البيانات الشخصية في القطاع المصرفي. أطروحة حول الموضوع: تطوير نظام حماية البيانات الشخصية في PJSC Citibank

أمن البيانات الشخصية في البنك

ما هي البيانات الشخصية؟

وفقًا للتعريف الوارد في القانون الفيدرالي ، فإن البيانات الشخصية هي أي معلومات تتعلق بفرد تم تحديده أو تحديده على أساس هذه المعلومات (موضوع البيانات الشخصية) ، بما في ذلك اسمه الأخير ، والاسم الأول ، والعائلة ، والسنة ، والشهر ، والتاريخ و مكان الميلاد ، العنوان ، الأسرة ، الحالة الاجتماعية ، حالة الملكية ، التعليم ، المهنة ، الدخل ، معلومات أخرى.

أين تقع البيانات الشخصية؟

تقع البيانات الشخصية (PD) في البنك في الأنظمة التالية:

النظام المصرفي الآلي (ABS) ؛

أنظمة بنك العميل ؛

أنظمة تحويل الأموال الفوري.

نظم المحاسبة؛

أنظمة محاسبة الموظفين.

نظام معلومات الشركة ؛

بوابة الويب الداخلية.

قد يكون PD موجودًا على مستندات ورقية (عقود ، نماذج ، أوامر ، تعليمات ، استبيانات ، اتفاقيات ، إلخ).

ما هي المستندات التي تحدد متطلبات حماية البيانات الشخصية؟

القوانين الفدرالية

القانون الاتحادي رقم 149-FZ المؤرخ 27 يوليو 2006 "بشأن المعلومات ، تكنولوجيا المعلوماتوحماية المعلومات "؛

المراسيم الحكومية

قرار حكومي الاتحاد الروسيرقم 781 بتاريخ 17 نوفمبر 2007 "بشأن الموافقة على اللائحة الخاصة بضمان أمن البيانات الشخصية أثناء معالجتها في نظم المعلوماتبيانات شخصية"؛

المرسوم الصادر عن حكومة الاتحاد الروسي رقم 957 بتاريخ 29 ديسمبر 2007 "بشأن الموافقة على اللوائح الخاصة بترخيص أنواع معينة من الأنشطة المتعلقة بوسائل التشفير (التشفير)" ؛

مرسوم حكومة الاتحاد الروسي رقم 687 المؤرخ 15 سبتمبر 2008 "بشأن الموافقة على اللوائح الخاصة بخصائص معالجة البيانات الشخصية دون استخدام أدوات الأتمتة".

FSTEC من روسيا

أمر مشترك من FSTEC لروسيا ، FSB لروسيا ووزارة الإعلام والاتصالات الروسية بتاريخ 13 فبراير 2008 رقم 55/86/20 "بشأن الموافقة على إجراءات تصنيف أنظمة معلومات البيانات الشخصية" ؛

وثيقة توجيهية من FSTEC لروسيا "النموذج الأساسي للتهديدات لأمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" ؛

وثيقة توجيهية لـ FSTEC of Russia "منهجية لتحديد التهديدات الفعلية لأمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" ؛

أمر FSTEC لروسيا بتاريخ 5 فبراير 2010 رقم 58 "بشأن الموافقة على اللوائح الخاصة بأساليب وطرق حماية المعلومات في البيانات الشخصية المعلوماتية".

FSB من روسيا

أمر FAPSI المؤرخ 13 يونيو 2001 رقم 152 "بشأن الموافقة على التعليمات الخاصة بتنظيم وضمان أمن التخزين والمعالجة والنقل عبر قنوات الاتصال باستخدام الوسائل حماية التشفيرمعلومات من وصول محدود، التي لا تحتوي على معلومات تشكل سرًا من أسرار الدولة "؛

أمر دائرة الأمن الفيدرالي للاتحاد الروسي المؤرخ 9 فبراير 2005 رقم 66 "بشأن الموافقة على اللائحة المتعلقة بتطوير وإنتاج وبيع وتشغيل أدوات حماية معلومات التشفير (التشفير) (اللائحة PKZ-2005)" ؛

وثيقة توجيهية من FSB لروسيا بتاريخ 21 فبراير 2008 رقم 149 / 54-144 "إرشادات لضمان أمن البيانات الشخصية باستخدام أدوات التشفير عند معالجتها في أنظمة معلومات البيانات الشخصية باستخدام أدوات التشغيل الآلي" ؛

وثيقة توجيهية من FSB لروسيا بتاريخ 21 فبراير 2008 رقم 149/6 / 6-622 "المتطلبات النموذجية لتنظيم وتشغيل التشفير (التشفير) تعني حماية المعلومات التي لا تحتوي على معلومات تشكل سرًا للدولة ، إذا يتم استخدامها لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية "؛

معيار بنك روسيا

STO BR IBBS-1.0-2010 "ضمان أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي. الأحكام العامة"؛

STO BR IBBS-1.1-2007 "ضمان أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي. تدقيق أمن المعلومات "؛

STO BR IBBS-1.2-2010 “ضمان أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي. منهجية لتقييم امتثال أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي لمتطلبات STO BR IBBS-1.0-20xx "؛

RS BR IBBS-2.0-2007 "ضمان أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي. إرشادات للتوثيق في مجال أمن المعلومات وفقًا لمتطلبات STO BR IBBS-1.0 "؛

RS BR IBBS-2.1-2007 "ضمان أمن المعلومات لمؤسسات النظام المصرفي للاتحاد الروسي. إرشادات بشأن التقييم الذاتي لمدى امتثال أمن المعلومات في مؤسسات النظام المصرفي للاتحاد الروسي لمتطلبات STO BR IBBS-1.0 "؛

RS BR IBBS-2.3-2010 "توفير أمن المعلومات لمنظمات النظام المصرفي للاتحاد الروسي. متطلبات ضمان أمن البيانات الشخصية في أنظمة المعلومات الخاصة بالبيانات الشخصية لمؤسسات النظام المصرفي للاتحاد الروسي "؛

RS BR IBBS-2.4-2010 “توفير أمن المعلومات لمنظمات النظام المصرفي للاتحاد الروسي. نموذج الصناعة الخاص لتهديدات أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات PD لمؤسسات بنوك النظام المصرفي للاتحاد الروسي "؛

التوصيات المنهجية للامتثال للمتطلبات القانونية عند معالجة البيانات الشخصية في مؤسسات RF BS ، والتي تم تطويرها بشكل مشترك من قبل بنك روسيا و ARB ورابطة البنوك الإقليمية في روسيا (جمعية روسيا).

كيف يجب حماية البيانات الشخصية؟

وفقًا لمتطلبات الوثائق المنهجية لحماية PD ، فإن الأنظمة الفرعية التالية مشتركة بين جميع أنواع ISPD:

النظام الفرعي للتحكم في الوصول ؛

نظام فرعي للتسجيل والمحاسبة ؛

النظام الفرعي للنزاهة

النظام الفرعي لأمن الإنترنت.

إذا كان ISPD متصلاً بالإنترنت ، فيجب استخدام الأنظمة الفرعية التالية بشكل إضافي:

نظام فرعي لأمن مكافحة الفيروسات ؛

النظام الفرعي لكشف التسلل

النظام الفرعي لتحليل الأمان.

أنت أيضا بحاجة إلى استخدام أقفال إلكترونيةو / أو مفاتيح إلكترونيةلتحديد المستخدمين والمصادقة عليهم بشكل آمن.

إذا تم توزيع ISPD بشكل إضافي لمنع الوصول غير المصرح به عن طريق فصل المعلومات المحمية عن المعلومات العامة ، فمن الضروري استخدام التشفير عند إرسال PD عبر قنوات اتصال غير آمنة ، بالإضافة إلى التوقيع الرقمي لتأكيد صحة البيانات.

مثل هذا الانهيار إلى أنظمة فرعية وتشكيل قائمة منتجات لحماية البيانات الشخصية على أساسها مقبول بشكل عام ويستخدم في معظم الحالات.

مما هو ضروري لحماية البيانات الشخصية؟

إذا كانت المهمة هي ضمان سرية PD فقط ، فمن الضروري اتخاذ تدابير و / أو استخدام الوسائل التقنية التي تهدف إلى منع الوصول غير المصرح به ، ثم تصبح PDIS نموذجية.

إذا تم فرض متطلبات إضافية لضمان خصائص أخرى لأمن المعلومات ، مثل ضمان النزاهة ، والتوافر ، وكذلك مشتقاتها (عدم التنصل ، والمساءلة ، والكفاية ، والموثوقية ، وما إلى ذلك) ، يصبح هذا ISPD خاصًا. في معظم الحالات ، سيكون أي ISPD خاصًا ، أي بالإضافة إلى فئات PD ، لتحديد آليات الحماية ، من الضروري الاسترشاد بنموذج التهديد الذي تم إنشاؤه لهذا الغرض.

كيف يتم تقليل فئة PD؟

من أجل تقليل وتبسيط الإجراءات لحماية PD ، تستخدم البنوك حيلًا مختلفة. فيما يلي أقدم الطرق الأكثر شيوعًا لتقليل تكلفة معدات الحماية. ومع ذلك ، فإن مثل هذه "إعادة تشكيل" أنظمة معلومات البنك في حد ذاتها مهمة معقدة إلى حد ما وتستغرق وقتًا طويلاً.

تقليل عدد المواقع

كما هو موضح أعلاه ، إذا تم توزيع ISPD ، فسيتم فرض متطلبات متزايدة على حمايتها ، لتقليلها ، تحتاج إلى محاولة الابتعاد عن ISPD الموزع.

مع ISPD الموزع ، توجد PDs في مواقع مختلفة ، ويتم إرسال PDs عبر قنوات الاتصال التي لا يسيطر عليها البنك ، وفي الحالة العامة ، هذا يعني أن PDs تدخل أو تغادر المنطقة الخاضعة للرقابة. بعد ذلك ، أولاً وقبل كل شيء ، من الضروري توطين PD عن طريق تقليل عدد المواقع التي سيتم تحديد موقعها فيها. في بعض الحالات ، يكون هذا حقيقيًا ، ولكن إذا أخذنا في الاعتبار نظام الوصول وتقاسم المنافع ، فعلى الأرجح لن يكون هناك مثل هذا الاحتمال.

تقليل عدد الخوادم

إذا كان ISPD محليًا ، أي أنه يعمل ضمن الشبكة المحلية للبنك ، فإن أبسط طريقة لتقليل تكلفة تكاليف الحماية ستكون لتقليل كمية معدات الخادم التي يوجد عليها PD و / أو تتم معالجتها.

تقليل عدد محطات العمل والأفراد

مع أي نوع من ISPD (في شكل AWS ، محلي ، موزع) ، يتم تنفيذ المعالجة النهائية لـ PD ، كقاعدة عامة ، من قبل موظفي البنك. إذا كنت لا تستخدم الوصول إلى الجهاز ، والذي سيتم مناقشته أدناه ، فمن المنطقي تقليل عدد موظفي البنك المشاركين في معالجة البيانات الشخصية أو الوصول إليها.

تقاسم IC مع الاتحاد الدولي للاتصالات

من أجل تقليل كمية PD ، وبالتالي تقليل تكلفة معدات الحماية ، بطريقة جيدةهو الانقسام شبكات المعلوماتإلى المقاطع التي تتم فيها معالجة PD. للقيام بذلك ، من الضروري تثبيت واستخدام جدران الحماية ، إلى المنافذ التي يجب توصيل الأجزاء التي تحتوي على PD. في كثير من الأحيان ، توجد جميع معدات الخادم في المنطقة منزوعة السلاح ، أي في أجزاء مفصولة عن الشبكات العامة والمصرفية بجدران الحماية. تتطلب هذه الطريقة أيضًا "إعادة تشكيل" كبيرة لشبكات المعلومات. هناك طريقة تعتمد على ما يسمى "التشفير الخطي" ، أي تشفير العميل والعميل وخادم العميل وخادم الخادم. يمكن تنفيذ هذا التشفير لحركة مرور الشبكة باستخدام أدوات الحماية الخاصة واستخدام تقنية IPSec القياسية ، ومع ذلك ، فإنه غير معتمد من قبل FSB في روسيا ، وهو عيب كبير.

يمكن أن تكون التكنولوجيا طريقة أخرى لمشاركة ISPDs عبر الشبكة بأكملها الشبكات الافتراضية- VLAN ، مع ذلك ، في الواقع ، VLAN هي مجرد معرف في أحد مجالات حزمة الشبكة ، مما يسمح لنا بالتحدث عن هذه التكنولوجيا باسم "IT". لذلك ، فإن فصل الشبكات باستخدام شبكات VLAN لا يعفي من استخدام تقنيات أمن المعلومات.

تقسيم قواعد البيانات إلى أجزاء

لنفترض أن هناك قاعدة بيانات تتكون من آلاف السجلات: ومقدار الوديعة.

لنقم بإنشاء قاعدتي بيانات أخريين. نقدم ملف إضافي معرّف فريد. سنقسم الجدول إلى جزأين ، في الأول سنضع الحقول الاسم الكامل والمعرف ، وفي الآخر المعرف ومقدار المساهمة.

وبالتالي ، إذا كان بإمكان كل موظف التعامل مع واحدة فقط من قواعد البيانات الجديدة هذه ، فسيتم تبسيط حماية PD إلى حد كبير ، إن لم يتم تقليلها إلى لا شيء. من الواضح أن قيمة قاعدة البيانات هذه أقل بكثير من القيمة الأصلية. سيتم وضع قاعدتي البيانات على الخادم الأكثر أمانًا. في الواقع ، هناك العديد من المجالات في قاعدة البيانات ، لكن هذا المبدأ يمكن أن يعمل في كل حالة تقريبًا ، لأن. عدد الحقول المهمة من وجهة نظر أمان PD ليس كبيرًا جدًا ، ولكنه محدود للغاية. في الحالة القصوى ، يمكنك تخزين المفاتيح المتطابقة على جهاز كمبيوتر ليس جزءًا من الشبكة المحلية ، أو حتى لا تستخدم المعالجة التلقائية.

تبدد شخصية PD

وفقًا لتعريف 152-FZ ، فإن تبديد شخصية PD هو إجراء ، ونتيجة لذلك يستحيل تحديد ما إذا كان PD ينتمي إلى موضوع PD معين. من هذا التعريف يتبع سلسلة من الطرق التي يمكن من خلالها الحصول على PD ، والتي من خلالها يستحيل تحديد ملكية PD. على سبيل المثال ، إذا كانت البيانات الدقيقة لحقول معينة غير مهمة لأغراض المعالجة ، فلا يمكنك عرضها أو عرض النطاقات التي تقع فيها فقط. على سبيل المثال ، العمر 20-30 ، 30-40 ، إلخ. يمكن "تقريب" العنوان إلى الحي أو الحي أو المدينة: Tsaritsyno ، Yuzhny ، موسكو. اعتمادًا على الحاجة ، يمكن أن تكون عملية تبدد الشخصية في PD قابلة للعكس أو لا رجعة فيها. يتضمن "لا رجعة فيه" الطرق المذكورة أعلاه "التقريب" ، والعكس ، على سبيل المثال ، التشفير. من وجهة نظري ، يمكن أن يكون التشفير (الترميز) وسيلة لإخفاء هوية البيانات ويجب استخدامه لهذه الأغراض.

"العملاء الرقيقين" والوصول إلى المحطة الطرفية

يمكن أن يؤدي استخدام تقنيات "العميل الرقيق" وتقنية الوصول إلى المحطة الطرفية المقابلة على الخوادم إلى تقليل متطلبات حماية البيانات الشخصية بشكل كبير. الحقيقة هي أنه عند استخدام العملاء "الرقيقين" والوصول إلى المحطة الطرفية على أجهزة الكمبيوتر الخاصة بموظفي البنك ، فليس من الضروري تثبيت برامج متخصصة ، مثل أجزاء العميل من قواعد البيانات ، وأجزاء العميل من ABS ، وما إلى ذلك. علاوة على ذلك ، ليست هناك حاجة لتثبيت أي أدوات حماية خاصة على أجهزة الكمبيوتر الخاصة بموظفي البنك. تتيح لك هذه التقنيات عرض المعلومات من قواعد البيانات المخزنة على الخوادم في مكان عملك وإدارة معالجة البيانات الشخصية. هذه التقنيات هي آمنة بداهة ، لأن. باستخدام السياسات النهائية ، من السهل الحد من قدرة العملاء النهائيين (موظفي البنك) على نسخ ، وبالتالي توزيع ، PD. قناة اتصال بين الخوادم والكمبيوتر الشخصي بـ " عميل رفيع»سهل التشفير ، أي طرق بسيطةيمكن ضمان سرية البيانات المرسلة.

ستقتصر سرعة تسرب البيانات المحتملة على القناة المرئية فقط ، والتي تحددها سرعة الكاميرا أو كاميرا الفيديو ، ومع ذلك ، مع إدخال تدابير تنظيمية خاصة ، يصبح مثل هذا النسخ صعبًا للغاية.

كيف يمكن حماية البيانات الشخصية؟

بمعنى واسع ، تُفهم الحماية ضد الوصول غير المصرح به على أنها مجموعة من التدابير التنظيمية والتقنية. تستند هذه الأنشطة إلى فهم آليات منع الوصول غير المصرح به على الأكثر مراحل مختلفة:

تحديد الهوية والمصادقة (أيضًا عاملين أو قويين). يمكن ان تكون ( نظام التشغيل، برامج البنية التحتية ، برامج التطبيقات ، الأجهزة مثل الدونجل) ؛

التسجيل والمحاسبة. يمكن أن يكون هذا تسجيل (تسجيل ، تسجيل) للأحداث في جميع الأنظمة والبرامج والأدوات المذكورة أعلاه) ؛

ضمان النزاهة. قد يكون هذا هو حساب المجاميع الاختبارية للملفات الخاضعة للرقابة ، مما يضمن سلامتها مكونات البرامج، واستخدام بيئة برمجية مغلقة ، فضلاً عن توفير تمهيد نظام تشغيل موثوق به) ؛

جدار الحماية ، البوابة والمحلية ؛

الأمن المضاد للفيروسات (يتم تطبيق ما يصل إلى ثلاثة مستويات من الدفاع ، ما يسمى بالنهج متعدد المستويات أو متعدد البائعين) ؛

التشفير (يُطبق وظيفيًا على مستويات مختلفة من نموذج OSI (الشبكة ، النقل وما فوق) ، ويوفر وظائف وقائية متنوعة).

هناك العديد من المنتجات المعقدة التي طورت وظائف NSD. تختلف جميعها في أنواع التطبيقات ودعم الأجهزة والبرامج وطوبولوجيا التنفيذ.

عند توزيعها أو توصيلها بشبكة عامة (الإنترنت ، Rostelecom ، وما إلى ذلك) ISPD ، يتم استخدام منتجات تحليل الأمان (MaxPatrol من شركة Positive Technologies ، التي ليس لها منافسون مباشرون في الاتحاد الروسي) ، بالإضافة إلى كشف التسلل والوقاية منه (IDS / IPS) - على مستوى البوابة وعلى مستوى العقدة النهائية.

كيف يمكن نقل البيانات الشخصية؟

إذا تم توزيع ISPD ، فهذا يعني الحاجة إلى إرسال PD عبر قنوات اتصال غير آمنة. بالمناسبة ، "الهواء" ينطبق أيضًا على قناة غير محمية. لحماية PD في قنوات الاتصال ، يمكن استخدام طرق مختلفة:

تشفير قناة الاتصال. يمكن توفيره بأي طريقة ، مثل VPN بين البوابات ، و VPN بين الخوادم ، و VPN بين محطات العمل (InfoTecs ViPNet Custom ، Informzaschita APKSh Continent ، إلخ) ؛

تبديل حزم MPLS. تنتقل الحزم عبر مسارات مختلفة وفقًا للتسميات التي تحددها معدات الشبكة. على سبيل المثال ، تمتلك شبكة MPLS الخاصة بـ Rostelecom شهادة امتثال لشبكة تبديل الحزم مع متطلبات أمن المعلومات الخاصة بـ FSTEC في روسيا ، وهو ضمان للأمان العالي للخدمات المقدمة على أساسها ؛

تشفير الوثيقة. يمكن استخدامها لمختلف برمجةلتشفير ملفات البيانات ، وكذلك ملفات الحاويات (ViPNet SafeDisk ، InfoWatch CryptoStorage ، True Crypt ، إلخ) ؛

تشفير المحفوظات. يمكن استخدام أرشفة متنوعة تتيح لك أرشفة الملفات وتشفيرها باستخدام خوارزميات قوية مثل AES. (WinRAR و WinZIP و 7-ZIP وما إلى ذلك).

هل أحتاج إلى استخدام معدات حماية معتمدة؟

حتى الآن ، هناك المطلب الوحيد لـ FSTEC لروسيا من حيث التصديق على وسائل حماية البيانات الشخصية. يتعلق المطلب بتوفير المستوى 4 من القدرات غير المصرح بها ، وبالتالي ، فيما يتعلق بالمسألة الأخيرة ، سأقدم ثلاث أطروحات فقط:

نظام إصدار الشهادات لمعدات الحماية طوعي ؛

بما يكفي للامتثال لمتطلبات القانون ؛

ليس من الضروري المصادقة على نظام معلومات البيانات الشخصية ككل.

شاورو يوجين

مارينا بروخوروفا ،رئيس تحرير مجلة "البيانات الشخصية"

ناتاليا سامويلوفا ،محام في InfoTechnoProject

الإطار التنظيمي الذي تم تطويره حتى الآن في مجال معالجة البيانات الشخصية ، والمستندات التي لم يتم اعتمادها بعد من أجل تنظيم عمل أكثر فاعلية بشأن حماية البيانات الشخصية في المنظمات ، والجوانب التقنية لإعداد أنظمة المعلومات لمشغلي البيانات الشخصية - هذه هي الموضوعات التي تم التطرق إليها مؤخرًا في العديد من الصحف ومنشورات المجلات حول موضوع البيانات الشخصية. في هذه المقالة ، أود أن أتطرق إلى جانب من جوانب تنظيم عمل المؤسسات المصرفية والائتمانية مثل الحماية "غير الفنية" للبيانات الشخصية التي تتم معالجتها في هذه المنظمات.

لنبدأ بمثال ملموس

نحن نتحدث عن المراجعة القضائية للقضية المتعلقة بحماية البيانات الشخصية ، التي بدأت ضد سبيربنك في يونيو 2008. وكان جوهر المحاكمة على النحو التالي. تم إبرام اتفاقية ضمان بين المواطن والبنك ، والتي بموجبها يتحمل المواطن الالتزام بأن يكون مسؤولاً أمام البنك عن وفاء المقترض بالتزاماته بموجب اتفاقية القرض. لم يف هذا الأخير بالتزاماته خلال الفترة المحددة بموجب اتفاقية القرض ، وتم إدخال المعلومات المتعلقة بالضامن كعميل غير موثوق به في نظام المعلومات الآلي لقائمة الوقف للبنك ، والذي كان بدوره أساس رفض منح له قرض. في الوقت نفسه ، لم يقم البنك حتى بإخطار المواطن بشأن عدم وفاء المقترض بالتزاماته بموجب اتفاقية القرض. بالإضافة إلى ذلك ، لا تشير اتفاقية الضمان إلى أنه في حالة عدم وفاء المقترض بالتزاماته بشكل غير لائق ، يحق للبنك إدخال معلومات حول الضامن في نظام معلومات قائمة الإيقاف. وبالتالي ، قام البنك بمعالجة البيانات الشخصية للمواطن من خلال تضمين معلومات عنه في نظام معلومات قائمة الإيقاف دون موافقته ، مما ينتهك متطلبات الجزء 1 من الفن. 9 من القانون الاتحادي رقم 152-FZ الصادر في 27 يوليو 2006 "بشأن البيانات الشخصية" ، والذي بموجبه يقرر موضوع البيانات الشخصية تقديم بياناته الشخصية ويوافق على معالجتها بإرادته الخاصة ولمصلحته الخاصة. بالإضافة إلى ذلك ، بالطريقة المنصوص عليها في الجزء 1 من الفن. 14 من القانون نفسه ، تقدم مواطن بطلب إلى البنك لإتاحة الفرصة له للتعرف على المعلومات التي تم إدخالها عنه في نظام معلومات قائمة الإيقاف ، وكذلك لحجب هذه المعلومات وإتلافها. رفض البنك استيفاء متطلبات المواطن.

بناءً على نتائج النظر في القضية ، استوفت محكمة مقاطعة لينينسكي في فلاديفوستوك مطالبات مكتب روسكومنادزور لإقليم بريمورسكي ضد سبيربنك في روسيا لحماية حقوق المواطن المنتهكة وأمرت البنك بإتلاف المعلومات حول المواطن من نظام معلومات قائمة الوقف.

لماذا هذا المثال مهم؟ لا تتردد البنوك ، التي تقوم بتخزين البيانات الشخصية لعدد كبير من عملائها ، في نقلها من قاعدة بيانات إلى أخرى ، وفي أغلب الأحيان دون إبلاغ موضوع البيانات الشخصية عنها ، ناهيك عن الحصول على موافقته على مثل هذه الإجراءات مع صاحبها. بيانات شخصية. بالطبع ، للنشاط المصرفي عدد من الميزات ، وغالبًا ما يتم استخدام البيانات الشخصية للعملاء ليس فقط للوفاء بالاتفاقيات التي يبرمها البنك ، ولكن أيضًا لممارسة سيطرة البنك على وفاء العميل بالتزاماته ، ولكن هذا يعني أن أي تلاعب بالبيانات الشخصية يتطلب بالفعل موافقة الشخص المعني.

الصعوبات في تفسير الأحكام

لماذا لا تجعل أي عمليات مع البيانات الشخصية قانونية؟ بالطبع ، سيتطلب هذا على الأرجح مشاركة متخصصين من أطراف ثالثة ، حتى المحامين الإدارات القانونيةالبنوك الكبيرة هم متخصصون من الدرجة الأولى فقط في منطقة معينة ، وعليهم التعرف على تفاصيل العمل في مجال البيانات الشخصية تقريبًا من الصفر. لذا فإن أفضل طريقة للخروج هي إشراك الشركات المتخصصة في تقديم خدمات تنظيم العمل بالبيانات الشخصية ، بما في ذلك تلك القادرة على تدقيق مدى امتثال إجراءات الحماية غير الفنية لمتطلبات المشرع ، للعمل على تنظيم البيانات الشخصية. نظام الحماية.

تسمح لنا نتائج الدراسات التحليلية باستنتاج أن تفسير أحكام القانون الاتحادي رقم 152-FZ "بشأن البيانات الشخصية" يسبب أكبر صعوبة.

وفقًا للجزء 1 من المادة 22 من هذه الوثيقة التنظيمية ، يلتزم المشغل بإخطار الهيئة المخولة بمعالجة البيانات الشخصية. من بين الاستثناءات الحالة التي يتم فيها الحصول على البيانات الشخصية المعالجة فيما يتعلق بإبرام اتفاقية يكون موضوع البيانات الشخصية طرفًا فيها ... ويستخدمها المشغل فقط للوفاء بالاتفاقية المذكورة على أساس الفقرة 2 من الجزء 2 من المادة 22 من القانون الاتحادي رقم 152-FZ "بشأن البيانات الشخصية". بناءً على هذا الشرط المحدد ، لا تقدم بعض البنوك إخطارًا بشأن معالجة البيانات الشخصية ، ولا يعتبر الكثيرون أنفسهم مشغلين ، وهذا خطأ جوهري.

أيضًا ، هناك خطأ شائع آخر للبنوك ، كمشغلي بيانات شخصية ، فيما يتعلق بالعقد كما يلي. حسب الفن. 6 من القانون المذكور أعلاه ، قد تتم معالجة البيانات الشخصية من قبل المشغل بموافقة الأشخاص المعنيين بالبيانات الشخصية ، باستثناء الحالات ، التي يتم من بينها المعالجة من أجل الوفاء بالعقد ، أحد الأطراف التي هي موضوع البيانات الشخصية. لذلك ، تفسر العديد من المؤسسات المصرفية عدم موافقتها على موضوع البيانات الشخصية على وجه التحديد من خلال حقيقة إبرام مثل هذه الاتفاقية.

لكن دعنا نفكر في الأمر ، ألا يستخدم البنك ، كونه مشغل ، البيانات الشخصية للموضوع التي تم تلقيها في نهاية العقد ، على سبيل المثال ، لإرسال إشعارات حول الخدمات الجديدة ، للحفاظ على "قوائم التوقف"؟ هذا يعني أن معالجة البيانات الشخصية تتم ليس فقط لغرض تنفيذ العقد ، ولكن أيضًا لأغراض أخرى ، يكون تحقيقها ذا فائدة تجارية للبنوك ، وبالتالي:

• يتعين على البنوك تقديم إخطار بشأن معالجة البيانات الشخصية إلى الجهة المرخصة ؛
• يجب على البنوك معالجة البيانات الشخصية فقط بموافقة الموضوع.

وهذا يعني أنه يجب على البنوك تنظيم نظام للعمل مع البيانات الشخصية لعملائها ، أي ضمان الحماية غير الفنية لهذه البيانات.

موافقة خطية على معالجة البيانات الشخصية

بالنسبة لموافقة موضوع البيانات الشخصية على معالجة البيانات الشخصية ، يُلزم القانون الاتحادي رقم 152-FZ "بشأن البيانات الشخصية" المشغلين بالحصول على موافقة كتابية لمعالجة البيانات الشخصية فقط في الحالات التي يحددها القانون. في نفس الوقت ، وفقًا للجزء 3 من الفن. 9 ، الالتزام بإثبات موافقة الشخص الخاضع لمعالجة بياناته الشخصية يقع على عاتق المشغل. من أجل عدم إضاعة الوقت ، إذا لزم الأمر ، في جمع مثل هذه الأدلة (على سبيل المثال ، البحث عن شهود) ، في رأينا ، من الأفضل في أي حال الحصول على موافقة كتابية من الأشخاص المعنيين.

فيما يلي حجة أخرى للشكل المكتوب لمعالجة البيانات الشخصية. غالبًا ما ينطوي نشاط البنوك على نقل البيانات (بما في ذلك البيانات الشخصية) إلى أراضي دولة أجنبية. بهذه المناسبة ، الجزء 1 من الفن. ينص رقم 12 من القانون الفيدرالي رقم 152-FZ "بشأن البيانات الشخصية" على أنه قبل بدء نقل البيانات الشخصية عبر الحدود ، يكون المشغل ملزمًا بالتأكد من أن الدولة الأجنبية التي يتم نقل البيانات الشخصية إليها يوفر out حماية كافية لحقوق موضوعات البيانات الشخصية. إذا لم يتم توفير هذه الحماية ، فلا يمكن نقل البيانات الشخصية عبر الحدود إلا بموافقة خطية من موضوع البيانات الشخصية. يمكن الافتراض أنه من الأسهل على موظف البنك الحصول على موافقة كتابية من العميل لمعالجة البيانات الشخصية بدلاً من تحديد درجة كفاية حمايتهم في بلد أجنبي.

نلفت انتباهك إلى حقيقة أن المعلومات التي يجب أن تتضمنها الموافقة الخطية مدرجة في الجزء 4 من الفن. 9 من القانون الاتحادي المذكور أعلاه ، وهذه القائمة شاملة. والتوقيع تحت العبارة ، على سبيل المثال ، في اتفاقية قرض: "أوافق على استخدام بياناتي الشخصية" ، وفقًا للقانون الفيدرالي رقم 152-FZ "بشأن البيانات الشخصية" ، لا يعني الموافقة على معالجتها!

يبدو أنه لا يوجد سوى عدد قليل من النقاط في القانون ، ولكن كم عدد المضاعفات ، حتى التقاضي ، التي يمكن أن تكون ناجمة عن سوء تفسيرها. بالإضافة إلى ذلك ، اليوم ، عندما تصبح البيانات الشخصية للأفراد سلعة في الصراع التنافسي لمختلف الهياكل ، يصبح الحل الناجح لقضايا حمايتها ، وضمان أمن أنظمة المعلومات في المؤسسات المصرفية والائتمانية هو المفتاح للحفاظ على السمعة والسمعة الطيبة لأي منظمة.

كل يوم ، أصبح المواطنون أكثر وعيًا بالعواقب السلبية المحتملة لنشر بياناتهم الشخصية ، والتي يسهلها ظهور المنشورات المتخصصة. هناك أيضا موارد إعلاميةشركات مختلفة. يغطي بعضها عمومًا مجموعة واسعة من القضايا المتعلقة بمفهوم "أمن المعلومات" ، والبعض الآخر مخصص لمراجعات تدابير ووسائل الحماية التقنية ، بينما يركز شخص ما ، على العكس من ذلك ، على المشكلات المرتبطة بالحماية غير التقنية . بمعنى آخر ، أصبح الوصول إلى المعلومات المتعلقة بحماية البيانات الشخصية أكثر وأكثر ، مما يعني أن المواطنين سيكونون أكثر ذكاءً في مجال حماية حقوقهم.

موضع

بشأن حماية البيانات الشخصية

العملاء (المشتركون)

في Ortes-Finance LLC

المصطلحات والتعريفات

1.1. معلومات شخصية- أي معلومات تتعلق بفرد تم تحديده أو تحديده على أساس هذه المعلومات (موضوع البيانات الشخصية) ، بما في ذلك اسمه الأخير ، واسمه الأول ، واسم الأب ، والسنة ، والشهر ، وتاريخ ومكان الميلاد ، والعنوان ، وعنوان البريد الإلكتروني ، رقم الهاتف ، الأسرة ، الحالة الاجتماعية ، الملكية ، التعليم ، المهنة ، الدخل ، معلومات أخرى.

1.2. معالجة البيانات الشخصية- الإجراءات (العمليات) مع البيانات الشخصية ، بما في ذلك الجمع والتنظيم والتراكم والتخزين والتوضيح (التحديث والتغيير) والاستخدام والتوزيع (بما في ذلك النقل) وتبديد الشخصية والحظر.

1.3. سرية البيانات الشخصية- شرط إلزامي للشخص المسؤول المعين الذي تمكن من الوصول إلى البيانات الشخصية لمنع توزيعها دون موافقة الموضوع أو أي أسس قانونية أخرى.

1.4. نشر البيانات الشخصية- الإجراءات التي تهدف إلى نقل البيانات الشخصية إلى دائرة معينة من الأشخاص (نقل البيانات الشخصية) أو التعرف على البيانات الشخصية لعدد غير محدود من الأشخاص ، بما في ذلك الكشف عن البيانات الشخصية بوسائل وسائل الإعلام الجماهيريةأو التنسيب في شبكات المعلومات والاتصالات أو توفير الوصول إلى البيانات الشخصية بأي طريقة أخرى.

1.5. استخدام البيانات الشخصية- الإجراءات (العمليات) مع البيانات الشخصية التي يتم إجراؤها بغرض اتخاذ القرارات أو تنفيذ إجراءات أخرى تؤدي إلى عواقب قانونية فيما يتعلق بأشخاص البيانات الشخصية أو تؤثر بطريقة أخرى على حقوقهم وحرياتهم أو حقوق وحريات الأشخاص الآخرين.

1.6. منع البيانات الشخصية- الإيقاف المؤقت لجمع البيانات الشخصية وتنظيمها وتجميعها واستخدامها وتوزيعها ، بما في ذلك نقلها.

1.7. إتلاف البيانات الشخصية- الإجراءات التي يستحيل نتيجة لها استعادة محتوى البيانات الشخصية في نظام معلومات البيانات الشخصية أو نتيجة تدمير ناقلات المواد للبيانات الشخصية.

1.8. نزع الطابع الشخصي عن البيانات الشخصية- الإجراءات التي يستحيل نتيجة لها تحديد ملكية البيانات الشخصية من قبل موضوع معين دون استخدام معلومات إضافية.

1.9. البيانات الشخصية العامة- البيانات الشخصية ، والوصول إلى عدد غير محدود من الأشخاص التي يتم منحها بموافقة الموضوع أو التي ، وفقًا للقوانين الفيدرالية ، لا تخضع لمتطلبات السرية.

1.10. معلومة- المعلومات (الرسائل ، البيانات) بغض النظر عن شكل عرضها.

1.11. العميل (موضوع البيانات الشخصية)- مستهلك فردي لخدمات Ortes-Finance LLC ، المشار إليها فيما يلي باسم "المنظمة".

1.12. المشغل أو العامل- هيئة حكومية أو هيئة بلدية أو كيان قانوني أو فرد ، بشكل مستقل أو بالاشتراك مع أشخاص آخرين ينظمون و (أو) ينفذون معالجة البيانات الشخصية ، وكذلك تحديد أغراض معالجة البيانات الشخصية ، وتكوين البيانات الشخصية البيانات المراد معالجتها ، الإجراءات (العمليات) التي تتم باستخدام البيانات الشخصية. في إطار هذه اللوائح ، المشغل هو شركة ذات مسؤولية محدودة "Ortes-Finance" ؛

2. أحكام عامة.

2.1. تم تطوير هذه اللائحة الخاصة بمعالجة البيانات الشخصية (المشار إليها فيما يلي باسم اللائحة) وفقًا لدستور الاتحاد الروسي والقانون المدني للاتحاد الروسي والقانون الفيدرالي "بشأن المعلومات وتقنيات المعلومات وحماية المعلومات "، القانون الفيدرالي 152-FZ" بشأن البيانات الشخصية "، والقوانين الفيدرالية الأخرى.

2.2. الغرض من تطوير اللائحة هو تحديد إجراءات معالجة وحماية البيانات الشخصية لجميع عملاء المنظمة ، الذين تخضع بياناتهم للمعالجة ، بناءً على سلطة المشغل ؛ ضمان حماية حقوق وحريات الشخص والمواطن في معالجة بياناته الشخصية ، بما في ذلك حماية حقوق الخصوصية والأسرار الشخصية والعائلية ، وكذلك تحديد مسؤولية المسؤولين الذين لديهم إمكانية الوصول إلى البيانات الشخصية لـ عدم الامتثال لمتطلبات القواعد التي تحكم معالجة البيانات الشخصية وحمايتها.

2.3 إجراءات دخول النظام حيز التنفيذ وتغييره.

2.3.1. تدخل هذه اللائحة حيز التنفيذ من لحظة الموافقة عليها من قبل المدير العام للمنظمة وتكون سارية إلى أجل غير مسمى ، حتى يتم استبدالها بلائحة جديدة.

2.3.2. يتم إجراء التغييرات على اللوائح على أساس أوامر المدير العام للمنظمة.

3. تكوين البيانات الشخصية.

3.1. يشمل تكوين البيانات الشخصية للعملاء ما يلي:

3.1.1. الاسم الكامل.

3.1.2. سنة الميلاد.

3.1.3. شهر الولادة.

3.1.4. تاريخ الميلاد.

3.1.5. مكان الميلاد.

3.1.6. بيانات جواز السفر

3.1.7. عنوان البريد الإلكتروني.

3.1.8. رقم الهاتف (المنزل ، الخلية).

3.2 يمكن إنشاء المستندات والمعلومات التالية (إنشاء وجمع) وتخزينها في المنظمة ، بما في ذلك في في شكل إلكتروني، تحتوي على بيانات حول العملاء:

3.2.1. طلب إجراء مسح حول إمكانية توصيل فرد.

3.2.2. اتفاقية (عرض عام).

3.2.3. تأكيد الانضمام إلى العقد.

3.2.5. نسخ من وثائق الهوية ، بالإضافة إلى المستندات الأخرى المقدمة من العميل والتي تحتوي على بيانات شخصية.

3.2.6. بيانات عن مدفوعات الطلبات (سلع / خدمات) ، بما في ذلك الدفع وتفاصيل أخرى عن العميل.

4. الغرض من معالجة البيانات الشخصية.

4.1 الغرض من معالجة البيانات الشخصية هو تنفيذ مجموعة من الإجراءات التي تهدف إلى تحقيق الهدف ، بما في ذلك:

4.1.1. تقديم الاستشارات وخدمات المعلومات.

4.1.2. المعاملات الأخرى التي لا يحظرها القانون ، بالإضافة إلى مجموعة من الإجراءات المتعلقة بالبيانات الشخصية اللازمة لتنفيذ المعاملات المذكورة أعلاه.

4.1.3. من أجل الامتثال لمتطلبات تشريعات الاتحاد الروسي.

4.2 شرط إنهاء معالجة البيانات الشخصية هو تصفية المنظمة ، وكذلك المتطلبات المقابلة للعميل.

5. جمع ومعالجة وحماية البيانات الشخصية.

5.1 إجراءات الحصول على (جمع) البيانات الشخصية:

5.1.1. يجب الحصول على جميع البيانات الشخصية للعميل منه شخصيًا بموافقته الخطية ، باستثناء الحالات المحددة في الفقرتين 5.1.4 و 5.1.6 من هذه اللوائح والحالات الأخرى المنصوص عليها في قوانين الاتحاد الروسي.

5.1.2. يتم تخزين موافقة العميل على استخدام بياناته الشخصية في المنظمة في شكل ورقي و / أو إلكتروني.

5.1.3. موافقة الخاضع لمعالجة البيانات الشخصية صالحة طوال مدة العقد ، وكذلك في غضون 5 سنواتمن تاريخ إنهاء العلاقة التعاقدية بين العميل والمنظمة. بعد انتهاء الفترة المحددة ، تعتبر الموافقة ممددة لكل خمس سنوات لاحقة في حالة عدم وجود معلومات حول انسحابها.

5.1.4. إذا كان لا يمكن الحصول على البيانات الشخصية للعميل إلا من طرف ثالث ، فيجب إخطار العميل بذلك مسبقًا ويجب الحصول على موافقة كتابية منه. يجب أن يحصل الطرف الثالث الذي يقدم البيانات الشخصية للعميل على موافقة الشخص الخاضع لنقل البيانات الشخصية إلى المنظمة. تلتزم المنظمة بالحصول على تأكيد من طرف ثالث يقوم بنقل البيانات الشخصية للعميل بأن البيانات الشخصية يتم نقلها بموافقته. تلتزم المنظمة ، عند التعامل مع أطراف ثالثة ، بإبرام اتفاقية معهم بشأن سرية المعلومات المتعلقة بالبيانات الشخصية للعملاء.

5.1.5. تلتزم المنظمة بإبلاغ العميل عن الأغراض والمصادر المزعومة وطرق الحصول على البيانات الشخصية ، فضلاً عن طبيعة البيانات الشخصية التي سيتم الحصول عليها وعواقب رفض العميل إعطاء البيانات الشخصية لإعطاء موافقة كتابية لتلقيها. هم.

5.1.6. تتم معالجة البيانات الشخصية للعملاء دون موافقتهم في الحالات التالية:

5.1.6.1. البيانات الشخصية عامة.

5.1.6.2. بناءً على طلب الهيئات الحكومية المختصة في الحالات التي ينص عليها القانون الاتحادي.

5.1.6.3. تتم معالجة البيانات الشخصية على أساس قانون اتحادي يحدد الغرض منه ، وشروط الحصول على البيانات الشخصية ودائرة الأشخاص الذين تخضع بياناتهم الشخصية للمعالجة ، وكذلك تحديد سلطة المشغل.

5.1.6.4. تتم معالجة البيانات الشخصية لغرض إبرام وتنفيذ اتفاقية ، يكون أحد الأطراف موضوع البيانات الشخصية - العميل.

5.1.6.5. تتم معالجة البيانات الشخصية لأغراض إحصائية ، مع مراعاة عدم التخصيص الإلزامي للبيانات الشخصية.

5.1.6.6. في الحالات الأخرى التي ينص عليها القانون.

5.1.7. لا يحق للمنظمة تلقي ومعالجة البيانات الشخصية للعميل حول العرق أو الجنسية أو الآراء السياسية أو المعتقدات الدينية أو الفلسفية أو الحالة الصحية أو الحياة الحميمة.

5.2 إجراءات معالجة البيانات الشخصية:

5.2.1. موضوع البيانات الشخصية يزود المنظمة بمعلومات موثوقة عن نفسه.

5.2.2. يمكن فقط لموظفي المنظمة الذين يُسمح لهم بالعمل مع البيانات الشخصية للعميل والذين وقعوا اتفاقية عدم الكشف عن البيانات الشخصية للعميل الوصول إلى معالجة البيانات الشخصية للعملاء.

5.2.3. يحق للأشخاص التالية أسماؤهم الوصول إلى البيانات الشخصية للعميل في المنظمة:

مدير عام المنظمة.

الموظفون المسؤولون عن التسويات المالية (مدير ، محاسب).

موظفو إدارة علاقات العملاء (رئيس قسم المبيعات ، مدير).

 موظفو تكنولوجيا المعلومات (المدير الفني ، مسؤول النظام).

 العميل كموضوع للبيانات الشخصية.

5.2.3.1. يتم تحديد قائمة أسماء موظفي المنظمة الذين يمكنهم الوصول إلى البيانات الشخصية للعملاء بأمر من المدير العام للمنظمة.

5.2.4. قد تتم معالجة البيانات الشخصية للعميل فقط للأغراض التي تحددها اللائحة والامتثال للقوانين والإجراءات القانونية التنظيمية الأخرى للاتحاد الروسي.

5.2.5. عند تحديد نطاق ومحتوى البيانات الشخصية المعالجة ، تسترشد المنظمة بدستور الاتحاد الروسي وقانون البيانات الشخصية والقوانين الفيدرالية الأخرى.

5.3 حماية المعلومات الشخصية:

5.3.1. تُفهم حماية البيانات الشخصية للعميل على أنها مجموعة من التدابير (التنظيمية والإدارية والتقنية والقانونية) التي تهدف إلى منع الوصول غير المصرح به أو العرضي إليها ، أو إتلافها أو تعديلها أو حظرها أو نسخها أو توزيعها ، وكذلك كإجراءات غير قانونية أخرى.

5.3.2. تتم حماية البيانات الشخصية للعميل على حساب المنظمة بالطريقة المنصوص عليها في القانون الفيدرالي للاتحاد الروسي.

5.3.3. عند حماية البيانات الشخصية للعملاء ، تتخذ المنظمة جميع الإجراءات التنظيمية والإدارية والقانونية والفنية اللازمة ، بما في ذلك:

 الحماية من الفيروسات.

 التحليل الأمني.

 كشف التسلل والوقاية منه.

 التحكم في الوصول.

 التسجيل والمحاسبة.

 ضمان النزاهة.

 تنظيم الإجراءات المحلية التنظيمية والمنهجية التي تنظم حماية البيانات الشخصية.

5.3.4. يتولى المدير العام للمنظمة التنظيم العام لحماية البيانات الشخصية للعملاء.

5.3.5. يمكن لموظفي المنظمة الذين يحتاجون إلى بيانات شخصية فيما يتعلق بأداء واجبات العمل الخاصة بهم الوصول إلى البيانات الشخصية للعميل.

5.3.6. يُطلب من جميع الموظفين المشاركين في استلام ومعالجة وحماية البيانات الشخصية للعملاء التوقيع على اتفاقية عدم إفشاء للبيانات الشخصية للعملاء.

5.3.7. يتضمن إجراء الوصول إلى البيانات الشخصية للعميل ما يلي:

إطلاع الموظف على هذه اللائحة مقابل التوقيع. إذا كانت هناك إجراءات تنظيمية أخرى (أوامر ، تعليمات ، تعليمات ، وما إلى ذلك) تنظم معالجة وحماية البيانات الشخصية للعميل ، تتم مراجعة هذه الإجراءات أيضًا ضد التوقيع.

 مطالبة الموظف (باستثناء المدير العام) بالتزام كتابي بالحفاظ على سرية البيانات الشخصية للعملاء والامتثال لقواعد معالجتها وفقًا للإجراءات المحلية الداخلية للمنظمة التي تنظم قضايا ضمان أمن المعلومات السرية.

5.3.8. موظف المنظمة الذي لديه حق الوصول إلى البيانات الشخصية للعملاء فيما يتعلق بأداء واجبات العمل:

 يضمن تخزين المعلومات التي تحتوي على البيانات الشخصية للعميل ، باستثناء الوصول إليها من قبل أطراف ثالثة.

 في حالة عدم وجود موظف ، يجب ألا تكون هناك مستندات تحتوي على بيانات شخصية للعملاء في مكان عمله.

 عند الذهاب في إجازة ، أثناء رحلة عمل وفي حالات أخرى من الغياب الطويل للموظف في مكان عمله ، فإنه ملزم بنقل المستندات والوسائط الأخرى التي تحتوي على بيانات شخصية للعملاء إلى شخص يقوم ، بموجب إجراء محلي من قبل الشركة (أمر ، أمر) ، ستعهد بتنفيذ واجباته العمالية.

 إذا لم يتم تعيين مثل هذا الشخص ، فسيتم نقل المستندات والوسائط الأخرى التي تحتوي على البيانات الشخصية للعملاء إلى موظف آخر لديه حق الوصول إلى البيانات الشخصية للعملاء بناءً على توجيه من المدير العام للمنظمة.

 عند فصل موظف لديه حق الوصول إلى البيانات الشخصية للعملاء ، يتم نقل المستندات والوسائط الأخرى التي تحتوي على البيانات الشخصية للعملاء إلى موظف آخر لديه حق الوصول إلى البيانات الشخصية للعملاء بناءً على توجيه من المدير العام .

 من أجل الوفاء بالمهمة الموكلة إليها وعلى أساس مذكرة بقرار إيجابي من المدير العام ، قد يتم توفير الوصول إلى البيانات الشخصية للعميل إلى موظف آخر. يُحظر الوصول إلى البيانات الشخصية للعميل من قبل الموظفين الآخرين في المنظمة الذين ليس لديهم وصول رسمي بشكل صحيح.

5.3.9. يوفر مدير الموارد البشرية:

تعريف الموظفين بهذه اللائحة مقابل التوقيع عليها.

 مطالبة الموظفين بالتزام كتابي بالحفاظ على سرية البيانات الشخصية للعميل (اتفاقية عدم الإفشاء) والامتثال لقواعد معالجتها.

 الرقابة العامة على امتثال الموظفين لتدابير حماية البيانات الشخصية للعميل.

5.3.10. يوفر مسؤول النظام حماية البيانات الشخصية للعملاء المخزنة في قواعد البيانات الإلكترونية للمنظمة من الوصول غير المصرح به وتشويه المعلومات وإتلافها ، وكذلك من الإجراءات غير القانونية الأخرى.

5.4. تخزين البيانات الشخصية:

5.4.1. يتم تخزين البيانات الشخصية للعملاء على الورق في الخزائن.

5.4.2. يتم تخزين البيانات الشخصية للعملاء إلكترونيًا في شبكة الكمبيوتر المحلية للمؤسسة ، في مجلدات وملفات إلكترونية بتنسيق حواسيب شخصيةالمدير العام والموظفون المفوضون بمعالجة البيانات الشخصية للعملاء.

5.4.3. يتم تخزين المستندات التي تحتوي على البيانات الشخصية للعملاء في خزائن قابلة للقفل (خزائن) توفر الحماية ضد الوصول غير المصرح به. في نهاية يوم العمل ، يتم وضع جميع المستندات التي تحتوي على البيانات الشخصية للعملاء في خزائن (خزائن) توفر الحماية من الوصول غير المصرح به.

5.4.4. يتم ضمان حماية الوصول إلى قواعد البيانات الإلكترونية التي تحتوي على البيانات الشخصية للعملاء من خلال:

 استخدام برامج مكافحة الفيروسات والقرصنة المرخصة التي لا تسمح بالوصول غير المصرح به إلى الشبكة المحلية للمؤسسة.

 التفريق بين حقوق الوصول باستخدام حساب.

 نظام كلمات المرور من مرحلتين: على مستوى شبكة الكمبيوتر المحلية وعلى مستوى قواعد البيانات. يتم تعيين كلمات المرور من قبل مسؤول النظام في المؤسسة ويتم توصيلها بشكل فردي للموظفين الذين يمكنهم الوصول إلى البيانات الشخصية للعملاء.

5.4.4.1. يتم حظر الوصول غير المصرح به إلى جهاز الكمبيوتر ، الذي يحتوي على البيانات الشخصية للعملاء ، بواسطة كلمة مرور يحددها مسؤول النظام ولا يخضع للكشف.

5.4.4.2. جميع المجلدات والملفات الإلكترونية التي تحتوي على البيانات الشخصية للعملاء محمية بكلمة مرور ، يتم تعيينها من قبل موظف المؤسسة المسؤول عن الكمبيوتر الشخصي ويتم إبلاغ مسؤول النظام بها.

5.4.4.3. يقوم مسؤول النظام بتغيير كلمات المرور مرة واحدة على الأقل كل 3 أشهر.

5.4.5. يُسمح بنسخ البيانات الشخصية للعميل وعمل مقتطفات منها للأغراض الرسمية فقط بإذن كتابي من المدير العام للمنظمة.

5.4.6. لا يتم تقديم الردود على الطلبات المكتوبة من المنظمات والمؤسسات الأخرى حول البيانات الشخصية للعملاء إلا بموافقة كتابية من العميل نفسه ، ما لم ينص القانون على خلاف ذلك. يتم تقديم الإجابات كتابيًا ، على ورق الشركة ذي الرأسية ، وإلى الحد الذي يسمح بعدم الكشف عن الكمية الزائدة من البيانات الشخصية للعميل.

6. حظر ، تبديد الشخصية ، إتلاف البيانات الشخصية

6.1 إجراء حظر وإلغاء حظر البيانات الشخصية:

6.1.1. يتم حظر البيانات الشخصية للعملاء من خلال طلب مكتوب من العميل.

6.1.2. يتضمن حظر البيانات الشخصية ما يلي:

6.1.2.2. حظر نشر البيانات الشخصية بأي وسيلة (البريد الإلكتروني ، الاتصالات الخلوية ، الوسائط المادية).

6.1.2.4. سحب المستندات الورقية المتعلقة بالعميل والتي تحتوي على بياناته الشخصية من سير العمل الداخلي للمنظمة وحظر استخدامها.

6.1.3. يمكن إزالة حظر البيانات الشخصية للعميل مؤقتًا إذا كان ذلك مطلوبًا للامتثال لتشريعات الاتحاد الروسي.

6.1.4. يتم إلغاء حظر البيانات الشخصية للعميل بموافقته الخطية (إذا كانت هناك حاجة للحصول على موافقة) أو طلب العميل.

6.1.5. تستلزم الموافقة المتكررة للعميل على معالجة بياناته الشخصية (إذا لزم الأمر ، الحصول عليها) إلغاء حظر بياناته الشخصية.

6.2 إجراءات تبديد الشخصية وإتلاف البيانات الشخصية:

6.2.1. يحدث عدم تخصيص البيانات الشخصية للعميل بناءً على طلب كتابي من العميل ، بشرط أن تكون جميع العلاقات التعاقدية قد اكتملت وأن تكون قد مرت 5 سنوات على الأقل من تاريخ انتهاء العقد الأخير.

6.2.2. عند نزع الشخصية ، يتم استبدال البيانات الشخصية في أنظمة المعلومات بمجموعة من الأحرف التي يستحيل من خلالها تحديد ما إذا كانت البيانات الشخصية تنتمي إلى عميل معين.

6.2.3. يتم إتلاف حاملات المستندات الورقية عند نزع الطابع الشخصي عن البيانات الشخصية.

6.2.4. تلتزم المنظمة بضمان السرية فيما يتعلق بالبيانات الشخصية إذا كان من الضروري اختبار أنظمة المعلومات على أراضي المطور وإلغاء الطابع الشخصي للبيانات الشخصية في أنظمة المعلومات المنقولة إلى المطور.

6.2.5. يعني إتلاف البيانات الشخصية للعميل إنهاء أي وصول إلى البيانات الشخصية للعميل.

6.2.6. عندما يتم إتلاف البيانات الشخصية للعميل ، لا يمكن لموظفي المنظمة الوصول إلى البيانات الشخصية للموضوع في أنظمة المعلومات.

6.2.7. عند إتلاف البيانات الشخصية ، يتم إتلاف حاملات المستندات الورقية ، وتصبح البيانات الشخصية في أنظمة المعلومات غير شخصية. لا يمكن استعادة البيانات الشخصية.

6.2.8. لا يمكن التراجع عن عملية تدمير البيانات الشخصية.

6.2.9. يتم تحديد الفترة التي يمكن بعدها تشغيل إتلاف البيانات الشخصية للعميل بنهاية الفترة المحددة في الفقرة 7.3 من هذه اللوائح.

7. نقل وتخزين البيانات الشخصية

7.1 نقل البيانات الشخصية:

7.1.1. يُفهم نقل البيانات الشخصية للموضوع على أنه نشر المعلومات من خلال قنوات الاتصال ووسائل الإعلام المادية.

7.1.2. عند نقل البيانات الشخصية ، يجب على موظفي المؤسسة الامتثال للمتطلبات التالية:

7.1.2.1. لا تفصح عن بيانات العميل الشخصية لأغراض تجارية.

7.1.2.2. لا تفصح عن بيانات العميل الشخصية لطرف ثالث دون موافقة كتابية من العميل ، باستثناء ما ينص عليه القانون الفيدرالي للاتحاد الروسي.

7.1.2.3. تحذير الأشخاص الذين يتلقون البيانات الشخصية للعميل من أنه لا يمكن استخدام هذه البيانات إلا للأغراض التي تم الإبلاغ عنها من أجلها ، ومطالبة هؤلاء الأشخاص بتأكيد مراعاة هذه القاعدة ؛

7.1.2.4. السماح بالوصول إلى البيانات الشخصية للعملاء فقط للأشخاص المصرح لهم بشكل خاص ، بينما يجب أن يكون لهؤلاء الأشخاص الحق في تلقي فقط تلك البيانات الشخصية للعملاء الضرورية لأداء وظائف محددة.

7.1.2.5. نقل البيانات الشخصية للعميل داخل المنظمة وفقًا لهذه اللوائح والوثائق التنظيمية والتكنولوجية وتوصيف الوظائف.

7.1.2.6. تزويد العميل بإمكانية الوصول إلى بياناته الشخصية عند الاتصال أو عند تلقي طلب من العميل. تلتزم المنظمة بتزويد العميل بمعلومات حول توفر البيانات الشخصية عنه ، وكذلك توفير فرصة للتعرف عليها في غضون عشرة أيام عمل من تاريخ الطلب.

7.1.2.7. نقل البيانات الشخصية للعميل إلى ممثلي العميل بالطريقة المنصوص عليها في القانون والوثائق التنظيمية والتكنولوجية وقصر هذه المعلومات فقط على تلك البيانات الشخصية للموضوع الضرورية للممثلين المحددين لأداء وظائفهم.

7.2 تخزين واستخدام البيانات الشخصية:

7.2.1. يشير تخزين البيانات الشخصية إلى وجود سجلات في أنظمة المعلومات وعلى الوسائط المادية.

7.2.2. تتم معالجة البيانات الشخصية للعملاء وتخزينها في أنظمة المعلومات ، وكذلك على الورق في المنظمة. يتم أيضًا تخزين البيانات الشخصية للعملاء في شكل إلكتروني: في شبكة الكمبيوتر المحلية للمنظمة ، في مجلدات وملفات إلكترونية في جهاز الكمبيوتر الخاص بالمدير العام والموظفين المخولين بمعالجة البيانات الشخصية للعملاء.

7.2.3. لا يجوز تنفيذ تخزين البيانات الشخصية للعميل أكثر مما تتطلبه أغراض المعالجة ، ما لم تنص القوانين الفيدرالية للاتحاد الروسي على خلاف ذلك.

7.3. شروط تخزين البيانات الشخصية:

7.3.1. شروط تخزين عقود القانون المدني التي تحتوي على البيانات الشخصية للعملاء ، وكذلك المستندات المصاحبة لإبرامها وتنفيذها - 5 سنوات من تاريخ انتهاء العقود.

7.3.2. خلال فترة التخزين ، لا يمكن التخلص من البيانات الشخصية أو إتلافها.

7.3.3. بعد انتهاء فترة التخزين ، يمكن نزع الطابع الشخصي عن البيانات الشخصية في أنظمة المعلومات وإتلافها على الورق بالطريقة المنصوص عليها في اللوائح والتشريعات الحالية للاتحاد الروسي. (ملحق قانون إتلاف البيانات الشخصية)

8. حقوق مشغل البيانات الشخصية

يحق للمنظمة:

8.1 دافع عن مصالحك في المحكمة.

8.2 تقديم البيانات الشخصية للعملاء إلى جهات خارجية ، إذا كان ذلك منصوصًا عليه بموجب القانون المعمول به (الضرائب ، ووكالات إنفاذ القانون ، وما إلى ذلك).

8.3 رفض تقديم البيانات الشخصية في الحالات التي ينص عليها القانون.

8.4 استخدام البيانات الشخصية للعميل دون موافقته ، في الحالات المنصوص عليها في تشريعات الاتحاد الروسي.

9. حقوق العميل

للعميل الحق في:

9.1 طلب توضيح بياناتهم الشخصية ، أو حظرها أو إتلافها إذا كانت البيانات الشخصية غير مكتملة ، أو قديمة ، أو غير موثوقة ، أو تم الحصول عليها بشكل غير قانوني أو غير ضرورية للغرض المعلن للمعالجة ، وكذلك اتخاذ الإجراءات القانونية لحماية حقوقهم ؛

9.2. طلب قائمة بالبيانات الشخصية المعالجة المتوفرة في المؤسسة ومصدر استلامها.

9.3 تلقي معلومات حول شروط معالجة البيانات الشخصية ، بما في ذلك شروط تخزينها.

9.4 طلب إخطار جميع الأشخاص الذين تم إبلاغهم مسبقًا ببيانات شخصية غير صحيحة أو غير كاملة بجميع الاستثناءات أو التصحيحات أو الإضافات التي تم إجراؤها عليهم.

9.5 مناشدة الهيئة المخولة لحماية حقوق أصحاب البيانات الشخصية أو في المحكمة ضد الإجراءات أو الإغفالات غير القانونية في معالجة بياناته الشخصية.

10. المسؤولية عن انتهاك القواعد التي تحكم معالجة وحماية البيانات الشخصية

10.1. يتحمل موظفو المنظمة المذنبون بانتهاك القواعد التي تحكم استلام ومعالجة وحماية البيانات الشخصية مسؤولية تأديبية أو إدارية أو مدنية أو جنائية وفقًا للتشريعات الحالية للاتحاد الروسي والإجراءات المحلية الداخلية للمنظمة.

1. الأسس النظرية لأمن البيانات الشخصية

1.1 الإطار التشريعي لحماية البيانات الشخصية في الاتحاد الروسي

1.3.1 الخصائص العامةمصادر التهديدات بالوصول غير المصرح به إلى نظام المعلومات للبيانات الشخصية.

1.3.2 الخصائص العامة لتهديدات الوصول المباشر إلى بيئة تشغيل نظام معلومات البيانات الشخصية

1.3.3 الخصائص العامة للتهديدات لأمن البيانات الشخصية المنفذة باستخدام البروتوكولات بين الشبكات

1.4 خصائص البنك وأنشطته

1.5 قواعد البيانات الشخصية

1.5.1 نظام معلومات البيانات الشخصية لموظفي المنظمة

1.5.2 نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته

1.5.3 نظام معلومات البيانات الشخصية للنظام المصرفي الآلي

1.6 الجهاز والتهديدات المحلية شبكة الكمبيوترإناء

1.7 أدوات أمن المعلومات

2.2 حماية البرامج والأجهزة

2.3 نهج الأمان الأساسي

2.3.1 نظام التوعية بأمن المعلومات للموظفين

2.3.4 كيف يعمل الموظفون مع البريد الإلكتروني

2.3.5 سياسة كلمة المرور الخاصة بالبنك

3. التبرير الاقتصادي للمشروع

خاتمة

التطبيقات.

مقدمة

استمرت الحوسبة المنتشرة التي بدأت في نهاية القرن العشرين حتى يومنا هذا. تعمل أتمتة العمليات في المؤسسات على زيادة إنتاجية العمال. يمكن لمستخدمي نظم المعلومات الحصول بسرعة على البيانات اللازمة لأداء واجباتهم. في الوقت نفسه ، إلى جانب تسهيل الوصول إلى البيانات ، هناك مشاكل تتعلق بأمان هذه البيانات. من خلال الوصول إلى أنظمة المعلومات المختلفة ، يمكن للمهاجمين استخدامها لتحقيق مكاسب شخصية: جمع البيانات لبيعها في السوق السوداء ، والسرقة مالمن عملاء المنظمة ، وسرقة الأسرار التجارية للمنظمة.

لذلك ، فإن مشكلة الحماية حرجة معلومات مهمةللمنظمات حاد للغاية. أصبح معروفًا بشكل متزايد من وسائل الإعلام حول التقنيات أو الأساليب المختلفة لسرقة الأموال عن طريق اختراق أنظمة المعلومات الخاصة بالمؤسسات المالية. بعد الوصول إلى أنظمة المعلومات الخاصة بالبيانات الشخصية ، يمكن للمهاجم سرقة بيانات عملاء المؤسسات المالية ، ونشر معلومات حول معاملاتهم المالية ، مما يتسبب في ضرر مالي وسمعة لعميل البنك. بالإضافة إلى ذلك ، بعد معرفة بيانات حول العميل ، يمكن للمحتالين الاتصال بالعميل مباشرة ، والتظاهر بأنهم موظفين في البنك والاحتيال ، باستخدام تقنيات الهندسة الاجتماعية ، ومعرفة كلمات المرور من الأنظمة المصرفية البعيدة وسحب الأموال من حساب العميل.

في بلدنا ، مشكلة سرقة البيانات الشخصية والتوزيع غير القانوني لها حادة للغاية. يوجد عدد كبير من الموارد على الإنترنت تحتوي على قواعد بيانات شخصية مسروقة ، والتي يمكن مساعدتها ، على سبيل المثال ، حسب الرقم تليفون محموليمكن العثور عليها جدًا معلومات مفصلةحسب الشخص ، بما في ذلك تفاصيل جوازات السفر والعناوين السكنية والصور الفوتوغرافية وغير ذلك الكثير.

في مشروع التخرج هذا ، أستكشف عملية إنشاء نظام حماية البيانات الشخصية في PJSC Citibank.

1. أساسيات أمن البيانات الشخصية

1.1 الأساس القانوني لحماية البيانات الشخصية

اليوم في روسيا ، يتم تنفيذ اللوائح الحكومية في مجال ضمان أمن البيانات الشخصية. الإجراءات القانونية الرئيسية التي تنظم نظام حماية البيانات الشخصية في الاتحاد الروسي هي دستور الاتحاد الروسي والقانون الفيدرالي "بشأن البيانات الشخصية" المؤرخ 27 يوليو 2006 رقم 152-FZ. يحدد هذان القانونان الرئيسيان الأطروحات الرئيسية حول البيانات الشخصية في الاتحاد الروسي:

لكل مواطن الحق في الخصوصية والأسرار الشخصية والعائلية وحماية شرفه وسمعته ؛

لكل فرد الحق في خصوصية المراسلات والمحادثات الهاتفية والمراسلات البريدية والبرقية وغيرها. لا يُسمح بتقييد هذا الحق إلا بناءً على قرار من المحكمة ؛

لا يُسمح بجمع وتخزين واستخدام ونشر معلومات عن الحياة الخاصة لأي شخص دون موافقته ؛

يجب أن تتم معالجة البيانات الشخصية على أساس قانوني وعادل ؛

يجب أن تقتصر معالجة البيانات الشخصية على تحقيق أغراض مشروعة ومحددة مسبقًا. لا يجوز معالجة البيانات الشخصية التي لا تتوافق مع أغراض جمع البيانات الشخصية.

لا يجوز الجمع بين قواعد البيانات التي تحتوي على بيانات شخصية ، والتي تتم معالجتها لأغراض لا تتوافق مع بعضها البعض.

فقط البيانات الشخصية التي تلبي أغراض معالجتها تخضع للمعالجة.

عند معالجة البيانات الشخصية ، يجب ضمان دقة البيانات الشخصية ، وكفايتها ، وإذا لزم الأمر ، ملاءمتها فيما يتعلق بأغراض معالجة البيانات الشخصية. يجب على المشغل اتخاذ التدابير اللازمة أو التأكد من اتخاذها لإزالة أو توضيح البيانات غير الكاملة أو غير الدقيقة.

يجب أن يتم تخزين البيانات الشخصية في شكل يسمح بتحديد موضوع البيانات الشخصية ، ليس أكثر مما تتطلبه أغراض معالجة البيانات الشخصية ، ما لم يتم تحديد فترة تخزين البيانات الشخصية بموجب القانون الفيدرالي ، وهي اتفاقية تنص على موضوع البيانات الشخصية طرف أو مستفيد أو ضامن. تخضع البيانات الشخصية المعالجة للتدمير أو نزع الشخصية عند الوصول إلى أهداف المعالجة أو في حالة فقدان الحاجة إلى تحقيق هذه الأهداف ، ما لم ينص القانون الفيدرالي على خلاف ذلك.

اللوائح الأخرى التي لها تأثير قانوني في مجال حماية البيانات الشخصية في مؤسسات القطاع المصرفي في الاتحاد الروسي هي:

القانون الاتحادي للاتحاد الروسي بتاريخ 27 يوليو 2006 رقم 149 FZ "بشأن المعلومات وتكنولوجيا المعلومات وحماية المعلومات" ؛

قانون العمل في الاتحاد الروسي (الفصل 14) ؛

المرسوم الصادر عن حكومة الاتحاد الروسي بتاريخ 1 نوفمبر 2012 رقم 1119 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" ؛

أمر FSTEC لروسيا بتاريخ 18 فبراير 2013 رقم 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية".

انظر في التعريفات الرئيسية المستخدمة في التشريع.

البيانات الشخصية - أي معلومات تتعلق بشخص طبيعي محدد الهوية أو يمكن التعرف عليه بشكل مباشر أو غير مباشر (موضوع البيانات الشخصية).

مشغل البيانات الشخصية - هيئة حكومية أو هيئة بلدية أو كيان قانوني أو فرد ، بشكل مستقل أو بالاشتراك مع أشخاص آخرين ينظمون و (أو) ينفذون معالجة البيانات الشخصية ، وكذلك تحديد أغراض معالجة البيانات الشخصية ، وتكوين البيانات الشخصية. البيانات المراد معالجتها ، الإجراءات (العمليات) التي تتم باستخدام البيانات الشخصية ؛

معالجة البيانات الشخصية - أي إجراء (عملية) أو مجموعة إجراءات (عمليات) يتم إجراؤها باستخدام أو بدون استخدام أدوات التشغيل الآلي مع البيانات الشخصية ، بما في ذلك الجمع والتسجيل والتنظيم والتراكم والتخزين والتوضيح (التحديث والتغيير) والاستخراج ، استخدام ، نقل (توزيع ، توفير ، وصول) ، تبديد الشخصية ، حظر ، حذف ، إتلاف البيانات الشخصية ؛

المعالجة الآلية للبيانات الشخصية - معالجة البيانات الشخصية باستخدام تكنولوجيا الكمبيوتر ؛

نشر البيانات الشخصية - الإجراءات التي تهدف إلى الكشف عن البيانات الشخصية لدائرة غير محددة من الأشخاص ؛

توفير البيانات الشخصية - الإجراءات التي تهدف إلى الكشف عن البيانات الشخصية لشخص معين أو دائرة معينة من الأشخاص ؛

حظر البيانات الشخصية - التعليق المؤقت لمعالجة البيانات الشخصية (ما لم تكن المعالجة ضرورية لتوضيح البيانات الشخصية) ؛

إتلاف البيانات الشخصية - الإجراءات ، نتيجة لذلك يصبح من المستحيل استعادة محتوى البيانات الشخصية في نظام معلومات البيانات الشخصية و (أو) نتيجة تدمير ناقلات البيانات الشخصية المادية ؛

نزع الطابع الشخصي عن البيانات الشخصية - الإجراءات ، نتيجة لذلك يصبح من المستحيل ، بدون استخدام معلومات إضافية ، تحديد ملكية البيانات الشخصية من قبل موضوع معين من البيانات الشخصية ؛

نظام معلومات البيانات الشخصية - مجموعة من البيانات الشخصية الواردة في قواعد البيانات وتقنيات المعلومات والوسائل التقنية التي تضمن معالجتها ؛

نقل البيانات الشخصية عبر الحدود - نقل البيانات الشخصية إلى أراضي دولة أجنبية إلى سلطة دولة أجنبية أو فرد أجنبي أو كيان قانوني أجنبي.

البيانات الشخصية البيومترية - المعلومات التي تميز الخصائص الفسيولوجية والبيولوجية للشخص ، والتي على أساسها يمكن تحديد هويته (البيانات الشخصية البيومترية) والتي يستخدمها المشغل لتحديد موضوع البيانات الشخصية.

أمن البيانات الشخصية - حالة حماية البيانات الشخصية ، والتي تتميز بقدرة المستخدمين والوسائل التقنية وتقنيات المعلومات لضمان سرية وسلامة وتوافر البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية

1.2 تصنيف التهديدات لأمن المعلومات من البيانات الشخصية.

يُفهم تهديد أمن المعلومات على أنه تهديد بانتهاك خصائص أمن المعلومات - توافر أصول معلومات المنظمة أو سلامتها أو سريتها.

تعمل قائمة التهديدات وتقييم احتمالية تنفيذها بالإضافة إلى نموذج الدخيل كأساس لتحليل مخاطر التهديدات وصياغة المتطلبات لنظام حماية النظام الآلي. بالإضافة إلى تحديد التهديدات المحتملة ، من الضروري تحليل التهديدات المحددة بناءً على تصنيفها وفقًا لعدد من الخصائص. تتيح لك التهديدات المقابلة لكل ميزة تصنيف تحسين المتطلبات التي تعكسها هذه الميزة.

نظرًا لأن المعلومات المخزنة والمعالجة في AS الحديث تتعرض لعدد كبير جدًا من العوامل ، يصبح من المستحيل إضفاء الطابع الرسمي على مهمة وصف المجموعة الكاملة من التهديدات. لذلك ، بالنسبة للنظام المحمي ، لا يتم تحديد قائمة التهديدات ، ولكن قائمة فئات التهديد.

يمكن تصنيف التهديدات المحتملة لأمن معلومات AS وفقًا للميزات الأساسية التالية:

حسب طبيعة الحدوث:

التهديدات الطبيعية الناجمة عن التأثير على NPP من العمليات الفيزيائية الموضوعية أو الكوارث الطبيعية ؛

التهديدات الاصطناعية لسلامة NPP الناجمة عن النشاط البشري.

حسب درجة قصد المظهر:

التهديدات الناجمة عن الخطأ البشري أو الإهمال ، مثل إساءة استخدام معدات الحماية ، والإهمال في التعامل مع البيانات ؛

تهديدات العمل المتعمد ، مثل اختراق نظام آلي من قبل المتسللين ، وتدمير البيانات من قبل موظفي المنظمة من أجل الانتقام من صاحب العمل.

بحسب المصدر المباشر للتهديدات:

الأخطار الطبيعية ، مثل الكوارث الطبيعية والكوارث من صنع الإنسان ؛

التهديدات البشرية ، على سبيل المثال: إتلاف المعلومات ، والكشف عن البيانات السرية ؛

البرامج الثابتة المسموح بها ، مثل فشل الأجهزة المادي ، وأخطاء البرامج ، وتعارض البرامج ؛

البرامج والأجهزة غير المصرح بها ، على سبيل المثال ، إدخال أخطاء الأجهزة وأخطاء البرامج.

حسب موقع مصدر التهديد:

خارج المنطقة الخاضعة للرقابة ، على سبيل المثال ، اعتراض البيانات المنقولة عبر قنوات الاتصال ؛

O داخل المنطقة الخاضعة للرقابة ، على سبيل المثال ، النسخ غير المصرح به للمعلومات ، والوصول غير المصرح به إلى المنطقة المحمية ؛

مباشرة في النظام الآلي، على سبيل المثال ، الاستخدام غير الصحيح لموارد AS.

حسب درجة الاعتماد على نشاط AS:

بغض النظر عن نشاط الاتحاد الأفريقي ، على سبيل المثال ، السرقة المادية لوسائط التخزين ؛

فقط أثناء معالجة البيانات ، مثل الإصابة بالبرامج الضارة.

حسب درجة التأثير على المكيف:

التهديدات الخطيرة التي ، عند تنفيذها ، لا تغير أي شيء في هيكل ومحتوى AS ، على سبيل المثال ، التهديد بنسخ البيانات السرية ؛

التهديدات النشطة التي ، عند كشفها ، تقوم بإجراء تغييرات على بنية ومحتوى AS ، على سبيل المثال ، حذف البيانات وتعديلها.

حسب مراحل وصول المستخدمين أو البرامج إلى الموارد:

التهديدات التي تظهر في مرحلة الوصول إلى موارد AS ، على سبيل المثال: تهديدات الوصول غير المصرح به إلى AS ؛

التهديدات التي تظهر بعد السماح بالوصول إلى موارد AS ، على سبيل المثال ، الاستخدام غير الصحيح لموارد AS.

عن طريق الوصول إلى موارد AS:

تم تنفيذ التهديدات باستخدام مسار الوصول القياسي إلى موارد AS

يتم تنفيذ التهديدات باستخدام مسار وصول مخفي غير قياسي إلى موارد AS ، على سبيل المثال: الوصول غير المصرح به إلى موارد AS باستخدام ميزات غير موثقة للبرنامج المثبت.

وفقًا للموقع الحالي للمعلومات المخزنة والمعالجة في AS:

تهديدات الوصول إلى المعلومات الموجودة على أجهزة التخزين الخارجية ، على سبيل المثال: نسخ المعلومات السرية من وسائط التخزين ؛

تهديدات الوصول إلى المعلومات الموجودة في ذاكرة الوصول العشوائي، على سبيل المثال: قراءة المعلومات المتبقية من ذاكرة الوصول العشوائي ، والوصول إلى منطقة نظام ذاكرة الوصول العشوائي عن طريق برامج التطبيق ؛

تهديدات الوصول إلى المعلومات المتداولة في خطوط الاتصال ، على سبيل المثال: الاتصال غير القانوني بخطوط الاتصال من أجل إزالة المعلومات ، وإرسال البيانات المعدلة ؛

تنقسم التأثيرات الخطرة على نظام آلي إلى عرضي ومتعمد.

يمكن أن تكون أسباب التأثيرات العرضية أثناء تشغيل محطة الطاقة النووية:

حالات الطوارئ بسبب الكوارث الطبيعية وانقطاع التيار الكهربائي ؛

رفض الخدمة

أخطاء البرامج ؛

أخطاء في عمل موظفي الخدمة والمستخدمين ؛

التدخل في خطوط الاتصال بسبب التأثيرات البيئية.

يعد استخدام الأخطاء في البرامج الطريقة الأكثر شيوعًا لانتهاك أمن المعلومات لأنظمة المعلومات. اعتمادًا على مدى تعقيد البرنامج ، يزداد عدد الأخطاء. يمكن للمهاجمين العثور على نقاط الضعف هذه ومن خلالها يمكنهم الوصول إلى نظام معلومات المنظمة. لتقليل هذه التهديدات ، من الضروري تحديث إصدارات البرامج في جميع الأوقات.

ترتبط التهديدات المتعمدة بالأفعال المستهدفة للمتطفلين. ينقسم المهاجمون إلى نوعين: مهاجم داخلي ومهاجم خارجي. يرتكب متطفل داخلي إجراءات غير قانونية أثناء وجوده داخل المنطقة الخاضعة للرقابة من النظام الآلي ويمكنه استخدام السلطة الرسمية للوصول المصرح به إلى النظام الآلي. لا يمتلك المهاجم الخارجي حق الوصول إلى المنطقة الخاضعة للرقابة ، ولكن يمكنه العمل في وقت واحد مع مهاجم داخلي لتحقيق أهدافه.

هناك ثلاثة تهديدات رئيسية لأمن المعلومات موجهة مباشرة إلى المعلومات المحمية:

انتهاك السرية - لا يتم تغيير المعلومات السرية ، ولكنها تصبح متاحة لأطراف ثالثة غير مسموح لهم بالوصول إلى هذه المعلومات. عندما يتحقق هذا التهديد ، هناك احتمال كبير أن يقوم المهاجم بالإفصاح عن المعلومات المسروقة ، مما قد يؤدي إلى إلحاق ضرر مالي أو ضرر بالسمعة. انتهاك سلامة المعلومات المحمية - تشويه المعلومات أو تغييرها أو إتلافها. يمكن انتهاك سلامة المعلومات ليس عن قصد ، ولكن نتيجة عدم كفاءة أو إهمال موظف في المؤسسة. يمكن للمهاجم أيضًا انتهاك النزاهة لتحقيق أهدافه الخاصة. على سبيل المثال ، تغيير تفاصيل الحساب في نظام مصرفي آلي من أجل تحويل الأموال إلى حساب المهاجم أو استبدال البيانات الشخصية لعميل المؤسسة من أجل الحصول على معلومات حول تعاون العميل مع المنظمة.

انتهاك توافر المعلومات المحمية أو رفض الخدمة - الإجراءات التي لا يستطيع فيها المستخدم المصرح له الوصول إلى المعلومات المحمية لأسباب مثل: فشل الأجهزة أو البرامج أو فشل شبكة المنطقة المحلية.

بعد النظر في تهديدات الأنظمة الآلية ، يمكنك المتابعة لتحليل التهديدات التي يتعرض لها نظام معلومات البيانات الشخصية.

نظام معلومات البيانات الشخصية - مجموعة من البيانات الشخصية الواردة في قواعد البيانات وتقنيات المعلومات والوسائل التقنية التي تضمن معالجتها.

أنظمة معلومات البيانات الشخصية هي مجموعة من المعلومات والبرامج وعناصر الأجهزة ، بالإضافة إلى تقنيات المعلومات المستخدمة في معالجة البيانات الشخصية.

العناصر الرئيسية لـ ISPD هي:

البيانات الشخصية الموجودة في قواعد البيانات ؛

تقنيات المعلومات المستخدمة في معالجة PD ؛

الوسائل التقنية التي تعالج البيانات الشخصية (أجهزة الكمبيوتر ، وأنظمة المعلومات والحاسوب والشبكات ، ووسائل وأنظمة إرسال واستقبال ومعالجة البيانات الشخصية ، ووسائل وأنظمة تسجيل الصوت ، وتضخيم الصوت ، واستنساخ الصوت ، ووسائل التصنيع ، وتكرار المستندات وغيرها. الوسائل التقنية لمعالجة الكلام والرسوم والفيديو والمعلومات الأبجدية الرقمية) ؛

برمجة(أنظمة التشغيل وأنظمة إدارة قواعد البيانات وما إلى ذلك) ؛

وسائل حماية المعلومات ISPDn؛

الوسائل والأنظمة التقنية المساعدة - الوسائل والأنظمة التقنية ، اتصالاتها ، غير المخصصة لمعالجة البيانات الشخصية ، ولكنها موجودة في المباني التي يوجد بها ISPD.

تهديدات لأمن البيانات الشخصية - مجموعة من الشروط والعوامل التي تخلق خطر غير المصرح به ، بما في ذلك الوصول العرضي إلى البيانات الشخصية ، مما قد يؤدي إلى إتلاف البيانات الشخصية وتعديلها وحظرها ونسخها وتوزيعها ، وكذلك الإجراءات الأخرى غير المصرح بها أثناء معالجتها في نظام البيانات الشخصية للمعلومات.

تشمل خصائص نظام معلومات البيانات الشخصية التي تسبب ظهور UBPD فئة وحجم البيانات الشخصية المعالجة في نظام معلومات البيانات الشخصية ، وهيكل نظام معلومات البيانات الشخصية ، ووجود اتصالات ISPD بشبكات الاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية ، وخصائص أمن النظام الفرعي للبيانات الشخصية التي تتم معالجتها في ISPD ، وأنماط معالجة البيانات الشخصية ، وأنماط التمايز في حقوق الوصول لمستخدمي ISPD ، وموقع وشروط وضع وسائل ISPD التقنية.

تتميز خصائص بيئة الانتشار للإشارات الإعلامية التي تحتوي على معلومات محمية بنوع البيئة المادية التي يتم فيها توزيع PD ويتم تحديدها عند تقييم إمكانية تنفيذ UBPD. يتم تحديد إمكانيات مصادر UBPD من خلال مجموعة من طرق الوصول غير المصرح به و (أو) العرضي إلى PD ، ونتيجة لذلك يمكن للسرية (النسخ والتوزيع غير القانوني) والتكامل (التدمير والتعديل) والتوافر (الحجب) لـ PD أن تنتهك.

يتحقق التهديد لأمن البيانات الشخصية نتيجة لتشكيل قناة لتنفيذ UBPD بين مصدر التهديد وناقل (مصدر) PD ، مما يخلق ظروفًا لانتهاك أمان PD.

العناصر الرئيسية لقناة تنفيذ UBPD (الشكل 1) هي:

مصدر UBPD - موضوع أو كائن مادي أو ظاهرة فيزيائية تخلق UBPD ؛

بيئة توزيع PD أو التأثيرات التي يمكن أن ينتشر فيها مجال مادي أو إشارة أو بيانات أو برامج ويؤثر على الخصائص المحمية للبيانات الشخصية ؛

حامل البيانات الشخصية - كائن فردي أو مادي ، بما في ذلك المجال المادي الذي تنعكس فيه PD في شكل رموز وصور وإشارات وحلول وعمليات تقنية وخصائص كمية للكميات المادية.

الشكل 1. مخطط معمم للقناة لتنفيذ التهديدات لأمن البيانات الشخصية

قد تحتوي ناقلات PD على معلومات معروضة في الأشكال التالية:

المعلومات الصوتية (الكلام) الواردة مباشرة في الكلام المنطوق لمستخدم ISPD عندما يؤدي وظيفة الإدخال الصوتي لـ PD في نظام معلومات البيانات الشخصية ، أو يتم إعادة إنتاجها بالوسائل الصوتية لـ ISPD (إذا تم توفير هذه الوظائف بواسطة تقنية معالجة PD ) ، وكذلك الواردة في المجالات الكهرومغناطيسية والإشارات الكهربائية ، والتي تنشأ بسبب تحويل المعلومات الصوتية ؛

عرض المعلومات (السادس) المعروضة في شكل نصوص وصور أجهزة مختلفةعرض المعلومات من أجهزة الكمبيوتر والمعلومات وأنظمة الكمبيوتر والوسائل التقنية لمعالجة المعلومات الرسومية والفيديو والأبجدية الرقمية التي تشكل جزءًا من ISPD ؛

المعلومات المعالجة (المتداولة) في ISPD ، في شكل إشارات كهربائية ، كهرومغناطيسية ، بصرية ؛

المعلومات المعالجة في ISPD ، المقدمة في شكل بتات ، بايت ، ملفات وهياكل منطقية أخرى.

من أجل تكوين قائمة منهجية لـ UBPDs أثناء معالجتها في ISPDs وتطوير نماذج خاصة على أساسها فيما يتعلق بنوع معين من ISPDs ، يتم تصنيف التهديدات وفقًا للسمات التالية (الشكل 2):

حسب نوع المعلومات المحمية من UBPD ، التي تحتوي على PD ؛

حسب أنواع المصادر المحتملة لـ UBPD ؛

حسب نوع ISPD ، الذي يتم توجيه تنفيذ UBPD إليه ؛

وفقًا لطريقة تنفيذ UBPD ؛

حسب نوع ملكية المعلومات التي يتم انتهاكها (نوع الإجراءات غير المصرح بها التي يتم تنفيذها مع PD) ؛

عن طريق الضعف المستغل ؛

حسب موضوع التأثير.

وفقًا لأنواع المصادر المحتملة لـ UBPD ، يتم تمييز ما يلي

فئات التهديد:

التهديدات المرتبطة بالإجراءات المتعمدة أو غير المقصودة للأشخاص الذين لديهم إمكانية الوصول إلى ISPD ، بما في ذلك مستخدمي نظام معلومات البيانات الشخصية ، وتنفيذ التهديدات مباشرة في ISPD (المخالف الداخلي) ؛

التهديدات المرتبطة بالإجراءات المتعمدة أو غير المقصودة للأشخاص الذين ليس لديهم إمكانية الوصول إلى ISPD ، وتنفيذ التهديدات من الشبكات الخارجيةالاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية (دخيل خارجي).

بالإضافة إلى ذلك ، قد تظهر التهديدات نتيجة لإدخال علامات تبويب الأجهزة و البرمجيات الخبيثة.

وفقًا لنوع ISPD ، الذي يهدف إلى تنفيذ UBPD ، يتم تمييز الفئات التالية من التهديدات:

معالجة UBPD في ISPD على أساس محطة عمل مستقلة (AWP) ؛

تتم معالجة UBPD في ISPD على أساس مكان عمل مؤتمت متصل بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD على أساس أنظمة المعلومات المحلية دون الاتصال بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD على أساس أنظمة المعلومات المحلية المتصلة بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD على أساس أنظمة المعلومات الموزعة دون الاتصال بالشبكة العامة (بشبكة تبادل المعلومات الدولية) ؛

تتم معالجة UBPD في ISPD استنادًا إلى أنظمة المعلومات الموزعة المتصلة بشبكة عامة (بشبكة تبادل المعلومات الدولية).

يتم تمييز الفئات التالية من التهديدات وفقًا لأساليب تنفيذ UBPD:

التهديدات المرتبطة بـ UA to PD (بما في ذلك التهديدات بإدخال برامج ضارة) ؛

تهديدات تسرب البيانات الشخصية من خلال القنوات التقنية لتسرب المعلومات ؛

تهديدات التأثيرات الخاصة على ISPD.

وفقًا لنوع الإجراءات غير المصرح بها التي يتم تنفيذها باستخدام PD ، يتم تمييز فئات التهديدات التالية:

التهديدات التي تؤدي إلى انتهاك سرية PD (النسخ أو التوزيع غير المصرح به) ، والتي لا يؤثر تنفيذها بشكل مباشر على محتوى المعلومات ؛

التهديدات التي تؤدي إلى التأثير غير المصرح به ، بما في ذلك العرضي ، على محتوى المعلومات ، مما يؤدي إلى تغيير PD أو إتلافه ؛

التهديدات التي تؤدي إلى التأثير غير المصرح به ، بما في ذلك التأثير العرضي ، على عناصر البرامج أو الأجهزة والبرامج الخاصة بـ ISPD ، ونتيجة لذلك يتم حظر PD.

تتميز فئات التهديد التالية بالثغرة الأمنية المستغلة:

التهديدات المنفذة باستخدام ثغرات برمجيات النظام ؛

التهديدات التي يتم تنفيذها باستخدام نقاط الضعف في برامج التطبيقات ؛

التهديدات الناتجة عن استخدام ثغرة أمنية ناتجة عن وجود علامة تبويب الجهاز في AS ؛

التهديدات المنفذة باستخدام نقاط الضعف في بروتوكولات اتصالات الشبكة وقنوات نقل البيانات ؛

التهديدات الناتجة عن استغلال الضعف الناجم عن أوجه القصور في تنظيم VBI من NSD ؛

التهديدات المنفذة باستخدام نقاط الضعف التي تسبب وجود قنوات تقنية لتسرب المعلومات ؛

تم تنفيذ التهديدات باستخدام ثغرات أمنية المعلومات.

وفقًا لهدف التأثير ، يتم تمييز فئات التهديدات التالية:

التهديدات لأمن PD التي تمت معالجتها في محطة العمل ؛

التهديدات لأمن PD التي تتم معالجتها في أدوات معالجة مخصصة (الطابعات ، الراسمات ، الراسمات ، الشاشات عن بعد ، أجهزة عرض الفيديو ، أدوات إعادة إنتاج الصوت ، إلخ) ؛

التهديدات لأمن PD المنقولة عبر شبكات الاتصال ؛

تهديدات البرامج التطبيقية التي تعالج PD ؛

التهديدات لبرامج النظام التي تضمن عمل ISPD.

يمكن أن يؤدي تنفيذ أحد UBPDs للفئات المدرجة أو دمجها إلى الأنواع التالية من العواقب على موضوعات PD:

عواقب سلبية كبيرة على موضوعات PD ؛

عواقب سلبية على موضوعات PD ؛

عواقب سلبية غير مهمة على موضوعات PD.

يتم وصف تهديدات تسرب البيانات الشخصية من خلال القنوات التقنية بشكل لا لبس فيه من خلال خصائص مصدر المعلومات ووسيلة التوزيع ومستقبل الإشارة الإعلامية ، أي أنها تحددها الخصائص قناة تقنيةتسريبات PD.

يتم تقديم تهديدات الوصول غير المصرح به (UAH) كمجموعة من الفئات العامة للمصادر المحتملة لتهديدات UA ، ونقاط ضعف برامج ISPD والأجهزة ، وطرق تنفيذ التهديدات ، وكائنات التأثير (ناقلات المعلومات المحمية ، والدلائل ، والأدلة ، والملفات ذات PD أو PDN ) والأفعال المدمرة المحتملة. يتم وصف هذا التمثيل من خلال الترميز الرسمي التالي (الشكل 2).

1.3 الخصائص العامة لمصادر التهديد في أنظمة معلومات البيانات الشخصية

يتم تنفيذ التهديدات التي تتعرض لها UA في ISPD باستخدام البرامج والبرامج والأجهزة عندما يتم الوصول غير المصرح به ، بما في ذلك العرضي ، مما يؤدي إلى انتهاك سرية وسلامة وتوافر PD ، وتشمل:

تهديدات الوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر باستخدام البرامج القياسية (أدوات نظام التشغيل أو برامج التطبيقات العامة) ؛

تهديدات إنشاء أوضاع غير طبيعية لتشغيل البرامج (البرامج والأجهزة) بسبب التغييرات المتعمدة في بيانات الخدمة ، وتجاهل القيود المفروضة على تكوين وخصائص المعلومات المعالجة المقدمة في الظروف العادية ، وتشويه (تعديل) البيانات نفسها ، إلخ.؛

الشكل 2 تصنيف الشكل 2 معالجة UBPD في نظم معلومات البيانات الشخصية

تهديدات إدخال البرامج الخبيثة (تأثير البرمجيات الرياضية).

يوضح الشكل 3 تكوين عناصر وصف تهديدات الوصول إلى الخدمات على المعلومات الواردة في ISPD.

بالإضافة إلى ذلك ، فإن التهديدات المركبة ممكنة ، وهي مزيج من هذه التهديدات. على سبيل المثال ، نظرًا لإدخال البرامج الضارة ، يمكن تهيئة الظروف للوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر ، بما في ذلك من خلال تكوين قنوات وصول غير تقليدية إلى المعلومات.

تنقسم تهديدات الوصول غير المصرح به إلى بيئة تشغيل ISPD باستخدام برنامج قياسي إلى تهديدات مباشرة و الوصول عن بعد. يتم تنفيذ تهديدات الوصول المباشر باستخدام البرامج والبرامج الثابتة I / O للكمبيوتر. يتم تنفيذ تهديدات الوصول عن بعد باستخدام بروتوكولات اتصالات الشبكة.

يتم تنفيذ مثل هذه التهديدات فيما يتعلق بـ ISPD على أساس مكان عمل مؤتمت غير مدرج في شبكة الاتصالات العامة ، وفيما يتعلق بجميع ISPD المتصلة بشبكات الاتصالات العامة وشبكات تبادل المعلومات الدولية.

الشكل 3 تصنيف UBPD المعالج في أنظمة معلومات البيانات الشخصية

1.3.1 وصف عام لمصادر تهديدات الوصول غير المصرح به في نظام المعلومات للبيانات الشخصية.

يمكن أن تكون مصادر التهديدات في نظام معلومات البيانات الشخصية:

دخيل

حامل برنامج ضار ؛

إشارة مرجعية للأجهزة.

يتم تحديد التهديدات الأمنية PD المرتبطة بإدخال أخطاء في الأجهزة وفقًا للوثائق التنظيمية لدائرة الأمن الفيدرالية في الاتحاد الروسي بالطريقة التي تحددها.

وفقًا لوجود حق الوصول الدائم أو الوصول لمرة واحدة إلى المنطقة الخاضعة للرقابة من ISPD ، يتم تقسيم المخالفين إلى نوعين:

المخالفون الذين ليس لديهم وصول إلى ISPD ، الذين يدركون التهديدات من شبكات الاتصال العامة الخارجية و (أو) شبكات تبادل المعلومات الدولية ، هم منتهكون خارجيون ؛

المخالفون الذين لديهم إمكانية الوصول إلى ISPD ، بما في ذلك مستخدمي ISPD الذين ينفذون التهديدات مباشرة في ISPD ، هم منتهكون داخليون.

يمكن أن يكون الدخلاء الخارجيون:

المنظمات المتنافسة ؛

شركاء عديمي الضمير

الموضوعات الخارجية (الأفراد).

الدخيل الخارجي لديه القدرات التالية:

لإجراء وصول غير مصرح به إلى قنوات الاتصال التي تتجاوز مباني المكتب ؛

إجراء وصول غير مصرح به من خلال محطات العمل المتصلة بشبكات الاتصالات العامة و (أو) شبكات تبادل المعلومات الدولية ؛

إجراء وصول غير مصرح به إلى المعلومات باستخدام إجراءات برمجية خاصة من خلال فيروسات البرامج أو البرامج الضارة أو الإشارات المرجعية الخوارزمية أو البرامج ؛

إجراء وصول غير مصرح به من خلال العناصر البنية التحتية للمعلوماتنظام المعلومات الخاص بالبيانات الشخصية ، والتي تكون خلال دورة حياتها (التحديث ، الصيانة ، الإصلاح ، التخلص) خارج المنطقة الخاضعة للرقابة ؛

لإجراء وصول غير مصرح به من خلال أنظمة المعلومات من الإدارات والمنظمات والمؤسسات المتفاعلة عندما تكون متصلة بـ ISPD.

يتم تقسيم المخالفين المحتملين الداخليين إلى ثماني فئات حسب طريقة الوصول وصلاحية الوصول إلى PD.

تشمل الفئة الأولى الأشخاص الذين أذن لهم بالوصول إلى ISPD ، لكن ليس لديهم حق الوصول إلى PD. يشمل هذا النوع من الجناة المسؤولين الذين يقدمون الأداء الطبيعي ISPDn.

الوصول إلى أجزاء من المعلومات التي تحتوي على PD ويتم توزيعها عبر قنوات اتصال ISPD الداخلية ؛

للحصول على أجزاء من المعلومات حول طوبولوجيا ISPD وبروتوكولات الاتصال المستخدمة وخدماتها ؛

الحصول على أسماء المستخدمين المسجلين وتحديد كلمات مرورهم ؛

قم بتغيير تكوين أجهزة ISPD ، وأدخل إشارات مرجعية للبرامج والأجهزة فيه وقم بتوفير استرجاع المعلومات باستخدام اتصال مباشر بجهاز ISPD.

يمتلك جميع إمكانيات الأشخاص من الفئة الأولى ؛

يعرف على الأقل اسم وصول قانوني واحد ؛

يحتوي على جميع السمات الضرورية التي توفر الوصول إلى مجموعة فرعية معينة من PD ؛

لديه بيانات سرية يمكنه الوصول إليها.

يجب أن يتم تنظيم حقوق الوصول والمصادقة والوصول إلى مجموعة فرعية معينة من PD بواسطة قواعد التحكم في الوصول ذات الصلة.

لديه كل إمكانيات الأشخاص من الفئتين الأولى والثانية ؛

لديه معلومات حول طوبولوجيا ISPD بناءً على نظام معلومات محلي و (أو) موزع يتم من خلاله توفير الوصول ، وحول تكوين الوسائل التقنية لـ ISPD ؛

لديه إمكانية الوصول المباشر (المادي) إلى أجزاء من الوسائل التقنية ISPD.

يمتلك معلومات كاملةحول النظام والبرمجيات التطبيقية المستخدمة في قطاع (جزء) من ISPD ؛

يمتلك معلومات كاملة حول الوسائل التقنية وتكوين قطاع ISPD (جزء) ؛

لديه حق الوصول إلى أدوات أمن المعلومات والتسجيل ، وكذلك إلى العناصر الفرديةالمستخدمة في الجزء (جزء) من ISPD ؛

لديه إمكانية الوصول إلى جميع الوسائل التقنية لقطاع ISPD (جزء) ؛

لديه الحق في تكوين وإدارة مجموعة فرعية من الوسائل التقنية لقطاع ISPD (جزء).

صلاحيات مسؤول نظام ISPD.

لديه كل إمكانيات الأشخاص من الفئات السابقة ؛

يمتلك معلومات كاملة عن النظام وبرامج التطبيقات الخاصة بـ ISPD ؛

يمتلك معلومات كاملة حول الوسائل التقنية وتكوين ISPD ؛

لديه حق الوصول إلى جميع الوسائل التقنية لمعالجة المعلومات وبيانات ISPD ؛

يمتلك حقوق التكوين والإعداد الإداري للوسائل التقنية لـ ISPD.

يقوم مسؤول النظام بتكوين وإدارة البرامج والمعدات ، بما في ذلك المعدات المسؤولة عن أمان الكائن المحمي: وسائل حماية المعلومات المشفرة ، والمراقبة ، والتسجيل ، والأرشفة ، والحماية من الوصول غير المصرح به.

لديه كل إمكانيات الأشخاص من الفئات السابقة ؛

يمتلك معلومات كاملة عن ISPD ؛

لديه إمكانية الوصول إلى أدوات أمن المعلومات والتسجيل وبعض العناصر الرئيسية لـ ISPD ؛

ليس لديه حقوق وصول لتكوين أجهزة الشبكة ، باستثناء أجهزة التحكم (التفتيش).

يمتلك معلومات حول الخوارزميات وبرامج معالجة المعلومات على ISPD ؛

يمتلك القدرة على إدخال الأخطاء والميزات غير المعلنة وإشارات البرامج والبرامج الضارة في برنامج ISPD في مرحلة تطويره وتنفيذه وصيانته ؛

يمكن أن تحتوي على أي أجزاء من المعلومات حول طوبولوجيا ISPD والوسائل التقنية لمعالجة وحماية PD التي تتم معالجتها في ISPD.

لديه القدرة على عمل إشارات مرجعية في الوسائل التقنية لـ ISPD في مرحلة تطويرها وتنفيذها وصيانتها ؛

يمكن أن تحتوي على أي أجزاء من المعلومات حول طوبولوجيا ISPD والوسائل التقنية لمعالجة المعلومات وحمايتها في ISPD.

يمكن أن يكون ناقل البرنامج الضار عنصرًا في جهاز الكمبيوتر أو حاوية برامج. إذا لم يكن البرنامج الضار مرتبطًا بأي برنامج تطبيقي ، فسيتم اعتبار ما يلي هو الناقل له:

الوسائط الغريبة ، أي قرص مرن ، الأقراص الضوئية، ذاكرة متنقله؛

وسائط تخزين مدمجة (محركات الأقراص الصلبة ، رقائق ذاكرة الوصول العشوائي ، المعالج ، الرقائق لوحة النظام، رقاقات الأجهزة المضمنة في وحدة النظام، - محول الفيديو ، وكارت الشبكة ، وكارت الصوت ، والمودم ، وأجهزة الإدخال / الإخراج ، والصلب المغناطيسي و الأقراص الضوئية، وإمدادات الطاقة ، وما إلى ذلك ، رقائق الوصول المباشر للذاكرة ، وحافلات البيانات ، ومنافذ الإدخال / الإخراج) ؛

شرائح الأجهزة الخارجية (الشاشة ، لوحة المفاتيح ، الطابعة ، المودم ، الماسح الضوئي ، إلخ).

إذا كان البرنامج الضار مرتبطًا بأي برنامج تطبيقي ، فالملفات التي تحتوي على ملفات امتدادات معينةأو سمات أخرى ، مع إرسال الرسائل عبر الشبكة ، فإن شركات النقل هي:

حزم الرسائل المنقولة عبر شبكة الكمبيوتر ؛

الملفات (نص ، رسم ، قابل للتنفيذ ، إلخ).

1.3.2 الخصائص العامة لتهديدات الوصول المباشر إلى بيئة تشغيل نظام معلومات البيانات الشخصية

ترتبط تهديدات الوصول غير المصرح به إلى بيئة تشغيل الكمبيوتر والوصول غير المصرح به إلى PD بالوصول إلى:

للمعلومات والأوامر المخزنة في نظام الإدخال / الإخراج الأساسي لـ ISPD ، مع إمكانية اعتراض التحكم في تحميل نظام التشغيل والحصول على حقوق مستخدم موثوق به ؛

في بيئة التشغيل ، أي في بيئة عمل نظام التشغيل المحلي لوسائل تقنية منفصلة لـ ISPD مع إمكانية إجراء وصول غير مصرح به عن طريق استدعاء البرامج العادية لنظام التشغيل أو إطلاق برامج مصممة خصيصًا لتنفيذ مثل هذه الإجراءات ؛

إلى البيئة لتشغيل برامج التطبيق (على سبيل المثال ، لنظام إدارة قواعد البيانات المحلية) ؛

مباشرة إلى معلومات المستخدم (إلى الملفات والنصوص والصوت و معلومات بيانيةوالحقول والسجلات في قواعد البيانات الإلكترونية) وتعزى لاحتمال انتهاك سريتها وسلامتها وتوافرها.

يمكن تنفيذ هذه التهديدات في حالة الوصول المادي إلى ISPD أو ، على الأقل ، إلى وسائل إدخال المعلومات في ISPD. يمكن تصنيفها حسب شروط التنفيذ في ثلاث مجموعات.

تتضمن المجموعة الأولى التهديدات التي تم تنفيذها أثناء تحميل نظام التشغيل. تهدف تهديدات أمن المعلومات هذه إلى اعتراض كلمات المرور أو المعرفات ، وتعديل برنامج نظام الإدخال / الإخراج الأساسي ، واعتراض التحكم في التنزيل مع تغيير المعلومات التكنولوجية اللازمة لتلقي UA في بيئة تشغيل ISPD. في أغلب الأحيان ، يتم تنفيذ مثل هذه التهديدات باستخدام وسائل الإعلام المنفردة.

المجموعة الثانية هي التهديدات التي يتم تنفيذها بعد تحميل بيئة التشغيل ، بغض النظر عن برنامج التطبيق الذي يتم تشغيله من قبل المستخدم. تهدف هذه التهديدات عادةً إلى الوصول المباشر غير المصرح به إلى المعلومات. عند الوصول إلى بيئة التشغيل ، يمكن للمتطفل استخدام كل من الوظائف القياسية لنظام التشغيل أو بعض برامج التطبيقات العامة (على سبيل المثال ، أنظمة إدارة قواعد البيانات) ، والبرامج التي تم إنشاؤها خصيصًا لأداء الوصول غير المصرح به ، على سبيل المثال:

عارضات التسجيل والتعديلات ؛

برامج البحث عن النص ملفات نصيةبواسطة الكلمات الدالةوالنسخ.

برامج خاصة لعرض ونسخ السجلات في قواعد البيانات ؛

برامج لعرض الملفات الرسومية بسرعة وتحريرها أو نسخها ؛

برامج لدعم إمكانيات إعادة تكوين بيئة البرامج (إعدادات ISPD لصالح الجاني).

أخيرًا ، تتضمن المجموعة الثالثة التهديدات ، والتي يتم تحديد تنفيذها من خلال أي من برامج التطبيق يتم تشغيله من قبل المستخدم ، أو من خلال حقيقة أن أيًا من برامج التطبيق قد تم إطلاقه. معظم هذه التهديدات هي تهديدات حقن البرامج الضارة.

1.3.3 الخصائص العامة لتهديدات أمن البيانات الشخصية المنفذة باستخدام بروتوكولات العمل عبر الإنترنت

إذا تم تنفيذ ISPD على أساس نظام معلومات محلي أو موزع ، فيمكن تنفيذ تهديدات أمن المعلومات فيه باستخدام بروتوكولات الإنترنت. في الوقت نفسه ، يمكن توفير NSD إلى PD أو يمكن تحقيق التهديد برفض الخدمة. تكون التهديدات خطيرة بشكل خاص عندما يكون ISPD عبارة عن نظام معلومات موزع متصل بالشبكات العامة و (أو) شبكات تبادل المعلومات الدولية. يظهر مخطط تصنيف التهديدات المنفذة عبر الشبكة في الشكل 4. وهو يعتمد على ميزات التصنيف الأساسية السبعة التالية.

الشكل 4 مخطط تصنيف التهديدات باستخدام بروتوكولات الإنترنت

1. طبيعة التهديد. على هذا الأساس ، يمكن أن تكون التهديدات سلبية ونشطة. التهديد السلبي هو تهديد لا يؤثر تنفيذه بشكل مباشر على تشغيل ISPD ، ولكن قد يتم انتهاك القواعد المعمول بها لتقييد الوصول إلى PD أو موارد الشبكة. ومن الأمثلة على هذه التهديدات تهديد "تحليل حركة مرور الشبكة" ، والذي يهدف إلى الاستماع إلى قنوات الاتصال واعتراض المعلومات المنقولة. التهديد النشط هو تهديد مرتبط بالتأثير على موارد ISPD ، والذي يؤثر تنفيذه بشكل مباشر على تشغيل النظام (تغيير التكوين ، وتعطيل الأداء ، وما إلى ذلك) ، وينتهك القواعد المعمول بها لتقييد الوصول إلى PD أو موارد الشبكة. مثال على هذه التهديدات هو تهديد رفض الخدمة ، الذي يتم تسويقه على أنه "عاصفة طلب TCP".

2. الغرض من تنفيذ التهديد. على هذا الأساس ، يمكن أن تهدف التهديدات إلى انتهاك سرية وسلامة وتوافر المعلومات (بما في ذلك انتهاك قابلية تشغيل ISPD أو عناصرها).

3. شرط بدء عملية تنفيذ التهديد. على هذا الأساس ، يمكن إدراك التهديد:

بناءً على طلب الكائن الذي يتم تنفيذ التهديد ضده. في هذه الحالة ، ينتظر المتسلل إرسال طلب من نوع معين ، والذي سيكون شرطًا لبدء الوصول غير المصرح به ؛

عند وقوع حدث متوقع في المنشأة التي يتم تنفيذ التهديد ضدها. في هذه الحالة ، يراقب الدخيل باستمرار حالة نظام تشغيل ISPD ، وفي حالة حدوث حدث معين في هذا النظام ، يبدأ الوصول غير المصرح به ؛

تأثير غير مشروط. في هذه الحالة ، تكون بداية تنفيذ الوصول غير المصرح به غير مشروط فيما يتعلق بالغرض من الوصول ، أي أن التهديد يتحقق على الفور وبغض النظر عن حالة النظام.

4. توافر التغذية الراجعة من ISPD. على هذا الأساس ، يمكن أن تكون عملية تنفيذ التهديد مع أو بدون ردود الفعل. يتميز التهديد ، الذي يتم تنفيذه في وجود ردود فعل من نظام معلومات البيانات الشخصية ، بحقيقة أن بعض الطلبات المرسلة إلى ISPD تتطلب من المخالف تلقي رد. وبالتالي ، هناك تغذية مرتدة بين المخالف ونظام معلومات البيانات الشخصية ، مما يسمح للمخالف بالرد بشكل مناسب على جميع التغييرات التي تحدث في ISPD. على عكس التهديدات التي يتم تنفيذها في ظل وجود ردود فعل من نظام معلومات البيانات الشخصية ، عند تنفيذ التهديدات دون ردود فعل ، لا يلزم الرد على أي تغييرات تحدث في ISPD.

5. موقع الدخيل بالنسبة إلى ISPD. وفقًا لهذه العلامة ، يتحقق التهديد على حد سواء داخل المقطع وبين المقطع.

مقطع الشبكة - اتحاد مادي للمضيفين (أجهزة ISPD أو عناصر الاتصال التي لها عنوان شبكة). على سبيل المثال ، يشكل جزء من نظام معلومات البيانات الشخصية مجموعة من المضيفين المتصلين بالخادم وفقًا لنظام "الناقل المشترك". في حالة وجود تهديد داخل المقطع ، يكون للدخيل وصول مادي إلى عناصر أجهزة ISPD. إذا كان هناك تهديد بين القطاعات ، فإن الجاني يقع خارج ISPD ، مدركًا التهديد من شبكة أخرى أو من جزء آخر من نظام معلومات البيانات الشخصية.

6. مستوى النموذج المرجعي للتفاعل أنظمة مفتوحة(ISO / OSI) التي يتم تنفيذ التهديد عليها. على هذا الأساس ، يمكن تنفيذ التهديد على المستويات المادية ، والقناة ، والشبكة ، والنقل ، والجلسة ، والعرض التقديمي ، والتطبيق لنموذج ISO / OSI.

7. نسبة عدد المخالفين وعناصر ISPD التي يتم تنفيذ التهديد ضدهم. على هذا الأساس ، يمكن تصنيف التهديد على أنه تهديد ينفذه متطفل واحد ضد أحد الوسائل التقنية لـ ISPD (تهديد واحد لواحد) ، فيما يتعلق بالعديد من الوسائل التقنية لـ ISPD في وقت واحد (تهديد واحد إلى متعدد) أو بواسطة عدة الدخلاء مع أجهزة كمبيوتر مختلفةفيما يتعلق بواحدة أو أكثر من الوسائل التقنية لـ ISPD (التهديدات الموزعة أو المجمعة).

مع الأخذ في الاعتبار التصنيف الذي تم تنفيذه ، فإننا نحدد الأنواع الرئيسية للهجمات على نظام معلومات البيانات الشخصية:

1. تحليل حركة مرور الشبكة.

يتم تنفيذ هذا التهديد باستخدام برنامج الشم الحزم الخاص الذي يعترض جميع الحزم المرسلة عبر قطاع الشبكة ويفرد بينها تلك التي يتم فيها إرسال معرف المستخدم وكلمة المرور. أثناء تنفيذ التهديد ، يدرس الدخيل منطق الشبكة - أي يسعى للحصول على مراسلات فردية بين الأحداث التي تحدث في النظام والأوامر المرسلة من قبل المضيفين في وقت حدوث هذه الأحداث. في المستقبل ، يسمح هذا للمهاجم ، بناءً على تخصيص الأوامر المناسبة ، بالحصول على حقوق الامتياز للعمل في النظام أو توسيع صلاحياته فيه ، واعتراض تدفق البيانات المرسلة المتبادلة بين مكونات نظام تشغيل الشبكة من أجل لاستخراج المعلومات السرية أو المعلومات التعريفية واستبدالها وتعديلها.

2- فحص الشبكة.

يتمثل جوهر عملية تنفيذ التهديد في إرسال الطلبات إلى خدمات الشبكة لمضيفي ISPD وتحليل الردود الواردة منهم. الهدف هو تحديد البروتوكولات المستخدمة والمنافذ المتاحة خدمات الشبكة، قوانين تشكيل معرفات الاتصال ، تعريف خدمات الشبكة النشطة ، اختيار معرفات المستخدم وكلمات المرور.

3. التهديد بالكشف عن كلمة المرور.

الغرض من تنفيذ التهديد هو الحصول على UA من خلال التغلب على حماية كلمة المرور. يمكن للمهاجم تنفيذ تهديد باستخدام مجموعة متنوعة من الأساليب ، مثل القوة الغاشمة البسيطة ، والقوة الغاشمة باستخدام قواميس خاصة ، وتثبيت برامج ضارة لاعتراض كلمة المرور ، وانتحال كائن شبكة موثوق به ، واستنشاق الحزمة. تستخدم أساسا لتنفيذ التهديد برامج خاصةالتي تحاول الوصول إلى المضيف عن طريق فرض كلمات المرور الغاشمة. في حالة نجاحه ، يمكن للمهاجم إنشاء نقطة دخول لنفسه للوصول إليها في المستقبل ، والتي ستظل سارية المفعول حتى إذا تم تغيير كلمة مرور الوصول على المضيف.

4- استبدال كائن شبكة موثوق به ونقل الرسائل من خلال قنوات الاتصال نيابة عنه مع التنازل عن حقوق الوصول الخاصة به.

يتم تنفيذ مثل هذا التهديد بشكل فعال في الأنظمة حيث يتم استخدام خوارزميات ضعيفة لتحديد وتوثيق المضيفين والمستخدمين. الكائن الموثوق به هو كائن شبكة (كمبيوتر ، وجدار حماية ، وجهاز توجيه ، وما إلى ذلك) متصل قانونيًا بالخادم. يمكن التمييز بين نوعين مختلفين من عملية تنفيذ هذا التهديد: مع إنشاء اتصال افتراضي وبدونه. تتكون عملية التنفيذ مع إنشاء اتصال افتراضي في تعيين حقوق موضوع تفاعل موثوق به ، مما يسمح للمتطفل بإجراء جلسة مع كائن شبكة نيابة عن موضوع موثوق به. يتطلب تنفيذ هذا النوع من التهديد التغلب على نظام تحديد الرسائل والمصادقة عليها. يمكن أن تتم عملية تنفيذ تهديد بدون إنشاء اتصال افتراضي في الشبكات التي تحدد الرسائل المرسلة فقط من خلال عنوان شبكة المرسل. يكمن الجوهر في إرسال رسائل الخدمة نيابة عن أجهزة التحكم في الشبكة (على سبيل المثال ، نيابة عن أجهزة التوجيه) حول تغيير بيانات التوجيه والعنوان.

نتيجة لتنفيذ التهديد ، يتلقى المخالف حقوق الوصول التي حددها المستخدم للمشترك الموثوق به إلى أداة ISPD التقنية.

5. فرض مسار شبكة زائف.

يتم تحقيق هذا التهديد بإحدى طريقتين: عن طريق الفرض داخل المقطع أو بين الأجزاء. ترجع إمكانية فرض مسار خاطئ إلى أوجه القصور المتأصلة في خوارزميات التوجيه (على وجه الخصوص ، بسبب مشكلة تحديد أجهزة التحكم في الشبكة) ، ونتيجة لذلك يمكنك الوصول ، على سبيل المثال ، إلى مضيف أو شبكة مهاجم ، حيث يمكنك إدخال بيئة تشغيل أداة فنية كجزء من ISPD. يعتمد تنفيذ التهديد على الاستخدام غير المصرح به لبروتوكولات التوجيه والتحكم في الشبكة لإجراء تغييرات على جداول التوجيه. في هذه الحالة ، يحتاج الدخيل إلى إرسال رسالة تحكم نيابة عن جهاز التحكم في الشبكة (على سبيل المثال ، جهاز توجيه).

6. إدخال كائن شبكة خاطئ.

يعتمد هذا التهديد على استغلال نقاط الضعف في خوارزميات البحث عن بعد. إذا كانت كائنات الشبكة في البداية لا تحتوي على معلومات عنوان حول بعضها البعض ، فسيتم استخدام بروتوكولات بحث عن بعد مختلفة ، والتي تتكون من إرسال طلبات خاصة عبر الشبكة وتلقي إجابات عليها بالمعلومات المطلوبة. في هذه الحالة يمكن للمخالف اعتراض استعلام البحث وإصدار إجابة كاذبة عليه ، مما يؤدي إلى التغيير المطلوب في بيانات التوجيه والعنوان. في المستقبل ، سيمر التدفق الكامل للمعلومات المرتبطة بكائن الضحية عبر كائن الشبكة الخاطئ

7. الحرمان من الخدمة.

تستند هذه التهديدات إلى عيوب في برامج الشبكة ، ونقاط ضعفها التي تسمح للمتطفل بتهيئة الظروف عندما يكون نظام التشغيل غير قادر على معالجة الحزم الواردة. يمكن تمييز عدة أنواع من هذه التهديدات:

رفض كامن للخدمة ناتج عن مشاركة جزء من موارد ISPD لمعالجة الحزم المرسلة من قبل المهاجم مع انخفاض في عرض النطاق الترددي لقنوات الاتصال والأداء أجهزة الشبكة، انتهاك متطلبات وقت معالجة الطلبات. أمثلة على تنفيذ التهديدات من هذا النوع: عاصفة موجهة من طلبات الصدى عبر بروتوكول ICMP ، عاصفة من الطلبات لإنشاء اتصالات TCP ، عاصفة من الطلبات إلى خادم FTP ؛

رفض صريح للخدمة بسبب استنفاد موارد ISPD عند معالجة الحزم المرسلة من قبل المهاجم (شغل النطاق الترددي الكامل لقنوات الاتصال ، تجاوز قوائم انتظار طلبات الخدمة) ، حيث لا يمكن إرسال الطلبات القانونية عبر الشبكة بسبب عدم توفرها من وسيط الإرسال أو تم رفضه في الصيانة بسبب فائض قوائم انتظار الطلبات ومساحة قرص الذاكرة وما إلى ذلك. ومن أمثلة التهديدات من هذا النوع ، عاصفة طلب صدى بث ICMP ، والعاصفة الموجهة ، وعاصفة رسائل خادم البريد ؛

الرفض الصريح للخدمة الناجم عن انتهاك الاتصال المنطقي بين الوسائل التقنية لـ ISPD عندما يرسل الجاني رسائل تحكم نيابة عن أجهزة الشبكة ، مما يؤدي إلى تغيير في بيانات التوجيه والعنوان أو معلومات التعريف والمصادقة ؛

رفض صريح للخدمة بسبب مهاجم يرسل حزمًا ذات سمات غير قياسية أو يتجاوز طولها الحد الأقصى للحجم المسموح به ، مما قد يؤدي إلى فشل أجهزة الشبكة المشاركة في معالجة الطلبات ، بشرط وجود أخطاء في البرامج التي تنفذ بروتوكولات تبادل الشبكة . قد تكون نتيجة تنفيذ هذا التهديد حدوث خلل في أداء الخدمة المقابلة لتوفير الوصول عن بعد إلى PD في ISPD ، والنقل من عنوان واحد لأكبر عدد من طلبات الاتصال بالمنشأة الفنية كجزء من ISPD ، والتي يمكنها معالجة حركة المرور بأكبر قدر ممكن ، مما يستلزم تجاوز قائمة انتظار الطلبات وفشل أحدها من خدمات الشبكة أو الإغلاق الكامل للكمبيوتر بسبب عدم قدرة النظام على فعل أي شيء بخلاف طلبات المعالجة.

8. إطلاق التطبيقات عن بعد.

يكمن التهديد في الرغبة في تشغيل العديد من البرامج الضارة المضمنة سابقًا على مضيف ISPD: الإشارات المرجعية والفيروسات و "جواسيس الشبكة" ، والغرض الرئيسي منها هو انتهاك السرية والنزاهة وتوافر المعلومات والسيطرة الكاملة على تشغيل المضيف. بالإضافة إلى ذلك ، يمكن الإطلاق غير المصرح به لبرامج تطبيقات المستخدم من أجل الحصول غير المصرح به على البيانات اللازمة للجاني ، ولإطلاق العمليات التي يتحكم فيها برنامج التطبيق ، وما إلى ذلك. هناك ثلاث فئات فرعية من هذه التهديدات:

توزيع الملفات التي تحتوي على كود قابل للتنفيذ غير مصرح به ؛

إطلاق التطبيق عن بعد من خلال تجاوز المخزن المؤقت لخوادم التطبيق ؛

بدء تشغيل التطبيق عن بُعد باستخدام إمكانات إدارة النظام عن بُعد التي توفرها علامات تبويب البرامج والأجهزة المخفية أو باستخدام الأدوات القياسية.

تعتمد التهديدات النموذجية من أول هذه الفئات الفرعية على تنشيط الملفات الموزعة عند الوصول إليها عن طريق الخطأ. ومن أمثلة هذه الملفات: الملفات التي تحتوي على تعليمات برمجية قابلة للتنفيذ في شكل وحدات ماكرو (مستندات مايكروسوفت وورد، Excel) ، مستندات html تحتوي على كود قابل للتنفيذ في النموذج عناصر تحكم ActiveX، تطبيقات Java الصغيرة ، البرامج النصية المفسرة (على سبيل المثال ، JavaScript البرامج الضارة) ؛ الملفات التي تحتوي على أكواد البرامج القابلة للتنفيذ.

لتوزيع الملفات ، يمكن استخدام البريد الإلكتروني ونقل الملفات وخدمات نظام ملفات الشبكة.

تستخدم التهديدات من الفئة الفرعية الثانية أوجه القصور في البرامج التي تنفذ خدمات الشبكة (على وجه الخصوص ، عدم وجود التحكم في تجاوز سعة المخزن المؤقت). من خلال ضبط سجلات النظام ، من الممكن أحيانًا تبديل المعالج بعد مقاطعة ناتجة عن تجاوز سعة المخزن المؤقت لتنفيذ التعليمات البرمجية الموجودة خارج حدود المخزن المؤقت.

مع تهديدات الفئة الفرعية الثالثة ، يستخدم الدخيل إمكانات التحكم في النظام عن بُعد التي توفرها المكونات المخفية أو الأدوات القياسية لإدارة شبكات الكمبيوتر وإدارتها. نتيجة لاستخدامها ، من الممكن تحقيق التحكم عن بعد في المحطة في الشبكة. من الناحية التخطيطية ، فإن المراحل الرئيسية لعمل هذه البرامج هي كما يلي: التثبيت في الذاكرة ؛ انتظار طلب من مضيف بعيد يقوم بتشغيل برنامج عميل ويتبادل معه رسائل الاستعداد ؛ نقل المعلومات التي تم اعتراضها إلى العميل أو منحه السيطرة على الكمبيوتر المهاجم. النتائج المحتملة من تنفيذ التهديدات من مختلف الفئات مبينة في الجدول 1

الجدول 1. النتائج المحتملة لتنفيذ التهديدات من مختلف الفئات

№ ع / ص	نوع الهجوم		العواقب المحتملة
1	تحليل حركة مرور الشبكة		دراسة خصائص حركة الشبكة ، واعتراض البيانات المرسلة ، بما في ذلك معرفات المستخدم وكلمات المرور
2	مسح الشبكة		تعريف البروتوكولات والمنافذ المتاحة لخدمات الشبكة وقواعد إنشاء معرفات الاتصال وخدمات الشبكة النشطة ومعرفات المستخدم وكلمات المرور
3	هجوم "كلمة المرور"		القيام بأي عمل هدام متعلق بالحصول على وصول غير مصرح به
4	انتحال كائن شبكة موثوق به		تغيير مسار الرسائل ، والتغيير غير المصرح به لبيانات التوجيه والعنوان. الوصول غير المصرح به إلى موارد الشبكة ، وفرض معلومات خاطئة
5	فرض طريق خاطئ		التغيير غير المصرح به لبيانات التوجيه والعنوان ، وتحليل البيانات المرسلة وتعديلها ، وفرض رسائل كاذبة
6	حقن كائن شبكة وهمي		اعتراض ومشاهدة حركة المرور. دخول غير مرخصلشبكة الموارد ، وفرض معلومات خاطئة
7	الحرمان من الخدمة	استنفاد جزئي للموارد	انخفاض عرض النطاق الترددي لقنوات الاتصال وأداء أجهزة الشبكة. انخفاض أداء تطبيقات الخادم.
		استنفاد كامل للموارد	استحالة إرسال الرسائل بسبب عدم الوصول إلى وسيط الإرسال ، ورفض إنشاء اتصال. الحرمان من الخدمة.
		انتهاك الارتباط المنطقي بين السمات والبيانات والأشياء	عدم القدرة على إرسال الرسائل بسبب نقص بيانات التوجيه والعنوان الصحيحة. عدم القدرة على تلقي الخدمات بسبب التعديل غير المصرح به للمعرفات وكلمات المرور وما إلى ذلك.
		استخدام الخلل في البرامج	فشل أجهزة الشبكة.
8	إطلاق التطبيق عن بعد	عن طريق إرسال ملفات تحتوي على تعليمات برمجية مدمرة قابلة للتنفيذ ، عدوى بالفيروسات.	انتهاك السرية والنزاهة وتوافر المعلومات.
		عن طريق تجاوز سعة المخزن المؤقت لتطبيق الخادم
		باستخدام إمكانات إدارة النظام عن بُعد التي توفرها علامات تبويب البرامج والأجهزة المخفية أو بواسطة الأدوات القياسية المستخدمة	إدارة النظام المخفية.

تتكون عملية إدراك التهديد بشكل عام من أربع مراحل:

جمع المعلومات؛

الاقتحامات (اختراق بيئة التشغيل) ؛

تنفيذ الوصول غير المصرح به ؛

القضاء على آثار الوصول غير المصرح به.

في مرحلة جمع المعلومات ، قد يكون المخالف مهتمًا بمعلومات مختلفة حول ISPD ، بما في ذلك:

حول هيكل الشبكة التي يعمل فيها النظام. يمكن أن يستكشف هذا المنطقة المحيطة بالشبكة (على سبيل المثال ، قد يكون الدخيل مهتمًا بعناوين المضيفين الموثوق بهم ولكن الأقل أمانًا). توجد أدوات توفر مضيف متوازي يمكنها مسح مساحة كبيرة من مساحة العنوان لتوافر المضيف في فترة زمنية قصيرة .؛

حول نوع نظام التشغيل (OS) في ISPD. يمكنك ملاحظة طريقة تحديد نوع نظام التشغيل ، مثل استعلام بسيطلتأسيس اتصال باستخدام بروتوكول الوصول عن بُعد Telnet ، ونتيجة لذلك ، " مظهر»استجابة يمكنك تحديد نوع نظام التشغيل للمضيف. يمكن أن يكون وجود خدمات معينة بمثابة مؤشر إضافي لنوع نظام التشغيل المضيف ؛

حول الخدمات التي تعمل على المضيفين. يعتمد تعريف الخدمات التي تعمل على مضيف على طريقة "المنافذ المفتوحة" لجمع المعلومات حول توفر مضيف.

في مرحلة الغزو ، يتم التحقيق في وجود نقاط ضعف نموذجية في خدمات النظام أو أخطاء في إدارة النظام. عادةً ما يؤدي الاستغلال الناجح للثغرات الأمنية إلى اكتساب عملية المهاجم وضع التنفيذ المميز (الوصول إلى وضع التنفيذ المميز للمعالج) ، أو حقن حساب مستخدم غير قانوني في النظام ، أو الحصول على ملف كلمة مرور ، أو تعطيل المضيف المهاجم.

هذه المرحلة من تطور التهديد ، كقاعدة عامة ، متعددة المراحل. قد تشمل مراحل عملية تنفيذ التهديد ، على سبيل المثال: إنشاء اتصال مع المضيف الذي يتم تنفيذ التهديد ضده ؛ تحديد الضعف؛ إدخال برنامج ضار لصالح التمكين ، إلخ.

تنقسم التهديدات التي يتم تنفيذها في مرحلة الاقتحام إلى طبقات مكدس بروتوكول TCP / IP ، حيث يتم تشكيلها على مستوى الشبكة أو النقل أو التطبيق ، اعتمادًا على آلية الاقتحام المستخدمة. تشمل التهديدات النموذجية التي يتم تنفيذها على مستوى الشبكة والنقل ما يلي:

تهديد يهدف إلى استبدال كائن موثوق به ؛

تهديد يهدف إلى خلق مسار خاطئ في الشبكة ؛

التهديدات التي تهدف إلى إنشاء كائن زائف باستخدام أوجه القصور في خوارزميات البحث عن بعد ؛

تهديدات رفض الخدمة.

تشمل التهديدات النموذجية التي يتم تنفيذها على مستوى التطبيق التهديدات التي تهدف إلى الإطلاق غير المصرح به للتطبيقات ، والتهديدات ، والتي يرتبط تنفيذها بإدخال أخطاء البرامج ، مع اكتشاف كلمات مرور الوصول إلى شبكة أو مضيف معين ، إلخ. إذا لم يجلب تنفيذ التهديد للمنتهك أعلى حقوق وصول في النظام ، فمن الممكن محاولة توسيع هذه الحقوق إلى أقصى مستوى ممكن. لهذا ، يمكن استخدام نقاط الضعف ليس فقط في خدمات الشبكة ، ولكن أيضًا نقاط الضعف في برنامج النظام لمضيفي ISPDN.

في مرحلة تنفيذ الوصول غير المصرح به ، يتحقق هدف تنفيذ التهديد:

انتهاك السرية (النسخ ، التوزيع غير القانوني) ؛

انتهاك السلامة (تدمير ، تغيير) ؛

انتهاك الإتاحة (الحجب).

في نفس المرحلة ، بعد هذه الإجراءات ، كقاعدة عامة ، يتم تشكيل ما يسمى بـ "الباب الخلفي" في شكل إحدى الخدمات التي تخدم منفذًا معينًا وتنفذ أوامر الدخيل. يتم ترك "الباب الخلفي" في النظام من أجل ضمان: القدرة على الوصول إلى المضيف ، حتى لو قام المسؤول بإزالة الثغرة الأمنية المستخدمة لتنفيذ التهديد بنجاح ؛ القدرة على الوصول إلى المضيف بتكتم قدر الإمكان ؛ القدرة على الوصول إلى المضيف بسرعة (دون تكرار عملية تنفيذ التهديد). يسمح "الباب الخلفي" للمهاجم بحقن برنامج ضار في شبكة أو على مضيف معين ، على سبيل المثال ، "محلل كلمة المرور" - وهو برنامج يستخرج معرفات المستخدم وكلمات المرور من حركة مرور الشبكة عند تشغيل بروتوكولات عالية المستوى). يمكن أن تكون أهداف حقن البرامج الضارة عبارة عن برامج المصادقة والتعريف ، وخدمات الشبكة ، ونواة نظام التشغيل ، ونظام الملفات ، والمكتبات ، وما إلى ذلك.

أخيرًا ، في مرحلة القضاء على آثار تنفيذ التهديد ، يتم إجراء محاولة لتدمير آثار أفعال الدخيل. يؤدي هذا إلى إزالة الإدخالات المقابلة من جميع سجلات التدقيق المحتملة ، بما في ذلك السجلات المتعلقة بجمع المعلومات.

1.4 خصائص البنك وأنشطته

PJSC Citibank هي مؤسسة مالية وائتمانية تابعة للنظام المصرفي للاتحاد الروسي تُجري معاملات مالية بالأموال والأوراق المالية. يقدم البنك خدمات مالية للأفراد والكيانات القانونية.

الأنشطة الرئيسية هي إقراض الكيانات القانونية والأفراد ، وخدمة حسابات العملاء من الشركات ، وجذب الأموال من السكان في الودائع ، والعمليات في أسواق الصرف الأجنبي والأسواق بين البنوك ، والاستثمارات في السندات والأذون.

يمارس البنك أنشطته المالية منذ 1 أغسطس 1990 ، على أساس الترخيص العام لبنك روسيا للأنشطة المصرفية رقم 356.

لدى البنك ثلاثة أنظمة لمعلومات البيانات الشخصية:

نظام المعلومات الخاص بالبيانات الشخصية لموظفي البنك - يسمح بتحديد 243 موضوعًا من البيانات الشخصية ؛

نظام معلومات البيانات الشخصية لنظام التحكم في الوصول والإدارة - يسمح لك بتحديد 243 موضوعًا من البيانات الشخصية ؛

نظام معلومات البيانات الشخصية للنظام المصرفي الآلي - يسمح لك بتحديد 9681 موضوعًا من البيانات الشخصية.

1.5 قواعد البيانات الشخصية

يحتاج البنك إلى حماية العديد من البيانات الشخصية المعلوماتية في وقت واحد ، وهي:

نظام المعلومات الخاص بالبيانات الشخصية لموظفي البنك.

نظام معلومات البيانات الشخصية لنظام التحكم في الوصول والإدارة ؛

نظام معلومات البيانات الشخصية للنظام المصرفي الآلي.

1.5.1 نظام معلومات البيانات الشخصية لموظفي المنظمة

يستخدم ISPD لموظفي البنك للتراكم لموظفي البنك أجور، وأتمتة عمل موظفي قسم الموارد البشرية ، وأتمتة عمل موظفي قسم المحاسبة بالبنك ، وحل قضايا الموظفين والمحاسبة الأخرى. يتكون من قاعدة بيانات 1C "إدارة الرواتب والأفراد" ، وتقع على محطة عمل منفصلة مع إمكانية الاتصال بمكان العمل عبر الشبكة. تقع محطة العمل في مكتب قسم الموارد البشرية. تم تثبيت نظام تشغيل على محطة العمل مايكروسوفت ويندوزإكس بي. لا يوجد اتصال بالإنترنت في محطة العمل.

الاسم الكامل؛

تاريخ الميلاد؛

سلسلة ورقم جواز السفر ؛

رقم التليفون؛

الحق في العمل مع برنامج 1C "إدارة الرواتب والموظفين" وقاعدة بيانات البيانات الشخصية لديهم:

رئيس الحسابات؛

مساعد محاسب رئيسي ؛

رئيس قسم الموارد البشرية؛

موظف مسؤول عن كشوف رواتب موظفي البنك.

تغيير البيانات يدويًا ؛

1.5.2 نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته

يستخدم نظام معلومات البيانات الشخصية لنظام التحكم في الوصول وإدارته لتخزين البيانات الشخصية لموظفي وزوار البنك الذين يمكنهم الوصول إلى مختلف مباني البنك. يتم استخدام ISDN لنظام التحكم في الوصول والإدارة من قبل قسم الأمن بالبنك. يتم تثبيت قاعدة بيانات ISPD على محطة العمل الموجودة في غرفة الأمن بقسم الأمن. تم تركيب غرفة العمليات على محطة العمل ISPDn نظام مايكروسوفت Windows 7 ، يتم استخدام Microsoft DBMS كنظام لإدارة قواعد البيانات خادم قاعدة البيانات 2012. AWP ISPD ليس لديه وصول إلى الشبكة المحلية ، كما أنه ليس لديه إمكانية الوصول إلى الإنترنت.

يقوم ISPD بتخزين البيانات الشخصية التالية:

الاسم الكامل؛

صورة موظف.

الحق في العمل مع أنظمة التحكم في الوصول ISPDn وإدارتها له ما يلي:

رئيس دائرة الأمن بالبنك.

نائب رئيس دائرة الأمن بالبنك.

موظفو إدارة الأمن بالبنك.

الوصول إلى مكان العمل الآلي لنظام التحكم في الوصول والإدارة لديه:

مديرو النظام ، لإدارة محطة العمل والبرمجيات 1C "إدارة الرواتب والموظفين" وقاعدة البيانات الشخصية ؛

موظفو القسم المسؤولون عن أمن معلومات البنك لإدارة نظام حماية معلومات AWP.

يمكن أداء الوظائف التالية في ISPD لموظفي البنك:

الحذف الآلي للبيانات الشخصية ؛

الحذف اليدوي للبيانات الشخصية ؛

تغيير البيانات يدويًا ؛

إضافة يدويةبيانات شخصية؛

البحث الآلي عن البيانات الشخصية.

يقوم نظام معلومات البيانات الشخصية بتخزين البيانات التي تجعل من الممكن التعرف على 243 موظفًا بالبنك.

بعد تحقيق أهداف معالجة البيانات الشخصية للموظف ، يتم حذف بياناته الشخصية من ISPD.

1.5.3 نظام معلومات البيانات الشخصية للنظام المصرفي الآلي

تم تصميم نظام معلومات البيانات الشخصية للنظام المصرفي الآلي لأتمتة عمل معظم موظفي البنك. يحسن إنتاجية الموظفين. كنظام مصرفي آلي ، يتم استخدام مجموعة من منتجات البرمجيات "CFT-Bank" التي تنتجها مجموعة شركات "Center for Financial Technologies". يستخدم برنامج أوراكل كنظام لإدارة قواعد البيانات. يتم نشر ISPD على خادم البنك ، ونظام التشغيل المثبت على الخادم هو Microsoft Windows Server 2008 R2. يتم توصيل ISPD للنظام المصرفي الآلي بشبكة الكمبيوتر المحلية للبنك ، ولكن ليس لديه إمكانية الوصول إلى الإنترنت. يتصل المستخدمون بقاعدة بيانات ISPD باستخدام منتجات برامج CFT-Bank من محطات افتراضية مخصصة. كل مستخدم لديه تسجيل الدخول وكلمة المرور الخاصة به في ISPD.

البيانات الشخصية المعالجة في ISPD:

الاسم الكامل؛

تاريخ الميلاد؛

سلسلة ورقم جواز السفر ؛

رقم التليفون؛

يحق للأشخاص التالية أسماؤهم العمل مع برنامج CFT-Bank وقاعدة بيانات البيانات الشخصية:

موظفو المحاسبة

ضباط القروض

موظفو قسم إدارة المخاطر ؛

موظفو قسم الضمانات ؛

المديرين الشخصيين

مديري العملاء ؛

طقم الحراسه.

الوصول إلى محطة العمل متاح لـ:

مسؤولو النظام لإدارة الخادم وقاعدة البيانات الشخصية وبرنامج CFT-Bank ؛

موظفو القسم المسؤولون عن أمن المعلومات بالبنك لإدارة الخادم وقاعدة بيانات البيانات الشخصية وبرامج CFT-Bank.

يمكن أداء الوظائف التالية في ISPD لموظفي البنك:

الحذف الآلي للبيانات الشخصية ؛

الحذف اليدوي للبيانات الشخصية ؛

إضافة البيانات الشخصية يدويًا ؛

تغيير البيانات يدويًا ؛

البحث الآلي عن البيانات الشخصية.

يقوم نظام معلومات البيانات الشخصية بتخزين البيانات التي تجعل من الممكن تحديد 243 موظفًا في البنك و 9438 عميلًا للبنك.

بعد تحقيق أهداف معالجة البيانات الشخصية للموظف ، يتم حذف بياناته الشخصية من ISPD.

1.6 هيكل وتهديدات شبكة المنطقة المحلية للبنك

البنك لديه شبكة خادم العميل. اسم المجال الذي توجد فيه محطات عمل المستخدمين هو vitabank.ru. في المجموع ، يوجد في البنك 243 محطة عمل آلية للمستخدم ، بالإضافة إلى 10 الخوادم الافتراضيةو 15 محطة عمل افتراضية. يقوم قسم إدارة النظام بمراقبة أداء الشبكة. تم بناء الشبكة بشكل أساسي على معدات شبكة Cisco. يتم الحفاظ على الاتصال بمكاتب إضافية باستخدام قنوات VPN باستخدام الإنترنت من خلال القنوات النشطة والنسخ الاحتياطي لمزود الإنترنت. يتم تبادل المعلومات مع البنك المركزي من خلال قناة مخصصة ، وكذلك من خلال قنوات الاتصال التقليدية.

يتمتع جميع المستخدمين بإمكانية الوصول إلى الإنترنت على محطات العمل المحلية ، ولكن العمل مع المستندات وأنظمة المعلومات الخاصة بالبنك يتم فقط باستخدام محطات العمل الافتراضية ، حيث يكون الوصول إلى الإنترنت محدودًا ويتم تحميل الموارد المحلية للبنك فقط.

الوصول إلى الإنترنت من محطات العمل المحلية محدد بمجموعات الوصول:

الحد الأدنى من الوصول - الوصول فقط إلى موارد الخدمات الفيدرالية ، إلى الموقع الإلكتروني لبنك روسيا ؛

الوصول العادي - يُسمح بجميع الموارد باستثناء وسائل الترفيه والشبكات الاجتماعية ومشاهدة مقاطع الفيديو وتنزيل الملفات.

الوصول الكامل - يُسمح بجميع الموارد وتحميلات الملفات ؛

يتم تنفيذ تصفية الموارد بواسطة مجموعات الوصول بواسطة الخادم الوكيل.

يوجد أدناه رسم تخطيطي لشبكة PJSC Citibank's (الشكل 5).

1.7 أدوات أمن المعلومات

أدوات أمن المعلومات هي مجموعة من الأجهزة والأجهزة الهندسية والكهربائية والإلكترونية والبصرية وغيرها ، والأجهزة والأنظمة التقنية ، بالإضافة إلى العناصر الأخرى المستخدمة في حل مشاكل أمن المعلومات المختلفة ، بما في ذلك منع التسرب وضمان أمن المعلومات المحمية.

يمكن تقسيم أدوات أمن المعلومات من حيث منع الإجراءات المتعمدة ، اعتمادًا على طريقة التنفيذ ، إلى مجموعات:

الوسائل التقنية (الأجهزة). هي أجهزة من أنواع مختلفة (ميكانيكية ، كهروميكانيكية ، إلكترونية ، إلخ) ، والتي تحل مشاكل حماية المعلومات بالأجهزة. يمنعون الوصول إلى المعلومات ، بما في ذلك عن طريق إخفاءها. تشمل الأجهزة: مولدات الضوضاء ، ومرشحات الشبكة ، وأجهزة الراديو ، والعديد من الأجهزة الأخرى التي "تمنع" قنوات تسرب المعلومات المحتملة أو تسمح باكتشافها. ترتبط مزايا الوسائل التقنية بموثوقيتها ، واستقلالها عن العوامل الذاتية ، ومقاومتها العالية للتعديل. نقاط الضعف - نقص المرونة ، الحجم والوزن الكبيرين نسبيًا ، التكلفة العالية.

الشكل 5 مخطط شبكة Citibank PJSC

تتضمن أدوات البرمجيات برامج لتحديد المستخدم ، والتحكم في الوصول ، وتشفير المعلومات ، وحذف المعلومات المتبقية (العاملة) مثل الملفات المؤقتة ، واختبار التحكم في نظام الحماية ، وما إلى ذلك. وتتمثل مزايا أدوات البرامج في التنوع ، والمرونة ، والموثوقية ، وسهولة التثبيت والقدرة على التعديل والتطوير. العيوب - وظائف محدودة للشبكة ، استخدام جزء من موارد خادم الملفات ومحطات العمل ، حساسية عالية للتغييرات العرضية أو المتعمدة ، الاعتماد المحتمل على أنواع أجهزة الكمبيوتر (أجهزتها).

تنفذ الأجهزة والبرامج المختلطة نفس وظائف الأجهزة والبرامج بشكل منفصل ، ولها خصائص وسيطة.

تتم مراقبة جميع مباني مكاتب البنك من قبل خدمة الأمن باستخدام نظام التحكم في الوصول والإدارة ، بالإضافة إلى نظام المراقبة بالفيديو. يتم الدخول إلى مكاتب البنك بالأذونات المناسبة في نظام التحكم في الوصول والإدارة. عند التقدم لوظيفة أو زائر للبنك ، إذا كان من الضروري الوصول إلى مكاتب البنك ، يتم إصدار بطاقات تقارب بدون تلامس يتم تسجيل معرف المستخدم عليها وعند محاولة الوصول إلى المكتب ، يتم إرسال هذا المعرف إلى نظام التحكم في الوصول والإدارة. يقارن النظام قائمة الغرف التي يُسمح لمستخدم البطاقة بدخولها مع الغرفة التي يريد دخولها ويسمح أو يقيد الوصول إلى الغرفة.

يتم تثبيت برنامج مكافحة الفيروسات Kaspersky على محطات عمل البنك أمن نقطة النهاية 10 ، التي لديها شهادة المطابقة FSTEC لروسيا رقم 3025 ، صالحة حتى 25 نوفمبر 2019 ، يتم تحديث قواعد بيانات توقيع الفيروس مركزيًا بواسطة جزء خادم مكافحة الفيروسات المثبت على الخادم الموجود في البنك.

لتنظيم إدارة المستندات الإلكترونية مع البنك المركزي ، أقامت السلطات في البنك خطاً اتصالاً مخصصاً.

لتنظيم إدارة المستندات الإلكترونية مع الخدمات الفيدرالية (Federal Tax Service، صندوق التقاعدروسيا ، خدمة المراقبة المالية ، إلخ.) يتم استخدام التوقيع الإلكتروني. للعمل بالتوقيع الإلكتروني على محطات العمل المحلية لفناني الأداء المسؤولين عن إدارة المستندات مع الخدمات الفيدرالية ، يتم تثبيت برنامج متخصص:

Crypto-Pro CSP ؛

تشفير ARM ؛

CIPF Verba-OW ؛

التحقق من صحة CIPF ؛

Signal-COM CSP.

يعتمد استخدام برامج معينة من قبل المقاول على متطلبات وكالة فيدرالية معينة.

يتم تثبيت جدار حماية Cisco ASA 5512 الذي تصنعه شركة Cisco Corporation على حافة الشبكة المحلية للبنك. بالإضافة إلى ذلك ، تم فصل الأنظمة المصرفية الهامة (محطة عمل عميل بنك روسيا ، SWIFT ، ISPD الخاص بالبنك) عن الشبكة المحلية للبنك بواسطة جدران حماية Cisco. يتم تنظيم أنفاق VPN للاتصال بمكتب إضافي باستخدام جدران حماية Cisco.

1.8 الضمانات التنظيمية

وفقًا لدراسة أجرتها شركة التدقيق والاستشارات البريطانية Ernst & Yong في عام 2014 ، فإن 69 بالمائة من الشركات المشاركة في الدراسة تعتبر موظفي الشركة المصدر الرئيسي لتهديدات أمن المعلومات.

يجوز لموظفي الشركة ، بسبب جهلهم أو عدم كفاءتهم في مجال أمن المعلومات ، الكشف عن المعلومات الهامة والضرورية لتنفيذ هجمات مستهدفة على المنظمة. يرسل المهاجمون أيضًا رسائل تصيد احتيالي باستخدام برامج ضارة مضمنة تسمح للمهاجمين بالتحكم في مكان عمل الموظف ومهاجمة أنظمة معلومات البنك من مكان العمل هذا.

لذلك ، يلتزم قسم أمن المعلومات في البنك بتدريب موظفي البنك على المبادئ الأساسية لأمن المعلومات ، ومراقبة الامتثال لمتطلبات الأمن عند العمل في مكان العمل ، وإبلاغ موظفي البنك عن التهديدات الجديدة لأمن المعلومات التي قد يواجهونها. .

في PJSC Citibank ، يخضع جميع الموظفين لشرح تمهيدي عند التوظيف. أيضًا ، يخضع الموظفون الجدد والموظفون المنقولون من الأقسام الهيكلية الأخرى إلى إحاطة أولية في قسم أمن المعلومات ، يتم خلالها شرح قواعد أمن المعلومات الأساسية للموظفين عند العمل مع أنظمة معلومات البنك ، وقواعد الأمان عند العمل على الإنترنت ، وقواعد الأمان عند العمل مع بنك البريد الإلكتروني ، سياسة كلمة المرور الخاصة بالبنك.

يشارك موظفو إدارة أمن المعلومات بالبنك في تطوير وتنفيذ أنظمة المعلومات الجديدة للبنك على جميع مستويات تطوير النظام.

في مرحلة تصميم النظام وإعداد الاختصاصات لتطوير نظام المعلومات ، يفرض قسم أمن المعلومات متطلبات أمنية على النظام.

في مرحلة تطوير نظام المعلومات ، يدرس موظفو قسم أمن المعلومات الوثائق الحالية ، ويختبرون البرنامج بحثًا عن نقاط الضعف المحتملة في رمز البرنامج.

في مرحلة اختبار نظام المعلومات وتشغيله ، يشارك قسم أمن المعلومات بنشاط في اختبار نظام المعلومات ، وإجراء اختبارات اختراق في نظام المعلومات ورفض اختبارات الخدمة ، وكذلك توزيع حقوق الوصول إلى نظام المعلومات.

في مرحلة تشغيل نظام المعلومات الذي تم تشغيله بالفعل ، يقوم قسم أمن المعلومات بمراقبة وكشف النشاط المشبوه.

في مرحلة الانتهاء من نظام المعلومات ، تقوم إدارة أمن المعلومات ، بناءً على البيانات التي تم الحصول عليها أثناء تشغيل نظام المعلومات ، ببناء متطلبات جديدة لنظام المعلومات.

يوافق قسم أمن المعلومات في شركة PJSC Citibank على جميع طلبات الوصول إلى الموارد على الإنترنت ، وكذلك إلى الموارد الداخلية للبنك.

1.9 دورة معالجة البيانات الشخصية

تم الحصول على البيانات الشخصية المخزنة في البنك بشكل قانوني فقط.

تتم معالجة البيانات الشخصية المستلمة لموظف البنك فقط لكي يفي البنك بالتزاماته بموجب العقد المبرم مع الموظف. يتم الحصول على البيانات الشخصية لموظف البنك من الموظف نفسه. إن جميع موظفي البنك على دراية بالتوقيع على وثائق البنك التي تحدد إجراءات معالجة البيانات الشخصية لموظفي البنك ، وكذلك حقوقهم والتزاماتهم في هذا المجال.

تهدف البيانات الشخصية لموظفي البنك المخزنة في ISPD لنظام التحكم في الوصول والإدارة إلى السماح للموظف بالدخول إلى مكان العمل.

تتم معالجة البيانات الشخصية لعملاء البنك المخزنة في ISPD للنظام المصرفي الآلي هناك فقط لكي يفي البنك بالتزاماته بموجب الاتفاقية المبرمة مع عميل البنك. أيضًا ، في ISPD للنظام المصرفي الآلي ، تتم معالجة البيانات الشخصية للأشخاص الذين لم يبرموا اتفاقية مع البنك ، ولكن تم الحصول عليها بشكل قانوني ، على سبيل المثال ، البيانات الشخصية التي يتم تلقيها ومعالجتها بناءً على طلب القانون الاتحادي رقم. بالوسائل الإجرامية وتمويل الإرهاب ".

بعد تحقيق أهداف معالجة البيانات الشخصية ، يتم إتلافها أو إبطال مفعولها.

2. تطوير إجراءات لحماية البيانات الشخصية في البنك

في PJSC Citibank ، يخضع نظام حماية البيانات الشخصية لكل من القوانين على مستوى الولاية واللوائح المحلية (على سبيل المثال ، قواعد الخدمات المصرفية عن بُعد للكيانات القانونية و رواد الأعمال الأفراد CITIBANK في PJSC "في الملحق 1).

تم إعداد نظام حماية البيانات الشخصية لشركة PJSC Citibank بشكل كافٍ لتجنب الهجمات البسيطة مثل التصيد الاحتيالي وإصابة محطات العمل بفيروسات الفدية ، ولكنه غير قادر على مقاومة الهجمات المستهدفة التي تهدف إلى سرقة البيانات الشخصية.

لقد قمت بالعمل على إعادة هيكلة وتحديث نظام حماية البيانات الشخصية.

2.1 تدابير لحماية شبكة الكمبيوتر المحلية للبنك ونظام معلومات البيانات الشخصية

هناك نقاط ضعف واضحة في شبكة Citibank ، حيث يمكن للمهاجمين الوصول الكامل إلى شبكة البنك والسيطرة عليها ، وبعد ذلك يمكنهم سرقة أو تغيير أو حذف البيانات الشخصية للعملاء أو موظفي البنك بحرية.

نظرًا لأن شبكة البنك هي قطاع واحد ، فمن أجل تقليل مخاطر دخول المتطفلين إلى شبكة البنك ، يجب تقسيمها إلى عدة قطاعات باستخدام تقنية الشبكة الافتراضية.

يتمثل مفهوم تقنية الشبكات الافتراضية (VLAN) في أن مسؤول الشبكة يمكنه إنشاء مجموعات منطقية من المستخدمين فيها ، بغض النظر عن أي جزء من الشبكة يتصلون به. يمكنك دمج المستخدمين في مجموعات عمل منطقية ، على سبيل المثال ، على أساس القواسم المشتركة للعمل المنجز أو المهمة التي تم حلها بشكل مشترك. في الوقت نفسه ، يمكن لمجموعات المستخدمين التفاعل مع بعضها البعض أو أن تكون غير مرئية تمامًا لبعضها البعض. عضوية المجموعة قابلة للتغيير ويمكن أن يكون المستخدم عضوًا في مجموعات منطقية متعددة. تشكل الشبكات الافتراضية مجالات بث منطقية ، مما يحد من مرور حزم البث عبر الشبكة ، تمامًا مثل أجهزة التوجيه ، التي تعزل حركة البث بين أجزاء الشبكة. بهذه الطريقة ، تمنع الشبكة الافتراضية حدوث عواصف البث لأن رسائل البث مقصورة على أعضاء الشبكة الافتراضية ولا يمكن أن يتلقاها أعضاء الشبكات الافتراضية الأخرى. يمكن للشبكات الافتراضية أن تسمح بالوصول إلى أعضاء شبكة افتراضية أخرى في الحالات التي يكون فيها من الضروري الوصول إلى الموارد المشتركة ، مثل خوادم الملفات أو خوادم التطبيقات ، أو عندما تتطلب المهمة المشتركة تفاعل الخدمات المختلفة ، مثل إدارات الائتمان والتسوية. يمكن إنشاء الشبكات الافتراضية على أساس منافذ التبديل والعناوين المادية للأجهزة المضمنة في الشبكة والعناوين المنطقية لبروتوكولات المستوى الثالث من نموذج OSI. تكمن ميزة الشبكات الافتراضية في السرعة العالية للمفاتيح ، حيث تحتوي المحولات الحديثة على مجموعة متخصصة من الدوائر المتكاملة المصممة خصيصًا لحل مشكلات التبديل في المستوى الثاني من نموذج OSI. الشبكات الافتراضية من المستوى الثالث هي الأكثر سهولة في التثبيت إذا لم تكن هناك حاجة لإعادة تكوين عملاء الشبكة ، وهي الأكثر صعوبة في الإدارة ، لأن يتطلب أي إجراء مع عميل الشبكة إما إعادة تكوين العميل نفسه أو جهاز التوجيه ، وهو الأقل مرونة ، حيث أن التوجيه مطلوب لتوصيل الشبكات الافتراضية ، مما يزيد من تكلفة النظام ويقلل من أدائه.

وبالتالي ، فإن إنشاء شبكات افتراضية في البنك سيمنع هجمات انتحال ARP. لن يتمكن المخالفون من اعتراض مرور المعلومات بين الخادم والعميل. عند اختراق الشبكة ، لن يتمكن المهاجمون من فحص شبكة البنك بالكامل ، ولكن فقط شريحة الشبكة التي تمكنوا من الوصول إليها.

عند التسلل إلى شبكة البنك ، سيقوم المهاجمون أولاً وقبل كل شيء بفحص الشبكة للعثور على عقد الشبكة الهامة. هذه العقد هي:

وحدة تحكم المجال؛

مخدم بروكسي;

خادم البريد؛

خادم الملفات

خادم التطبيقات.

نظرًا لأنه سيتم تنظيم الشبكة المحلية في البنك باستخدام تقنية الشبكة الافتراضية ، فلن يتمكن المهاجمون من اكتشاف هذه العقد دون خطوات إضافية. من أجل جعل الأمر أكثر صعوبة على المهاجمين في العثور على العقد الحرجة على الشبكة المحلية وإرباكهم ، وفي المستقبل لدراسة استراتيجية المهاجمين عند شن هجوم على الشبكة ، من الضروري استخدام كائنات خاطئة تجذب المهاجمين . تسمى هذه الكائنات مواضع الجذب.

تتمثل مهمة Honeypot في مهاجمته أو إجراء بحث غير مصرح به ، مما سيسمح لك لاحقًا بدراسة استراتيجية المهاجمين وتحديد قائمة الوسائل التي يمكن من خلالها ضرب كائنات الأمان الواقعية. يمكن أن يكون تنفيذ موضع الجذب إما خادمًا مخصصًا أو خدمة شبكة واحدة تتمثل مهمتها في جذب انتباه المتسللين.

موضع الجذب هو مورد لا يفعل شيئًا دون أي تأثير عليه. Honeypot تجمع كمية صغيرة من المعلومات ، بعد تحليل الإحصائيات المبنية على الأساليب المستخدمة من قبل المفرقعات ، بالإضافة إلى وجود أي حلول جديدة سيتم استخدامها لاحقًا في مكافحتها.

على سبيل المثال ، خادم الويب الذي لا يحمل اسمًا ويكون غير معروف فعليًا لأي شخص لا يجب أن يدخل إليه ضيوف ، لذا فإن أي شخص يحاول اختراقه يكون مهاجمًا محتملاً. Honeypot يجمع معلومات حول سلوك هذه المفرقعات وكيفية تأثيرها على الخادم. بعد ذلك ، يقوم المتخصصون في قسم أمن المعلومات بجمع معلومات حول هجوم المتسللين على المورد ووضع استراتيجيات لصد الهجمات في المستقبل.

للتحكم في المعلومات الواردة من الإنترنت واكتشاف التهديدات لأمن المعلومات في مرحلة إرسالها عبر الشبكة ، وكذلك لاكتشاف نشاط المتسللين الذين اخترقوا الشبكة المحلية للبنك ، من الضروري تثبيت نظام منع التطفل على حافة الشبكة.

نظام منع التطفل هو برنامج أو جهاز متصل بالشبكة و حماية الحاسوب، الذي يكتشف الاختراقات أو الخروقات الأمنية ويحمي تلقائيًا منها.

يمكن اعتبار أنظمة منع التطفل امتدادًا لأنظمة اكتشاف التسلل ، حيث تظل مهمة تتبع الهجمات كما هي. ومع ذلك ، فإنهم يختلفون في أن نظام منع التطفل يراقب النشاط في الوقت الفعلي وينفذ إجراءات منع الهجمات بسرعة.

تنقسم أنظمة كشف ومنع التسلل إلى:

أنظمة منع التطفل على الشبكة - تحليل حركة المرور الموجهة إلى شبكة المؤسسة ، أو المرور عبر الشبكة نفسها أو الموجهة إلى جهاز كمبيوتر معين. يمكن تنفيذ أنظمة الكشف عن التسلل والوقاية منه عن طريق البرامج أو طرق الأجهزة والبرامج المثبتة على المحيط شبكة الشركةوأحيانًا بداخله.

أنظمة منع التطفل الشخصية هي برامج يتم تثبيتها على محطات العمل أو الخوادم وتسمح لك بالتحكم في نشاط التطبيقات وكذلك المراقبة نشاط الشبكةلهجمات محتملة.

تم اختيار نظام منع اختراق الشبكة لنشره في شبكة البنك.

يعتبر أنظمة الشبكاتالاختراقات من قبل IBM و Check Point و Fortinet و Palo Alto ، حيث أن الوظائف المعلنة لمصنعي هذه الأنظمة تفي بمتطلبات قسم أمن المعلومات بالبنك.

بعد نشر مقاعد الاختبار واختبار أنظمة منع التطفل ، تم اختيار نظام Check Point حيث أظهر أفضل أداء وأفضل نظام فرعي للكشف عن الفيروسات يتم نقله عبر شبكة محلية وأفضل الأدوات لتسجيل الأحداث المهمة وتسجيلها وسعر الشراء.

تم رفض نظام منع التطفل الخاص بشركة IBM لأن تكلفة الأجهزة تجاوزت ميزانية قسم أمن المعلومات لشراء نظام منع التطفل.

تم رفض نظام منع التطفل في Fortinet بسبب الاستجابة غير الكاملة عندما أجرى قسم أمن المعلومات اختبارات لنقل الملفات المصابة والأدوات الإعلامية غير الكافية لتسجيل الأحداث المهمة.

تم رفض نظام Palo Alto لمنع التطفل بسبب عدم كفاية الأدوات الإعلامية لتسجيل الأحداث المهمة ، والتعقيد المفرط للعمل مع النظام ، والعمل مثل جهاز التوجيه.

تم اختيار نظام منع التطفل Check Point للتنفيذ في الشبكة المحلية. أظهر هذا النظام مستوى عالٍ من الكشف عن تهديدات أمن المعلومات ، وإعدادات مرنة ، والقدرة على توسيع الوظائف من خلال شراء وحدات برامج إضافية ، ولديه نظام قوي لتسجيل الأحداث المهمة ومجموعة أدوات قوية لتقديم تقارير الحوادث ، والتي يمكن استخدامها للتحقيق في حوادث أمن المعلومات أسهل بكثير.

يظهر الرسم التخطيطي لشبكة PJSC Citibank بهندسة متغيرة في الشكل 6.

2.2 حماية البرامج والأجهزة

نظرًا لأنه لا يمكن ضمان أمن البيانات الشخصية إلا عن طريق حماية الشبكة ، لأن المتطفلين ، على الرغم من جميع التدابير المتخذة لحماية الشبكة ، يمكنهم الوصول إلى شبكة البنك.

الشكل 6 مخطط شبكة Citibank PJSC مع أنظمة أمان إضافية

لمزيد من الحماية المرنة ضد الهجمات ، من الضروري إضافة أجهزة حماية البرامج والأجهزة لمحطات العمل المحلية ومحطات العمل الافتراضية والخوادم الافتراضية والعادية إلى الأجهزة المصممة لحماية الشبكة.

وكما هو معروف برامج مكافحة الفيروساتلا توفر حماية كاملة ضد البرمجيات الخبيثة ، حيث أنها تعمل على مبدأ تحليل التوقيع. لدى شركة برامج مكافحة الفيروسات خبراء في موظفيها يراقبون نشاط الفيروسات على الإنترنت ، ويدرسون سلوك برامج الفيروسات في محطات الاختبار ، ويقومون بإنشاء تواقيع يتم إرسالها لاحقًا إلى أجهزة الكمبيوتر الخاصة بالمستخدمين عن طريق تحديث قواعد بيانات توقيع برامج مكافحة الفيروسات. بعد تلقي قاعدة بيانات محدثة لتوقيعات برامج مكافحة الفيروسات ، يقوم برنامج مكافحة الفيروسات بفحص الملفات الموجودة على محطة عمل المستخدم والبحث عن علامات على وجود برامج ضارة ؛ إذا تم العثور على مثل هذه العلامات أثناء الفحص ، فإن برنامج مكافحة الفيروسات يشير إلى ذلك ويعمل وفقًا لـ الإعدادات التي تم تعيينها بواسطة المستخدم أو مسؤول مكافحة الفيروسات. وبالتالي ، إذا لم يتم اكتشاف البرامج الضارة وتحليلها من قبل خبراء شركة برامج مكافحة الفيروسات ، فلن يتمكن برنامج مكافحة الفيروسات من اكتشاف البرامج الضارة ولن يتخذ أي إجراء ، مع اعتبار الملف الممسوح آمنًا. لذلك ولتقليل احتمالية الوصول للشبكة وإطلاق البرمجيات الخبيثة تم تركيب دائرة ثانية في البنك الحماية من الفيروسات. نظرًا لأن معظم شركات برامج مكافحة الفيروسات تعمل بشكل منفصل عن بعضها البعض ، يمكن اكتشاف البرامج الضارة التي لم تكتشفها إحدى شركات برامج مكافحة الفيروسات بواسطة مطور آخر ويمكن بالفعل إنشاء التوقيعات للتهديد المكتشف.

لتنفيذ مثل هذا المخطط ، تم إنشاء محطة عمل افتراضية ، حيث تم تثبيت مجموعة برامج الحماية من الفيروسات Doctor WEB Enterprise ، والتي لديها شهادة امتثال FSTEC في روسيا رقم 2446 ، صالحة حتى 20 سبتمبر 2017. يتم إرسال جميع الملفات التي تم تنزيلها بواسطة موظفي البنك أثناء عملهم إلى هذه المحطة ويتم فحصها بواسطة برنامج مكافحة الفيروسات. في حالة اكتشاف برامج ضارة ، يرسل برنامج مكافحة الفيروسات بريدًا إلكترونيًا إلى قسم أمن المعلومات مع اسم التهديد والمسار حيث يتم تخزين الملف المصاب. يتخذ قسم أمن المعلومات خطوات لإزالة البرامج الضارة. إذا اجتازت الملفات التي تم تحميلها من قبل المستخدمين فحص برنامج مكافحة الفيروسات ، يقوم المستخدم الذي قام بتحميل الملف بتقديم طلب إلى قسم أمن المعلومات ويقوم موظفو القسم بنقل الملف الذي تم تنزيله إلى المستخدم.

كما أن كمية كبيرة من البرمجيات الخبيثة تصل إلى موظفي البنك عبر بريد إلكتروني. يمكن أن تكون فيروسات تشفير عادية وبرامج ضارة تسمح للمهاجمين باختراق الكمبيوتر المصاب لموظف البنك باستخدام اتصال عن بعد.

لتقليل مخاطر مثل هذه التهديدات ، تم تثبيت برنامج ClamAW لمكافحة الفيروسات على خادم البريد الخاص بالبنك ، المصمم للحماية خوادم البريد.

للحماية من الوصول غير المصرح به من قبل المتسللين الداخليين الذين تعلموا بطريقة ما كلمة مرور مستخدم محطة محلية لديها وصول إلى أنظمة معلومات البيانات الشخصية ، من الضروري تثبيت نظام حماية المعلومات من الوصول غير المصرح به إلى محطات العمل المحلية للمستخدمين الذين يعملون مع شخصي نظم معلومات البيانات.

.

يتم تدريب موظفي البنك من قبل متخصص في إدارة أمن المعلومات.

موظف في إدارة أمن المعلومات يقوم بالتدريب في أحد أقسام البنك التي تحددها الخطة. بعد التدريب ، يجتاز موظفو الوحدة الاختبارات التي يؤكدون فيها المعرفة المكتسبة أثناء التدريب.

تنظم السياسة الأمنية الأساسية إجراء التدريب في كل وحدة أربع مرات على الأقل في السنة.

أيضًا ، بالتوازي مع تدريب الموظفين ، يُطلب من موظفي إدارة أمن المعلومات إرسال رسائل معلومات مرة واحدة على الأقل شهريًا إلى جميع موظفي البنك توضح قواعد الأمان الأساسية ، والتهديدات الجديدة لأمن المعلومات بالبنك ، إذا تم الكشف عن أي منها.

2.3.2 ترتيب وصول الموظفين إلى موارد الإنترنت

لدى البنك 3 مجموعات من الوصول إلى الإنترنت ، ولكن هذا التقسيم للوصول غير فعال ، لأن الموظف ، من أجل أداء واجباته ، قد يحتاج إلى الحصول على معلومات من مورد شبكة مدرج في مجموعة الوصول الكامل ، ثم سيكون لديه لإتاحة الوصول الكامل إلى الإنترنت ، وهو أمر غير آمن.

المجموعة 6: تنزيل المحفوظات - لا توفر المجموعة أي وصول إلى موارد الإنترنت ؛

المجموعة 7: تنزيل ملفات قابلة للتنفيذ - لا توفر المجموعة أي وصول إلى موارد الإنترنت ؛

المجموعة 8: الوصول الكامل إلى الإنترنت - الوصول الكامل إلى موارد الإنترنت ، وتنزيل أي ملفات.

للوصول إلى موارد الإنترنت ، يقوم الموظف بإنشاء تطبيق من خلال نظام ServiceDesk وبعد موافقة رئيس القسم أو الإدارة وموظف في قسم أمن المعلومات ، يتم منح الموظف حق الوصول إلى موارد الإنترنت وفقًا للمجموعة المطلوبة .

2.3.3 الإجراء الخاص بوصول الموظفين إلى الموارد داخل البنك

توجد المستندات الرئيسية المتعلقة بعمل الموظف في مكان العمل المحلي أو في النظام الآلي الذي يعمل فيه. كما أن لكل قسم من أقسام البنك قسم على خادم الملفات الخاص بالبنك ، والذي يخزن المعلومات اللازمة للعديد من موظفي القسم وهو كبير الحجم لإرساله عبر البريد الإلكتروني للبنك.

عندما يحصل موظف جديد على وظيفة في البنك ، يرسل مديره المباشر طلبًا من خلال نظام ServiceDesk إلى قسم إدارة النظام للوصول إلى مورد intrabank ، وبعد الموافقة على الطلب من قبل موظف في قسم أمن المعلومات ، يقوم موظف قسم إدارة النظام بتزويد الموظف الجديد بإمكانية الوصول إلى المورد المطلوب.

غالبًا ما تكون هناك مواقف يتقاطع فيها عمل العديد من أقسام البنك ، ومن أجل تبادل المعلومات ، تحتاج هذه الأقسام إلى قسم منفصل على خادم ملفات البنك.

لإنشاء هذا القسم ، يقوم مدير المشروع ، رئيس أحد الأقسام المشاركة في عملية العمل في المشروع ، بإنشاء تطبيق من خلال نظام ServiceDesk لإنشاء مورد مشترك والوصول إلى هذا المورد لبعض الموظفين التابعين له. قسم يعمل على مشروع مشترك ورئيس القسم الذي يتعاون معه ضمن المشروع. بمجرد الموافقة عليه من قبل مسؤول المعلومات ، يقوم مسؤول إدارة النظام بإنشاء المورد المطلوب ويمنح الوصول إليه للموظفين المطلوبين. يطلب كل رئيس قسم مشارك في المشروع الوصول فقط للموظفين التابعين له.

2.3.4 كيف يعمل الموظفون مع البريد الإلكتروني

في السابق ، قبل إنشاء سياسة الأمان الأساسية ، كان كل موظف بنفسه يحدد درجة خطورة الرسائل والملفات التي يتم تلقيها عن طريق البريد الإلكتروني من خوادم البريد الخارجية.

بعد إنشاء سياسة أمان أساسية ، يُطلب من كل مستخدم إرسال كل ملف يتم استلامه عن طريق البريد الإلكتروني من خوادم البريد الخارجية إلى إدارة أمن المعلومات للتحقق من وجود برامج ضارة ، ويتم تحديد درجة خطورة الرسائل من قبل الموظف بشكل مستقل. إذا اشتبه أحد موظفي البنك في أن رسالة واردة تحتوي على بريد عشوائي أو تصيد احتيالي ، فإنه ملزم بإرسال الرسالة كاملة ، أي تحتوي على جميع المعلومات الرسمية عن المرسل ، صندوق بريدوعنوان IP لقسم أمن المعلومات. بعد تحليل الخطاب المشبوه وتأكيد التهديد بهذه الرسالة ، تقوم إدارة أمن المعلومات بإرسال عنوان مرسل الخطاب إلى إدارة النظام ، ويقوم أحد موظفي إدارة النظام بإدراج عنوان مرسل الخطاب على القائمة السوداء.

احجب دائمًا مكان العمل عند الفطام منه.

2.3.6 قواعد وصول الموظف إلى البيانات الشخصية

وفقًا للمادة 89 من الفصل 14 من قانون العمل للاتحاد الروسي ، يحق لموظف البنك الوصول إلى بياناته الشخصية ، ولكن يُسمح له بمعالجة البيانات الشخصية لموظفي البنك الآخرين أو عملاء البنك فقط لأداء واجباته الرسمية .

لضمان التحكم في الوصول إلى أنظمة معلومات البيانات الشخصية ، وضع البنك القواعد التالية للوصول إلى أنظمة معلومات البيانات الشخصية:

يمكن فقط للموظفين الذين تشمل مسؤولياتهم الوظيفية معالجة البيانات الشخصية الوصول إلى ISPD ؛

لا يُسمح بالوصول إلى ISPD إلا من مكان العمل المحلي للموظف الذي يعمل مع البيانات الشخصية ؛

أنشأ البنك وثيقة تحدد باسم العائلة الموظفين المسموح لهم بالوصول إلى البيانات الشخصية لموظفي وعملاء البنك ، مع الإشارة إلى نظام معلومات البيانات الشخصية وقائمة بالبيانات الشخصية المسموح للموظف معالجتها.

3. التبرير الاقتصادي للمشروع

لتنفيذ نظام حماية البيانات الشخصية ، من الضروري شراء:

معدات لحماية شبكة البنك.

أجهزة أمن المعلومات ؛

برمجيات أمن المعلومات.

لإعادة بناء شبكة المؤسسة ، من الضروري شراء محولات Cisco Catalyst 2960 بمبلغ 3 نسخ. يلزم وجود مفتاح واحد للتشغيل على المستوى الأساسي لشبكة البنك ، ومفتاحان آخران للتشغيل على مستوى التوزيع. أجهزة الشبكةالذين عملوا في البنك قبل إعادة هيكلة الشبكة سيشاركون أيضًا.

التكلفة الإجمالية (روبل روسي) 9389159613

بدلة أمن Doctor WEB Enterprise155005500

التكلفة الإجمالية 1 371615

خاتمة

في مشروع التخرج الخاص بي ، قمت بمراجعة الإطار القانوني لحماية البيانات الشخصية. لقد نظرت في المصادر الرئيسية للتهديدات لأمن البيانات الشخصية.

بناءً على التهديدات الشخصية المدروسة ، قمت بتحليلها النظام الموجودحماية البيانات الشخصية في Citibank PJSC وتوصلت إلى استنتاج مفاده أنه يجب تحسينها بجدية.

خلال مشروع التخرج ، تم العثور على نقاط ضعف في الشبكة المحلية للبنك. مع الأخذ في الاعتبار نقاط الضعف التي تم الكشف عنها في الشبكة المحلية للبنك ، تم تحديد الإجراءات لتقليل مخاطر أمن المعلومات لشبكة البنك.

كما تم النظر واختيار الأجهزة والبرمجيات لحماية أماكن العمل المحلية للموظفين الذين يعالجون البيانات الشخصية لموظفي وعملاء البنك.

بمشاركتي ، تم إنشاء نظام لتوعية الموظفين بشؤون أمن المعلومات.

تمت إعادة تصميم إجراءات وصول موظفي البنك إلى الإنترنت بشكل عميق ، كما أعيد تصميم مجموعات الوصول إلى الإنترنت. تتيح مجموعات الوصول إلى الإنترنت الجديدة تقليل مخاطر أمن المعلومات بشكل كبير بسبب القدرة المحدودة للمستخدمين على تنزيل الملفات والوصول إلى الموارد غير الموثوق بها.

يتم تقديم حسابات تكلفة إعادة بناء الشبكة وإنشاء نظام حماية بيانات شخصية قابل للتطبيق يمكن أن يعكس معظم تهديدات أمن المعلومات.

قائمة الأدبيات المستخدمة

1. "دستور الاتحاد الروسي" (تم اعتماده بالتصويت الشعبي في 12 ديسمبر 1993) (مع مراعاة التعديلات التي أدخلتها قوانين الاتحاد الروسي بشأن التعديلات على دستور الاتحاد الروسي المؤرخ 30 ديسمبر 2008 N 6- FKZ ، بتاريخ 30 ديسمبر 2008 N 7-FKZ ، بتاريخ 5 فبراير 2014 N 2-FKZ ، بتاريخ 21 يوليو 2014 N 11-FKZ) // النص الرسمي لدستور الاتحاد الروسي ، بصيغته المعدلة في 21 يوليو ، 2014 ، تم نشره على بوابة الإنترنت الرسمية للمعلومات القانونية http://www.pravo.gov.ru ، 08/01/2014

2. "النموذج الأساسي لتهديدات أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مقتطف) (تمت الموافقة عليه من قبل FSTEC في الاتحاد الروسي في 15 فبراير 2008)

3. القانون الاتحادي الصادر في 27 يوليو 2006 N 149-FZ (بصيغته المعدلة في 6 يوليو 2016) "بشأن المعلومات وتقنيات المعلومات وحماية المعلومات" // لم يتم نشر الوثيقة بهذا النموذج. تم نشر النص الأصلي للوثيقة في " صحيفة روسية"، N 165 ، 29.07.2006

4. "قانون العمل للاتحاد الروسي" بتاريخ 30 ديسمبر 2001 N 197-FZ (بصيغته المعدلة والمكملة ، دخل حيز التنفيذ في 3 أكتوبر 2016) // لم يتم نشر الوثيقة في هذا النموذج ، تم نشر النص الأصلي للوثيقة في Rossiyskaya Gazeta، N 256، 12/31/2001

5. مرسوم حكومة الاتحاد الروسي بتاريخ 01.11.2012 N 1119 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" // "Rossiyskaya Gazeta"، N 256، 07.11.2012

6. أمر FSTEC لروسيا بتاريخ 18 فبراير 2013 N 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مسجلة في وزارة قاضي روسيا في 14 مايو 2013 رقم 28375) // "صحيفة روسية" ، العدد 107 ، 22/05/2013

7. "معيار بنك روسيا" ضمان أمن المعلومات لمنظمات النظام المصرفي للاتحاد الروسي. الأحكام العامة "STO BR IBBS-1.0-2014" (تم تبنيها ودخلت حيز التنفيذ بموجب أمر بنك روسيا بتاريخ 17 مايو 2014 N R-399) // نشرة بنك روسيا ، رقم 48-49 ، 30 مايو 2014

8. "اللائحة المتعلقة بمتطلبات ضمان حماية المعلومات عند إجراء تحويلات الأموال ، والإجراء الذي يتبعه بنك روسيا لممارسة الرقابة على الامتثال لمتطلبات ضمان حماية المعلومات عند إجراء تحويلات الأموال" (تمت الموافقة عليها من قبل البنك) روسيا في 09.06.2012 N 382-P) (بصيغته المعدلة بتاريخ 14 أغسطس 2014) (مسجلة لدى وزارة العدل الروسية في 14 يونيو 2012 N 24575) // لم يتم نشر المستند بهذا النموذج ، الأصل تم نشر نص الوثيقة في نشرة بنك روسيا ، العدد 32 ، 2012/06/22

9 - "اللوائح المتعلقة بإجراءات تقديم المؤسسات الائتمانية إلى الهيئة المخولة للمعلومات المنصوص عليها في القانون الاتحادي" بشأن مكافحة إضفاء الشرعية (غسل) عائدات الجريمة وتمويل الإرهاب "(وافق عليها بنك روسيا) في 29 أغسطس 2008 N 321-P) (بصيغته المعدلة بتاريخ 15/10/2015) (جنبًا إلى جنب مع "إجراءات ضمان أمن المعلومات أثناء إرسال واستقبال منظمة التعاون الاقتصادي" ، "قواعد تشكيل منظمة التعاون الاقتصادي و ملء الحقول الفردية لسجلات منظمة التعاون الاقتصادي ") (مسجل في وزارة العدل الروسية بتاريخ 16.09.2008 N 12296) // في هذا النموذج ، لم يتم نشر المستند ، تم نشر النص الأصلي للوثيقة في النشرة لبنك روسيا ، رقم 54 ، 09/26/2008

10. أمر FSTEC لروسيا بتاريخ 18 فبراير 2013 N 21 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية" (مسجلة في وزارة قاضي روسيا في 14 مايو 2013 رقم 28375) // "صحيفة روسية" ، العدد 107 ، 22/05/2013

11. Averchenkov V.I. ، Rytov M.Yu ، Gainulin T.R. حماية البيانات الشخصية في المنظمات. م: فلينتا ، 2018

12. Agapov A. B. أساسيات الإدارة العامة في مجال المعلوماتية في الاتحاد الروسي. م: فقيه ، 2012

13. Kostin A. A.، Kostina A. A.، Latyshev D. M.، Moldovyan A. A. مجمعات البرمجياتسلسلة "AURA" لحماية نظم المعلومات من البيانات الشخصية // Izv. الجامعات. الأجهزة. 2012. V. 55، No. 11

14. مولدوفيان أ. التشفير لحماية معلومات الكمبيوتر (الجزء 1) // لا يتجزأ. 2014. No. 4 (18)

15. Romanov O.A.، Babin S.A.، Zhdanov S.G. الدعم التنظيمي لأمن المعلومات. - م: الأكاديمية ، 2016

16. شولتس ف.ل. ، رودشينكو أ.د. ، يورتشينكو أ.ف. أمن الأعمال. م: دار يورات للنشر ، 2017

التطبيقات (متوفرة في الأرشيف مع العمل).

لقد أصبح الطلب بشكل خاص على الأقسام الروسية للشركات الأجنبية فيما يتعلق بإضافة الجزء 5 من المادة 18 إلى 152-FZ "بشأن البيانات الشخصية": "... يلتزم المشغل بضمان التسجيل والتنظيم والتراكم والتخزين توضيح (تحديث ، تغيير) ، بيانات شخصيةمواطني الاتحاد الروسي باستخدام قواعد البيانات الموجودة على أراضي الاتحاد الروسي " . هناك عدد من الاستثناءات في القانون ، ولكن يجب أن تعترف أنه في حالة وجود شيك من قبل المنظم ، فأنت تريد الحصول على بطاقات رابحة أكثر موثوقية من "لكن هذا لا يهمنا".

عقوبات المخالفين شديدة جدا. التسوق عبر الانترنت، وسائل التواصل الاجتماعي، ومواقع المعلومات ، والأعمال التجارية الأخرى ذات الصلة بـ إنترنتفي حالة وجود مطالبات من السلطات الإشرافية ، يمكن إغلاقها بالفعل. ربما ، في الفحص الأول ، ستمنح الجهة المنظمة وقتًا لإزالة أوجه القصور ، لكن الفترة عادةً ما تكون محدودة. إذا لم يتم حل المشكلة بسرعة كبيرة (وهو أمر يصعب حله بدون إعداد أولي) ، فلن يكون من الممكن تعويض الخسائر. لا يؤدي حظر مواقع الويب إلى توقف المبيعات مؤقتًا فحسب ، بل يعني أيضًا فقدان الحصة السوقية.

ظهور منتهكي قانون البيانات الشخصية للشركات غير المتصلة بالإنترنت في "القائمة السوداء" أقل إثارة. لكن هذا ينطوي على مخاطر تتعلق بالسمعة ، وهو عامل مهم للشركات الأجنبية. بالإضافة إلى ذلك ، لا توجد الآن أنشطة لا تتعلق على الإطلاق بحماية البيانات الشخصية. البنوك والتجارة وحتى التصنيع - جميعها تحافظ على قواعد العملاء ، مما يعني أنها تخضع للقوانين ذات الصلة.

من المهم هنا أن نفهم أنه داخل الشركات لا يمكن النظر في المشكلة بمعزل عن غيرها. لا يمكن تقييد حماية البيانات الشخصية عن طريق تثبيت أدوات أمان معتمدة على الخوادم وقفل البطاقات الورقية في الخزائن. تحتوي البيانات الشخصية على العديد من نقاط الدخول إلى الشركة - أقسام المبيعات والموارد البشرية وخدمة العملاء ، وأحيانًا أيضًا مراكز التدريبوعمولات الشراء والأقسام الأخرى. تعد إدارة حماية البيانات الشخصية عملية معقدة تؤثر على هو - هيتدفق الوثائق واللوائح والتسجيل القانوني.

دعنا نلقي نظرة على ما يتطلبه الأمر لتشغيل هذه العملية والحفاظ عليها.

ما هي البيانات التي تعتبر شخصية

بالمعنى الدقيق للكلمة ، فإن أي معلومات تتعلق بشكل مباشر أو غير مباشر بفرد معين هي بياناته الشخصية. لاحظ أننا نتحدث عن الناس ، لا الكيانات القانونية. اتضح أنه يكفي الإشارة إلى الاسم الكامل وعنوان الإقامة من أجل الشروع في حماية هذه البيانات (وكذلك البيانات ذات الصلة). ومع ذلك ، فإن تلقي بريد إلكتروني يحتوي على بيانات شخصية لشخص ما في شكل توقيع و رقم التليفونلا يوجد سبب للدفاع عنها. المصطلح الأساسي: "مفهوم جمع البيانات الشخصية". لتوضيح السياق ، أود أن أبرز عدة مواد من قانون "البيانات الشخصية" على وجه الخصوص.

المادة 5. مبادئ معالجة البيانات الشخصية. يجب أن تكون هناك أهداف واضحة توضح سبب جمع هذه المعلومات. خلاف ذلك ، حتى مع الامتثال الكامل لجميع القواعد والقواعد الأخرى ، فمن المرجح أن تكون هناك عقوبات.

المادة 10. فئات خاصة من البيانات الشخصية. على سبيل المثال ، يمكن لقسم شؤون الموظفين إصلاح القيود المفروضة على رحلات العمل ، بما في ذلك حمل الموظفين. بالطبع ، هذه المعلومات الإضافية تخضع أيضًا للحماية. يؤدي هذا إلى توسيع نطاق فهم PD إلى حد كبير ، فضلاً عن قائمة الأقسام ومستودعات المعلومات الخاصة بالشركة التي يجب الاهتمام بالحماية فيها.

المادة 12. نقل البيانات الشخصية عبر الحدود. إذا كان نظام معلومات يحتوي على بيانات عن مواطني الاتحاد الروسي موجودًا على أراضي دولة لم تصدق على اتفاقية حماية البيانات الشخصية (على سبيل المثال ، في إسرائيل) ، فيجب اتباع أحكام التشريع الروسي.

المادة 22. إشعار بشأن معالجة البيانات الشخصية. شرط أساسي لعدم لفت انتباه المنظم. إذا كنت تقوم بأنشطة تجارية تتعلق بالبيانات الشخصية - أبلغ عنها بنفسك ، دون انتظار الشيكات.

أين قد توجد البيانات الشخصية

من الناحية الفنية ، يمكن وضع PD في أي مكان ، من الوسائط المطبوعة (خزانات الملفات الورقية) إلى وسائط الآلة (محركات الأقراص الثابتة ومحركات الأقراص المحمولة والأقراص المضغوطة وما إلى ذلك). أي أن التركيز ينصب على أي تخزين بيانات يقع ضمن تعريف ISPD (أنظمة معلومات البيانات الشخصية).

جغرافيا الموقع هي سؤال كبير منفصل. من ناحية أخرى ، يجب تخزين البيانات الشخصية للروس (الأفراد من مواطني الاتحاد الروسي) على أراضي الاتحاد الروسي. من ناحية أخرى ، فإن الأمر في الوقت الحالي هو بالأحرى ناقل لتطور الموقف أكثر من كونه أمرًا واقعًا. العديد من الشركات الدولية وشركات التصدير ، وممتلكات مختلفة ، ومشاريع مشتركة لديها تاريخياً بنية تحتية موزعة - وهذا لن يتغير بين عشية وضحاها. على عكس طرق تخزين البيانات الشخصية وحمايتها ، والتي يجب تعديلها الآن تقريبًا ، على الفور.

الحد الأدنى لقائمة الأقسام المشاركة في التسجيل والتنظيم والتراكم والتخزين والتوضيح (التحديث والتغيير) واستخراج PD:

• خدمة الافراد.
• قسم المبيعات.
• قسم قانوني.

نظرًا لأن النظام المثالي نادرًا ما يسود ، في الواقع ، يمكن في كثير من الأحيان إضافة أكثر الوحدات التي لا يمكن التنبؤ بها إلى هذه القائمة "المتوقعة". على سبيل المثال ، قد يحتوي المستودع على معلومات شخصية عن الموردين ، أو قد تحتفظ خدمة الأمن بسجلها التفصيلي الخاص بكل شخص يدخل المنطقة. وبالتالي ، بالمناسبة ، يمكن استكمال تكوين PD للموظفين ببيانات عن العملاء ، والشركاء ، والمقاولين ، وكذلك الزائرين العشوائيين وحتى الزائرين الآخرين - الذين أصبح PD الخاص بهم "جريمة" عند تصويرهم للحصول على تصريح ، والمسح الضوئي لبطاقة الهوية بطاقة وفي بعض الحالات الأخرى. يمكن أن تصبح أنظمة التحكم في الوصول والإدارة (ACS) بسهولة مصدرًا للمشكلات في سياق حماية البيانات الشخصية. لذلك فإن الجواب على سؤال "أين؟" من وجهة نظر احترام القانون ، يبدو الأمر على هذا النحو: في كل مكان في المنطقة الخاضعة للمساءلة. لا يمكن إعطاء إجابة أكثر دقة إلا من خلال إجراء تدقيق مناسب. هذه هي المرحلة الأولى مشروعلحماية البيانات الشخصية. القائمة الكاملةمراحلها الرئيسية:

1) تدقيق الوضع الحالي في الشركة.

2) تصميم حل تقني.

3) إعداد عملية لحماية البيانات الشخصية.

4) التحقق من الحل التقني وعملية حماية البيانات الشخصية للامتثال لتشريعات الاتحاد الروسي ولوائح الشركة.

5) تنفيذ حل تقني.

6) إطلاق عملية حماية البيانات الشخصية.

1. تدقيق الوضع الحالي في الشركة

بادئ ذي بدء ، تحقق من خدمة الموظفين والإدارات الأخرى التي تستخدم الوسائط الورقية مع البيانات الشخصية:

• هل توجد أشكال للموافقة على معالجة البيانات الشخصية؟ هل اكتملت ووقعت؟
• هل تمت مراعاة "اللائحة الخاصة بتفاصيل معالجة البيانات الشخصية بدون استخدام أدوات الأتمتة" بتاريخ 15 سبتمبر 2008 برقم 687؟

تحديد الموقع الجغرافي لـ ISPD:

• ما هي الدول التي هم فيها؟
• على أي أساس؟
• هل هناك عقود لاستخدامها؟
• ما هي الحماية التكنولوجية المستخدمة لمنع تسرب PD؟
• ما هي الإجراءات التنظيمية التي يتم اتخاذها لحماية PD؟

من الناحية المثالية ، يجب أن يتوافق نظام المعلومات مع PD للروس مع جميع متطلبات القانون 152-FZ "بشأن البيانات الشخصية" ، حتى لو كان موجودًا في الخارج.

أخيرًا ، انتبه إلى قائمة المستندات الرائعة المطلوبة في حالة التحقق (هذا ليس كل شيء ، فقط القائمة الرئيسية):

• إشعار معالجة PD.
• وثيقة تحدد الشخص المسؤول عن تنظيم معالجة PD.
• قائمة الموظفين المصرح لهم بمعالجة PD.
• وثيقة تحدد مكان تخزين PD.
• معلومات حول معالجة الفئات الخاصة والبيومترية للبيانات الشخصية.
• شهادة تحويل PD.
• النماذج القياسية للوثائق مع PD.
• الشكل القياسي للموافقة على معالجة البيانات الشخصية.
• إجراء نقل PD إلى أطراف ثالثة.
• إجراء المحاسبة عن الطلبات الواردة من موضوعات PD.
• قائمة نظم معلومات البيانات الشخصية (ISPD).
• المستندات التي تنظم النسخ الاحتياطي للبيانات في ISPD.
• قائمة أدوات أمن المعلومات المستخدمة.
• إجراء تدمير PD.
• مصفوفة الوصول.
• نموذج التهديد.
• سجل لوسائط الآلة PD.
• وثيقة تحدد مستويات الأمان لكل ISPD وفقًا لـ PP-1119 بتاريخ 1 نوفمبر 2012 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية."

2. تصميم حل تقني

يرد وصف للتدابير التنظيمية والتقنية التي يجب اتخاذها لحماية PD في الفصل 4. "التزامات المشغل" من القانون 152-FZ "بشأن البيانات الشخصية". يجب أن يستند الحل التقني إلى أحكام المادة 2 من القانون 242-FZ المؤرخ 21 يوليو 2014.

ولكن كيف تمتثل للقانون ومعالجة PD لمواطني الاتحاد الروسي على أراضي روسيا في حالة استمرار وجود ISPD في الخارج؟ هناك عدة خيارات هنا:

• النقل المادي لنظام المعلومات وقاعدة البيانات إلى أراضي الاتحاد الروسي. إذا كان ذلك ممكنًا من الناحية الفنية ، فسيكون أسهل.
• نترك ISPD في الخارج ، ولكن في روسيا نقوم بإنشاء نسخة منه وإنشاء نسخ أحادي الاتجاه لـ PD لمواطني الاتحاد الروسي من نسخة روسية إلى نسخة أجنبية. في الوقت نفسه ، في نظام أجنبي ، من الضروري استبعاد إمكانية تعديل البيانات الشخصية لمواطني الاتحاد الروسي ، وجميع عمليات التحرير فقط من خلال ISPD الروسي.
• هناك العديد من ISPDs وجميعهم في الخارج. يمكن أن يكون النقل مكلفًا ، أو حتى غير ممكن تقنيًا (على سبيل المثال ، من المستحيل فصل جزء من قاعدة البيانات عن البيانات الشخصية لمواطني الاتحاد الروسي ونقله إلى روسيا). في هذه الحالة ، قد يكون الحل هو إنشاء ISPD جديد على أي منصة متاحة على خادم في روسيا ، حيث سيتم تنفيذ النسخ المتماثل أحادي الاتجاه لكل ISPD أجنبي. ألاحظ أن اختيار النظام الأساسي متروك للشركة.

إذا لم يتم نقل PDIS بشكل كامل وحصري إلى روسيا ، فلا تنس الإشارة في شهادة نقل البيانات عبر الحدود إلى من وإلى أي مجموعة معينة من PD يتم إرسالها. يجب الإشارة إلى الغرض من نقل البيانات الشخصية في إشعار المعالجة. مرة أخرى ، يجب أن يكون هذا الهدف مشروعًا ومبررًا بوضوح.

3. التحضير لعملية حماية البيانات الشخصية

يجب أن تحدد عملية حماية البيانات الشخصية النقاط التالية على الأقل:

• قائمة الأشخاص المسؤولين عن معالجة البيانات الشخصية في الشركة.
• إجراء منح الوصول إلى ISPD. من الناحية المثالية ، هذه مصفوفة وصول مع مستوى الوصول لكل منصب أو موظف معين (قراءة / قراءة-كتابة / تعديل). أو قائمة PD المتاحة لكل منصب. كل هذا يتوقف على تنفيذ الملكية الفكرية ومتطلبات الشركة.
• تدقيق الوصول إلى البيانات الشخصية وتحليل محاولات الوصول مع انتهاك مستويات الوصول.
• تحليل أسباب عدم إمكانية الوصول إلى البيانات الشخصية.
• إجراء الاستجابة للطلبات الواردة من موضوعات PD بخصوص PD الخاصة بهم.
• مراجعة قائمة البيانات الشخصية التي يتم نقلها خارج الشركة.
• مراجعة متلقي البيانات الشخصية ، بما في ذلك في الخارج.
• المراجعة الدورية لنموذج التهديد لـ PD ، بالإضافة إلى تغيير مستوى حماية البيانات الشخصية بسبب تغيير في نموذج التهديد.
• تحديث مستندات الشركة (القائمة أعلاه ، ويمكن استكمالها إذا لزم الأمر).

هنا يمكنك تفصيل كل عنصر ، لكني أريد أن أهتم بشكل خاص بمستوى الأمان. يتم تحديده على أساس الوثائق التالية (اقرأ بالتسلسل):

1. "منهجية تحديد التهديدات الحالية حمايةالبيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية "(FSTEC RF 14 فبراير 2008).

2. مرسوم حكومة الاتحاد الروسي رقم 1119 بتاريخ 1 نوفمبر 2012 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية".

3. أمر FSTEC رقم 21 بتاريخ 18 فبراير 2013 "بشأن الموافقة على تكوين ومحتوى التدابير التنظيمية والتقنية لضمان أمن البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية."

أيضًا ، لا تنس أن تأخذ في الاعتبار الحاجة إلى فئات النفقات مثل:

• منظمة فريق المشروعوإدارة المشاريع.
• المطورين لكل من منصات ISPD.
• قدرات الخادم (تملكها أو مستأجرة في مركز البيانات).

بنهاية المرحلتين الثانية والثالثة من المشروع ، يجب أن يكون لديك:

• قدر العملية الحسابية.
• متطلبات الجودة.
• توقيت المشروع والجدول الزمني.
• المخاطر الفنية والتنظيمية للمشروع.

4. التحقق من الحل التقني وعملية حماية البيانات الشخصية للامتثال لتشريعات الاتحاد الروسي ولوائح الشركة

باختصار من حيث الصياغة ، لكنها خطوة مهمة تحتاج من خلالها إلى التأكد من أن جميع الإجراءات المخطط لها لا تتعارض مع تشريعات الاتحاد الروسي وقواعد الشركة (على سبيل المثال ، سياسات الأمان). إذا لم يتم ذلك ، سيتم وضع قنبلة في أساس المشروع ، والتي يمكن أن "تنفجر" في المستقبل ، وتدمر فوائد النتائج المحققة.

5. تنفيذ حل تقني

هنا كل شيء أكثر أو أقل وضوحا. تعتمد التفاصيل على الموقف والقرارات الأولية. لكن بشكل عام ، يجب أن تبدو الصورة كما يلي:

• سعة الخادم المخصصة.
• قدم مهندسو الشبكات عرض نطاق ترددي كافٍ بين مستقبل وجهاز إرسال PD.
• أنشأ المطورون النسخ المتماثل بين قواعد بيانات ISPD.
• منع المسؤولون إجراء تغييرات على ISPD الموجود في الخارج.

يمكن أن يكون الشخص المسؤول عن حماية PD أو "مالك العملية" نفس الشخص أو مختلفًا. حقيقة أن "مالك العملية" يجب أن يعد جميع الوثائق وأن ينظم العملية الكاملة لحماية PD. للقيام بذلك ، يجب إخطار جميع الأطراف المعنية ، ويجب توجيه الموظفين ، ويجب أن تسهل خدمة تكنولوجيا المعلومات تنفيذ تدابير حماية البيانات التقنية.

6. إطلاق عملية حماية البيانات الشخصية

هذه خطوة مهمة ، والهدف من المشروع بأكمله هو السيطرة على التدفق. بالإضافة إلى الحلول التقنية والوثائق التنظيمية ، فإن دور مالك العملية مهم هنا. يجب عليه تتبع التغييرات ليس فقط في التشريعات ، ولكن أيضًا في البنية التحتية لتكنولوجيا المعلومات. هذا يعني أن المهارات والكفاءات المناسبة مطلوبة.

بالإضافة إلى ذلك ، وهو أمر بالغ الأهمية في ظروف العمل الحقيقية ، يحتاج مالك عملية حماية PD إلى جميع الصلاحيات اللازمة والدعم الإداري من إدارة الشركة. خلاف ذلك ، سيكون "متسولًا" أبديًا ، لا يهتم به أحد ، وبعد فترة يمكن إعادة تشغيل المشروع ، بدءًا من المراجعة مرة أخرى.

الفروق الدقيقة

بعض النقاط التي يسهل التغاضي عنها:

• إذا كنت تعمل مع مركز بيانات ، فأنت بحاجة إلى عقد لتوفير خدمات سعة الخادم ، والذي بموجبه تقوم شركتك بشكل قانوني بتخزين البيانات والتحكم فيها.
• أنت بحاجة إلى تراخيص للبرامج المستخدمة في جمع وتخزين ومعالجة اتفاقيات التأجير الخاصة به.
• إذا كان ISPD موجودًا في الخارج ، فهناك حاجة إلى اتفاق مع الشركة التي تمتلك النظام هناك - لضمان الامتثال لتشريعات الاتحاد الروسي فيما يتعلق بالبيانات الشخصية للروس.
• إذا تم نقل البيانات الشخصية إلى مقاول لشركتك (على سبيل المثال ، شريك خارجي لتكنولوجيا المعلومات) ، فعندئذٍ في حالة حدوث تسرب PD من المتعاقد الخارجي ، ستكون مسؤولاً عن المطالبات. في المقابل ، يمكن لشركتك تقديم مطالبات إلى المتعاقد الخارجي. ربما يؤثر هذا العامل على حقيقة نقل العمل إلى الاستعانة بمصادر خارجية.

ومرة أخرى ، أهم شيء هو أن حماية البيانات الشخصية لا يمكن أخذها وضمانها. هذه عملية. عملية تكرارية مستمرة تعتمد بشكل كبير على المزيد من التغييرات في التشريع ، وكذلك على شكل ودقة تطبيق هذه القواعد في الممارسة.