الإخراج صلب مغناطيسيو الأقراص الضوئية، وإمدادات الطاقة ، وما إلى ذلك ، رقائق الوصول المباشر للذاكرة ، وحافلات البيانات ، ومنافذ الإدخال / الإخراج) ؛

شرائح الأجهزة الخارجية (الشاشة ، لوحة المفاتيح ، الطابعة ، المودم ، الماسح الضوئي ، إلخ).

إذا كان البرنامج الضار مرتبطًا بأي برنامج تطبيقي ، فالملفات التي تحتوي على ملفات امتدادات معينةأو سمات أخرى ، مع إرسال الرسائل عبر الشبكة ، فإن شركات النقل هي:

حزم الرسائل المنقولة عبر شبكة الكمبيوتر ؛

الملفات (نصوص ، رسم ، قابل للتنفيذ ، إلخ).

1.3.2 الخصائص العامة لتهديدات الوصول المباشر إلى بيئة تشغيل نظام معلومات البيانات الشخصية

ترتبط تهديدات الوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر والوصول غير المصرح به إلى PD بالوصول إلى:

للمعلومات والأوامر المخزنة في نظام الإدخال / الإخراج الأساسي لـ ISPD ، مع إمكانية اعتراض التحكم في تحميل نظام التشغيل والحصول على حقوق مستخدم موثوق به ؛

في بيئة التشغيل ، أي في بيئة عمل نظام التشغيل المحلي لوسائل تقنية منفصلة لـ ISPD مع إمكانية إجراء وصول غير مصرح به عن طريق استدعاء البرامج العادية لنظام التشغيل أو إطلاق برامج مصممة خصيصًا لتنفيذ مثل هذه الإجراءات ؛

إلى البيئة لتشغيل برامج التطبيق (على سبيل المثال ، لنظام إدارة قواعد البيانات المحلية) ؛

مباشرة إلى معلومات المستخدم (إلى الملفات والنصوص والصوت و معلومات بيانيةوالحقول والسجلات في قواعد البيانات الإلكترونية) وتعزى لاحتمال انتهاك سريتها وسلامتها وتوافرها.

يمكن تنفيذ هذه التهديدات في حالة الوصول المادي إلى ISPD أو ، على الأقل ، إلى وسائل إدخال المعلومات في ISPD. يمكن تصنيفها حسب شروط التنفيذ في ثلاث مجموعات.

تتضمن المجموعة الأولى التهديدات التي تم تنفيذها أثناء تحميل نظام التشغيل. تهدف تهديدات أمن المعلومات هذه إلى اعتراض كلمات المرور أو المعرفات ، وتعديل برنامج نظام الإدخال / الإخراج الأساسي ، واعتراض التحكم في التنزيل مع تغيير المعلومات التكنولوجية اللازمة لتلقي UA في بيئة تشغيل ISPD. في أغلب الأحيان ، يتم تنفيذ مثل هذه التهديدات باستخدام وسائل الإعلام المنفردة.

المجموعة الثانية هي التهديدات التي يتم تنفيذها بعد تحميل بيئة التشغيل ، بغض النظر عن برنامج التطبيق الذي يتم تشغيله من قبل المستخدم. تهدف هذه التهديدات عادةً إلى الوصول المباشر غير المصرح به إلى المعلومات. عند الوصول إلى بيئة التشغيل ، يمكن للمتطفل استخدام كل من الوظائف القياسية لنظام التشغيل أو بعض برامج التطبيقات العامة (على سبيل المثال ، أنظمة إدارة قواعد البيانات) ، والبرامج التي تم إنشاؤها خصيصًا لأداء الوصول غير المصرح به ، على سبيل المثال:

عارضات التسجيل والتعديلات ؛

برامج البحث عن النصوص في الملفات النصية الكلمات الدالةوالنسخ.

برامج خاصة لعرض ونسخ السجلات في قواعد البيانات ؛

برامج لعرض الملفات الرسومية بسرعة وتحريرها أو نسخها ؛

برامج دعم القدرة على إعادة التكوين بيئة البرمجيات(إعدادات ISPD لصالح الجاني).

أخيرًا ، تتضمن المجموعة الثالثة التهديدات ، والتي يتم تحديد تنفيذها من خلال أي من برامج التطبيق يتم تشغيله من قبل المستخدم ، أو من خلال حقيقة أن أيًا من برامج التطبيق قد تم إطلاقه. معظم هذه التهديدات هي تهديدات حقن البرامج الضارة.

1.3.3 الخصائص العامة لتهديدات أمن البيانات الشخصية المنفذة باستخدام بروتوكولات العمل عبر الإنترنت

إذا تم تنفيذ ISPD على أساس نظام معلومات محلي أو موزع ، فيمكن تنفيذ تهديدات أمن المعلومات فيه باستخدام بروتوكولات الإنترنت. في الوقت نفسه ، يمكن توفير NSD إلى PD أو يمكن تحقيق التهديد برفض الخدمة. تكون التهديدات خطيرة بشكل خاص عندما يكون ISPD عبارة عن نظام معلومات موزع متصل بالشبكات العامة و (أو) شبكات تبادل المعلومات الدولية. يظهر مخطط تصنيف التهديدات المنفذة عبر الشبكة في الشكل 4. وهو يعتمد على ميزات التصنيف الأساسية السبعة التالية.

الشكل 4 مخطط تصنيف التهديدات باستخدام بروتوكولات الإنترنت

1. طبيعة التهديد. على هذا الأساس ، يمكن أن تكون التهديدات سلبية ونشطة. التهديد السلبي هو تهديد لا يؤثر تنفيذه بشكل مباشر على تشغيل ISPD ، ولكن قد يتم انتهاك القواعد المعمول بها لتقييد الوصول إلى PD أو موارد الشبكة. ومن الأمثلة على هذه التهديدات تهديد "تحليل حركة مرور الشبكة" ، والذي يهدف إلى الاستماع إلى قنوات الاتصال واعتراض المعلومات المنقولة. التهديد النشط هو تهديد مرتبط بالتأثير على موارد ISPD ، والذي يؤثر تنفيذه بشكل مباشر على تشغيل النظام (تغيير التكوين ، وتعطيل الأداء ، وما إلى ذلك) ، وينتهك القواعد المعمول بها لتقييد الوصول إلى PD أو موارد الشبكة. مثال على هذه التهديدات هو تهديد رفض الخدمة ، الذي يتم تسويقه على أنه "عاصفة طلب TCP".

2. الغرض من تنفيذ التهديد. على هذا الأساس ، يمكن أن تهدف التهديدات إلى انتهاك سرية وسلامة وتوافر المعلومات (بما في ذلك انتهاك قابلية تشغيل ISPD أو عناصرها).

3. شرط بدء عملية تنفيذ التهديد. على هذا الأساس ، يمكن إدراك التهديد:

بناءً على طلب الكائن الذي يتم تنفيذ التهديد ضده. في هذه الحالة ، ينتظر المتسلل إرسال طلب من نوع معين ، والذي سيكون شرطًا لبدء الوصول غير المصرح به ؛

عند وقوع حدث متوقع في المنشأة التي يتم تنفيذ التهديد ضدها. في هذه الحالة ، يراقب الدخيل باستمرار حالة نظام تشغيل ISPD ، وفي حالة حدوث حدث معين في هذا النظام ، يبدأ الوصول غير المصرح به ؛

تأثير غير مشروط. في هذه الحالة ، تكون بداية تنفيذ الوصول غير المصرح به غير مشروط فيما يتعلق بالغرض من الوصول ، أي أن التهديد يتحقق على الفور وبغض النظر عن حالة النظام.

4. التوافر تعليقمع ISPD. على هذا الأساس ، يمكن أن تكون عملية تنفيذ التهديد مع أو بدون ردود الفعل. يتميز التهديد ، الذي يتم تنفيذه في وجود ردود فعل من نظام معلومات البيانات الشخصية ، بحقيقة أن بعض الطلبات المرسلة إلى ISPD تتطلب من المخالف تلقي رد. وبالتالي ، هناك تغذية مرتدة بين المخالف ونظام معلومات البيانات الشخصية ، مما يسمح للمخالف بالرد بشكل مناسب على جميع التغييرات التي تحدث في ISPD. على عكس التهديدات التي يتم تنفيذها في ظل وجود ردود فعل من نظام معلومات البيانات الشخصية ، عند تنفيذ التهديدات دون ردود فعل ، لا يلزم الرد على أي تغييرات تحدث في ISPD.

5. موقع الدخيل بالنسبة إلى ISPD. وفقًا لهذه العلامة ، يتحقق التهديد على حد سواء داخل المقطع وبين المقطع.

مقطع الشبكة - اتحاد مادي للمضيفين (أجهزة ISPD أو عناصر الاتصال التي لها عنوان شبكة). على سبيل المثال ، يشكل جزء من نظام معلومات البيانات الشخصية مجموعة من المضيفين المتصلين بالخادم وفقًا لنظام "الناقل المشترك". في حالة وجود تهديد داخل المقطع ، يكون للدخيل وصول مادي إلى عناصر أجهزة ISPD. إذا كان هناك تهديد بين القطاعات ، فإن الجاني يقع خارج ISPD ، مدركًا التهديد من شبكة أخرى أو من جزء آخر من نظام معلومات البيانات الشخصية.

6. المستوى نموذج مرجعي Open Systems Interconnection (ISO / OSI) الذي يتم تنفيذ التهديد عليه. على هذا الأساس ، يمكن تنفيذ التهديد على المستويات المادية ، والقناة ، والشبكة ، والنقل ، والجلسة ، والعرض التقديمي ، والتطبيق لنموذج ISO / OSI.

7. نسبة عدد المخالفين وعناصر ISPD التي يتم تنفيذ التهديد ضدهم. على هذا الأساس ، يمكن تصنيف التهديد على أنه تهديد ينفذه متطفل واحد ضد أداة تقنية ISPD واحدة (تهديد "واحد لواحد") ، ضد العديد من الوسائل التقنية لـ ISPD في وقت واحد (تهديد "واحد لكثير") أو بواسطة العديد من المتسللين من أجهزة كمبيوتر مختلفة بالنسبة إلى وسيلة تقنية واحدة أو أكثر من ISPD (التهديدات الموزعة أو المشتركة).

مع الأخذ في الاعتبار التصنيف الذي تم تنفيذه ، فإننا نحدد الأنواع الرئيسية للهجمات على نظام معلومات البيانات الشخصية:

1. تحليل حركة مرور الشبكة.

يتم تنفيذ هذا التهديد باستخدام برنامج الشم الحزم الخاص الذي يعترض جميع الحزم المرسلة عبر قطاع الشبكة ويفرد بينها تلك التي يتم فيها إرسال معرف المستخدم وكلمة المرور. أثناء تنفيذ التهديد ، يدرس الدخيل منطق الشبكة - أي يسعى للحصول على مراسلات فردية بين الأحداث التي تحدث في النظام والأوامر المرسلة من قبل المضيفين في وقت حدوث هذه الأحداث. في المستقبل ، يسمح هذا للمهاجم ، بناءً على تخصيص الأوامر المناسبة ، بالحصول على حقوق الامتياز للعمل في النظام أو توسيع صلاحياته فيه ، واعتراض تدفق البيانات المرسلة المتبادلة بين مكونات نظام تشغيل الشبكة من أجل لاستخراج المعلومات السرية أو المعلومات التعريفية واستبدالها وتعديلها.

2- فحص الشبكة.

يتمثل جوهر عملية تنفيذ التهديد في إرسال الطلبات إلى خدمات الشبكة لمضيفي ISPD وتحليل الردود الواردة منهم. الهدف هو تحديد البروتوكولات المستخدمة والمنافذ المتاحة خدمات الشبكة، قوانين تشكيل معرفات الاتصال ، تعريف خدمات الشبكة النشطة ، اختيار معرفات المستخدم وكلمات المرور.

3. التهديد بالكشف عن كلمة المرور.

الغرض من تنفيذ التهديد هو الحصول على UA من خلال التغلب على حماية كلمة المرور. يمكن للمهاجم تنفيذ تهديد باستخدام مجموعة متنوعة من الأساليب ، مثل القوة الغاشمة البسيطة ، والقوة الغاشمة باستخدام قواميس خاصة ، وتثبيت برامج ضارة لاعتراض كلمة المرور ، وانتحال كائن شبكة موثوق به ، واستنشاق الحزمة. تستخدم أساسا لتنفيذ التهديد برامج خاصةالتي تحاول الوصول إلى المضيف عن طريق فرض كلمات المرور الغاشمة. في حالة نجاحه ، يمكن للمهاجم إنشاء نقطة دخول لنفسه للوصول إليها في المستقبل ، والتي ستظل سارية المفعول حتى إذا تم تغيير كلمة مرور الوصول على المضيف.

4- استبدال كائن شبكة موثوق به ونقل الرسائل من خلال قنوات الاتصال نيابة عنه مع التنازل عن حقوق الوصول الخاصة به.

يتم تنفيذ مثل هذا التهديد بشكل فعال في الأنظمة حيث يتم استخدام خوارزميات ضعيفة لتحديد وتوثيق المضيفين والمستخدمين. الكائن الموثوق به هو كائن شبكة (كمبيوتر ، وجدار حماية ، وجهاز توجيه ، وما إلى ذلك) متصل قانونيًا بالخادم. يمكن التمييز بين نوعين مختلفين من عملية تنفيذ هذا التهديد: مع إنشاء اتصال افتراضي وبدونه. تتكون عملية التنفيذ مع إنشاء اتصال افتراضي في تعيين حقوق موضوع تفاعل موثوق به ، مما يسمح للمتطفل بإجراء جلسة مع كائن شبكة نيابة عن موضوع موثوق به. يتطلب تنفيذ هذا النوع من التهديد التغلب على نظام تحديد الرسائل والمصادقة عليها. يمكن أن تتم عملية تنفيذ تهديد بدون إنشاء اتصال افتراضي في الشبكات التي تحدد الرسائل المرسلة فقط بواسطة عنوان الشبكةمرسل. يكمن الجوهر في إرسال رسائل الخدمة نيابة عن أجهزة التحكم في الشبكة (على سبيل المثال ، نيابة عن أجهزة التوجيه) حول تغيير بيانات التوجيه والعنوان.

نتيجة تنفيذ التهديد ، يحصل المخالف على حقوق الوصول ، مثبت من قبل المستخدملمشترك موثوق به ، إلى أداة ISPD التقنية.

5. فرض مسار شبكة زائف.

يتم تحقيق هذا التهديد بإحدى طريقتين: عن طريق الفرض داخل المقطع أو بين الأجزاء. ترجع إمكانية فرض مسار خاطئ إلى أوجه القصور المتأصلة في خوارزميات التوجيه (على وجه الخصوص ، بسبب مشكلة تحديد أجهزة التحكم في الشبكة) ، ونتيجة لذلك يمكنك الوصول ، على سبيل المثال ، إلى مضيف أو شبكة مهاجم ، حيث يمكنك إدخال بيئة تشغيل أداة فنية كجزء من ISPD. يعتمد تنفيذ التهديد على الاستخدام غير المصرح به لبروتوكولات التوجيه والتحكم في الشبكة لإجراء تغييرات على جداول التوجيه. في هذه الحالة ، يحتاج الدخيل إلى إرسال رسالة تحكم نيابة عن جهاز التحكم في الشبكة (على سبيل المثال ، جهاز توجيه).

6. إدخال كائن شبكة زائف.

يعتمد هذا التهديد على استغلال نقاط الضعف في خوارزميات البحث عن بعد. إذا كانت كائنات الشبكة في البداية لا تحتوي على معلومات عنوان حول بعضها البعض ، فسيتم استخدام بروتوكولات بحث عن بعد مختلفة ، والتي تتكون من إرسال طلبات خاصة عبر الشبكة وتلقي إجابات عليها بالمعلومات المطلوبة. في هذه الحالة ، هناك احتمال للاعتراض من قبل الدخيل استعلام بحثوإصدار رد خاطئ عليه يؤدي استخدامه إلى التغيير المطلوب في بيانات التوجيه والعنوان. في المستقبل ، سيمر التدفق الكامل للمعلومات المرتبطة بكائن الضحية عبر كائن الشبكة الخاطئ

7. الحرمان من الخدمة.

تستند هذه التهديدات إلى عيوب في برامج الشبكة ، ونقاط ضعفها التي تسمح للمتطفل بتهيئة الظروف عندما يكون نظام التشغيل غير قادر على معالجة الحزم الواردة. يمكن تمييز عدة أنواع من هذه التهديدات:

رفض كامن للخدمة ناتج عن مشاركة جزء من موارد ISPD لمعالجة الحزم المرسلة من قبل المهاجم مع انخفاض في عرض النطاق الترددي لقنوات الاتصال والأداء أجهزة الشبكة، انتهاك متطلبات وقت معالجة الطلبات. أمثلة على تنفيذ التهديدات من هذا النوع: عاصفة موجهة من طلبات الصدى عبر بروتوكول ICMP ، عاصفة من الطلبات لإنشاء اتصالات TCP ، عاصفة من الطلبات إلى خادم FTP ؛

رفض صريح للخدمة بسبب استنفاد موارد ISPD عند معالجة الحزم المرسلة من قبل المهاجم (شغل النطاق الترددي الكامل لقنوات الاتصال ، تجاوز قوائم انتظار طلبات الخدمة) ، حيث لا يمكن إرسال الطلبات القانونية عبر الشبكة بسبب عدم توفرها من وسيط الإرسال أو تم رفضه في الصيانة بسبب اكتظاظ قوائم انتظار الطلبات ومساحة قرص الذاكرة وما إلى ذلك. ومن أمثلة التهديدات من هذا النوع ، عاصفة طلب صدى بث ICMP ، والعاصفة الموجهة ، وعاصفة رسائل خادم البريد ؛

الرفض الصريح للخدمة الناجم عن انتهاك الاتصال المنطقي بين الوسائل التقنية لـ ISPD عندما يرسل الجاني رسائل تحكم نيابة عن أجهزة الشبكة ، مما يؤدي إلى تغيير في بيانات التوجيه والعنوان أو معلومات التعريف والمصادقة ؛

رفض صريح للخدمة بسبب مهاجم يرسل حزمًا ذات سمات غير قياسية أو يتجاوز طولها الحد الأقصى للحجم المسموح به ، مما قد يؤدي إلى فشل أجهزة الشبكة المشاركة في معالجة الطلبات ، بشرط وجود أخطاء في البرامج التي تنفذ بروتوكولات تبادل الشبكة . قد تكون نتيجة تنفيذ هذا التهديد حدوث خلل في أداء الخدمة المقابلة لتوفير الوصول عن بعد إلى PD في ISPD ، والنقل من عنوان واحد لأكبر عدد من طلبات الاتصال بالمنشأة الفنية كجزء من ISPD ، والتي يمكنها معالجة حركة المرور بأكبر قدر ممكن ، مما يستلزم تجاوز قائمة انتظار الطلبات وفشل أحدها من خدمات الشبكة أو الإغلاق الكامل للكمبيوتر بسبب عدم قدرة النظام على فعل أي شيء بخلاف طلبات المعالجة.

8. إطلاق التطبيقات عن بعد.

يكمن التهديد في الرغبة في تشغيل العديد من البرامج الضارة المضمنة سابقًا على مضيف ISPD: الإشارات المرجعية والفيروسات و "جواسيس الشبكة" ، والغرض الرئيسي منها هو انتهاك السرية والنزاهة وتوافر المعلومات والسيطرة الكاملة على تشغيل المضيف. بالإضافة إلى ذلك ، يمكن الإطلاق غير المصرح به لبرامج تطبيقات المستخدم من أجل الحصول غير المصرح به على البيانات اللازمة للجاني ، ولإطلاق العمليات التي يتحكم فيها برنامج التطبيق ، وما إلى ذلك. هناك ثلاث فئات فرعية من هذه التهديدات:

توزيع الملفات التي تحتوي على كود قابل للتنفيذ غير مصرح به ؛

إطلاق التطبيق عن بعد من خلال تجاوز المخزن المؤقت لخوادم التطبيق ؛

بدء تشغيل التطبيق عن بُعد باستخدام إمكانات إدارة النظام عن بُعد التي توفرها علامات تبويب البرامج والأجهزة المخفية أو المستخدمة الوسائل العادية.

تعتمد التهديدات النموذجية من أول هذه الفئات الفرعية على تنشيط الملفات الموزعة عند الوصول إليها عن طريق الخطأ. ومن أمثلة هذه الملفات: الملفات التي تحتوي على تعليمات برمجية قابلة للتنفيذ في شكل وحدات ماكرو (مستندات مايكروسوفت وورد، Excel) ، مستندات html تحتوي على كود قابل للتنفيذ في النموذج عناصر تحكم ActiveX، تطبيقات Java الصغيرة ، البرامج النصية المفسرة (على سبيل المثال ، JavaScript البرامج الضارة) ؛ الملفات التي تحتوي على أكواد البرامج القابلة للتنفيذ.

لتوزيع الملفات ، يمكن استخدام البريد الإلكتروني ونقل الملفات وخدمات نظام ملفات الشبكة.

تستخدم التهديدات من الفئة الفرعية الثانية أوجه القصور في البرامج التي تنفذ خدمات الشبكة (على وجه الخصوص ، عدم وجود التحكم في تجاوز سعة المخزن المؤقت). من خلال ضبط سجلات النظام ، من الممكن أحيانًا تبديل المعالج ، بعد مقاطعة تجاوز سعة المخزن المؤقت ، إلى تنفيذ التعليمات البرمجية الموجودة خارج حدود المخزن المؤقت.

مع تهديدات الفئة الفرعية الثالثة ، يستخدم الدخيل إمكانات إدارة النظام عن بُعد التي توفرها المكونات المخفية أو أدوات الإدارة والإدارة القياسية. شبكات الحاسب. نتيجة لاستخدامها ، من الممكن تحقيق التحكم عن بعد في المحطة في الشبكة. من الناحية التخطيطية ، فإن المراحل الرئيسية لعمل هذه البرامج هي كما يلي: التثبيت في الذاكرة ؛ انتظار طلب من مضيف بعيد يقوم بتشغيل برنامج عميل ويتبادل معه رسائل الاستعداد ؛ نقل المعلومات التي تم اعتراضها إلى العميل أو منحه السيطرة على الكمبيوتر المهاجم. النتائج المحتملة من تنفيذ التهديدات من مختلف الفئات مبينة في الجدول 1

الجدول 1. النتائج المحتملة لتنفيذ التهديدات من مختلف الفئات

№ ع / ن	نوع الهجوم		العواقب المحتملة
1	تحليل حركة مرور الشبكة		دراسة خصائص حركة الشبكة ، واعتراض البيانات المرسلة ، بما في ذلك معرفات المستخدم وكلمات المرور
2	مسح الشبكة		تعريف البروتوكولات والمنافذ المتاحة لخدمات الشبكة وقواعد إنشاء معرفات الاتصال وخدمات الشبكة النشطة ومعرفات المستخدم وكلمات المرور
3	هجوم "كلمة المرور"		القيام بأي عمل هدام متعلق بالحصول على وصول غير مصرح به
4	انتحال كائن شبكة موثوق به		تغيير مسار الرسائل ، والتغيير غير المصرح به لبيانات التوجيه والعنوان. الوصول غير المصرح به إلى موارد الشبكة ، وفرض معلومات خاطئة
5	فرض طريق خاطئ		تغيير غير مصرح به في بيانات التوجيه والعنوان ، وتحليل البيانات المرسلة وتعديلها ، وفرضها رسائل كاذبة̆
6	حقن كائن شبكة وهمي		اعتراض ومشاهدة حركة المرور. الوصول غير المصرح به إلى موارد الشبكة ، وفرض معلومات خاطئة
7	الحرمان من الخدمة	استنفاد جزئي للموارد	انخفاض عرض النطاق الترددي لقنوات الاتصال وأداء أجهزة الشبكة. انخفاض أداء تطبيقات الخادم.
		استنفاد كامل للموارد	استحالة إرسال الرسائل بسبب عدم الوصول إلى وسيط الإرسال ، ورفض إنشاء اتصال. الحرمان من الخدمة.
		انتهاك الارتباط المنطقي بين السمات والبيانات والأشياء	عدم القدرة على إرسال الرسائل بسبب نقص بيانات التوجيه والعنوان الصحيحة. عدم القدرة على تلقي الخدمات بسبب التعديل غير المصرح به للمعرفات وكلمات المرور وما إلى ذلك.
		استخدام الخلل في البرامج	فشل أجهزة الشبكة.
8	تشغيل التطبيق عن بعد	عن طريق إرسال ملفات تحتوي على تعليمات برمجية مدمرة قابلة للتنفيذ ، عدوى بالفيروسات.	انتهاك السرية والنزاهة وتوافر المعلومات.
		عن طريق تجاوز سعة المخزن المؤقت لتطبيق الخادم
		من خلال اغتنام الفرص جهاز التحكميتم توفيره بواسطة علامات تبويب البرامج والأجهزة المخفية أو الأدوات القياسية المستخدمة	إدارة النظام المخفية.

تتكون عملية إدراك التهديد بشكل عام من أربع مراحل:

جمع المعلومات؛

الاقتحامات (اختراق بيئة التشغيل) ؛

تنفيذ الوصول غير المصرح به ؛

القضاء على آثار الوصول غير المصرح به.

في مرحلة جمع المعلومات ، قد يكون المخالف مهتمًا بمعلومات مختلفة حول ISPD ، بما في ذلك:

حول هيكل الشبكة التي يعمل فيها النظام. يمكن أن يستكشف هذا المنطقة المحيطة بالشبكة (على سبيل المثال ، قد يكون الدخيل مهتمًا بعناوين المضيفين الموثوق بهم ولكن الأقل أمانًا). توجد أدوات توفر مضيف متوازي يمكنها مسح مساحة كبيرة من مساحة العنوان لتوافر المضيف في فترة زمنية قصيرة .؛

حول نوع نظام التشغيل (OS) في ISPD. يمكنك ملاحظة طريقة تحديد نوع نظام التشغيل ، مثل استعلام بسيطلإنشاء اتصال عبر بروتوكول الوصول عن بُعد Telnet ، ونتيجة لذلك ، من خلال "مظهر" الاستجابة ، يمكنك تحديد نوع نظام التشغيل المضيف. يمكن أن يكون وجود خدمات معينة بمثابة مؤشر إضافي لنوع نظام التشغيل المضيف ؛

حول الخدمات التي تعمل على المضيفين. يعتمد تعريف الخدمات التي تعمل على مضيف على طريقة "المنافذ المفتوحة" لجمع المعلومات حول توفر مضيف.

في مرحلة الغزو ، يتم التحقيق في وجود نقاط ضعف نموذجية في خدمات النظام أو أخطاء في إدارة النظام. عادةً ما يؤدي الاستغلال الناجح للثغرات الأمنية إلى اكتساب عملية المهاجم وضع التنفيذ المميز (الوصول إلى وضع التنفيذ المميز للمعالج) ، أو حقن حساب مستخدم غير قانوني في النظام ، أو الحصول على ملف كلمة مرور ، أو تعطيل المضيف المهاجم.

هذه المرحلة من تطور التهديد ، كقاعدة عامة ، متعددة المراحل. قد تشمل مراحل عملية تنفيذ التهديد ، على سبيل المثال: إنشاء اتصال مع المضيف الذي يتم تنفيذ التهديد ضده ؛ تحديد الضعف؛ إدخال برنامج ضار لصالح التمكين ، إلخ.

تنقسم التهديدات التي يتم تنفيذها في مرحلة الاقتحام إلى طبقات مكدس بروتوكول TCP / IP ، حيث يتم تشكيلها على مستوى الشبكة أو النقل أو التطبيق ، اعتمادًا على آلية الاقتحام المستخدمة. تشمل التهديدات النموذجية التي يتم تنفيذها على مستوى الشبكة والنقل ما يلي:

تهديد يهدف إلى استبدال كائن موثوق به ؛

تهديد يهدف إلى خلق مسار خاطئ في الشبكة ؛

التهديدات التي تهدف إلى إنشاء كائن زائف باستخدام أوجه القصور في خوارزميات البحث عن بعد ؛

تهديدات رفض الخدمة.

تشمل التهديدات النموذجية التي يتم تنفيذها على مستوى التطبيق التهديدات التي تهدف إلى الإطلاق غير المصرح به للتطبيقات ، والتهديدات ، والتي يرتبط تنفيذها بإدخال أخطاء البرامج ، مع اكتشاف كلمات مرور الوصول إلى شبكة أو مضيف معين ، إلخ. إذا لم يجلب تنفيذ التهديد للمنتهك أعلى حقوق وصول في النظام ، فمن الممكن محاولة توسيع هذه الحقوق إلى أقصى مستوى ممكن. لهذا ، يمكن استخدام نقاط الضعف ليس فقط في خدمات الشبكة ، ولكن أيضًا نقاط الضعف في برنامج النظام لمضيفي ISPDN.

في مرحلة تنفيذ الوصول غير المصرح به ، يتحقق هدف تنفيذ التهديد:

انتهاك السرية (النسخ ، التوزيع غير القانوني) ؛

انتهاك السلامة (تدمير ، تغيير) ؛

انتهاك الإتاحة (الحجب).

في نفس المرحلة ، بعد هذه الإجراءات ، كقاعدة عامة ، يتم تشكيل ما يسمى بـ "الباب الخلفي" في شكل إحدى الخدمات التي تخدم منفذًا معينًا وتنفذ أوامر الدخيل. يتم ترك "الباب الخلفي" في النظام من أجل ضمان: القدرة على الوصول إلى المضيف ، حتى لو قام المسؤول بإزالة الثغرة الأمنية المستخدمة لتنفيذ التهديد بنجاح ؛ القدرة على الوصول إلى المضيف بتكتم قدر الإمكان ؛ القدرة على الوصول إلى المضيف بسرعة (دون تكرار عملية تنفيذ التهديد). يسمح "الباب الخلفي" للمهاجم بحقن برنامج ضار في شبكة أو على مضيف معين ، على سبيل المثال ، "محلل كلمة المرور" - وهو برنامج يستخرج معرفات المستخدم وكلمات المرور من حركة مرور الشبكة عند تشغيل بروتوكولات عالية المستوى). يمكن أن تكون كائنات حقن البرامج الضارة برامج المصادقة والتعريف ، وخدمات الشبكة ، ونواة نظام التشغيل ، نظام الملفاتوالمكتبات وما إلى ذلك.

أخيرًا ، في مرحلة القضاء على آثار تنفيذ التهديد ، يتم إجراء محاولة لتدمير آثار أفعال الدخيل. يؤدي هذا إلى إزالة الإدخالات المقابلة من جميع سجلات التدقيق المحتملة ، بما في ذلك السجلات المتعلقة بجمع المعلومات.

1.4 خصائص البنك وأنشطته

PJSC Citibank هي مؤسسة مالية وائتمانية تابعة للنظام المصرفي للاتحاد الروسي تُجري معاملات مالية بالأموال والأوراق المالية. يقدم البنك خدمات مالية للأفراد والكيانات القانونية.

الأنشطة الرئيسية هي إقراض الكيانات القانونية والأفراد ، وخدمة حسابات العملاء من الشركات ، وجذب الأموال من السكان في الودائع ، والعمليات في أسواق الصرف الأجنبي والأسواق بين البنوك ، والاستثمارات في السندات والأذون.

يمارس البنك أنشطته المالية منذ 1 أغسطس 1990 ، على أساس الترخيص العام لبنك روسيا للأنشطة المصرفية رقم 356.

لدى البنك ثلاثة أنظمة لمعلومات البيانات الشخصية:

نظام المعلومات الخاص بالبيانات الشخصية لموظفي البنك - يسمح بتحديد 243 موضوعًا من البيانات الشخصية ؛

نظام معلومات البيانات الشخصية لنظام التحكم في الوصول والإدارة - يسمح لك بتحديد 243 موضوعًا من البيانات الشخصية ؛

نظام معلومات البيانات الشخصية للنظام المصرفي الآلي - يسمح لك بتحديد 9681 موضوعًا من البيانات الشخصية.

1.5 قواعد البيانات الشخصية

يحتاج البنك إلى حماية العديد من البيانات الشخصية المعلوماتية في وقت واحد ، وهي:

نظام المعلومات الخاص بالبيانات الشخصية لموظفي البنك.

نظام معلومات البيانات الشخصية لنظام التحكم في الوصول والإدارة ؛

نظام معلومات البيانات الشخصية للنظام المصرفي الآلي.

1.5.1 نظام معلومات البيانات الشخصية لموظفي المنظمة

يستخدم ISPD لموظفي البنك للتراكم لموظفي البنك أجور، وأتمتة عمل موظفي قسم الموارد البشرية ، وأتمتة عمل موظفي قسم المحاسبة بالبنك ، وحل قضايا الموظفين والمحاسبة الأخرى. يتكون من قاعدة بيانات 1C "إدارة الرواتب والأفراد" ، وتقع على محطة عمل منفصلة مع إمكانية الاتصال بمكان العمل عبر الشبكة. تقع محطة العمل في مكتب قسم الموارد البشرية. تم تركيب غرفة عمليات على محطة العمل نظام مايكروسوفتويندوز إكس بي. لا يوجد اتصال بالإنترنت في محطة العمل.

الاسم الكامل؛

تاريخ الميلاد؛

سلسلة ورقم جواز السفر ؛

رقم التليفون؛

الحق في العمل مع برنامج 1C "إدارة الرواتب والموظفين" وقاعدة بيانات البيانات الشخصية لديهم:

رئيس الحسابات؛

مساعد محاسب رئيسي ؛

رئيس قسم الموارد البشرية؛

موظف مسؤول عن كشوف رواتب موظفي البنك.

تغيير البيانات يدويًا ؛

1.5.2 نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته

يستخدم نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته لتخزين البيانات الشخصية لموظفي وزوار البنك الذين يمكنهم الوصول إلى مختلف مباني البنك. يتم استخدام ISDN لنظام التحكم في الوصول والإدارة من قبل قسم الأمن بالبنك. يتم تثبيت قاعدة بيانات ISPD على محطة العمل الموجودة في غرفة الأمن بقسم الأمن. يتم تثبيت نظام التشغيل Microsoft Windows 7 على محطة العمل ISPD ، ويستخدم Microsoft DBMS كنظام لإدارة قواعد البيانات خادم قاعدة البيانات 2012. AWP ISPD ليس لديه وصول إلى الشبكة المحلية ، كما أنه ليس لديه إمكانية الوصول إلى الإنترنت.

يقوم ISPD بتخزين البيانات الشخصية التالية:

الاسم الكامل؛

صورة موظف.

الحق في العمل مع أنظمة التحكم في الوصول ISPDn وإدارتها له ما يلي:

رئيس دائرة الأمن بالبنك.

نائب رئيس دائرة الأمن بالبنك.

موظفو إدارة الأمن بالبنك.

الوصول إلى مكان العمل الآلي لنظام التحكم في الوصول والإدارة لديه:

مديرو النظام ، لإدارة محطة العمل والبرمجيات 1C "إدارة الرواتب والموظفين" وقاعدة البيانات الشخصية ؛

موظفو القسم المسؤولون عن أمن معلومات البنك لإدارة نظام حماية معلومات AWP.

يمكن أداء الوظائف التالية في ISPD لموظفي البنك:

الحذف الآلي للبيانات الشخصية ؛

الإزالة اليدويةبيانات شخصية؛

تغيير البيانات يدويًا ؛

إضافة يدويةبيانات شخصية؛

البحث الآلي عن البيانات الشخصية.

يقوم نظام معلومات البيانات الشخصية بتخزين البيانات التي تجعل من الممكن التعرف على 243 موظفًا بالبنك.

بعد تحقيق أهداف معالجة البيانات الشخصية للموظف ، يتم حذف بياناته الشخصية من ISPD.

1.5.3 نظام معلومات البيانات الشخصية للنظام المصرفي الآلي

تم تصميم نظام معلومات البيانات الشخصية للنظام المصرفي الآلي لأتمتة عمل معظم موظفي البنك. يحسن إنتاجية الموظفين. يستخدم المجمع كنظام مصرفي آلي منتجات البرمجيات"CFT-Bank" ، من إنتاج مجموعة شركات "مركز التقنيات المالية". يستخدم برنامج أوراكل كنظام لإدارة قواعد البيانات. يتم نشر ISPD على خادم البنك ، ونظام التشغيل المثبت على الخادم هو Microsoft مشغل برامج وندوز 2008R2. يتم توصيل ISPD للنظام المصرفي الآلي بشبكة الكمبيوتر المحلية للبنك ، ولكن ليس لديه إمكانية الوصول إلى الإنترنت. يتصل المستخدمون بقاعدة بيانات ISPD باستخدام منتجات برامج CFT-Bank من محطات افتراضية مخصصة. كل مستخدم لديه تسجيل الدخول وكلمة المرور الخاصة به في ISPD.

البيانات الشخصية المعالجة في ISPD:

الاسم الكامل؛

تاريخ الميلاد؛

سلسلة ورقم جواز السفر ؛

رقم التليفون؛

يحق للأشخاص التالية أسماؤهم العمل مع برنامج CFT-Bank وقاعدة بيانات البيانات الشخصية:

موظفو المحاسبة

ضباط القروض

موظفو قسم إدارة المخاطر ؛

موظفو قسم الضمانات ؛

المديرين الشخصيين

مديري العملاء ؛

طقم الحراسه.

الوصول إلى محطة العمل متاح لـ:

مسؤولو النظام لإدارة الخادم وقاعدة البيانات الشخصية وبرنامج CFT-Bank ؛

موظفو القسم المسؤولون عن أمن المعلومات بالبنك لإدارة الخادم وقاعدة بيانات البيانات الشخصية وبرامج CFT-Bank.

يمكن أداء الوظائف التالية في ISPD لموظفي البنك:

الحذف الآلي للبيانات الشخصية ؛

الحذف اليدوي للبيانات الشخصية ؛

إضافة البيانات الشخصية يدويًا ؛

تغيير البيانات يدويًا ؛

البحث الآلي عن البيانات الشخصية.

يقوم نظام معلومات البيانات الشخصية بتخزين البيانات التي تجعل من الممكن تحديد 243 موظفًا في البنك و 9438 عميلًا للبنك.

بعد تحقيق أهداف معالجة البيانات الشخصية للموظف ، يتم حذف بياناته الشخصية من ISPD.

1.6 هيكل وتهديدات شبكة المنطقة المحلية للبنك

البنك لديه شبكة خادم العميل. اسم المجال الذي توجد فيه محطات عمل المستخدمين هو vitabank.ru. في المجموع ، يوجد في البنك 243 محطة عمل آلية للمستخدم ، بالإضافة إلى 10 الخوادم الافتراضيةو 15 محطة عمل افتراضية. يقوم قسم إدارة النظام بمراقبة أداء الشبكة. تم بناء الشبكة بشكل أساسي على معدات شبكة Cisco. يتم الحفاظ على الاتصال بمكاتب إضافية باستخدام قنوات VPN باستخدام الإنترنت من خلال القنوات النشطة والنسخ الاحتياطي لمزود الإنترنت. يتم تبادل المعلومات مع البنك المركزي من خلال قناة مخصصة ، وكذلك من خلال قنوات الاتصال التقليدية.

يتمتع جميع المستخدمين بإمكانية الوصول إلى الإنترنت على محطات العمل المحلية ، ولكن العمل مع المستندات وأنظمة المعلومات الخاصة بالبنك يتم فقط باستخدام محطات العمل الافتراضية ، حيث يكون الوصول إلى الإنترنت محدودًا ويتم تحميل الموارد المحلية للبنك فقط.

الوصول إلى الإنترنت من محطات العمل المحلية محدد بمجموعات الوصول:

الحد الأدنى من الوصول - الوصول فقط إلى موارد الخدمات الفيدرالية ، إلى الموقع الإلكتروني لبنك روسيا ؛

الوصول العادي - يُسمح بجميع الموارد باستثناء وسائل الترفيه والشبكات الاجتماعية ومشاهدة مقاطع الفيديو وتنزيل الملفات.

الوصول الكامل - يُسمح بجميع الموارد وتحميلات الملفات ؛

يتم تنفيذ تصفية الموارد بواسطة مجموعات الوصول بواسطة الخادم الوكيل.

يوجد أدناه رسم تخطيطي لشبكة PJSC Citibank's (الشكل 5).

1.7 أدوات أمن المعلومات

وسائل أمن المعلومات هي مجموعة من الأجهزة والأجهزة الهندسية والتقنية والكهربائية والإلكترونية والبصرية وغيرها من الأجهزة والأدوات و الأنظمة التقنية، بالإضافة إلى العناصر الأخرى المستخدمة في حل المشكلات المختلفة لحماية المعلومات ، بما في ذلك منع التسرب وضمان أمن المعلومات المحمية.

يمكن تقسيم أدوات أمن المعلومات من حيث منع الإجراءات المتعمدة ، اعتمادًا على طريقة التنفيذ ، إلى مجموعات:

الوسائل التقنية (الأجهزة). هي أجهزة من أنواع مختلفة (ميكانيكية ، كهروميكانيكية ، إلكترونية ، إلخ) ، والتي تحل مشاكل حماية المعلومات بالأجهزة. يمنعون الوصول إلى المعلومات ، بما في ذلك عن طريق إخفاءها. تشمل الأجهزة: مولدات الضوضاء ، ومرشحات الشبكة ، وأجهزة الراديو ، والعديد من الأجهزة الأخرى التي "تمنع" قنوات تسرب المعلومات المحتملة أو تسمح باكتشافها. ترتبط مزايا الوسائل التقنية بموثوقيتها ، واستقلالها عن العوامل الذاتية ، ومقاومتها العالية للتعديل. نقاط الضعف - نقص المرونة ، الحجم والوزن الكبيرين نسبيًا ، التكلفة العالية.

الشكل 5 مخطط شبكة Citibank PJSC

تتضمن أدوات البرمجيات برامج لتحديد المستخدم ، والتحكم في الوصول ، وتشفير المعلومات ، وحذف المعلومات المتبقية (العاملة) مثل الملفات المؤقتة ، واختبار التحكم في نظام الحماية ، وما إلى ذلك. وتتمثل مزايا أدوات البرامج في التنوع ، والمرونة ، والموثوقية ، وسهولة التثبيت والقدرة على التعديل والتطوير. العيوب - وظائف محدودة للشبكة ، استخدام جزء من موارد خادم الملفات ومحطات العمل ، حساسية عالية للتغييرات العرضية أو المتعمدة ، الاعتماد المحتمل على أنواع أجهزة الكمبيوتر (أجهزتها).

تنفذ الأجهزة والبرامج المختلطة نفس وظائف الأجهزة والبرامج بشكل منفصل ، ولها خصائص وسيطة.

تتم مراقبة جميع مباني مكاتب البنك من قبل خدمة الأمن باستخدام نظام التحكم في الوصول والإدارة ، بالإضافة إلى نظام المراقبة بالفيديو. يتم الدخول إلى مكاتب البنك بالأذونات المناسبة في نظام التحكم في الوصول والإدارة. عند التقدم لوظيفة أو زائر للبنك ، إذا كان من الضروري الوصول إلى مكاتب البنك ، يتم إصدار بطاقات تقارب بدون تلامس يتم تسجيل معرف المستخدم عليها وعند محاولة الوصول إلى المكتب ، يتم إرسال هذا المعرف إلى نظام التحكم في الوصول والإدارة. يقارن النظام قائمة الغرف التي يُسمح لمستخدم البطاقة بدخولها مع الغرفة التي يريد دخولها ويسمح أو يقيد الوصول إلى الغرفة.

يتم تثبيت برنامج مكافحة الفيروسات على محطات عمل البنك كاسبيرسكي إندبوينتالأمن 10 ، الذي لديه شهادة امتثال FSTEC لروسيا رقم 3025 ، صالحة حتى 25 نوفمبر 2019 ، يتم تحديث قواعد بيانات توقيع الفيروسات مركزيًا جزء الخادممضاد للفيروسات مثبت على الخادم الموجود في البنك.

لتنظيم إدارة المستندات الإلكترونية مع البنك المركزي ، أقامت السلطات في البنك خطاً اتصالاً مخصصاً.

لتنظيم إدارة المستندات الإلكترونية مع الخدمات الفيدرالية (Federal Tax Service، صندوق التقاعدروسيا ، خدمة المراقبة المالية ، إلخ.) يتم استخدام التوقيع الإلكتروني. للعمل مع التوقيع الإلكترونييتم تثبيت برامج متخصصة على محطات العمل المحلية لفناني الأداء المسؤولين عن تداول الوثائق مع الخدمات الفيدرالية:

Crypto-Pro CSP ؛

تشفير ARM ؛

CIPF Verba-OW ؛

التحقق من صحة CIPF ؛

Signal-COM CSP.

يعتمد استخدام برامج معينة من قبل المقاول على متطلبات وكالة فيدرالية معينة.

يتم تثبيت جدار حماية Cisco ASA 5512 الذي تصنعه شركة Cisco Corporation على حافة الشبكة المحلية للبنك. بالإضافة إلى ذلك ، تم فصل الأنظمة المصرفية الهامة (محطة عمل عميل بنك روسيا ، SWIFT ، ISPD الخاص بالبنك) عن الشبكة المحلية للبنك بواسطة جدران حماية Cisco. يتم تنظيم أنفاق VPN للاتصال بمكتب إضافي باستخدام جدران حماية Cisco.

1.8 الضمانات التنظيمية

وفقًا لدراسة أجرتها شركة التدقيق والاستشارات البريطانية Ernst & Yong في عام 2014 ، فإن 69 بالمائة من الشركات المشاركة في الدراسة تعتبر موظفي الشركة المصدر الرئيسي لتهديدات أمن المعلومات.

يجوز لموظفي الشركة ، بسبب جهلهم أو عدم كفاءتهم في مجال أمن المعلومات ، الكشف عن المعلومات الهامة والضرورية لتنفيذ هجمات مستهدفة على المنظمة. يرسل المهاجمون أيضًا رسائل تصيد احتيالي باستخدام برامج ضارة مضمنة تسمح للمهاجمين بالتحكم في مكان عمل الموظف ومهاجمة أنظمة معلومات البنك من مكان العمل هذا.

لذلك ، يلتزم قسم أمن المعلومات في البنك بتدريب موظفي البنك على المبادئ الأساسية لأمن المعلومات ، ومراقبة الامتثال لمتطلبات الأمن عند العمل في مكان العمل ، وإبلاغ موظفي البنك عن التهديدات الجديدة لأمن المعلومات التي قد يواجهونها. .

في PJSC Citibank ، يخضع جميع الموظفين لشرح تمهيدي عند التوظيف. أيضًا ، يخضع الموظفون الجدد والموظفون المنقولون من الأقسام الهيكلية الأخرى إلى إحاطة أولية في قسم أمن المعلومات ، يتم خلالها شرح قواعد أمن المعلومات الأساسية للموظفين عند العمل مع أنظمة معلومات البنك ، وقواعد الأمان عند العمل على الإنترنت ، وقواعد الأمان عند العمل مع بنك البريد الإلكتروني ، سياسة كلمة المرور الخاصة بالبنك.

يشارك موظفو إدارة أمن المعلومات بالبنك في تطوير وتنفيذ أنظمة المعلومات الجديدة للبنك على جميع مستويات تطوير النظام.

في مرحلة تصميم النظام وإعداد الاختصاصات لتطوير نظام المعلومات ، يفرض قسم أمن المعلومات متطلبات أمنية على النظام.

في مرحلة تطوير نظام المعلومات ، يدرس موظفو قسم أمن المعلومات الوثائق الحالية ، ويختبرون البرنامج بحثًا عن نقاط الضعف المحتملة في رمز البرنامج.

في مرحلة اختبار نظام المعلومات وتشغيله ، يشارك قسم أمن المعلومات بنشاط في اختبار نظام المعلومات ، وإجراء اختبارات اختراق في نظام المعلومات ورفض اختبارات الخدمة ، وكذلك توزيع حقوق الوصول إلى نظام المعلومات.

في مرحلة تشغيل نظام المعلومات الذي تم تشغيله بالفعل ، يقوم قسم أمن المعلومات بمراقبة وكشف النشاط المشبوه.

في مرحلة الانتهاء من نظام المعلومات ، تقوم إدارة أمن المعلومات ، بناءً على البيانات التي تم الحصول عليها أثناء تشغيل نظام المعلومات ، ببناء متطلبات جديدة لنظام المعلومات.

يوافق قسم أمن المعلومات في شركة PJSC Citibank على جميع طلبات الوصول إلى الموارد على الإنترنت ، وكذلك إلى الموارد الداخلية للبنك.

1.9 دورة معالجة البيانات الشخصية

تم الحصول على البيانات الشخصية المخزنة في البنك بشكل قانوني فقط.

تتم معالجة البيانات الشخصية المستلمة لموظف البنك فقط لكي يفي البنك بالتزاماته بموجب العقد المبرم مع الموظف. يتم الحصول على البيانات الشخصية لموظف البنك من الموظف نفسه. إن جميع موظفي البنك على دراية بالتوقيع على وثائق البنك التي تحدد إجراءات معالجة البيانات الشخصية لموظفي البنك ، وكذلك حقوقهم والتزاماتهم في هذا المجال.

تهدف البيانات الشخصية لموظفي البنك المخزنة في ISPD لنظام التحكم في الوصول والإدارة إلى السماح للموظف بالدخول إلى مكان العمل.

تتم معالجة البيانات الشخصية لعملاء البنك المخزنة في ISPD للنظام المصرفي الآلي هناك فقط لكي يفي البنك بالتزاماته بموجب الاتفاقية المبرمة مع عميل البنك. أيضًا ، في ISPD للنظام المصرفي الآلي ، تتم معالجة البيانات الشخصية للأشخاص الذين لم يبرموا اتفاقية مع البنك ، ولكن تم الحصول عليها بشكل قانوني ، على سبيل المثال ، البيانات الشخصية التي يتم تلقيها ومعالجتها بناءً على طلب القانون الاتحادي رقم. بالوسائل الإجرامية وتمويل الإرهاب ".

بعد تحقيق أهداف معالجة البيانات الشخصية ، يتم إتلافها أو إبطال مفعولها.

2. تطوير إجراءات لحماية البيانات الشخصية في البنك

في PJSC Citibank ، يخضع نظام حماية البيانات الشخصية لكل من القوانين على مستوى الولاية واللوائح المحلية (على سبيل المثال ، قواعد الخدمات المصرفية عن بُعد للكيانات القانونية و رواد الأعمال الأفراد CITIBANK في PJSC "في الملحق 1).

كان نظام حماية البيانات الشخصية لشركة PJSC Citibank كافٍ، لتجنب الهجمات البسيطة مثل التصيد الاحتيالي وإصابة محطات العمل بفيروسات الفدية ، ولكنها غير قادرة على مقاومة الهجمات المستهدفة التي تهدف إلى سرقة البيانات الشخصية.

لقد قمت بالعمل على إعادة هيكلة وتحديث نظام حماية البيانات الشخصية.

2.1 تدابير لحماية شبكة الكمبيوتر المحلية للبنك ونظام معلومات البيانات الشخصية

هناك نقاط ضعف واضحة في شبكة Citibank ، حيث يمكن للمهاجمين الوصول الكامل إلى شبكة البنك والسيطرة عليها ، وبعد ذلك يمكنهم سرقة أو تغيير أو حذف البيانات الشخصية للعملاء أو موظفي البنك بحرية.

نظرًا لأن شبكة البنك عبارة عن قطاع واحد ، فمن أجل تقليل مخاطر دخول المتطفلين إلى شبكة البنك ، يجب تقسيمها إلى عدة شرائح باستخدام التكنولوجيا الشبكات الافتراضية.

يتمثل مفهوم تقنية الشبكات الافتراضية (VLAN) في أن مسؤول الشبكة يمكنه إنشاء مجموعات منطقية من المستخدمين فيها ، بغض النظر عن أي جزء من الشبكة يتصلون به. يمكنك دمج المستخدمين في مجموعات عمل منطقية ، على سبيل المثال ، على أساس القواسم المشتركة للعمل المنجز أو المهمة التي تم حلها بشكل مشترك. في الوقت نفسه ، يمكن لمجموعات المستخدمين التفاعل مع بعضها البعض أو أن تكون غير مرئية تمامًا لبعضها البعض. عضوية المجموعة قابلة للتغيير ويمكن أن يكون المستخدم عضوًا في مجموعات منطقية متعددة. تشكل الشبكات الافتراضية مجالات بث منطقية ، مما يحد من مرور حزم البث عبر الشبكة ، تمامًا مثل أجهزة التوجيه ، التي تعزل حركة البث بين أجزاء الشبكة. بهذه الطريقة ، تمنع الشبكة الافتراضية حدوث عواصف البث لأن رسائل البث مقصورة على أعضاء الشبكة الافتراضية ولا يمكن أن يتلقاها أعضاء الشبكات الافتراضية الأخرى. يمكن للشبكات الافتراضية أن تسمح بالوصول إلى أعضاء شبكة افتراضية أخرى في الحالات التي يكون فيها من الضروري الوصول إلى الموارد المشتركة ، مثل خوادم الملفات أو خوادم التطبيقات ، أو عندما تتطلب المهمة المشتركة تفاعل الخدمات المختلفة ، مثل إدارات الائتمان والتسوية. يمكن إنشاء الشبكات الافتراضية على أساس منافذ التبديل والعناوين المادية للأجهزة المضمنة في الشبكة والعناوين المنطقية لبروتوكولات المستوى الثالث من نموذج OSI. تكمن ميزة الشبكات الافتراضية في السرعة العالية للمفاتيح ، حيث تحتوي المحولات الحديثة على مجموعة متخصصة من الدوائر المتكاملة المصممة خصيصًا لحل مشكلات التبديل في المستوى الثاني من نموذج OSI. الشبكات الافتراضية من المستوى الثالث هي الأكثر سهولة في التثبيت إذا لم تكن هناك حاجة لإعادة تكوين عملاء الشبكة ، وهي الأكثر صعوبة في الإدارة ، لأن يتطلب أي إجراء مع عميل الشبكة إما إعادة تكوين العميل نفسه أو جهاز التوجيه ، وهو الأقل مرونة ، حيث أن التوجيه مطلوب لتوصيل الشبكات الافتراضية ، مما يزيد من تكلفة النظام ويقلل من أدائه.

وبالتالي ، فإن إنشاء شبكات افتراضية في البنك سيمنع هجمات انتحال ARP. لن يتمكن المخالفون من اعتراض مرور المعلومات بين الخادم والعميل. عند اختراق الشبكة ، لن يتمكن المهاجمون من فحص شبكة البنك بالكامل ، ولكن فقط شريحة الشبكة التي تمكنوا من الوصول إليها.

عند التسلل إلى شبكة البنك ، سيقوم المهاجمون أولاً وقبل كل شيء بفحص الشبكة للعثور على عقد الشبكة الهامة. هذه العقد هي:

وحدة تحكم المجال؛

مخدم بروكسي;

خادم البريد؛

خادم الملفات

خادم التطبيقات.

نظرًا لأنه سيتم تنظيم الشبكة المحلية في البنك باستخدام تقنية الشبكة الافتراضية ، فلن يتمكن المهاجمون من اكتشاف هذه العقد دون خطوات إضافية. من أجل جعل الأمر أكثر صعوبة على المهاجمين في العثور على العقد الحرجة على الشبكة المحلية وإرباكهم ، وفي المستقبل لدراسة استراتيجية المهاجمين عند شن هجوم على الشبكة ، من الضروري استخدام كائنات خاطئة تجذب المهاجمين . تسمى هذه الكائنات مواضع الجذب.

تتمثل مهمة Honeypot في مهاجمته أو إجراء بحث غير مصرح به ، مما سيسمح لك لاحقًا بدراسة استراتيجية المهاجمين وتحديد قائمة الوسائل التي يمكن من خلالها ضرب كائنات الأمان الواقعية. يمكن أن يكون تنفيذ موضع الجذب إما خادمًا مخصصًا أو خدمة شبكة واحدة تتمثل مهمتها في جذب انتباه المتسللين.

موضع الجذب هو مورد لا يفعل شيئًا دون أي تأثير عليه. Honeypot تجمع كمية صغيرة من المعلومات ، بعد تحليل الإحصائيات المبنية على الأساليب المستخدمة من قبل المفرقعات ، بالإضافة إلى وجود أي حلول جديدة سيتم استخدامها لاحقًا في مكافحتها.

على سبيل المثال ، خادم الويب الذي لا يحمل اسمًا ويكون غير معروف فعليًا لأي شخص لا يجب أن يدخل إليه ضيوف ، لذا فإن أي شخص يحاول اختراقه يكون مهاجمًا محتملاً. Honeypot يجمع معلومات حول سلوك هذه المفرقعات وكيفية تأثيرها على الخادم. بعد ذلك ، يقوم المتخصصون في قسم أمن المعلومات بجمع معلومات حول هجوم المتسللين على المورد ووضع استراتيجيات لصد الهجمات في المستقبل.

للتحكم في المعلومات الواردة من الإنترنت واكتشاف التهديدات لأمن المعلومات في مرحلة إرسالها عبر الشبكة ، وكذلك لاكتشاف نشاط المتسللين الذين اخترقوا الشبكة المحلية للبنك ، من الضروري تثبيت نظام منع التطفل على حافة الشبكة.

نظام منع التطفل هو برنامج أو جهاز متصل بالشبكة و حماية الحاسوب، الذي يكتشف الاختراقات أو الخروقات الأمنية ويحمي تلقائيًا منها.

يمكن اعتبار أنظمة منع التطفل امتدادًا لأنظمة اكتشاف التسلل ، حيث تظل مهمة تتبع الهجمات كما هي. ومع ذلك ، فإنهم يختلفون في أن نظام منع التطفل يراقب النشاط في الوقت الفعلي وينفذ إجراءات منع الهجمات بسرعة.

تنقسم أنظمة كشف ومنع التسلل إلى:

أنظمة منع التطفل على الشبكة - تحليل حركة المرور الموجهة إلى شبكة المؤسسة ، أو المرور عبر الشبكة نفسها أو الموجهة إلى جهاز كمبيوتر معين. يمكن تنفيذ أنظمة الكشف عن التسلل والوقاية منه عن طريق البرامج أو طرق الأجهزة والبرامج المثبتة على المحيط شبكة الشركةوأحيانًا بداخله.

أنظمة منع التطفل الشخصية هي برامج يتم تثبيتها على محطات العمل أو الخوادم وتسمح لك بالتحكم في نشاط التطبيقات ، فضلاً عن مراقبة نشاط الشبكة بحثًا عن الهجمات المحتملة.

تم اختيار نظام منع اختراق الشبكة لنشره في شبكة البنك.

يعتبر أنظمة الشبكاتالاختراقات من قبل IBM و Check Point و Fortinet و Palo Alto ، حيث أن الوظائف المعلنة لمصنعي هذه الأنظمة تفي بمتطلبات قسم أمن المعلومات بالبنك.

بعد نشر مقاعد الاختبار واختبار أنظمة منع التطفل ، تم اختيار نظام Check Point حيث أظهر أفضل أداء وأفضل نظام فرعي للكشف عن الفيروسات يتم نقله عبر شبكة محلية وأفضل الأدوات لتسجيل الأحداث المهمة وتسجيلها وسعر الشراء.

تم رفض نظام منع التطفل الخاص بشركة IBM لأن تكلفة الأجهزة تجاوزت ميزانية قسم أمن المعلومات لشراء نظام منع التطفل.

تم رفض نظام منع التطفل في Fortinet بسبب الاستجابة غير الكاملة عندما أجرى قسم أمن المعلومات اختبارات لنقل الملفات المصابة والأدوات الإعلامية غير الكافية لتسجيل الأحداث المهمة.

تم رفض نظام Palo Alto لمنع التطفل بسبب عدم كفاية الأدوات الإعلامية لتسجيل الأحداث المهمة ، والتعقيد المفرط للعمل مع النظام ، والعمل مثل جهاز التوجيه.

تم اختيار نظام منع التطفل Check Point للتنفيذ في الشبكة المحلية. أظهر هذا النظام مستوى عالٍ من الكشف عن تهديدات أمن المعلومات ، وإعدادات مرنة ، والقدرة على توسيع الوظائف من خلال شراء وحدات برامج إضافية ، ولديه نظام قوي لتسجيل الأحداث المهمة ومجموعة أدوات قوية لتقديم تقارير الحوادث ، والتي يمكن استخدامها للتحقيق في حوادث أمن المعلومات أسهل بكثير.

يظهر الرسم التخطيطي لشبكة PJSC Citibank بهندسة متغيرة في الشكل 6.

2.2 حماية البرامج والأجهزة

نظرًا لأنه لا يمكن ضمان أمن البيانات الشخصية إلا عن طريق حماية الشبكة ، لأن المتطفلين ، على الرغم من جميع التدابير المتخذة لحماية الشبكة ، يمكنهم الوصول إلى شبكة البنك.

الشكل 6 مخطط شبكة Citibank PJSC مع أنظمة أمان إضافية

لمزيد من الحماية المرنة ضد الهجمات ، من الضروري إضافة أجهزة حماية البرامج والأجهزة لمحطات العمل المحلية ومحطات العمل الافتراضية والخوادم الافتراضية والعادية إلى الأجهزة المصممة لحماية الشبكة.

كما تعلم ، لا توفر برامج مكافحة الفيروسات حماية كاملة ضد البرامج الضارة ، حيث تعمل على مبدأ تحليل التوقيع. لدى شركة برامج مكافحة الفيروسات خبراء في موظفيها يراقبون نشاط الفيروسات على الإنترنت ، ويدرسون سلوك برامج الفيروسات في محطات الاختبار ، ويقومون بإنشاء تواقيع يتم إرسالها لاحقًا إلى أجهزة الكمبيوتر الخاصة بالمستخدمين عن طريق تحديث قواعد بيانات توقيع برامج مكافحة الفيروسات. بعد تلقي قاعدة بيانات محدثة لتوقيعات برامج مكافحة الفيروسات ، يقوم برنامج مكافحة الفيروسات بفحص الملفات الموجودة على محطة عمل المستخدم والبحث عن علامات على وجود برامج ضارة ؛ إذا تم العثور على مثل هذه العلامات أثناء الفحص ، فإن برنامج مكافحة الفيروسات يشير إلى ذلك ويعمل وفقًا لـ الإعدادات التي تم تعيينها بواسطة المستخدم أو مسؤول مكافحة الفيروسات. وبالتالي ، إذا لم يتم اكتشاف البرامج الضارة وتحليلها من قبل خبراء شركة برامج مكافحة الفيروسات ، فلن يتمكن برنامج مكافحة الفيروسات من اكتشاف البرامج الضارة ولن يتخذ أي إجراء ، مع اعتبار الملف الممسوح آمنًا. لذلك ولتقليل احتمالية الوصول للشبكة وإطلاق البرمجيات الخبيثة تم تركيب دائرة ثانية في البنك الحماية من الفيروسات. نظرًا لأن معظم شركات برامج مكافحة الفيروسات تعمل بشكل منفصل عن بعضها البعض ، يمكن اكتشاف البرامج الضارة التي لم تكتشفها إحدى شركات برامج مكافحة الفيروسات بواسطة مطور آخر ويمكن بالفعل إنشاء التوقيعات للتهديد المكتشف.

لتنفيذ مثل هذا المخطط ، تم إنشاء محطة عمل افتراضية ، حيث تم تثبيت مجموعة برامج الحماية من الفيروسات Doctor WEB Enterprise ، والتي لديها شهادة امتثال FSTEC في روسيا رقم 2446 ، صالحة حتى 20 سبتمبر 2017. يتم إرسال جميع الملفات التي تم تنزيلها بواسطة موظفي البنك أثناء عملهم إلى هذه المحطة ويتم فحصها بواسطة برنامج مكافحة الفيروسات. في حالة اكتشاف برامج ضارة ، يرسل برنامج مكافحة الفيروسات بريدًا إلكترونيًا إلى قسم أمن المعلومات مع اسم التهديد والمسار حيث يتم تخزين الملف المصاب. يتخذ قسم أمن المعلومات خطوات لإزالة البرامج الضارة. إذا اجتازت الملفات التي تم تحميلها من قبل المستخدمين فحص برنامج مكافحة الفيروسات ، يقوم المستخدم الذي قام بتحميل الملف بتقديم طلب إلى قسم أمن المعلومات ويقوم موظفو القسم بنقل الملف الذي تم تنزيله إلى المستخدم.

كما أن كمية كبيرة من البرمجيات الخبيثة تصل إلى موظفي البنك عبر بريد إلكتروني. يمكن أن تكون فيروسات تشفير عادية وبرامج ضارة تسمح للمهاجمين باختراق الكمبيوتر المصاب لموظف البنك باستخدام اتصال عن بعد.

لتقليل مخاطر مثل هذه التهديدات ، تم تثبيت برنامج ClamAW لمكافحة الفيروسات على خادم البريد الخاص بالبنك ، المصمم للحماية خوادم البريد.

للحماية من الوصول غير المصرح به من قبل المتسللين الداخليين الذين تعلموا بطريقة ما كلمة مرور مستخدم محطة محلية لديها وصول إلى أنظمة معلومات البيانات الشخصية ، من الضروري تثبيت نظام حماية المعلومات من الوصول غير المصرح به إلى محطات العمل المحلية للمستخدمين الذين يعملون مع شخصي نظم معلومات البيانات.

.

يتم تدريب موظفي البنك من قبل متخصص في إدارة أمن المعلومات.

موظف في إدارة أمن المعلومات يقوم بالتدريب في أحد أقسام البنك التي تحددها الخطة. بعد التدريب ، يجتاز موظفو الوحدة الاختبارات التي يؤكدون فيها المعرفة المكتسبة أثناء التدريب.

تنظم السياسة الأمنية الأساسية إجراء التدريب في كل وحدة أربع مرات على الأقل في السنة.

أيضًا ، بالتوازي مع تدريب الموظفين ، يُطلب من موظفي إدارة أمن المعلومات إرسال رسائل معلومات مرة واحدة على الأقل شهريًا إلى جميع موظفي البنك توضح قواعد الأمان الأساسية ، والتهديدات الجديدة لأمن المعلومات بالبنك ، إذا تم الكشف عن أي منها.

2.3.2 ترتيب وصول الموظفين إلى موارد الإنترنت

لدى البنك 3 مجموعات من الوصول إلى الإنترنت ، ولكن هذا التقسيم للوصول غير فعال ، لأن الموظف ، من أجل أداء واجباته ، قد يحتاج إلى الحصول على معلومات من مورد شبكة مدرج في مجموعة الوصول الكامل ، ثم سيكون لديه لإتاحة الوصول الكامل إلى الإنترنت ، وهو أمر غير آمن.

المجموعة 6: تنزيل المحفوظات - لا توفر المجموعة أي وصول إلى موارد الإنترنت ؛

المجموعة 7: تنزيل الملفات القابلة للتنفيذ- لا توفر المجموعة أي وصول إلى موارد الإنترنت ؛

المجموعة 8: الوصول الكامل إلى الإنترنت - الوصول الكامل إلى موارد الإنترنت ، وتنزيل أي ملفات.

للوصول إلى موارد الإنترنت ، يقوم الموظف بإنشاء تطبيق من خلال نظام ServiceDesk وبعد موافقة رئيس القسم أو الإدارة وموظف في قسم أمن المعلومات ، يتم منح الموظف حق الوصول إلى موارد الإنترنت وفقًا للمجموعة المطلوبة .

2.3.3 الإجراء الخاص بوصول الموظفين إلى الموارد داخل البنوك

توجد المستندات الرئيسية المتعلقة بعمل الموظف في مكان العمل المحلي أو في النظام الآلي الذي يعمل فيه. كما أن لكل قسم من أقسام البنك قسم على خادم الملفات الخاص بالبنك ، والذي يخزن المعلومات اللازمة للعديد من موظفي القسم وهو كبير الحجم لإرساله عبر البريد الإلكتروني للبنك.

عندما يحصل موظف جديد على وظيفة في البنك ، يرسل مديره المباشر طلبًا من خلال نظام ServiceDesk إلى قسم إدارة النظام للوصول إلى مورد intrabank ، وبعد الموافقة على الطلب من قبل موظف في قسم أمن المعلومات ، يقوم موظف قسم إدارة النظام بتزويد الموظف الجديد بإمكانية الوصول إلى المورد المطلوب.

غالبًا ما توجد مواقف يتقاطع فيها عمل العديد من أقسام البنك ، ومن أجل تبادل المعلومات ، تحتاج هذه الأقسام إلى قسم منفصل على خادم ملفات البنك.

لإنشاء هذا القسم ، يقوم مدير المشروع ، رئيس أحد الأقسام المشاركة في عملية العمل في المشروع ، بإنشاء تطبيق من خلال نظام ServiceDesk لإنشاء الموارد المشتركةوالوصول إلى هذا المورد من قبل بعض موظفي إدارتهم الذين يعملون في مشروع مشترك ورئيس القسم الذي يتعاون معه في المشروع. بمجرد الموافقة عليه من قبل مسؤول المعلومات ، يقوم مسؤول إدارة النظام بإنشاء المورد المطلوب ويمنح الوصول إليه للموظفين المطلوبين. يطلب كل رئيس قسم مشارك في المشروع الوصول فقط للموظفين التابعين له.

2.3.4 كيف يعمل الموظفون مع البريد الإلكتروني

في السابق ، قبل إنشاء سياسة الأمان الأساسية ، كان كل موظف بنفسه يحدد درجة خطورة الرسائل والملفات التي يتم تلقيها عن طريق البريد الإلكتروني من خوادم البريد الخارجية.

بعد إنشاء سياسة أمان أساسية ، يُطلب من كل مستخدم إرسال كل ملف يتم استلامه عن طريق البريد الإلكتروني من خوادم البريد الخارجية إلى إدارة أمن المعلومات للتحقق من وجود برامج ضارة ، ويتم تحديد درجة خطورة الرسائل من قبل الموظف بشكل مستقل. إذا اشتبه أحد موظفي البنك في أن رسالة واردة تحتوي على بريد عشوائي أو تصيد احتيالي ، فإنه ملزم بإرسال الرسالة كاملة ، أي تحتوي على جميع المعلومات الرسمية عن المرسل ، صندوق بريدوعنوان IP لقسم أمن المعلومات. بعد تحليل الخطاب المشبوه وتأكيد التهديد بهذه الرسالة ، تقوم إدارة أمن المعلومات بإرسال عنوان مرسل الخطاب إلى إدارة النظام ، ويقوم أحد موظفي إدارة النظام بإدراج عنوان مرسل الخطاب على القائمة السوداء.

احجب دائمًا مكان العمل عند الفطام منه.

2.3.6 قواعد وصول الموظف إلى البيانات الشخصية

وفقًا للمادة 89 من الفصل 14 من قانون العمل للاتحاد الروسي ، يحق لموظف البنك الوصول إلى بياناته الشخصية ، ولكن يُسمح له بمعالجة البيانات الشخصية لموظفي البنك الآخرين أو عملاء البنك فقط لأداء واجباته الرسمية .

لضمان التحكم في الوصول إلى أنظمة معلومات البيانات الشخصية ، وضع البنك القواعد التالية للوصول إلى أنظمة معلومات البيانات الشخصية:

يمكن فقط للموظفين الذين تشمل مسؤولياتهم الوظيفية معالجة البيانات الشخصية الوصول إلى ISPD ؛

لا يُسمح بالوصول إلى ISPD إلا من مكان العمل المحلي للموظف الذي يعمل مع البيانات الشخصية ؛

أنشأ البنك وثيقة تحدد باسم العائلة الموظفين المسموح لهم بالوصول إلى البيانات الشخصية لموظفي وعملاء البنك ، مع الإشارة إلى نظام معلومات البيانات الشخصية وقائمة البيانات الشخصية المسموح للموظف معالجتها.

3. التبرير الاقتصادي للمشروع

لتنفيذ نظام حماية البيانات الشخصية ، من الضروري شراء:

معدات لحماية شبكة البنك.

أجهزة أمن المعلومات ؛

برمجيات أمن المعلومات.

لإعادة بناء شبكة المؤسسة ، من الضروري شراء محولات Cisco Catalyst 2960 بمبلغ 3 نسخ. يلزم وجود مفتاح واحد للتشغيل على المستوى الأساسي لشبكة البنك ، ومفتاحان آخران للتشغيل على مستوى التوزيع. أجهزة الشبكةالذين عملوا في البنك قبل إعادة هيكلة الشبكة سيشاركون أيضًا.

التكلفة الإجمالية (روبل روسي) 9389159613

بدلة أمن Doctor WEB Enterprise155005500

التكلفة الإجمالية 1 371615

خاتمة

في مشروع التخرج الخاص بي ، قمت بمراجعة الإطار القانوني لحماية البيانات الشخصية. لقد نظرت في المصادر الرئيسية للتهديدات لأمن البيانات الشخصية.

بناءً على التهديدات الشخصية المدروسة ، قمت بتحليلها النظام الموجودحماية البيانات الشخصية في Citibank PJSC وتوصلت إلى استنتاج مفاده أنه يجب تحسينها بجدية.

خلال مشروع التخرج ، تم العثور على نقاط ضعف في الشبكة المحلية للبنك. مع الأخذ في الاعتبار نقاط الضعف التي تم الكشف عنها في الشبكة المحلية للبنك ، تم تحديد تدابير لتقليل مخاطر أمن المعلومات لشبكة البنك.

كما تم النظر واختيار الأجهزة والبرمجيات لحماية أماكن العمل المحلية للموظفين الذين يعالجون البيانات الشخصية لموظفي وعملاء البنك.

بمشاركتي ، تم إنشاء نظام لتوعية الموظفين بشؤون أمن المعلومات.

تمت إعادة تصميم إجراءات وصول موظفي البنك إلى الإنترنت بشكل كبير ، كما تمت إعادة تصميم مجموعات الوصول إلى الإنترنت. تتيح مجموعات الوصول إلى الإنترنت الجديدة تقليل مخاطر أمن المعلومات بشكل كبير بسبب القدرة المحدودة للمستخدمين على تنزيل الملفات والوصول إلى الموارد غير الموثوق بها.

يتم تقديم حسابات تكلفة إعادة بناء الشبكة وإنشاء نظام حماية بيانات شخصية قابل للتطبيق يمكن أن يعكس معظم تهديدات أمن المعلومات.

قائمة الأدبيات المستخدمة

1. "دستور الاتحاد الروسي" (تم اعتماده بالتصويت الشعبي في 12 ديسمبر 1993) (مع مراعاة التعديلات التي أدخلتها قوانين الاتحاد الروسي بشأن التعديلات على دستور الاتحاد الروسي المؤرخ 30 ديسمبر 2008 N 6- FKZ ، بتاريخ 30 ديسمبر 2008 N 7-FKZ ، بتاريخ 5 فبراير 2014 N 2-FKZ ، بتاريخ 21 يوليو 2014 N 11-FKZ) // النص الرسمي لدستور الاتحاد الروسي ، بصيغته المعدلة في 21 يوليو ، 2014 ، تم نشره على بوابة الإنترنت الرسمية للمعلومات القانونية http://www.pravo.gov.ru ، 08/01/2014

2. "النموذج الأساسي لتهديدات أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مقتطف) (تمت الموافقة عليه من قبل FSTEC في الاتحاد الروسي في 15 فبراير 2008)

3. القانون الاتحادي الصادر في 27 يوليو 2006 N 149-FZ (بصيغته المعدلة في 6 يوليو 2016) "بشأن المعلومات وتقنيات المعلومات وحماية المعلومات" // لم يتم نشر الوثيقة بهذا النموذج. تم نشر النص الأصلي للوثيقة في " صحيفة روسية"، N 165 ، 29.07.2006

4. "قانون العمل للاتحاد الروسي" بتاريخ 30 ديسمبر 2001 N 197-FZ (بصيغته المعدلة والمكملة ، دخل حيز التنفيذ في 3 أكتوبر 2016) // لم يتم نشر الوثيقة في هذا النموذج ، تم نشر النص الأصلي للوثيقة في Rossiyskaya Gazeta، N 256، 12/31/2001

5. مرسوم حكومة الاتحاد الروسي بتاريخ 01.11.2012 N 1119 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" // "Rossiyskaya Gazeta"، N 256، 07.11.2012

6. أمر FSTEC لروسيا بتاريخ 18 فبراير 2013 N 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مسجلة في وزارة قاضي روسيا في 14 مايو 2013 رقم 28375) // "صحيفة روسية" ، العدد 107 ، 22/05/2013

7. "معيار بنك روسيا" ضمان أمن المعلومات لمنظمات النظام المصرفي للاتحاد الروسي. الأحكام العامة "STO BR IBBS-1.0-2014" (تم تبنيها ودخلت حيز التنفيذ بموجب أمر بنك روسيا بتاريخ 17 مايو 2014 N R-399) // نشرة بنك روسيا ، رقم 48-49 ، 30 مايو 2014

8. "اللائحة المتعلقة بمتطلبات ضمان حماية المعلومات عند إجراء تحويلات الأموال ، والإجراء الذي يتبعه بنك روسيا لممارسة الرقابة على الامتثال لمتطلبات ضمان حماية المعلومات عند إجراء تحويلات الأموال" (تمت الموافقة عليها من قبل البنك) روسيا في 09.06.2012 N 382-P) (بصيغته المعدلة بتاريخ 14 أغسطس 2014) (مسجلة لدى وزارة العدل الروسية في 14 يونيو 2012 N 24575) // لم يتم نشر المستند بهذا النموذج ، الأصل تم نشر نص الوثيقة في نشرة بنك روسيا ، العدد 32 ، 2012/06/22

9 - "اللوائح المتعلقة بإجراءات تقديم المؤسسات الائتمانية إلى الهيئة المخولة للمعلومات المنصوص عليها في القانون الاتحادي" بشأن مكافحة إضفاء الشرعية (غسل) عائدات الجريمة وتمويل الإرهاب "(وافق عليها بنك روسيا) في 29 أغسطس 2008 N 321-P) (بصيغته المعدلة بتاريخ 15/10/2015) (جنبًا إلى جنب مع "إجراءات ضمان أمن المعلومات أثناء إرسال واستقبال منظمة التعاون الاقتصادي" ، "قواعد تشكيل منظمة التعاون الاقتصادي و ملء الحقول الفردية لسجلات منظمة التعاون الاقتصادي ") (مسجل في وزارة العدل الروسية بتاريخ 16.09.2008 N 12296) // في هذا النموذج ، لم يتم نشر المستند ، تم نشر النص الأصلي للوثيقة في النشرة لبنك روسيا ، رقم 54 ، 09/26/2008

10. أمر FSTEC لروسيا بتاريخ 18 فبراير 2013 N 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مسجلة في وزارة قاضي روسيا في 14 مايو 2013 رقم 28375) // "صحيفة روسية" ، العدد 107 ، 22/05/2013

11. Averchenkov V.I. ، Rytov M.Yu ، Gainulin T.R. حماية البيانات الشخصية في المنظمات. م: فلينتا ، 2018

12. Agapov A. B. أساسيات الإدارة العامة في مجال المعلوماتية في الاتحاد الروسي. م: فقيه ، 2012

13. Kostin A. A.، Kostina A. A.، Latyshev D. M.، Moldovyan A. A. مجمعات البرمجياتسلسلة "AURA" لحماية نظم المعلومات من البيانات الشخصية // Izv. الجامعات. الأجهزة. 2012. V. 55، No. 11

14. مولدوفيان أ. التشفير لحماية معلومات الكمبيوتر (الجزء 1) // لا يتجزأ. 2014. No. 4 (18)

15. Romanov O.A.، Babin S.A.، Zhdanov S.G. الدعم التنظيمي لأمن المعلومات. - م: الأكاديمية ، 2016

16. شولتس ف.ل. ، رودشينكو أ.د. ، يورتشينكو أ.ف. أمن الأعمال. م: دار يورات للنشر ، 2017

التطبيقات (متوفرة في الأرشيف مع العمل).

لقد أصبح الطلب بشكل خاص على الأقسام الروسية للشركات الأجنبية فيما يتعلق بإضافة الجزء 5 من المادة 18 إلى 152-FZ "بشأن البيانات الشخصية": "... يلتزم المشغل بضمان التسجيل والتنظيم والتراكم والتخزين توضيح (تحديث ، تغيير) ، بيانات شخصيةمواطني الاتحاد الروسي باستخدام قواعد البيانات الموجودة على أراضي الاتحاد الروسي " . هناك عدد من الاستثناءات في القانون ، ولكن يجب أن تعترف أنه في حالة وجود شيك من قبل المنظم ، فأنت تريد الحصول على بطاقات رابحة أكثر موثوقية من "لكن هذا لا يهمنا".

عقوبات المخالفين شديدة جدا. التسوق عبر الانترنت، وسائل التواصل الاجتماعي، ومواقع المعلومات ، والأعمال التجارية الأخرى ذات الصلة بـ إنترنتفي حالة وجود مطالبات من السلطات الإشرافية ، يمكن إغلاقها بالفعل. ربما ، في الفحص الأول ، ستمنح الجهة المنظمة وقتًا لإزالة أوجه القصور ، لكن الفترة عادةً ما تكون محدودة. إذا لم يتم حل المشكلة بسرعة كبيرة (وهو أمر يصعب حله بدون إعداد أولي) ، فلن يكون من الممكن تعويض الخسائر. لا يؤدي حظر مواقع الويب إلى توقف المبيعات مؤقتًا فحسب ، بل يعني أيضًا فقدان الحصة السوقية.

ظهور منتهكي قانون البيانات الشخصية للشركات غير المتصلة بالإنترنت في "القائمة السوداء" أقل إثارة. لكن هذا ينطوي على مخاطر تتعلق بالسمعة ، وهو عامل مهم للشركات الأجنبية. بالإضافة إلى ذلك ، لا توجد الآن أنشطة لا تتعلق على الإطلاق بحماية البيانات الشخصية. البنوك والتجارة وحتى التصنيع - جميعها تحافظ على قواعد العملاء ، مما يعني أنها تخضع للقوانين ذات الصلة.

من المهم هنا أن نفهم أنه داخل الشركات لا يمكن النظر في المشكلة بمعزل عن غيرها. لا يمكن تقييد حماية البيانات الشخصية عن طريق تثبيت أدوات أمان معتمدة على الخوادم وقفل البطاقات الورقية في الخزائن. تحتوي البيانات الشخصية على العديد من نقاط الدخول إلى الشركة - أقسام المبيعات والموارد البشرية وخدمة العملاء ، وأحيانًا أيضًا مراكز التدريبوعمولات الشراء والأقسام الأخرى. تعد إدارة حماية البيانات الشخصية عملية معقدة تؤثر على هو - هيتدفق الوثائق واللوائح والتسجيل القانوني.

دعنا نلقي نظرة على ما يتطلبه الأمر لتشغيل هذه العملية والحفاظ عليها.

ما هي البيانات التي تعتبر شخصية

بالمعنى الدقيق للكلمة ، فإن أي معلومات تتعلق بشكل مباشر أو غير مباشر بفرد معين هي بياناته الشخصية. لاحظ أننا نتحدث عن الأشخاص وليس الكيانات القانونية. اتضح أنه يكفي الإشارة إلى الاسم الكامل وعنوان الإقامة من أجل الشروع في حماية هذه البيانات (وكذلك البيانات ذات الصلة). ومع ذلك ، فإن الحصول على بريد إلكترونيمع البيانات الشخصية لشخص ما في شكل توقيع و رقم التليفونلا يوجد سبب للدفاع عنها. المصطلح الأساسي: "مفهوم جمع البيانات الشخصية". لتوضيح السياق ، أود أن أبرز عدة مواد من قانون "البيانات الشخصية" على وجه الخصوص.

المادة 5. مبادئ معالجة البيانات الشخصية. يجب أن تكون هناك أهداف واضحة توضح سبب جمع هذه المعلومات. خلاف ذلك ، حتى مع الامتثال الكامل لجميع القواعد والقواعد الأخرى ، فمن المرجح أن تكون هناك عقوبات.

المادة 10. فئات خاصة من البيانات الشخصية. على سبيل المثال ، يمكن لقسم شؤون الموظفين إصلاح القيود المفروضة على رحلات العمل ، بما في ذلك حمل الموظفين. بالطبع ، هذه المعلومات الإضافية تخضع أيضًا للحماية. يؤدي هذا إلى توسيع نطاق فهم PD إلى حد كبير ، فضلاً عن قائمة الأقسام ومستودعات المعلومات الخاصة بالشركة التي يجب الاهتمام بالحماية فيها.

المادة 12. نقل البيانات الشخصية عبر الحدود. إذا كان نظام معلومات يحتوي على بيانات عن مواطني الاتحاد الروسي موجودًا على أراضي دولة لم تصدق على اتفاقية حماية البيانات الشخصية (على سبيل المثال ، في إسرائيل) ، فيجب اتباع أحكام التشريع الروسي.

المادة 22. إشعار بشأن معالجة البيانات الشخصية. الشرط المطلوبحتى لا تجذب انتباه المنظم. يقود النشاط الرياديذات الصلة بـ PD - قم بالإبلاغ عنها بنفسك ، دون انتظار الشيكات.

أين قد توجد البيانات الشخصية

من الناحية الفنية ، يمكن وضع PD في أي مكان ، من الوسائط المطبوعة (خزانات الملفات الورقية) إلى وسائط الآلة (محركات الأقراص الثابتة ومحركات الأقراص المحمولة والأقراص المضغوطة وما إلى ذلك). أي أن التركيز ينصب على أي تخزين بيانات يقع ضمن تعريف ISPD (أنظمة معلومات البيانات الشخصية).

جغرافيا الموقع هي سؤال كبير منفصل. من ناحية أخرى ، يجب تخزين البيانات الشخصية للروس (الأفراد من مواطني الاتحاد الروسي) على أراضي الاتحاد الروسي. من ناحية أخرى ، فإن الأمر في الوقت الحالي هو بالأحرى ناقل لتطور الموقف أكثر من كونه أمرًا واقعًا. العديد من الشركات الدولية وشركات التصدير ، وممتلكات مختلفة ، ومشاريع مشتركة لديها تاريخياً بنية تحتية موزعة - وهذا لن يتغير بين عشية وضحاها. على عكس طرق تخزين البيانات الشخصية وحمايتها ، والتي يجب تعديلها الآن تقريبًا ، على الفور.

الحد الأدنى لقائمة الأقسام المشاركة في التسجيل والتنظيم والتراكم والتخزين والتوضيح (التحديث والتغيير) واستخراج PD:

• خدمة الافراد.
• قسم المبيعات.
• قسم قانوني.

نظرًا لأن النظام المثالي نادرًا ما يسود ، في الواقع ، يمكن في كثير من الأحيان إضافة أكثر الوحدات التي لا يمكن التنبؤ بها إلى هذه القائمة "المتوقعة". على سبيل المثال ، قد يحتوي المستودع على معلومات شخصية عن الموردين ، أو قد تحتفظ خدمة الأمن بسجلها التفصيلي الخاص بكل شخص يدخل المنطقة. وبالتالي ، بالمناسبة ، يمكن استكمال تكوين PD للموظفين ببيانات عن العملاء ، والشركاء ، والمقاولين ، وكذلك الزائرين العشوائيين وحتى الزائرين الآخرين - الذين أصبح PD الخاص بهم "جريمة" عند تصويرهم للحصول على تصريح ، والمسح الضوئي لبطاقة الهوية بطاقة وفي بعض الحالات الأخرى. يمكن أن تصبح أنظمة التحكم في الوصول والإدارة (ACS) بسهولة مصدرًا للمشكلات في سياق حماية البيانات الشخصية. لذلك فإن الجواب على سؤال "أين؟" من وجهة نظر احترام القانون ، يبدو الأمر على هذا النحو: في كل مكان في المنطقة الخاضعة للمساءلة. لا يمكن إعطاء إجابة أكثر دقة إلا من خلال إجراء تدقيق مناسب. هذه هي المرحلة الأولى مشروعلحماية البيانات الشخصية. القائمة الكاملةمراحلها الرئيسية:

1) تدقيق الوضع الحالي في الشركة.

2) تصميم حل تقني.

3) إعداد عملية لحماية البيانات الشخصية.

4) التحقق من الحل التقني وعملية حماية البيانات الشخصية للامتثال لتشريعات الاتحاد الروسي ولوائح الشركة.

5) تنفيذ حل تقني.

6) إطلاق عملية حماية البيانات الشخصية.

1. تدقيق الوضع الحالي في الشركة

بادئ ذي بدء ، تحقق من خدمة الموظفين والإدارات الأخرى التي تستخدم الوسائط الورقية مع البيانات الشخصية:

• هل توجد أشكال للموافقة على معالجة البيانات الشخصية؟ هل اكتملت ووقعت؟
• هل تمت مراعاة "اللائحة الخاصة بتفاصيل معالجة البيانات الشخصية بدون استخدام أدوات الأتمتة" بتاريخ 15 سبتمبر 2008 برقم 687؟

تحديد الموقع الجغرافي لـ ISPD:

• ما هي الدول التي هم فيها؟
• على أي أساس؟
• هل هناك عقود لاستخدامها؟
• ما هي الحماية التكنولوجية المستخدمة لمنع تسرب PD؟
• ما هي الإجراءات التنظيمية التي يتم اتخاذها لحماية PD؟

من الناحية المثالية ، يجب أن يتوافق نظام المعلومات مع PD للروس مع جميع متطلبات القانون 152-FZ "بشأن البيانات الشخصية" ، حتى لو كان موجودًا في الخارج.

أخيرًا ، انتبه إلى قائمة المستندات الرائعة المطلوبة في حالة التحقق (هذا ليس كل شيء ، فقط القائمة الرئيسية):

• إشعار معالجة PD.
• وثيقة تحدد الشخص المسؤول عن تنظيم معالجة PD.
• قائمة الموظفين المصرح لهم بمعالجة PD.
• وثيقة تحدد مكان تخزين PD.
• معلومات حول معالجة الفئات الخاصة والبيومترية للبيانات الشخصية.
• شهادة تحويل PD.
• النماذج القياسية للوثائق مع PD.
• الشكل القياسي للموافقة على معالجة البيانات الشخصية.
• إجراء نقل PD إلى أطراف ثالثة.
• إجراء المحاسبة عن الطلبات الواردة من موضوعات PD.
• قائمة نظم معلومات البيانات الشخصية (ISPD).
• المستندات التي تنظم النسخ الاحتياطي للبيانات في ISPD.
• قائمة أدوات أمن المعلومات المستخدمة.
• إجراء تدمير PD.
• مصفوفة الوصول.
• نموذج التهديد.
• سجل لوسائط الآلة PD.
• وثيقة تحدد مستويات الأمان لكل ISPD وفقًا لـ PP-1119 بتاريخ 1 نوفمبر 2012 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية."

2. تصميم حل تقني

يرد وصف للتدابير التنظيمية والتقنية التي يجب اتخاذها لحماية PD في الفصل 4. "التزامات المشغل" من القانون 152-FZ "بشأن البيانات الشخصية". يجب أن يستند الحل التقني إلى أحكام المادة 2 من القانون 242-FZ المؤرخ 21 يوليو 2014.

ولكن كيف تمتثل للقانون ومعالجة PD لمواطني الاتحاد الروسي على أراضي روسيا في حالة استمرار وجود ISPD في الخارج؟ هناك عدة خيارات هنا:

• النقل المادي لنظام المعلومات وقاعدة البيانات إلى أراضي الاتحاد الروسي. إذا كان ذلك ممكنًا من الناحية الفنية ، فسيكون أسهل.
• نترك ISPD في الخارج ، ولكن في روسيا نقوم بإنشاء نسخة منه وإنشاء نسخ أحادي الاتجاه لـ PD لمواطني الاتحاد الروسي من نسخة روسية إلى نسخة أجنبية. في الوقت نفسه ، في نظام أجنبي ، من الضروري استبعاد إمكانية تعديل البيانات الشخصية لمواطني الاتحاد الروسي ، وجميع عمليات التحرير فقط من خلال ISPD الروسي.
• هناك العديد من ISPDs وجميعهم في الخارج. يمكن أن يكون النقل مكلفًا ، أو حتى غير ممكن تقنيًا (على سبيل المثال ، من المستحيل فصل جزء من قاعدة البيانات عن البيانات الشخصية لمواطني الاتحاد الروسي ونقله إلى روسيا). في هذه الحالة ، قد يكون الحل هو إنشاء ISPD جديد على أي منصة متاحة على خادم في روسيا ، حيث سيتم تنفيذ النسخ المتماثل أحادي الاتجاه لكل ISPD أجنبي. ألاحظ أن اختيار النظام الأساسي متروك للشركة.

إذا لم يتم نقل PDIS بشكل كامل وحصري إلى روسيا ، فلا تنس الإشارة في شهادة نقل البيانات عبر الحدود إلى من وإلى أي مجموعة معينة من PD يتم إرسالها. يجب الإشارة إلى الغرض من نقل البيانات الشخصية في إشعار المعالجة. مرة أخرى ، يجب أن يكون هذا الهدف مشروعًا ومبررًا بوضوح.

3. التحضير لعملية حماية البيانات الشخصية

يجب أن تحدد عملية حماية البيانات الشخصية النقاط التالية على الأقل:

• قائمة الأشخاص المسؤولين عن معالجة البيانات الشخصية في الشركة.
• الإجراء الخاص بمنح حق الوصول إلى ISPD. من الناحية المثالية ، هذه مصفوفة وصول مع مستوى الوصول لكل منصب أو موظف معين (قراءة / قراءة-كتابة / تعديل). أو قائمة PD المتاحة لكل منصب. كل هذا يتوقف على تنفيذ الملكية الفكرية ومتطلبات الشركة.
• تدقيق الوصول إلى البيانات الشخصية وتحليل محاولات الوصول مع انتهاك مستويات الوصول.
• تحليل أسباب عدم إمكانية الوصول إلى البيانات الشخصية.
• إجراء الاستجابة للطلبات الواردة من موضوعات PD بخصوص PD الخاصة بهم.
• مراجعة قائمة البيانات الشخصية التي يتم نقلها خارج الشركة.
• مراجعة متلقي البيانات الشخصية ، بما في ذلك في الخارج.
• المراجعة الدورية لنموذج التهديد لـ PD ، بالإضافة إلى تغيير مستوى حماية البيانات الشخصية بسبب تغيير في نموذج التهديد.
• تحديث مستندات الشركة (القائمة أعلاه ، ويمكن استكمالها إذا لزم الأمر).

هنا يمكنك تفصيل كل عنصر ، لكني أريد أن أهتم بشكل خاص بمستوى الأمان. يتم تحديده على أساس الوثائق التالية (اقرأ بالتسلسل):

1. "منهجية تحديد التهديدات الحالية حمايةالبيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية "(FSTEC RF 14 فبراير 2008).

2. مرسوم حكومة الاتحاد الروسي رقم 1119 بتاريخ 1 نوفمبر 2012 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية".

3. أمر FSTEC رقم 21 بتاريخ 18 فبراير 2013 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية."

أيضًا ، لا تنس أن تأخذ في الاعتبار الحاجة إلى فئات النفقات مثل:

• منظمة فريق المشروعوإدارة المشاريع.
• المطورين لكل من منصات ISPD.
• قدرات الخادم (تملكها أو مستأجرة في مركز البيانات).

بنهاية المرحلتين الثانية والثالثة من المشروع ، يجب أن يكون لديك:

• قدر العملية الحسابية.
• متطلبات الجودة.
• توقيت المشروع والجدول الزمني.
• المخاطر الفنية والتنظيمية للمشروع.

4. التحقق من الحل التقني وعملية حماية البيانات الشخصية للامتثال لتشريعات الاتحاد الروسي ولوائح الشركة

باختصار من حيث الصياغة ، لكنها خطوة مهمة تحتاج من خلالها إلى التأكد من أن جميع الإجراءات المخطط لها لا تتعارض مع تشريعات الاتحاد الروسي وقواعد الشركة (على سبيل المثال ، سياسات الأمان). إذا لم يتم ذلك ، سيتم وضع قنبلة في أساس المشروع ، والتي يمكن أن "تنفجر" في المستقبل ، وتدمر فوائد النتائج المحققة.

5. تنفيذ حل تقني

هنا كل شيء أكثر أو أقل وضوحا. تعتمد التفاصيل على الموقف والقرارات الأولية. لكن بشكل عام ، يجب أن تبدو الصورة كما يلي:

• سعة الخادم المخصصة.
• قدم مهندسو الشبكة ما يكفي الإنتاجيةالقنوات بين جهاز الاستقبال وجهاز الإرسال PD.
• أنشأ المطورون النسخ المتماثل بين قواعد بيانات ISPD.
• منع المسؤولون إجراء تغييرات على ISPD الموجود في الخارج.

يمكن أن يكون الشخص المسؤول عن حماية PD أو "مالك العملية" نفس الشخص أو مختلفًا. حقيقة أن "مالك العملية" يجب أن يعد جميع الوثائق وأن ينظم العملية الكاملة لحماية PD. للقيام بذلك ، يجب إخطار جميع الأطراف المعنية ، ويجب توجيه الموظفين ، ويجب أن تسهل خدمة تكنولوجيا المعلومات تنفيذ تدابير حماية البيانات التقنية.

6. إطلاق عملية حماية البيانات الشخصية

هذه خطوة مهمة ، والهدف من المشروع بأكمله هو السيطرة على التدفق. بالإضافة إلى الحلول التقنية والوثائق التنظيمية ، فإن دور مالك العملية مهم هنا. يجب عليه تتبع التغييرات ليس فقط في التشريعات ، ولكن أيضًا في البنية التحتية لتكنولوجيا المعلومات. هذا يعني أن المهارات والكفاءات المناسبة مطلوبة.

بالإضافة إلى ذلك ، وهو أمر بالغ الأهمية في ظروف العمل الحقيقية ، يحتاج مالك عملية حماية PD إلى جميع الصلاحيات اللازمة والدعم الإداري من إدارة الشركة. خلاف ذلك ، سيكون "متسولًا" أبديًا ، لا يهتم به أحد ، وبعد فترة يمكن إعادة تشغيل المشروع ، بدءًا من المراجعة مرة أخرى.

الفروق الدقيقة

بعض النقاط التي يسهل التغاضي عنها:

• إذا كنت تعمل مع مركز بيانات ، فأنت بحاجة إلى عقد لتوفير خدمات سعة الخادم ، والذي بموجبه تقوم شركتك بشكل قانوني بتخزين البيانات والتحكم فيها.
• أنت بحاجة إلى تراخيص للبرامج المستخدمة في جمع وتخزين ومعالجة اتفاقيات التأجير الخاصة به.
• إذا كان ISPD موجودًا في الخارج ، فهناك حاجة إلى اتفاق مع الشركة التي تمتلك النظام هناك - لضمان الامتثال لتشريعات الاتحاد الروسي فيما يتعلق بالبيانات الشخصية للروس.
• إذا تم نقل البيانات الشخصية إلى مقاول لشركتك (على سبيل المثال ، شريك خارجي لتكنولوجيا المعلومات) ، فعندئذٍ في حالة حدوث تسرب PD من المتعاقد الخارجي ، ستكون مسؤولاً عن المطالبات. في المقابل ، يمكن لشركتك تقديم مطالبات إلى المتعاقد الخارجي. ربما يؤثر هذا العامل على حقيقة نقل العمل إلى الاستعانة بمصادر خارجية.

ومرة أخرى ، أهم شيء هو أن حماية البيانات الشخصية لا يمكن أخذها وضمانها. هذه عملية. عملية تكرارية مستمرة تعتمد بشكل كبير على المزيد من التغييرات في التشريع ، وكذلك على شكل ودقة تطبيق هذه القواعد في الممارسة.

من المحتمل أن كل شخص حصل على قرض أو كان موظفًا للموارد البشرية قد واجه مثل هذا الموقف عندما يتصل ممثلو البنك بصاحب العمل ويطلبون معلومات حول أحد موظفي المنظمة.

في الوقت نفسه ، في أغلب الأحيان من الناحية العملية ، لا يلتزم صاحب العمل بمتطلبات القانون الفيدرالي 152 بشأن حماية البيانات الشخصية ويكشف عن معلومات حول الموظف عبر الهاتف. لا يمكن لصاحب العمل التحقق من متلقي هذه المعلومات ، وغالبًا ما لا يحصل الموظف على موافقة خطية من الموظف على هذا الاستخدام لبياناته.

من في هذه الحالة يخالف القانون أكثر: من يسأل أم من يجيب؟

في هذه الحالة ، كل هذا يتوقف على ما هي الوثائق من موضوع البيانات الشخصية التي لديها واحد والآخر. هناك حالة لا ينتهك فيها من يسأل ولا من يجيب القانون ، لكن يحدث أن كلاهما ينتهك.

دعونا نتعامل مع هذا.

لذلك نحن بنك. جاء إلينا شخص ، ولأغراض الحصول على قرض ، قدم لنا جميع مجموعة المستندات اللازمة ، بما في ذلك شهادة الأرباح ، مصدقة من توقيعات الأشخاص المسؤولين من صاحب العمل وختم ، بالإضافة إلى الأصول الأخرى اللازمة ونسخ من الوثائق.

ولكن ، على الرغم من شهادة الأرباح الأصلية المقدمة ، نريد التحقق مما إذا كان مقدم الطلب للحصول على قرض يعمل في هذه المؤسسة وما إذا كان الدخل الحقيقي موضحًا في الشهادة المقدمة. في الإنصاف ، يجب القول أنه في الآونة الأخيرة ، لا تزال البنوك في أغلب الأحيان تطلب فقط معلومات حول ما إذا كان شخص معين يعمل في مؤسسة معينة. علاوة على ذلك ، نحن ، بصفتنا بنكًا ، لا نرسل هذا الطلب كتابيًا ، بأختامنا وبيان معلومات التعريف الخاصة بنا ، ولا نشير كتابيًا إلى الغرض من طلبنا ، ولكن لتسريع الإجراء ، نقوم ببساطة بالاتصال برقم الهاتف المشار إليها في المستندات المقدمة من قبل العميل المحتمل للبنك.

ما أدهشني دائمًا في هذا الإجراء هو عدم منطقية معينة في مراحل تأكيد مصداقية البيانات المقدمة.

أي أن المستند الذي يحتوي على أختام وتوقيعات لا يناسبنا تمامًا ، ولكن لسبب ما ، فإن الإجابة عن طريق الهاتف التي أشار إليها الموظف ستناسبنا أكثر.

ما هو رقم هاتف الموظف؟ هل ينتمي هذا الهاتف حقًا إلى هذه المنظمة؟ من على الطرف الآخر من السلك سيرد علي: المدير التنفيذي؟ رئيس الحسابات؟ مدير الموارد البشرية؟ كيف سأعرف أن هؤلاء هم المسؤولين؟ أو ربما سكرتيرة تعمل هنا منذ أسبوع ولا تعرف أحداً بعد؟ أم عامل نظافة؟ أم حارس؟ أو ربما ، من حيث المبدأ ، شخص طلب منه الموظف نفسه الرد على طلب البنك بطريقة مناسبة؟ وإذا لم يرد الهاتف المحدد من قبل الموظف ، فماذا يعني هذا بالنسبة للبنك؟ هل سيتحقق مما إذا كان الشخص قد أخطأ في خانة واحدة؟ هل يمكن أن تكون مشكلة مع شركة الهاتف؟ ربما الشركة لم تعد تستخدم هذا الهاتف والموظف لا يعلم به؟

لكن مهمتنا هي معرفة ما إذا كانت تصرفات الطرفين: البنك وصاحب العمل في هذه الحالة قانونية من حيث المبدأ؟

إذا حصل البنك على موافقة خطية من الموضوع للتحقق من معلوماته والحصول على معلومات من صاحب العمل ، فإن إجراءات البنك تكون قانونية.

ماذا عن صاحب العمل؟

يجوز لصاحب العمل بشكل قانوني تقديم معلومات عن موظف إلى أحد البنوك في الحالات التالية:

2. يسمح للموظف بتقديم بياناته المكتوبة إلى كيان قانوني معين. ولكن في هذه الحالة ، يكون صاحب العمل ملزمًا بالتأكد من أن الطلب جاء من البنك الذي سمح له الموظف بتقديم المعلومات (أي استجابة لطلب كتابي فقط).

ماذا لو لم يكن لدى صاحب العمل مثل هذه الموافقة؟

لا يحق لصاحب العمل تقديم معلومات عن الموظف. ثم صاحب العمل سوف يفي بالتزاماته بموجب قانون حماية البيانات الشخصية؟ نعم. هل سيحصل الموظف على قرض إذا رفض صاحب العمل تقديم معلومات عن الموظف؟ مجهول.

علاوة على ذلك ، إذا كانت المنظمة كبيرة ولديها شبكة واسعة من الأقسام المنفصلة ، فليس من الممكن دائمًا الحصول على هذه الموافقة بسرعة. خاصة في الحالة التي قرر فيها الموظف بشكل عفوي الحصول على قرض. وفي نفس اليوم أو اليوم التالي ، يتصل موظفو البنك بصاحب العمل للتحقق من دقة المعلومات المقدمة.

علاوة على ذلك ، يجب صياغة الموافقة نفسها كتابةً ، ولا يكفي أن يتصل الموظف ، على سبيل المثال ، بقسم شؤون الموظفين ويطلب الرد شفهيًا على طلب بنك معين.

بعد كل شيء ، يدرك الجميع جيدًا أنه عندما يقدم صاحب العمل معلومات حول عمل موظف معين إلى البنك بناءً على طلب هاتفي ، فإنه يفعل ذلك من أجل حماية مصالح الموظف في المقام الأول ، حتى لا يكون كذلك. رفض قرض. لكن تلقائيًا في هذه الحالة ، ينتهك القانون الخاص بحماية البيانات الشخصية ، إذا لم يقلق صاحب العمل مسبقًا بشأن الحصول على موافقة خطية من الموظف نفسه.

من الممكن أنه إذا أوقفت البنوك ممارسة الفحوصات الهاتفية غير القانونية ، فسيكون هناك عدد أقل من هذه الانتهاكات من جانب صاحب العمل.

في الآونة الأخيرة ، صدر خطاب من بنك روسيا بتاريخ 14 مارس 2014 N 42-T "بشأن تعزيز الرقابة على المخاطر الناشئة عن مؤسسات الائتمان عند استخدام المعلومات التي تحتوي على البيانات الشخصية للمواطنين" ، والذي يوصي المؤسسات الائتمانية بتعزيز الرقابة على المخاطر الناشئة من معالجة (والتي ، بالمناسبة ، جمع) المعلومات التي تحتوي على بيانات شخصية ، بالإضافة إلى تحديث المستندات الداخلية التي تحدد: المسؤولية الشخصية لموظفي المؤسسات الائتمانية المشاركة في المعالجة المباشرة للبيانات الشخصية (بما في ذلك الجمع) للحفاظ على السرية وضمانها من المعلومات التي تم إنشاؤها في عملية خدمة العملاء.

في الوقت نفسه ، تم النص صراحة في الرسالة أعلاه على أن بنك روسيا ، عند ممارسة الإشراف على أنشطة البنوك ، سيأخذ في الاعتبار حالات القصور المحددة في تنفيذ التشريعات المتعلقة بحماية البيانات الشخصية والنظر فيها كعامل سلبي عند تقييم جودة إدارة مؤسسة ائتمانية ، بما في ذلك تقييم تنظيم نظام الرقابة الداخلية.

يبقى أن نأمل أن تمتثل البنوك أخيرًا أيضًا لقانون حماية البيانات الشخصية ، دون دفع صاحب العمل إلى انتهاك قسري للقانون.

دجبريل ماتييف ، رئيس حماية البيانات الشخصية للجزء التجاري من الشركةReignVox

يتطلب العمل المستمر مع مجموعات ضخمة من بيانات العميل مصرفًا من أي تنسيق للعمل باستمرار في مجال حماية هذه البيانات.

هذا هو السبب في أن موضوع أمن المعلومات ، ومعه موضوع الثقة ، له أهمية خاصة في القطاع المالي. علاوة على ذلك ، فإن شرط حماية أي بيانات شخصية مدرجة في هيكل نظام المعلومات لشركة مالية حديثة له ما يبرره قانونًا أيضًا - القانون الفيدرالي رقم 152 "بشأن البيانات الشخصية" يُلزم بوضوح كل شركة تقوم بمعالجة هذه البيانات بحمايتها ضمن حدود صارمة. مصطلحات محددة. يجب مواءمة كل من أنظمة المعلومات الجديدة والقائمة التي تعالج البيانات الشخصية مع متطلبات القانون بحلول 1 يناير 2011. بالنظر إلى مثل هذا الإطار الزمني المحدد بدقة ، فإن المنظمات التي تعالج مثل هذه المعلومات لديها وقت أقل وأقل للامتثال لمتطلبات القانون.

كيف تبدأ العمل على حماية البيانات الشخصية؟ ما هي أوقات الاستجابة المتوقعة؟ من المسؤول عن تنفيذ العمل؟ ما هو متوسط ​​تكلفة المشروع وكيفية تقليل التكاليف؟ كل هذه القضايا ذات صلة اليوم بأي شركة تمارس نشاطًا تجاريًا في القطاع المالي. تسمح لنا إجابات الخبراء لهم بمنح ReignVox خبرة واسعة في مجال حماية البيانات الشخصية في الهياكل المالية.

الحياة في وضع العد التنازلي

يدخل القانون الاتحادي رقم 152 "بشأن البيانات الشخصية" حيز التنفيذ الكامل في 1 يناير 2011 - قبل أكثر من ستة أشهر من الموعد النهائي الذي حدده المشرعون. لكن لا تنخدع بفكرة الكثير من الوقت.

أولاً ، يتطلب تنفيذ مشروع يهدف إلى تلبية متطلبات حماية البيانات الشخصية من أربعة إلى ستة أشهر ، حسب درجة تعقيده. لكن هذا الرقم ليس نهائيًا - يمكن أن تزيد المصطلحات حتى ستة إلى ثمانية أشهربسبب الفترة التي سيقضيها البنك في اختيار شركة تكامل جيدة لتطوير وصيانة المشروع. إن القيام بهذا النوع من العمل بمفرده أمر محفوف بالمخاطر بالنسبة للبنك مع فقدان الموضوعية في مرحلة الفحص والتحليل ، ووسائل الحماية الموجودة فيه ، وكذلك الحاجة إلى إيجاد موارد عمل منفصلة لهذا العمل. في هذه الحالة ، يجب على المرء أيضًا أن يتذكر عوامل مثل توافر المتخصصين المدربين في موضوع حماية البيانات الشخصية ، والمقدار الضروري من الدعم التنظيمي والمنهجي ، والموارد المجانية لمهمة حماية البيانات الشخصية. تدل الممارسة على أنه عادة ما يكون المكاملون التابعون لجهات خارجية هم الذين يستوفون كل هذه المتطلبات في المجمع.

ثانيًا ، العودة إلى موضوع المواعيد النهائية التي حددها قانون "البيانات الشخصية" لمشغلي البيانات (وحقيقة أن البنوك مجرد مشغلين لم يعد سؤالاً من حيث المبدأ) ، بغض النظر عما يقولونه عن "نقلهم" ، الفحوصات الأولى للمنظمين جارية بالفعل. الاستنتاج منطقي تمامًا: لم يتم الحفاظ على أهمية المشكلة فحسب ، بل زادت عدة مرات ، وأصبح حلها حاجة ملحة.

"وفتح النعش للتو ..."

في الآونة الأخيرة ، كانت هناك مناقشات نشطة حول مهمة جعل ISPD تتماشى مع أحكام قانون "البيانات الشخصية" ، والنتيجة تتلخص بشكل أساسي في شيء واحد: حل هذه المهمة يمثل مشكلة كبيرة بسبب الجمع من سماتها التنظيمية والقانونية. هذا الاستنتاج ليس صحيحًا تمامًا: ممارسة تطبيق متطلبات حماية البيانات الشخصية ، التي ظهرت خلال الربع الأول من عام 2010 (بما في ذلك في القطاع المصرفي) ، تؤكد وضوح وقابلية تفسير متطلبات ISPD. إن صياغتهم وتنفيذهم وتأكيدهم الوثائقي للأخير مع الحد الأدنى من مخاطر حدوث أي أخطاء ليس من الصعب تنفيذه بقدر ما هو مهم من وجهة نظر أمن الأعمال المصرفية. والأكثر تبسيطًا للمهمة هو القدرة على تكليفها بشركة تكامل تابعة لجهة خارجية ، حيث سيقوم المتخصصون التابعون لها بإكمال مشروع حماية البيانات الشخصية بسرعة واحترافية ، مع مراعاة الخصائص الفردية للأعمال المصرفية.

وبالتالي ، فإن الأولوية الأولى هي اختيار شركة تكامل ، والتي سيتم تكليفها بالمشروع.

"قياسي" = "خاص"؟

مثل علامة المساواة بين هذه المفاهيم المتنافية لها الحق في الوجود. هذا البيان مدعوم بالتجربة العملية لمشاريع حماية البيانات الشخصية الناجحة التي أنجزتها بالفعل ReignVox.

من ناحية ، يتضمن كل مشروع عددًا قياسيًا من المراحل: مرحلة مسح أنظمة معلومات البيانات الشخصية ، ومرحلة تصميم نظام حماية البيانات الشخصية ، ومرحلة تنفيذ SPPD ، ومرحلة تقييم امتثال ISPD مع متطلبات القانون ، ومرحلة دعم النظام المستحدث. علاوة على ذلك ، فإن تقييم الامتثال لـ ISPD ، كمرحلة ، اختياري ويتم تنفيذه وفقًا لتقدير شركة العميل. بالإضافة إلى مرحلة الدعم للنظام المُنشأ.

عادة ما تنتهي النموذجية في المرحلة الأولى (مرحلة مسح نظم المعلومات) ، لأن هذه هي المرحلة التي تسمح لك بتحديد ووصف تلك المتطلبات التي سيتم تقديمها في المستقبل للأنظمة. وهذه المعلمات فردية بالفعل وتركز على كل عميل محدد ، وتم تحسينها وفقًا لاحتياجاته.

هذا المسح يحلل موارد إعلامية، الحلول القياسية المستخدمة في بناء البنية التحتية لتكنولوجيا المعلومات ، تدفق المعلوماتالبيانات الشخصية والأنظمة المتاحة ووسائل حماية المعلومات.

في نفس المرحلة ، يتم تطوير نموذج للتهديدات ومخالف لأمان PD ، يتم تقييم الحاجة إلى ضمان أمان PD في ISPD باستخدام وسائل التشفير.

يتضمن المخطط الكلاسيكي لإجراء المرحلة الثانية مراجعة للإطار التنظيمي وتقييم امتثاله لمتطلبات المنظمين. وكانت نتيجتها تطوير المستندات الداخلية المفقودة ، فضلاً عن تطوير الاختصاصات لتطوير SZPDn. في نفس المرحلة ، يشرع المُتكامل في التطوير المباشر لمجموعة من التدابير لحماية المعلومات.

في نهاية هذه المرحلة ، يكون البنك بالفعل قادرًا تمامًا على اجتياز اختبار أحد المنظمين بنجاح.

يتمثل جوهر المرحلة الثالثة في تنفيذ الأنظمة وتكوين أدوات الحماية الحالية. بعد الاختبار ، إذا لزم الأمر ، يتم الانتهاء من مجمع الأجهزة والبرامج.

في كل مرحلة من المراحل الموصوفة ، تواجه شركة ReignVox ، بصفتها مُتكاملًا ، مهامًا إضافية مختلفة نظرًا لخصائص الأعمال التي تديرها شركة العميل ، وحجمها ، وبنيتها التحتية ، ونشاط إجراءات العمل ، والعديد من النقاط الأخرى. وفي كل مرة يتم تشكيل مفهوم جديد ، تم تكييفه بشكل فردي لمشروع حماية البيانات الشخصية من العديد من هذه المكونات.

"... والأغنام بأمان"

تقليل التكلفة ، تحسين الميزانية ، المدخرات - مهما كانت العبارة التي تختارها ، يبقى الجوهر كما هو - نهج عقلاني لاستخدام الموارد المالية - إنه هو حجر الزاوية الثاني لنجاح الهيكل المالي (بعد الثقة ، بالطبع ). وبالتالي ، فإن الرغبة في خفض التكاليف قدر الإمكان دون المساس بأمن المعلومات أمر طبيعي ويمكن تحقيقه تمامًا.

تبلغ تكلفة المشروع القياسي المتوسط ​​لإنشاء نظام حماية البيانات الشخصية لهيكل مصرفي حوالي 1.5 مليون روبل. عند حساب هذا المبلغ ، يتم أيضًا أخذ عدد من المبادئ في الاعتبار ، وبعد ذلك يمكن تقليل الميزانية لإنشاء نظام حماية البيانات الشخصية.

بادئ ذي بدء ، نحن نسعى جاهدين للحفاظ على البنية التحتية الحالية لتكنولوجيا المعلومات في المنظمة قدر الإمكان. عادة ما يتحدثون عن سيناريوهين قطبين لحماية البيانات الشخصية. الأول هو تغيير جذري لجميع ISPDs ، والثاني هو تغيير رسمي ، ويتألف فقط من إصدار الوثائق التنظيمية الداخلية ، دون إجراء أي تغييرات على ISPDs. نحن نعتبر الخيار الثالث هو الخيار الأمثل ، والذي يتمثل على وجه التحديد في الحفاظ على البنية التحتية لتكنولوجيا المعلومات الحالية للبنك ، مصحوبة بتعديل بعض عناصره ، وإضافة عناصر جديدة ضرورية لضمان الامتثال للقانون.

في هذه الحالة ، نتحدث عن المبدأ الأول ، بناءً على أقصى استخدام لأدوات أمن المعلومات الموجودةعند تصميم أنظمة أمن المعلومات. تُستخدم أدوات الحماية في أي شركة بغض النظر عن الحاجة إلى حماية البيانات الشخصية ، فهذه أنظمة حماية من الفيروسات وأدوات تحكم في الوصول مضمنة في نظام التشغيل ، و جدران الحمايةوالعديد من الوسائل الأخرى. لذلك ، يتم إغلاق الحد الأقصى لعدد المتطلبات بواسطة وسائل الحماية الحالية. وفقط في حالة عدم استيفاء بعض المتطلبات بوسائل الحماية الحالية ، من الضروري شراء وتنفيذ متطلبات إضافية.

المبدأ الثاني هو المبدأ الهيكلة الاقتصادية المنطقية لأنظمة المعلوماتبيانات شخصية. باتباع هذا المبدأ ، كجزء من تنفيذ مشروع حماية البيانات الشخصية في البنك ، يصبح من المجدي اقتصاديًا الجمع بين عدة أنظمة موجودة في نفس الغرفة في واحدة ، جنبًا إلى جنب مع خفض مستوى القطاعات غير الحرجة. وهكذا ، يتم إنشاء "مركز معالجة البيانات" ISPD ، حيث يتم توفير الحماية على طول المحيط. يتيح لك ذلك تقليل تكلفة فصل التدفقات داخل الأنظمة المختلفة بشكل كبير.

المبدأ الثالث الحماية فقط من التهديدات الحالية. في الوقت نفسه ، يتم وصف تحقيق التهديدات في الإلزامي أنظمة خاصةوثيقة تسمى "نموذج التهديد". عند تحقيق التهديدات ، يتم تجاهل التهديدات التي يكون احتمال حدوثها منخفضًا ، والضرر أثناء التنفيذ صغيرًا.

مع مراعاة استخدام الأساليب المثبتة بالفعل ، فإن مهمة جعل ISPD لأي بنك تتماشى مع متطلبات القانون بحلول 1 يناير 2011 ممكنة تمامًا. لتحقيق أقصى قدر من النجاح في تطبيق مثل هذه التقنيات في القطاع المصرفي ، لا يزال من الضروري تذكر نهج متكامل للعمل في المشروع. في هذه الحالة ، نعني تنظيم عمل مشترك للمتخصصين من مختلف الإدارات - متخصصون في تقنيات تكنولوجيا المعلومات وأمن المعلومات وإدارة المشاريع والممولين والمحامين - بما يضمن التوازن الضروري للنهج العام لحماية البيانات الهامة داخل الهيكل المالي.

مرجع: ReignVox هي شركة روسية متخصصة في المشاريع المبتكرة والتطورات في مجال تكنولوجيا المعلومات وضمان أمن المعلومات الخاصة بهم.

الغرض من تأسيس الشركة هو تقديم خدمات لضمان حماية البيانات الشخصية وفقًا لمتطلبات قانون "البيانات الشخصية" FZ-152 الصادر في 27 يوليو 2006 وبناء أنظمة متكاملة لأمن المعلومات.

ReignVox هو عضو في المنظمة العامة الأقاليمية "جمعية حماية المعلومات" (IPO "AZI") ، وعضو منتسب في "اتحاد الاتصالات المعلوماتية" (اتحاد الاتصالات المعلوماتية) ، وكذلك عضو في اتحاد البنوك الإقليمية لروسيا.

تتمتع ReignVox بخبرة كبيرة في تنفيذ مشاريع حماية البيانات الشخصية بنجاح في البنوك التجارية الكبرى. من بين عملائها NOTA-Bank و Vnesheconombank و CentroCredit و Tempbank و Alta-Bank وما إلى ذلك.

تقدير: