Nowoczesne produkty do ochrony danych osobowych banku. Doskonalenie systemu ochrony danych osobowych JSC Alfa Bank

POZYCJA

o ochronie danych osobowych

Klienci (abonenci)

w Ortes-Finance LLC

Warunki i definicje

1.1. Informacje osobiste— wszelkie informacje dotyczące osoby fizycznej zidentyfikowanej lub ustalonej na podstawie tych informacji (przedmiot danych osobowych), w tym jej nazwisko, imię, patronimikę, rok, miesiąc, datę i miejsce urodzenia, adres, adres e-mail , numer telefonu, rodzina, towarzyska, stan majątkowy, wykształcenie, zawód, dochód, inne informacje.

1.2. Przetwarzanie danych osobowych- działania (operacje) na danych osobowych, w tym zbieranie, systematyzacja, gromadzenie, przechowywanie, klarowanie (aktualizacja, zmiana), wykorzystywanie, dystrybucja (w tym przekazywanie), depersonalizacja, blokowanie.

1.3. Poufność danych osobowych— obowiązkowy wymóg dla wyznaczonej osoby odpowiedzialnej, która uzyskała dostęp do danych osobowych, aby zapobiec ich rozpowszechnianiu bez zgody podmiotu lub innych podstaw prawnych.

1.4. Rozpowszechnianie danych osobowych- działania mające na celu przekazanie danych osobowych do określonego kręgu osób (przekazanie danych osobowych) lub zapoznanie się z danymi osobowymi nieograniczonej liczby osób, w tym ujawnienie danych osobowych w mediach, umieszczenie w sieciach informacyjnych i telekomunikacyjnych lub udostępniania danych osobowych w jakikolwiek lub w jakikolwiek inny sposób.

1.5. Wykorzystanie danych osobowych- czynności (operacji) na danych osobowych dokonywanych w celu podjęcia decyzji lub wykonania innych czynności wywołujących skutki prawne w stosunku do podmiotów danych osobowych lub w inny sposób wpływających na ich prawa i wolności lub prawa i wolności innych osób.

1.6. Blokowanie danych osobowych- czasowego wstrzymania gromadzenia, systematyzacji, gromadzenia, wykorzystywania, rozpowszechniania danych osobowych, w tym ich przekazywania.

1.7. Zniszczenie danych osobowych— działań, w wyniku których niemożliwe jest odtworzenie treści danych osobowych w systemie informatycznym danych osobowych lub w wyniku których ulegają zniszczeniu materialne nośniki danych osobowych.

1.8. Depersonalizacja danych osobowych- działania, w wyniku których niemożliwe jest bez użycia Dodatkowe informacje ustalenia własności danych osobowych przez określony podmiot.

1.9. Publiczne dane osobowe- dane osobowe, do których dostęp nieograniczonej liczby osób jest udzielany za zgodą podmiotu lub które zgodnie z prawem federalnym nie podlegają wymogowi zachowania poufności.

1.10. Informacja- informacje (komunikaty, dane) niezależnie od formy ich prezentacji.

1.11. Klient (podmiot danych osobowych)- indywidualny konsument usług Ortes-Finance LLC, zwany dalej „Organizacją”.

1.12. Operator- organ państwowy, organ gminy, osoba prawna lub osoba fizyczna, samodzielnie lub wspólnie z innymi osobami organizującymi i (lub) przeprowadzającymi przetwarzanie danych osobowych, a także określającymi cele przetwarzania danych osobowych, skład danych osobowych dane podlegające przetwarzaniu, działania (operacje) wykonywane na danych osobowych. W ramach niniejszego Regulaminu Operatorem jest Spółka z ograniczoną odpowiedzialnością „Ortes-Finance”;

2. Postanowienia ogólne.

2.1. Niniejsze rozporządzenie w sprawie przetwarzania danych osobowych (zwane dalej rozporządzeniem) zostało opracowane zgodnie z Konstytucją Federacja Rosyjska, Kodeks cywilny Federacji Rosyjskiej, ustawa federalna „O informacji, technologiach informacyjnych i ochronie informacji”, ustawa federalna 152-FZ „O danych osobowych”, inne ustawy federalne.

2.2. Celem opracowania Rozporządzenia jest określenie trybu przetwarzania i ochrony danych osobowych wszystkich Klientów Organizacji, których dane podlegają przetwarzaniu na podstawie upoważnienia operatora; zapewnienie ochrony praw i wolności człowieka i obywatela w zakresie przetwarzania jego danych osobowych, w tym ochrony prawa do prywatności, tajemnicy osobistej i rodzinnej, a także ustalenie odpowiedzialności urzędników mających dostęp do danych osobowych za niespełnienia wymogów zasad regulujących przetwarzanie i ochronę danych osobowych.

2.3. Tryb wejścia w życie i zmiany Regulaminu.

2.3.1. Niniejszy Regulamin wchodzi w życie z chwilą jego zatwierdzenia przez Dyrektora Generalnego Organizacji i obowiązuje bezterminowo, do czasu zastąpienia go nowym Regulaminem.

2.3.2. Zmiany Regulaminu dokonywane są na podstawie Zarządzeń Dyrektora Generalnego Organizacji.

3. Skład danych osobowych.

3.1. W skład danych osobowych Klientów wchodzą:

3.1.1. Pełne imię i nazwisko.

3.1.2. Rok urodzenia.

3.1.3. Miesiąc urodzenia.

3.1.4. Data urodzenia.

3.1.5. Miejsce urodzenia.

3.1.6. Dane paszportowe

3.1.7. Adres e-mail.

3.1.8. Numer telefonu (domowy, komórkowy).

3.2. Organizacja może tworzyć (tworzyć, gromadzić) i przechowywać następujące dokumenty i informacje, w tym w formie elektronicznej, zawierające dane o Klientach:

3.2.1. Zgłoszenie ankiety dotyczącej możliwości podłączenia osoby fizycznej.

3.2.2. Umowa (oferta publiczna).

3.2.3. Potwierdzenie przystąpienia do umowy.

3.2.5. Kopie dokumentów tożsamości, a także innych dokumentów dostarczonych przez Klienta i zawierających dane osobowe.

3.2.6. Dane o płatnościach za zamówienia (towary/usługi), zawierające informacje o płatności i inne dane Klienta.

4. Cel przetwarzania danych osobowych.

4.1. Celem przetwarzania danych osobowych jest realizacja zespołu działań zmierzających do osiągnięcia celu, w tym:

4.1.1. Świadczenie usług doradczych i informacyjnych.

4.1.2. Inne transakcje nie zabronione przez przepisy prawa, a także zestaw działań z danymi osobowymi niezbędnymi do realizacji ww. transakcji.

4.1.3. W celu spełnienia wymagań ustawodawstwa Federacji Rosyjskiej.

4.2. Warunkiem zaprzestania przetwarzania danych osobowych jest likwidacja Organizacji, a także odpowiednie żądanie Klienta.

5. Gromadzenie, przetwarzanie i ochrona danych osobowych.

5.1. Procedura pozyskiwania (zbierania) danych osobowych:

5.1.1. Wszelkie dane osobowe Klienta należy uzyskać od niego osobiście za jego pisemną zgodą, z wyjątkiem przypadków określonych w punktach 5.1.4 i 5.1.6 niniejszego Regulaminu oraz innych przypadków przewidzianych przez prawo Federacji Rosyjskiej.

5.1.2. Zgoda Klienta na wykorzystanie jego danych osobowych jest przechowywana w Organizacji w formie papierowej i/lub elektronicznej.

5.1.3. Zgoda podmiotu na przetwarzanie danych osobowych jest ważna przez cały czas trwania umowy, jak również w ciągu 5 lat od dnia rozwiązania stosunku umownego między Klientem a Organizacją. Po upływie wskazanego terminu zgodę uważa się za przedłużoną na każde kolejne pięć lat w przypadku braku informacji o jej cofnięciu.

5.1.4. Jeżeli dane osobowe Klienta mogą zostać pozyskane wyłącznie od strony trzeciej, Klient musi zostać o tym wcześniej poinformowany i uzyskać od niego pisemną zgodę. Podmiot trzeci przekazujący dane osobowe Klienta musi posiadać zgodę podmiotu na przekazanie danych osobowych do Organizacji. Organizacja jest zobowiązana do uzyskania potwierdzenia od osoby trzeciej przekazującej dane osobowe Klienta, że ​​dane osobowe są przekazywane za jego zgodą. Organizacja jest zobowiązana w kontaktach z podmiotami trzecimi do zawarcia z nimi umowy o zachowaniu poufności informacji dotyczących danych osobowych Klientów.

5.1.5. Organizacja jest zobowiązana do poinformowania Klienta o celach, domniemanych źródłach i sposobach pozyskania danych osobowych, a także o charakterze danych osobowych, które mają zostać pozyskane oraz o skutkach odmowy podania przez Klienta danych osobowych w celu wyrażenia pisemnej zgody na otrzymywanie ich.

5.1.6. Przetwarzanie danych osobowych Klientów bez ich zgody odbywa się w następujących przypadkach:

5.1.6.1. Dane osobowe są jawne.

5.1.6.2. Na żądanie uprawnionych organów państwowych w przypadkach przewidzianych przez prawo federalne.

5.1.6.3. Przetwarzanie danych osobowych odbywa się na podstawie ustawy federalnej, która określa jego cel, warunki pozyskiwania danych osobowych oraz krąg podmiotów, których dane osobowe podlegają przetwarzaniu, a także określa uprawnienia operatora.

5.1.6.4. Przetwarzanie danych osobowych odbywa się w celu zawarcia i wykonania umowy, której jedną ze stron jest podmiot danych osobowych – Klient.

5.1.6.5. Przetwarzanie danych osobowych odbywa się w celach statystycznych, z zastrzeżeniem obowiązkowej depersonalizacji danych osobowych.

5.1.6.6. W innych przypadkach przewidzianych prawem.

5.1.7. Organizacja nie ma prawa otrzymywać i przetwarzać danych osobowych Klienta dotyczących jego rasy, narodowości, poglądów politycznych, przekonań religijnych lub światopoglądowych, stanu zdrowia, życia intymnego.

5.2. Procedura przetwarzania danych osobowych:

5.2.1. Podmiot danych osobowych dostarcza Organizacji rzetelnych informacji o sobie.

5.2.2. Dostęp do przetwarzania danych osobowych Klientów mają wyłącznie pracownicy Organizacji, którzy są dopuszczeni do pracy z danymi osobowymi Klienta i podpisali Umowę o zachowaniu poufności danych osobowych Klienta.

5.2.3. Prawo dostępu do danych osobowych Klienta w Organizacji mają następujące osoby:

 Dyrektor Generalny Organizacji;

 Pracownicy odpowiedzialni za rozliczenia finansowe (kierownik, księgowy).

 Pracownicy Działu Relacji z Klientem (kierownik działu sprzedaży, kierownik).

 Pracownicy IT (dyrektor techniczny, administrator systemu).

 Klient jako podmiot danych osobowych.

5.2.3.1. Listę imienną pracowników Organizacji mających dostęp do danych osobowych Klientów ustala zarządzeniem Dyrektor Generalny Organizacji.

5.2.4. Przetwarzanie danych osobowych Klienta może odbywać się wyłącznie w celach określonych w Rozporządzeniu oraz zgodnie z prawem i innymi regulacyjnymi aktami prawnymi Federacji Rosyjskiej.

5.2.5. Przy ustalaniu zakresu i treści przetwarzanych danych osobowych Organizacja kieruje się Konstytucją Federacji Rosyjskiej, ustawą o danych osobowych i innymi ustawami federalnymi.

5.3. Ochrona danych osobowych:

5.3.1. Przez ochronę danych osobowych Klientów rozumie się zespół środków (organizacyjnych, administracyjnych, technicznych, prawnych) mających na celu zapobieżenie nieuprawnionemu lub przypadkowemu dostępowi do nich, zniszczeniu, modyfikacji, blokowaniu, kopiowaniu, rozpowszechnianiu danych osobowych podmiotów, a także jak inne nielegalne działania.

5.3.2. Ochrona danych osobowych Klienta odbywa się na koszt Organizacji w sposób określony przez prawo federalne Federacji Rosyjskiej.

5.3.3. W ramach ochrony danych osobowych Klientów Organizacja podejmuje wszelkie niezbędne środki organizacyjne, administracyjne, prawne i techniczne, w tym:

 Ochrona antywirusowa.

 Analiza bezpieczeństwa.

 Wykrywanie i zapobieganie włamaniom.

 Kontrola dostępu.

 Ewidencja i księgowość.

 Zapewnienie integralności.

 Organizacja lokalnych aktów regulacyjnych i metodologicznych regulujących ochronę danych osobowych.

5.3.4. Ogólną organizację ochrony danych osobowych Klientów prowadzi Dyrektor Generalny Organizacji.

5.3.5. Dostęp do danych osobowych Klienta mają pracownicy Organizacji, którzy potrzebują danych osobowych w związku z wykonywaniem swoich obowiązków pracowniczych.

5.3.6. Wszyscy pracownicy zajmujący się pozyskiwaniem, przetwarzaniem i ochroną danych osobowych Klientów są zobowiązani do podpisania umowy o zachowaniu poufności danych osobowych Klientów.

5.3.7. Procedura uzyskania dostępu do danych osobowych Klienta obejmuje:

 Zapoznanie pracownika z niniejszym Regulaminem za podpisem. Jeżeli istnieją inne akty normatywne (zarządzenia, instrukcje, instrukcje itp.) regulujące przetwarzanie i ochronę danych osobowych Klienta, akty te również są przeglądane do podpisu.

 Wymaganie od pracownika (z wyłączeniem Dyrektora Generalnego) pisemnego zobowiązania do zachowania poufności danych osobowych Klientów i przestrzegania zasad ich przetwarzania zgodnie z aktami wewnętrznymi Organizacji regulującymi kwestie zapewnienia bezpieczeństwo informacji poufnych.

5.3.8. Pracownik Organizacji, który ma dostęp do danych osobowych Klientów w związku z wykonywaniem obowiązków pracowniczych:

 Zapewnia przechowywanie informacji zawierających dane osobowe Klienta z wyłączeniem dostępu do nich osób trzecich.

 W przypadku nieobecności pracownika w jego miejscu pracy nie powinny znajdować się żadne dokumenty zawierające dane osobowe Klientów.

 Wyjeżdżając na urlop, w trakcie podróży służbowej oraz w innych przypadkach dłuższej nieobecności pracownika w miejscu pracy, jest on zobowiązany do przekazania dokumentów i innych nośników zawierających dane osobowe Klientów osobie, która aktem miejscowym Firmie (zamówienie, zamówienie), zostanie powierzone wykonanie jego obowiązków pracowniczych.

 Jeżeli taka osoba nie zostanie wyznaczona, wówczas dokumenty i inne nośniki zawierające dane osobowe Klientów przekazywane są na polecenie Generalnego Dyrektora Organizacji innemu pracownikowi, który ma dostęp do danych osobowych Klientów.

 Po zwolnieniu pracownika, który ma dostęp do danych osobowych Klientów, dokumenty i inne nośniki zawierające dane osobowe Klientów są przekazywane innemu pracownikowi, który ma dostęp do danych osobowych Klientów na polecenie Dyrektora Generalnego .

 W celu wykonania powierzonego zadania i na podstawie memorandum z pozytywną uchwałą Dyrektora Generalnego dostęp do danych osobowych Klienta może zostać udzielony innemu pracownikowi. Dostęp do danych osobowych Klienta przez innych pracowników Organizacji, którzy nie posiadają odpowiednio sformalizowanego dostępu, jest zabroniony.

5.3.9. Kierownik ds. Zasobów Ludzkich zapewnia:

 Zapoznanie pracowników z niniejszym Regulaminem za podpisem.

 Żądanie od pracowników pisemnego zobowiązania do zachowania poufności danych osobowych Klienta (umowa o zachowaniu poufności) oraz przestrzegania zasad ich przetwarzania.

 Ogólna kontrola przestrzegania przez pracowników środków ochrony danych osobowych Klienta.

5.3.10. Ochronę danych osobowych Klientów przechowywanych w elektronicznych bazach danych Organizacji przed dostępem osób nieupoważnionych, zniekształceniem i zniszczeniem informacji oraz przed innymi działaniami niezgodnymi z prawem zapewnia Administrator Systemu.

5.4. Przechowywanie danych osobowych:

5.4.1. Dane osobowe Klientów w formie papierowej są przechowywane w sejfach.

5.4.2. Dane osobowe Klientów są przechowywane w formie elektronicznej w lokalnej sieci komputerowej Organizacji, w elektronicznych folderach i plikach w komputery osobiste Dyrektor Generalny oraz pracownicy upoważnieni do przetwarzania danych osobowych Klientów.

5.4.3. Dokumenty zawierające dane osobowe Klientów przechowywane są w zamykanych szafkach (sejfach), które zapewniają ochronę przed dostępem osób nieupoważnionych. Na koniec dnia pracy wszystkie dokumenty zawierające dane osobowe Klientów są umieszczane w szafkach (sejfach) zapewniających ochronę przed dostępem osób nieupoważnionych.

5.4.4. Ochronę dostępu do elektronicznych baz danych zawierających dane osobowe Klientów zapewniają:

 Stosowanie licencjonowanych programów antywirusowych i antyhakerskich, które uniemożliwiają nieautoryzowany dostęp do sieci lokalnej Organizacji.

 Zróżnicowanie praw dostępu za pomocą konto.

 Dwustopniowy system haseł: na poziomie lokalnej sieci komputerowej oraz na poziomie baz danych. Hasła są ustalane przez Administratora Systemu Organizacji i przekazywane indywidualnie pracownikom mającym dostęp do danych osobowych Klientów.

5.4.4.1. Nieautoryzowany dostęp do komputera, na którym znajdują się dane osobowe Klientów, blokowany jest hasłem, które ustala Administrator Systemu i nie podlega ujawnieniu.

5.4.4.2. Wszystkie elektroniczne foldery i pliki zawierające dane osobowe Klientów są chronione hasłem, które jest ustalane przez pracownika Organizacji odpowiedzialnego za komputer i zgłaszane do Administratora Systemu.

5.4.4.3. Hasła są zmieniane przez Administratora Systemu nie rzadziej niż raz na 3 miesiące.

5.4.5. Kopiowanie i sporządzanie wyciągów danych osobowych Klienta dozwolone jest wyłącznie w celach służbowych za pisemną zgodą Dyrektora Generalnego Organizacji.

5.4.6. Odpowiedzi na pisemne zapytania innych organizacji i instytucji dotyczące danych osobowych Klientów udzielane są wyłącznie za pisemną zgodą samego Klienta, chyba że przepisy prawa stanowią inaczej. Odpowiedzi udzielane są w formie pisemnej, na papierze firmowym Organizacji oraz w zakresie pozwalającym nie ujawniać nadmiernej ilości danych osobowych Klienta.

6. Blokowanie, depersonalizacja, niszczenie danych osobowych

6.1. Procedura blokowania i odblokowywania danych osobowych:

6.1.1. Blokowanie danych osobowych Klientów odbywa się na pisemny wniosek Klienta.

6.1.2. Zablokowanie danych osobowych oznacza:

6.1.2.2. Zakaz rozpowszechniania danych osobowych w jakikolwiek sposób (e-mail, komórkowy nośniki materiałów).

6.1.2.4. Wycofanie dokumentów papierowych dotyczących Klienta i zawierających jego dane osobowe z wewnętrznego obiegu Organizacji oraz zakaz ich wykorzystywania.

6.1.3. Blokada danych osobowych Klienta może zostać tymczasowo usunięta, jeśli jest to wymagane zgodnie z ustawodawstwem Federacji Rosyjskiej.

6.1.4. Odblokowanie danych osobowych Klienta odbywa się za jego pisemną zgodą (jeśli istnieje potrzeba uzyskania zgody) lub na wniosek Klienta.

6.1.5. Ponowna zgoda Klienta na przetwarzanie jego danych osobowych (w razie potrzeby jej uzyskanie) wiąże się z odblokowaniem jego danych osobowych.

6.2. Procedura depersonalizacji i niszczenia danych osobowych:

6.2.1. Depersonalizacja danych osobowych Klienta następuje na pisemny wniosek Klienta, pod warunkiem zakończenia wszystkich stosunków umownych i upływu co najmniej 5 lat od daty wygaśnięcia ostatniej umowy.

6.2.2. Podczas depersonalizacji danych osobowych w systemy informacyjne ah są zastąpione zbiorem znaków, za pomocą których nie można ustalić, czy dane osobowe należą do konkretnego Klienta.

6.2.3. Papierowe nośniki dokumentów są niszczone podczas depersonalizacji danych osobowych.

6.2.4. Organizacja jest zobowiązana do zachowania poufności w stosunku do danych osobowych w przypadku konieczności testowania systemów informatycznych na terytorium dewelopera oraz depersonalizacji danych osobowych w systemach informatycznych przekazywanych deweloperowi.

6.2.5. Zniszczenie danych osobowych Klienta oznacza zakończenie dostępu do danych osobowych Klienta.

6.2.6. W przypadku zniszczenia danych osobowych Klienta pracownicy Organizacji nie mają dostępu do danych osobowych podmiotu w systemach informatycznych.

6.2.7. Podczas niszczenia danych osobowych niszczone są papierowe nośniki dokumentów, dane osobowe w systemach informatycznych ulegają depersonalizacji. Danych osobowych nie można odzyskać.

6.2.8. Operacja zniszczenia danych osobowych jest nieodwracalna.

6.2.9. Okres, po którym możliwa jest operacja zniszczenia danych osobowych Klienta, określa się do końca okresu wskazanego w paragrafie 7.3 niniejszego Regulaminu.

7. Przekazywanie i przechowywanie danych osobowych

7.1. Przeniesienie danych osobowych:

7.1.1. Przez przekazanie danych osobowych podmiotu rozumie się rozpowszechnienie informacji kanałami komunikacji oraz na materialnych nośnikach.

7.1.2. Przy przekazywaniu danych osobowych pracownicy Organizacji muszą przestrzegać następujących wymagań:

7.1.2.1. Nie udostępniaj danych osobowych Klienta w celach komercyjnych.

7.1.2.2. Nie ujawniaj danych osobowych Klienta osobom trzecim bez pisemnej zgody Klienta, chyba że przepisy federalne Federacji Rosyjskiej stanowią inaczej.

7.1.2.3. ostrzec osoby otrzymujące dane osobowe Klienta, że ​​dane te mogą być wykorzystywane wyłącznie do celów, dla których zostały zgłoszone, oraz zażądać od tych osób potwierdzenia przestrzegania tej zasady;

7.1.2.4. Umożliwić dostęp do danych osobowych Klientów jedynie specjalnie upoważnionym osobom, przy czym osoby te powinny mieć prawo do otrzymywania tylko tych danych osobowych Klientów, które są niezbędne do wykonywania określonych funkcji.

7.1.2.5. Przekazywania danych osobowych Klienta w ramach Organizacji zgodnie z niniejszym Regulaminem, dokumentacją regulacyjną i technologiczną oraz opisami stanowisk.

7.1.2.6. Umożliwienia Klientowi dostępu do jego danych osobowych podczas kontaktu lub po otrzymaniu zapytania od Klienta. Organizacja jest zobowiązana do poinformowania Klienta o dostępności dotyczących go danych osobowych, a także zapewnienia możliwości zapoznania się z nimi w ciągu dziesięciu dni roboczych od daty żądania.

7.1.2.7. Przekaż dane osobowe Klienta przedstawicielom Klienta w sposób określony przez prawo oraz dokumentację regulacyjną i technologiczną i ogranicz te informacje tylko do tych danych osobowych podmiotu, które są niezbędne określonym przedstawicielom do wykonywania ich funkcji.

7.2. Przechowywanie i wykorzystywanie danych osobowych:

7.2.1. Przechowywanie danych osobowych odnosi się do istnienia zapisów w systemach informatycznych i na fizycznych nośnikach.

7.2.2. Dane osobowe Klientów są przetwarzane i przechowywane w systemach informatycznych, jak również w formie papierowej w Organizacji. Dane osobowe Klientów są również przechowywane w formie elektronicznej: w lokalnej sieci komputerowej Organizacji, w elektronicznych folderach i plikach na komputerze PC Dyrektora Generalnego oraz pracowników upoważnionych do przetwarzania danych osobowych Klientów.

7.2.3. Przechowywanie danych osobowych Klienta może trwać nie dłużej niż jest to wymagane przez cele przetwarzania, chyba że przepisy federalne Federacji Rosyjskiej stanowią inaczej.

7.3. Warunki przechowywania danych osobowych:

7.3.1. Warunki przechowywania umów cywilnoprawnych zawierających dane osobowe Klientów, a także dokumentów towarzyszących ich zawieraniu, wykonywaniu – 5 lat od dnia wygaśnięcia umów.

7.3.2. W okresie przechowywania danych osobowych nie można zdepersonalizować ani zniszczyć.

7.3.3. Po upływie okresu przechowywania dane osobowe mogą zostać zdepersonalizowane w systemach informatycznych i zniszczone na papierze w sposób określony w Regulaminie i obowiązującym ustawodawstwie Federacji Rosyjskiej. (załącznik do ustawy o niszczeniu danych osobowych)

8. Prawa operatora danych osobowych

Organizacja ma prawo:

8.1. Obroń swoje interesy w sądzie.

8.2. Udostępniania danych osobowych Klientów podmiotom trzecim, jeżeli wynika to z obowiązujących przepisów prawa (podatkowych, organów ścigania itp.).

8.3. Odmowy podania danych osobowych w przypadkach przewidzianych przepisami prawa.

8.4. Wykorzystywania danych osobowych Klienta bez jego zgody, w przypadkach przewidzianych przez ustawodawstwo Federacji Rosyjskiej.

9. Prawa Klienta

Klient ma prawo:

9.1. Żądać wyjaśnienia swoich danych osobowych, ich zablokowania lub zniszczenia, jeżeli dane osobowe są niekompletne, nieaktualne, nierzetelne, pozyskane nielegalnie lub zbędne do zadeklarowanego celu przetwarzania, a także podjęcia środków prawnych w celu ochrony swoich praw;

9.2. Żądać wykazu przetwarzanych danych osobowych dostępnych w Organizacji oraz źródła ich otrzymania.

9.3. Otrzymywania informacji o zasadach przetwarzania danych osobowych, w tym o warunkach ich przechowywania.

9.4. Żądania zawiadomienia wszystkich osób, które zostały wcześniej poinformowane o błędnych lub niepełnych danych osobowych, o wszelkich dokonanych w nich wyjątkach, sprostowaniach lub uzupełnieniach.

9.5. Odwołania się do uprawnionego organu do spraw ochrony praw osób, których dane dotyczą lub do sądu przeciwko niezgodnym z prawem działaniom lub zaniechaniom przy przetwarzaniu jego danych osobowych.

10. Odpowiedzialność za naruszenie zasad przetwarzania i ochrony danych osobowych

10.1. Pracownicy Organizacji winni naruszenia zasad dotyczących otrzymywania, przetwarzania i ochrony danych osobowych ponoszą odpowiedzialność dyscyplinarną, administracyjną, cywilną lub karną zgodnie z obowiązującym ustawodawstwem Federacji Rosyjskiej i wewnętrznymi lokalnymi aktami Organizacji.

1. TEORETYCZNE PODSTAWY BEZPIECZEŃSTWA DANYCH OSOBOWYCH

1.1 Ramy prawne ochrony danych osobowych w Federacji Rosyjskiej

1.3.1 ogólna charakterystykaźródła zagrożeń nieautoryzowanego dostępu do systemu informatycznego danych osobowych.

1.3.2 Ogólna charakterystyka zagrożeń bezpośredniego dostępu do środowiska operacyjnego systemu informacyjnego danych osobowych

1.3.3 Ogólna charakterystyka zagrożeń bezpieczeństwa danych osobowych realizowanych z wykorzystaniem protokołów intersieciowych

1.4 Charakterystyka Banku i jego działalności

1.5 Bazy danych osobowych

1.5.1 System informacyjny danych osobowych pracowników organizacji

1.5.2 System informacji o danych osobowych systemu kontroli i zarządzania dostępem

1.5.3 System informacji o danych osobowych zautomatyzowanego systemu bankowego

1.6 Urządzenie i zagrożenia lokalne śieć komputerowa Słoik

1.7 Narzędzia bezpieczeństwa informacji

2.2 Zabezpieczenia oprogramowania i sprzętu

2.3 Podstawowa polityka bezpieczeństwa

2.3.1 System świadomości bezpieczeństwa informacji dla pracowników

2.3.4 Jak pracownicy pracują z pocztą elektroniczną

2.3.5 Polityka haseł Banku

3. UZASADNIENIE EKONOMICZNE PROJEKTU

WNIOSEK

Aplikacje.

WSTĘP

Powszechna informatyzacja, która rozpoczęła się pod koniec XX wieku, trwa do dziś. Automatyzacja procesów w przedsiębiorstwach zwiększa produktywność pracowników. Użytkownicy systemów informatycznych mogą szybko uzyskać dane niezbędne do wykonywania swoich obowiązków. Jednocześnie obok ułatwienia dostępu do danych pojawiają się problemy z bezpieczeństwem tych danych. Mając dostęp do różnych systemów informatycznych, atakujący mogą wykorzystać je do osobistych korzyści: zbierania danych w celu sprzedaży ich na czarnym rynku, kradzieży Pieniądze od klientów organizacji, kradnąc tajemnice handlowe organizacji.

Dlatego problem ochrony jest krytyczny ważna informacja dla organizacji jest bardzo dotkliwy. Coraz częściej z mediów dowiadują się o różnych technikach lub metodach kradzieży pieniędzy poprzez hakowanie systemów informatycznych organizacji finansowych. Po uzyskaniu dostępu do systemów informatycznych danych osobowych osoba atakująca może wykraść dane klientów organizacji finansowych, rozpowszechniać informacje o ich transakcjach finansowych, wyrządzając szkodę finansową i wizerunkową klientowi banku. Ponadto, poznawszy dane o kliencie, oszuści mogą bezpośrednio zadzwonić do klienta, podszywając się pod pracowników banku i oszukańczo, wykorzystując techniki socjotechniczne, poznać hasła ze zdalnych systemów bankowych i wypłacić pieniądze z konta klienta.

W naszym kraju problem kradzieży i nielegalnego rozpowszechniania danych osobowych jest bardzo dotkliwy. Istnieje wiele zasobów w Internecie, które zawierają skradzione bazy danych osobowych, za pomocą których na przykład numer telefon komórkowy, można znaleźć bardzo dokładna informacja osobiście, w tym dane paszportowe, adresy zamieszkania, zdjęcia i wiele innych.

W tym projekcie dyplomowym badam proces tworzenia systemu ochrony danych osobowych w PJSC Citibank.

1. PODSTAWY BEZPIECZEŃSTWA DANYCH OSOBOWYCH

1.1 Podstawa prawna ochrony danych osobowych

Dziś w Rosji przeprowadzane są regulacje państwowe w zakresie zapewnienia bezpieczeństwa danych osobowych. Głównymi aktami prawnymi regulującymi system ochrony danych osobowych w Federacji Rosyjskiej są Konstytucja Federacji Rosyjskiej i ustawa federalna „O danych osobowych” z dnia 27 lipca 2006 r. Nr 152-FZ. Te dwa główne akty prawne ustanawiają główne tezy dotyczące danych osobowych w Federacji Rosyjskiej:

Każdy obywatel ma prawo do prywatności, tajemnicy osobistej i rodzinnej, ochrony swojego honoru i dobrego imienia;

Każdy ma prawo do prywatności korespondencji, rozmów telefonicznych, korespondencji pocztowej, telegraficznej i innej. Ograniczenie tego prawa jest dopuszczalne tylko na podstawie orzeczenia sądu;

Gromadzenie, przechowywanie, wykorzystywanie i rozpowszechnianie informacji o życiu prywatnym osoby bez jej zgody jest niedozwolone;

Przetwarzanie danych osobowych musi odbywać się w sposób zgodny z prawem i rzetelny;

Przetwarzanie danych osobowych powinno być ograniczone do realizacji konkretnych, z góry określonych i prawnie uzasadnionych celów. Niedozwolone jest przetwarzanie danych osobowych niezgodnych z celami, dla których dane osobowe zostały zebrane.

Niedopuszczalne jest łączenie baz danych zawierających dane osobowe, których przetwarzanie odbywa się w celach ze sobą sprzecznych.

Przetwarzaniu podlegają wyłącznie te dane osobowe, które odpowiadają celom ich przetwarzania.

Podczas przetwarzania danych osobowych należy zapewnić prawidłowość danych osobowych, ich wystarczalność oraz, w razie potrzeby, ich adekwatność w stosunku do celów przetwarzania danych osobowych. Operator musi podjąć niezbędne środki lub zapewnić ich podjęcie w celu usunięcia lub wyjaśnienia niekompletnych lub niedokładnych danych.

Przechowywanie danych osobowych powinno odbywać się w formie umożliwiającej określenie przedmiotu danych osobowych, nie dłużej niż wymagają tego cele przetwarzania danych osobowych, chyba że okres przechowywania danych osobowych jest określony przez prawo federalne, umowę, do której podmiotem danych osobowych jest strona, beneficjent lub poręczyciel. Przetwarzane dane osobowe podlegają zniszczeniu lub depersonalizacji po osiągnięciu celów przetwarzania lub w przypadku utraty konieczności osiągnięcia tych celów, chyba że prawo federalne stanowi inaczej.

Inne regulacje mające skutki prawne w zakresie ochrony danych osobowych w organizacjach Bankowość Federacją Rosyjską są:

Ustawa federalna Federacji Rosyjskiej z dnia 27 lipca 2006 r. Nr 149 FZ „O informacji, technologiach informacyjnych i ochronie informacji”;

Kodeks pracy Federacji Rosyjskiej (rozdział 14);

Rozporządzenie Rządu Federacji Rosyjskiej z dnia 1 listopada 2012 r. Nr 1119 „O zatwierdzeniu wymagań dotyczących ochrony danych osobowych podczas ich przetwarzania w systemach informacji o danych osobowych”;

Zamówienie FSTEC Rosji z dnia 18 lutego 2013 roku nr 21 „W sprawie zatwierdzenia składu i treści środków organizacyjnych i technicznych zapewniających bezpieczeństwo danych osobowych podczas ich przetwarzania w systemach informatycznych danych osobowych”.

Rozważ główne definicje stosowane w prawodawstwie.

Dane osobowe - wszelkie informacje dotyczące bezpośrednio lub pośrednio zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (podmiotu danych osobowych).

Operator danych osobowych – organ państwowy, organ gminy, osoba prawna lub osoba fizyczna, samodzielnie lub wspólnie z innymi osobami organizujący i (lub) dokonujący przetwarzania danych osobowych, a także ustalający cele przetwarzania danych osobowych, skład danych osobowych dane podlegające przetwarzaniu, działania (operacje) wykonywane na danych osobowych;

Przetwarzanie danych osobowych – dowolna czynność (operacja) lub zestaw czynności (operacji) wykonywanych z wykorzystaniem lub bez narzędzi automatyzacji z danymi osobowymi, w tym zbieranie, utrwalanie, systematyzacja, gromadzenie, przechowywanie, klarowanie (aktualizacja, zmiana), ekstrakcja , wykorzystywanie, przekazywanie (dystrybucja, udostępnianie, dostęp), depersonalizacja, blokowanie, usuwanie, niszczenie danych osobowych;

Zautomatyzowane przetwarzanie danych osobowych – przetwarzanie danych osobowych z wykorzystaniem technologii komputerowej;

Rozpowszechnianie danych osobowych – działania mające na celu ujawnienie danych osobowych nieokreślonemu kręgowi osób;

Podanie danych osobowych – czynności mające na celu udostępnienie danych osobowych określonej osobie lub określonemu kręgowi osób;

Zablokowanie danych osobowych – czasowe wstrzymanie przetwarzania danych osobowych (chyba, że ​​przetwarzanie jest niezbędne do wyjaśnienia danych osobowych);

Zniszczenie danych osobowych – czynności, w wyniku których niemożliwe staje się odtworzenie treści danych osobowych w systemie informatycznym danych osobowych i (lub) w wyniku których ulegają zniszczeniu materialne nośniki danych osobowych;

Depersonalizacja danych osobowych – czynności, w wyniku których niemożliwe staje się, bez wykorzystania dodatkowych informacji, ustalenie własności danych osobowych przez określony podmiot danych osobowych;

System informatyczny danych osobowych – zbiór danych osobowych zawartych w bazach danych i technologiach informatycznych zapewniających ich przetwarzanie i środki techniczne;

Transgraniczne przekazywanie danych osobowych – przekazanie danych osobowych na terytorium państwa obcego organowi państwa obcego, osobie zagranicznej lub cudzoziemcowi podmiot prawny.

Dane biometryczne osobowe – informacje charakteryzujące cechy fizjologiczne i biologiczne osoby, na podstawie których możliwe jest ustalenie jej tożsamości (dane osobowe biometryczne) i które służą operatorowi do identyfikacji podmiotu danych osobowych.

Bezpieczeństwo danych osobowych – stan ochrony danych osobowych, charakteryzujący się zdolnością użytkowników, środków technicznych i technologii informatycznych do zapewnienia poufności, integralności i dostępności danych osobowych podczas ich przetwarzania w systemach informatycznych danych osobowych

1.2 Klasyfikacja zagrożeń bezpieczeństwa informacyjnego danych osobowych.

Zagrożenie bezpieczeństwa informacji rozumiane jest jako zagrożenie naruszenia właściwości bezpieczeństwa informacji - dostępności, integralności lub poufności zasobów informacyjnych organizacji.

Lista zagrożeń, ocena prawdopodobieństwa ich realizacji oraz model intruza stanowią podstawę do analizy ryzyka zagrożeń i sformułowania wymagań dla zautomatyzowanego systemu ochrony systemu. Oprócz identyfikacji możliwych zagrożeń konieczna jest analiza zidentyfikowanych zagrożeń w oparciu o ich klasyfikację według szeregu cech. Zagrożenia odpowiadające każdej cesze klasyfikacji pozwalają uściślić wymaganie odzwierciedlone przez tę cechę.

Ponieważ informacje przechowywane i przetwarzane we współczesnym AS są narażone na niezwykle dużą liczbę czynników, niemożliwe staje się sformalizowanie zadania opisania pełnego zestawu zagrożeń. Dlatego w przypadku chronionego systemu zwykle nie jest określana lista zagrożeń, ale lista klas zagrożeń.

Klasyfikacja możliwych zagrożeń dla bezpieczeństwa informacji AS może być przeprowadzona według następujących podstawowych cech:

Ze względu na charakter występowania:

Zagrożenia naturalne spowodowane oddziaływaniem na EJ obiektywnych procesów fizycznych lub klęsk żywiołowych;

Sztuczne zagrożenia bezpieczeństwa EJ spowodowane działalnością człowieka.

Według stopnia intencjonalności manifestacji:

Zagrożenia spowodowane błędem ludzkim lub zaniedbaniem, takie jak niewłaściwe użycie sprzętu ochronnego, zaniedbanie w obchodzeniu się z danymi;

Groźby celowego działania, takie jak włamanie się do zautomatyzowanego systemu przez intruzów, zniszczenie danych przez pracowników organizacji w celu zemsty na pracodawcy.

Według bezpośredniego źródła zagrożeń:

Zagrożenia naturalne, takie jak klęski żywiołowe, katastrofy spowodowane przez człowieka;

Zagrożenia dla ludzi, np.: zniszczenie informacji, ujawnienie poufnych danych;

Dozwolone oprogramowanie układowe, takie jak fizyczna awaria sprzętu, błędy oprogramowania, konflikty oprogramowania;

Nieautoryzowane oprogramowanie i sprzęt, na przykład wprowadzanie błędów sprzętowych, błędów oprogramowania.

Według pozycji źródła zagrożenia:

Poza obszarem kontrolowanym, na przykład przechwytywanie danych przesyłanych kanałami komunikacyjnymi;

O w obrębie obszaru kontrolowanego, np. nieuprawnione kopiowanie informacji, nieautoryzowany dostęp do obszaru chronionego;

Bezpośrednio w zautomatyzowanym systemie, np. nieprawidłowe wykorzystanie zasobów AS.

Według stopnia uzależnienia od aktywności AS:

Niezależnie od działań UA, na przykład fizycznej kradzieży nośników danych;

Tylko podczas przetwarzania danych, takiego jak infekcja złośliwym oprogramowaniem.

Według stopnia wpływu na AC:

Niebezpieczne zagrożenia, które po wdrożeniu nie zmieniają niczego w strukturze i zawartości AS, np. groźba skopiowania tajnych danych;

Aktywne zagrożenia, które po ujawnieniu powodują zmiany w strukturze i zawartości AS, na przykład usuwanie danych, ich modyfikację.

Według etapów dostępu użytkowników lub programów do zasobów:

Zagrożenia ujawniające się na etapie dostępu do zasobów AS, np.: zagrożenia nieautoryzowanego dostępu do AS;

Zagrożenia pojawiające się po zezwoleniu na dostęp do zasobów AS, np. nieprawidłowe użycie zasobów AS.

W drodze dostępu do zasobów AS:

Zagrożenia realizowane z wykorzystaniem standardowej ścieżki dostępu do zasobów AS

Zagrożenia realizowane z wykorzystaniem ukrytej, niestandardowej ścieżki dostępu do zasobów AS, np.: nieautoryzowany dostęp do zasobów AS przy użyciu nieudokumentowane funkcje zainstalowane oprogramowanie.

Według aktualnej lokalizacji informacji przechowywanych i przetwarzanych w AS:

Zagrożenia związane z dostępem do informacji znajdujących się na zewnętrznych nośnikach pamięci, np.: kopiowanie poufnych informacji z nośników pamięci;

Zagrożenia dostępu do informacji znajdujących się w pamięć o swobodnym dostępie, na przykład: odczyt informacji szczątkowych z pamięci RAM, dostęp do obszaru systemowego pamięci RAM przez programy użytkowe;

Zagrożenia dostępu do informacji krążących w torach komunikacyjnych, np.: nielegalne podłączanie do torów komunikacyjnych w celu usunięcia informacji, wysyłania zmodyfikowanych danych;

Niebezpieczne oddziaływania na zautomatyzowany system dzielą się na przypadkowe i zamierzone.

Przyczynami przypadkowych oddziaływań podczas eksploatacji EJ mogą być:

Awarie spowodowane klęskami żywiołowymi i przerwami w dostawie prądu;

odmowy usługi;

Błędy oprogramowania;

Błędy w pracy personelu serwisowego i użytkowników;

Zakłócenia w liniach komunikacyjnych spowodowane wpływami środowiska.

Wykorzystywanie błędów w oprogramowaniu jest najczęstszym sposobem naruszania bezpieczeństwa informacyjnego systemów informatycznych. W zależności od złożoności oprogramowania liczba błędów wzrasta. Atakujący mogą znaleźć te luki i za ich pośrednictwem uzyskać dostęp do systemu informatycznego organizacji. Aby zminimalizować te zagrożenia, konieczne jest ciągłe aktualizowanie wersji oprogramowania.

Zagrożenia celowe wiążą się z ukierunkowanymi działaniami intruzów. Atakujący dzielą się na dwa typy: atakujący wewnętrzny i atakujący zewnętrzny. Wewnętrzny intruz popełnia nielegalne działania, będąc w kontrolowanej strefie zautomatyzowanego systemu i może użyć oficjalnego upoważnienia do autoryzowanego dostępu do zautomatyzowanego systemu. Atakujący z zewnątrz nie ma dostępu do kontrolowanej strefy, ale może działać jednocześnie z atakującym wewnętrznym, aby osiągnąć swoje cele.

Istnieją trzy główne zagrożenia bezpieczeństwa informacji skierowane bezpośrednio na chronione informacje:

Naruszenie poufności – informacje poufne nie są zmieniane, ale stają się dostępne dla osób trzecich, które nie mają dostępu do tych informacji. Gdy to zagrożenie zostanie zrealizowane, istnieje duże prawdopodobieństwo, że atakujący ujawni skradzione informacje, co może prowadzić do szkód finansowych lub wizerunkowych. Naruszenie integralności informacji chronionych – zniekształcenie, zmiana lub zniszczenie informacji. Integralność informacji może zostać naruszona nie umyślnie, ale w wyniku niekompetencji lub zaniedbania pracownika przedsiębiorstwa. Uczciwość może być również naruszona przez atakującego w celu osiągnięcia własnych celów. Na przykład zmiana danych konta w zautomatyzowanym systemie bankowym w celu przelania środków na konto osoby atakującej lub podmiana danych osobowych klienta organizacji w celu uzyskania informacji o współpracy klienta z organizacją.

Naruszenie dostępności informacji chronionych lub odmowa usługi - działania, w których uprawniony użytkownik nie może uzyskać dostępu do informacji chronionych z takich przyczyn jak: awaria sprzętu, oprogramowania, awaria sieci lokalnej.

Po rozważeniu zagrożeń systemów zautomatyzowanych można przystąpić do analizy zagrożeń dla systemu informacyjnego danych osobowych.

System informacji o danych osobowych – zbiór danych osobowych zawartych w bazach danych oraz technologie informacyjne i środki techniczne zapewniające ich przetwarzanie.

Systemy informacyjne danych osobowych to zespół informacji oraz elementów oprogramowania i sprzętu, a także technologii informatycznych wykorzystywanych przy przetwarzaniu danych osobowych.

Główne elementy ISPD to:

Dane osobowe zawarte w bazach danych;

Technologie informacyjne stosowane w przetwarzaniu PD;

Środki techniczne przetwarzające dane osobowe (sprzęt komputerowy, systemy i sieci informatyczne i komputerowe, środki i systemy do przesyłania, odbierania i przetwarzania danych osobowych, środki i systemy do rejestracji dźwięku, nagłośnienia, odtwarzania dźwięku, środki do wytwarzania, powielania dokumentów i inne środki techniczne przetwarzania informacji głosowych, graficznych, wideo i alfanumerycznych);

Oprogramowanie(systemy operacyjne, systemy zarządzania bazami danych itp.);

Środki ochrony informacji ISPDn;

Pomocnicze środki i systemy techniczne - środki i systemy techniczne oraz ich łączność nieprzeznaczone do przetwarzania danych osobowych, ale zlokalizowane w pomieszczeniach, w których znajduje się ISPD.

Zagrożenia bezpieczeństwa danych osobowych – zespół warunków i czynników stwarzających niebezpieczeństwo nieuprawnionego, w tym przypadkowego, dostępu do danych osobowych, którego skutkiem może być zniszczenie, modyfikacja, zablokowanie, kopiowanie, rozpowszechnianie danych osobowych, a także innych niedozwolonych działań podczas ich przetwarzania w systemie informacyjnym danych osobowych.

Cechami systemu informacji o danych osobowych, które powodują powstanie UBPD, są kategoria i ilość danych osobowych przetwarzanych w systemie informacji o danych osobowych, struktura systemu informacji o danych osobowych, obecność połączeń ISPD z publicznymi sieciami komunikacyjnymi oraz (lub) międzynarodowe sieci wymiany informacji, charakterystykę podsystemu bezpieczeństwa danych osobowych przetwarzanych w ISPD, tryby przetwarzania danych osobowych, tryby różnicowania praw dostępu użytkowników ISPD, lokalizację i warunki umieszczenia środków technicznych ISPD.

Właściwości środowiska propagacyjnego sygnałów informacyjnych zawierających informacje chronione są charakteryzowane przez rodzaj środowiska fizycznego, w którym dystrybuowane jest PD i są określane przy ocenie możliwości realizacji UBPD. Możliwości źródeł UBPD określane są przez kombinację metod nieautoryzowanego i (lub) przypadkowego dostępu do PD, w wyniku czego poufność (kopiowanie, nielegalne rozpowszechnianie), integralność (niszczenie, modyfikacja) i dostępność (blokowanie) PD mogą zostać naruszona.

Zagrożenie bezpieczeństwa danych osobowych realizowane jest w wyniku ukształtowania się kanału realizacji UODO pomiędzy źródłem zagrożenia a nośnikiem (źródłem) UDO, co stwarza warunki do naruszenia bezpieczeństwa PD.

Główne elementy kanału implementacji UBPD (Rysunek 1) to:

Źródło UBPD – podmiot, przedmiot materialny lub zjawisko fizyczne, które tworzy UBPD;

Środowisko dystrybucji PD lub wpływy, w których pole fizyczne, sygnał, dane lub programy mogą się rozprzestrzeniać i wpływać na chronione właściwości danych osobowych;

Nośnik danych osobowych – osoba fizyczna lub przedmiot materialny, w tym pole fizyczne, w którym odbijają się PD w postaci symboli, obrazów, sygnałów, rozwiązań technicznych i procesów, charakterystyk ilościowych wielkości fizycznych.

Rysunek 1. Uogólniony schemat kanału realizacji zagrożeń bezpieczeństwa danych osobowych

Nośniki PD mogą zawierać informacje prezentowane w następujących formach:

Informacja akustyczna (mowa) zawarta bezpośrednio w mowie mówionej użytkownika ISPD podczas wykonywania przez niego funkcji wejście głosowe PD w systemie informatycznym danych osobowych lub odtwarzane przez ISPD środkami akustycznymi (jeżeli takie funkcje zapewnia technologia przetwarzania PD), a także zawarte w polach elektromagnetycznych i sygnałach elektrycznych, które powstają w wyniku przetwarzania informacji akustycznej;

Zobacz informacje (VI), przedstawione w formie tekstowej i graficznej różne urządzenia wyświetlanie informacji ze sprzętu komputerowego, informacji i systemów komputerowych, środków technicznych do przetwarzania informacji graficznych, wideo i alfanumerycznych, które są częścią ISPD;

Informacje przetwarzane (krążące) w ISPD, w postaci sygnałów elektrycznych, elektromagnetycznych, optycznych;

Informacje przetwarzane w ISPD, prezentowane w postaci bitów, bajtów, plików i innych struktur logicznych.

W celu stworzenia systematycznej listy UBPD podczas ich przetwarzania w ISPD i opracowania na ich podstawie modeli prywatnych w odniesieniu do określonego typu ISPD, zagrożenia zostały sklasyfikowane według następujących cech (Rysunek 2):

Według rodzaju informacji chronionych przed UBPD, zawierających PD;

Według rodzajów możliwych źródeł UBPD;

Według rodzaju ISPD, do którego skierowana jest implementacja UBPD;

Zgodnie z metodą realizacji UBPD;

Według rodzaju właściwości naruszanych informacji (rodzaj nieautoryzowanych działań przeprowadzonych z PD);

Przez wykorzystaną lukę;

Zgodnie z obiektem wpływu.

W zależności od rodzajów możliwych źródeł UBPD wyróżnia się następujące

Klasy zagrożenia:

Zagrożenia związane z umyślnymi lub nieumyślnymi działaniami osób mających dostęp do ISPD, w tym użytkowników systemu informacji o danych osobowych, realizujących zagrożenia bezpośrednio w ISPD (agresor wewnętrzny);

Zagrożenia związane z umyślnymi lub niezamierzonymi działaniami osób, które nie mają dostępu do ISPD, realizującymi zagrożenia z sieci zewnętrzne komunikacja publiczna i (lub) sieci międzynarodowej wymiany informacji (intruz zewnętrzny).

Ponadto zagrożenia mogą wynikać z wprowadzenia błędów sprzętowych i złośliwego oprogramowania.

W zależności od rodzaju ISPD, któremu ma służyć wdrożenie UBPD, wyróżnia się następujące klasy zagrożeń:

UBPD przetwarzane w ISPD w oparciu o autonomiczną stację roboczą (AWP);

UBPD przetwarzane w ISPD na podstawie zautomatyzowanego stanowiska pracy podłączonego do sieci publicznej (do sieci międzynarodowej wymiany informacji);

UBPD przetwarzane w ISPD w oparciu o lokalne systemy informatyczne bez połączenia z siecią publiczną (do sieci międzynarodowej wymiany informacji);

UBPD przetwarzane w ISPD w oparciu o lokalne systemy informatyczne z podłączeniem do sieci publicznej (do sieci międzynarodowej wymiany informacji);

UBPD przetwarzane w ISPD w oparciu o rozproszone systemy informacyjne bez połączenia z siecią publiczną (do sieci międzynarodowej wymiany informacji);

UBPD przetwarzane w ISPD w oparciu o rozproszone systemy informacyjne podłączone do sieci publicznej (do sieci międzynarodowej wymiany informacji).

W zależności od metod implementacji UBPD wyróżnia się następujące klasy zagrożeń:

Zagrożenia związane z UA dla PD (w tym groźby wprowadzenia złośliwego oprogramowania);

Zagrożenia wyciekiem danych osobowych przez techniczne kanały wycieku informacji;

Zagrożenia szczególnymi skutkami dla ISPD.

W zależności od rodzaju nieautoryzowanych działań PD wyróżnia się następujące klasy zagrożeń:

Zagrożenia prowadzące do naruszenia poufności PD (kopiowanie lub nieuprawnione rozpowszechnianie), których realizacja nie wpływa bezpośrednio na treść informacji;

Zagrożenia prowadzące do nieuprawnionego, w tym przypadkowego, wpływu na treść informacji, w wyniku którego PD zostanie zmienione lub zniszczone;

Zagrożenia, które prowadzą do nieautoryzowanego, w tym przypadkowego, wpływu na oprogramowanie lub elementy sprzętowo-programowe ISPD, w wyniku którego następuje zablokowanie PD.

Ze względu na wykorzystywaną lukę wyróżnia się następujące klasy zagrożeń:

Zagrożenia realizowane z wykorzystaniem luk w oprogramowaniu systemowym;

Zagrożenia realizowane z wykorzystaniem luk w oprogramowaniu aplikacji;

Zagrożenia wynikające z wykorzystania podatności spowodowanej obecnością zakładki sprzętowej w AS;

Zagrożenia realizowane z wykorzystaniem luk w sieciowych protokołach komunikacyjnych i kanałach transmisji danych;

Zagrożenia wynikające z wykorzystania podatności spowodowanej brakami w organizacji VBI z NSD;

Zagrożenia realizowane z wykorzystaniem podatności powodujących obecność technicznych kanałów wycieku informacji;

Zagrożenia realizowane z wykorzystaniem luk w zabezpieczeniach informacji.

W zależności od przedmiotu oddziaływania wyróżnia się następujące klasy zagrożeń:

Zagrożenia dla bezpieczeństwa PD przetwarzanych na stanowisku pracy;

Zagrożenia bezpieczeństwa PD przetwarzane w dedykowanych narzędziach przetwarzających (drukarki, plotery, plotery, zdalne monitory, projektory wideo, narzędzia do odtwarzania dźwięku itp.);

Zagrożenia dla bezpieczeństwa PD przesyłanych przez sieci komunikacyjne;

Zagrożenia dla programów użytkowych przetwarzających PD;

Zagrożenia dla oprogramowania systemowego zapewniającego działanie ISPD.

Wdrożenie jednej z UBPD wymienionych klas lub ich kombinacji może prowadzić do następujących rodzajów konsekwencji dla osób z PD:

Znaczące negatywne konsekwencje dla osób z PD;

Negatywne konsekwencje dla osób z PD;

Nieistotne negatywne konsekwencje dla osób z PD.

Zagrożenia wyciekiem danych osobowych kanałami technicznymi jednoznacznie opisują cechy źródła informacji, medium rozpowszechniania i odbiorcy sygnału informacyjnego, czyli określają je cechy kanał techniczny Wycieki PD.

Zagrożenia związane z nieautoryzowanym dostępem (UAH) są przedstawiane jako zestaw uogólnionych klas możliwych źródeł zagrożeń UA, oprogramowania i luk w oprogramowaniu. sprzęt komputerowy ISPD, sposoby realizacji zagrożeń, obiekty wpływu (nośniki chronionych informacji, katalogi, katalogi, pliki z PD lub same PD) oraz możliwe działania destrukcyjne. Taka reprezentacja jest opisana następującą notacją sformalizowaną (rys. 2).

1.3 Ogólna charakterystyka źródeł zagrożeń w systemach informatycznych danych osobowych

Zagrożenia dla UA w ISPD z wykorzystaniem oprogramowania i oprogramowania i sprzętu są realizowane w przypadku nieuprawnionego, w tym przypadkowego, dostępu, w wyniku którego dochodzi do naruszenia poufności, integralności i dostępności PD i obejmują:

Zagrożenia związane z nieautoryzowanym dostępem do środowiska pracy komputera przy użyciu standardowego oprogramowania (tools system operacyjny lub ogólne programy użytkowe);

Zagrożenia tworzenia nienormalnych trybów działania oprogramowania (oprogramowania i sprzętu) oznaczają, że w wyniku celowych zmian danych serwisowych, z pominięciem przewidzianych w normalnych warunkach ograniczeń składu i charakterystyki przetwarzanych informacji, zniekształcenie (modyfikacja) samych danych, itp.;

Rycina 2 Klasyfikacja UBPD przetwarzanych w systemach informacji o danych osobowych

Zagrożenia wprowadzenia szkodliwych programów (wpływ programowo-matematyczny).

Skład elementów opisu zagrożeń UA dla informacji w ISPD przedstawiono na rysunku 3.

Ponadto możliwe są zagrożenia łączone, które są kombinacją tych zagrożeń. Na przykład dzięki wprowadzeniu szkodliwych programów można stworzyć warunki dla UA w środowisku operacyjnym komputera, m.in. poprzez tworzenie nietradycyjnych kanały informacyjne dostęp.

Zagrożenia związane z nieautoryzowanym dostępem do środowiska operacyjnego ISPD przy użyciu standardowego oprogramowania dzielą się na zagrożenia bezpośrednie i dostęp zdalny. Zagrożenia bezpośredniego dostępu są realizowane za pomocą oprogramowania i oprogramowania sprzętowego I/O komputera. Zagrożenia związane ze zdalnym dostępem są realizowane przy użyciu sieciowych protokołów komunikacyjnych.

Zagrożenia takie są realizowane w odniesieniu do ISPD zarówno w oparciu o zautomatyzowane stanowisko pracy, które nie jest włączone do publicznej sieci komunikacyjnej, jak iw odniesieniu do wszystkich ISPD, które są podłączone do publicznych sieci komunikacyjnych i międzynarodowych sieci wymiany informacji.

Rycina 3 Klasyfikacja UBPD przetwarzanych w systemach informacji o danych osobowych

1.3.1 Ogólny opis źródeł zagrożeń wynikających z nieuprawnionego dostępu do systemu informatycznego danych osobowych.

Źródłami zagrożeń w systemie informacji o danych osobowych mogą być:

Intruz;

Nośnik szkodliwego programu;

Zakładka sprzętu.

Zagrożenia bezpieczeństwa PD związane z wprowadzaniem błędów sprzętowych są określane zgodnie z dokumentami regulacyjnymi Federalnej Służby Bezpieczeństwa Federacji Rosyjskiej w sposób przez nią ustalony.

Zgodnie z obecnością prawa stałego lub jednorazowego dostępu do kontrolowanej strefy ISPD, sprawcy dzielą się na dwa typy:

Osoby naruszające, które nie mają dostępu do ISPD, zdając sobie sprawę z zagrożeń ze strony zewnętrznych publicznych sieci komunikacyjnych i (lub) międzynarodowych sieci wymiany informacji, są zewnętrznymi osobami naruszającymi;

Sprawcy, którzy mają dostęp do ISPD, w tym użytkownicy ISPD, którzy realizują zagrożenia bezpośrednio w ISPD, są sprawcami wewnętrznymi.

Zewnętrznymi intruzami mogą być:

Konkurencyjne organizacje;

pozbawieni skrupułów partnerzy;

Podmioty zewnętrzne (osoby).

Zewnętrzny intruz ma następujące możliwości:

Dokonywania nieautoryzowanego dostępu do kanałów komunikacji wychodzących poza teren biura;

Przeprowadzać nieautoryzowany dostęp za pośrednictwem stacji roboczych podłączonych do publicznych sieci komunikacyjnych i (lub) międzynarodowych sieci wymiany informacji;

Dokonywać nieautoryzowanego dostępu do informacji za pomocą specjalnych działań oprogramowania za pośrednictwem wirusów oprogramowania, złośliwego oprogramowania, zakładek algorytmicznych lub programowych;

Wykonaj nieautoryzowany dostęp przez elementy infrastruktura informacyjna system informatyczny danych osobowych, które w trakcie swojego cyklu życia (modernizacja, konserwacja, naprawa, usuwanie) znajdują się poza obszarem kontrolowanym;

Przeprowadzanie nieautoryzowanego dostępu za pośrednictwem systemów informatycznych współpracujących działów, organizacji i instytucji, gdy są one podłączone do ISPD.

Wewnętrzni potencjalni sprawcy są podzieleni na osiem kategorii w zależności od sposobu dostępu i uprawnień dostępu do PD.

Pierwsza kategoria obejmuje osoby, które mają autoryzowany dostęp do ISPD, ale nie mają dostępu do PD. Do tego typu sprawców należą urzędnicy, którzy dostarczają normalne funkcjonowanie ISPDn.

Mieć dostęp do fragmentów informacji zawierających PD i rozpowszechnianych za pośrednictwem wewnętrznych kanałów komunikacyjnych ISPD;

Mieć fragmenty informacji o topologii ISPD oraz o używanych protokołach komunikacyjnych i ich usługach;

Mieć nazwy i przeprowadzać identyfikację haseł zarejestrowanych użytkowników;

Zmień konfigurację sprzętu ISPD, wprowadź do niego zakładki oprogramowania i sprzętu oraz zapewnij pobieranie informacji za pomocą bezpośredniego połączenia ze sprzętem ISPD.

Posiada wszystkie zdolności osób pierwszej kategorii;

Zna co najmniej jedną legalną nazwę dostępu;

Posiada wszystkie niezbędne atrybuty, które zapewniają dostęp do określonego podzbioru PD;

Posiada poufne dane, do których ma dostęp.

Jego dostęp, uwierzytelnianie i prawa dostępu do pewnego podzbioru PD powinny być regulowane przez odpowiednie zasady kontroli dostępu.

Posiada wszystkie możliwości osób pierwszej i drugiej kategorii;

Posiada informacje o topologii ISPD opartej na lokalnym i (lub) rozproszonym systemie informacyjnym, za pośrednictwem którego zapewniany jest dostęp, oraz o składzie środków technicznych ISPD;

Posiada możliwość bezpośredniego (fizycznego) dostępu do fragmentów środków technicznych ISPD.

posiada pełna informacja o systemie i oprogramowaniu aplikacyjnym wykorzystywanym w segmencie (fragmencie) ISPD;

Posiada pełną informację o środkach technicznych i konfiguracji segmentu ISPD (fragment);

Ma dostęp do narzędzi bezpieczeństwa informacji i logowania, a także do poszczególne elementy używany w segmencie (fragmencie) ISPD;

Ma dostęp do wszystkich środków technicznych segmentu ISPD (fragment);

Ma uprawnienia do konfigurowania i administrowania pewnym podzbiorem środków technicznych segmentu (fragmentu) ISPD.

Uprawnienia administratora systemu ISPD.

Posiada wszystkie możliwości osób z poprzednich kategorii;

Posiada pełną informację o systemie i oprogramowaniu aplikacyjnym ISPD;

Posiada pełną informację o środkach technicznych i konfiguracji ISPD;

Ma dostęp do wszystkich technicznych środków przetwarzania informacji i danych ISPD;

Posiada uprawnienia konfiguracyjne i administracyjne dot. środków technicznych ISPD.

Administrator systemu konfiguruje i zarządza oprogramowaniem i sprzętem, w tym również sprzętem odpowiedzialnym za bezpieczeństwo chronionego obiektu: narzędziami ochrona kryptograficzna informacji, monitoringu, rejestracji, archiwizacji, ochrony przed nieautoryzowanym dostępem.

Posiada wszystkie możliwości osób z poprzednich kategorii;

Posiada pełną informację o ISPD;

Ma dostęp do narzędzi bezpieczeństwa informacji i logowania oraz do niektórych kluczowych elementów ISPD;

Nie ma uprawnień dostępu do konfiguracji sprzętu sieciowego, z wyjątkiem kontrolnych (inspekcyjnych).

Posiada informacje o algorytmach i programach przetwarzania informacji o ISPD;

Ma możliwość wprowadzania błędów, niezadeklarowanych funkcji, zakładek oprogramowania, złośliwego oprogramowania oprogramowanie ISPD na etapie jego tworzenia, wdrażania i utrzymania;

Może zawierać dowolne fragmenty informacji o topologii ISPD oraz technicznych środkach przetwarzania i zabezpieczania PD przetwarzanych w ISPD.

Posiada umiejętność wykonywania zakładek w środkach technicznych ISPD na etapie ich opracowywania, wdrażania i utrzymania;

Może zawierać dowolne fragmenty informacji o topologii ISPD oraz technicznych środkach przetwarzania i zabezpieczania informacji w ISPD.

Nośnikiem szkodliwego programu może być element sprzętowy komputera lub kontener oprogramowania. Jeśli złośliwe oprogramowanie nie jest powiązane z żadnym program aplikacyjny, to za jego przewoźnika uważa się:

Nośnik zbywalny, czyli dyskietka, dysk optyczny, pamięć flash;

Wbudowane nośniki pamięci ( dyski twarde, chipy RAM, procesor, chipy płyta główna, mikroczipy urządzeń wbudowanych w Jednostka systemowa, - karta graficzna, karta sieciowa, karta dźwiękowa, modem, urządzenia wejścia/wyjścia twardy magnetyczny I dyski optyczne, zasilanie itp., układy bezpośredniego dostępu do pamięci, magistrale danych, porty wejścia/wyjścia);

Chipy urządzeń zewnętrznych (monitor, klawiatura, drukarka, modem, skaner itp.).

Jeśli złośliwe oprogramowanie jest powiązane z jakąkolwiek aplikacją, pliki, które mają niektóre rozszerzenia lub inne atrybuty, z wiadomościami przesyłanymi przez sieć, to jej nośnikami są:

Pakiety wiadomości przesyłane przez sieć komputerową;

Pliki (tekstowe, graficzne, wykonywalne itp.).

1.3.2 Ogólna charakterystyka zagrożeń bezpośredniego dostępu do środowiska operacyjnego systemu informacyjnego danych osobowych

Zagrożenia nieautoryzowanego dostępu do środowiska pracy komputera oraz nieautoryzowanego dostępu do PD wiążą się z dostępem do:

Do informacji i poleceń przechowywanych w podstawowym systemie I/O ISPD, z możliwością przechwycenia kontroli ładowania systemu operacyjnego i uzyskania uprawnień zaufanego użytkownika;

W środowisku operacyjnym, to jest w środowisku funkcjonowania lokalnego systemu operacyjnego odrębnego środka technicznego ISPD z możliwością wykonania nieautoryzowanego dostępu poprzez wywołanie zwykłych programów systemu operacyjnego lub uruchomienie specjalnie zaprojektowanych programów realizujących takie działania ;

Do środowiska do funkcjonowania programów aplikacyjnych (np. do lokalnego systemu zarządzania bazą danych);

Bezpośrednio do informacji o użytkowniku (do plików, tekstu, dźwięku i informacje graficzne, pól i zapisów w elektronicznych bazach danych) i wynikają z możliwości naruszenia ich poufności, integralności i dostępności.

Zagrożenia te mogą być zrealizowane w przypadku uzyskania fizycznego dostępu do ISPD lub przynajmniej do sposobu wprowadzania informacji do ISPD. Można je pogrupować według warunków realizacji na trzy grupy.

Pierwsza grupa obejmuje zagrożenia realizowane podczas ładowania systemu operacyjnego. Te zagrożenia bezpieczeństwa informacji mają na celu przechwycenie haseł lub identyfikatorów, modyfikację oprogramowania podstawowego systemu wejścia/wyjścia, przechwycenie kontroli pobierania wraz ze zmianą niezbędnych informacji technologicznych do odbioru UA w środowisku operacyjnym ISPD. Najczęściej takie zagrożenia są realizowane za pomocą wyalienowanych mediów.

Druga grupa to zagrożenia, które są wdrażane po załadowaniu środowiska operacyjnego, niezależnie od tego, jaką aplikację uruchomi użytkownik. Zagrożenia te mają zwykle na celu dokonanie bezpośredniego nieautoryzowanego dostępu do informacji. Uzyskując dostęp do środowiska operacyjnego, intruz może korzystać zarówno ze standardowych funkcji systemu operacyjnego lub niektórych publicznych aplikacji (na przykład systemów zarządzania bazami danych), jak i programów specjalnie stworzonych do wykonywania nieuprawnionego dostępu, na przykład:

Przeglądarki rejestru i modyfikacje;

Programy do wyszukiwania tekstów w plikach tekstowych słowa kluczowe i kopiowanie;

Specjalne programy do przeglądania i kopiowania rekordów w bazach danych;

Programy do szybkiego przeglądania plików graficznych, ich edycji lub kopiowania;

Programy wspierające możliwości rekonfiguracji środowisko oprogramowania(ustawienia ISPD w interesie przestępcy).

Wreszcie trzecia grupa obejmuje zagrożenia, których wdrożenie jest uzależnione od tego, która aplikacja zostanie uruchomiona przez użytkownika lub od tego, czy któraś z aplikacji zostanie uruchomiona. Większość z tych zagrożeń to zagrożenia polegające na wstrzykiwaniu złośliwego oprogramowania.

1.3.3 Ogólna charakterystyka zagrożeń bezpieczeństwa danych osobowych realizowanych z wykorzystaniem protokołów intersieciowych

Jeżeli ISPD jest wdrażany w oparciu o lokalny lub rozproszony system informatyczny, to zagrożenia bezpieczeństwa informacji mogą być w nim realizowane z wykorzystaniem protokołów intersieciowych. W tym samym czasie można zapewnić NSD do PD lub zrealizować zagrożenie odmową usługi. Zagrożenia są szczególnie niebezpieczne, gdy ISPD jest rozproszonym systemem informatycznym podłączonym do sieci publicznych i (lub) sieci międzynarodowej wymiany informacji. Schemat klasyfikacji zagrożeń zaimplementowanych w sieci przedstawiono na rysunku 4. Opiera się on na następujących siedmiu podstawowych cechach klasyfikacji.

Rysunek 4 Schemat klasyfikacji zagrożeń z wykorzystaniem protokołów intersieciowych

1. Charakter zagrożenia. Na tej podstawie zagrożenia mogą być pasywne i aktywne. Zagrożenie pasywne to zagrożenie, którego realizacja nie wpływa bezpośrednio na działanie ISPD, ale może zostać naruszone ustalone zasady ograniczania dostępu do PD lub zasobów sieciowych. Przykładem takich zagrożeń jest zagrożenie „Analiza ruchu sieciowego”, którego celem jest podsłuchiwanie kanałów komunikacyjnych i przechwytywanie przesyłanych informacji. Zagrożenie aktywne to zagrożenie związane z oddziaływaniem na zasoby ISPD, którego wdrożenie bezpośrednio wpływa na działanie systemu (zmiana konfiguracji, zakłócenie wydajności itp.) oraz z naruszeniem ustalonych zasad ograniczania dostępu do PD lub zasoby sieciowe. Przykładem takich zagrożeń jest zagrożenie Denial of Service, reklamowane jako „burza żądań TCP”.

2. Cel realizacji zagrożenia. Na tej podstawie groźby mogą mieć na celu naruszenie poufności, integralności i dostępności informacji (w tym naruszenie funkcjonalności ISPD lub jego elementów).

3. Warunek rozpoczęcia procesu realizacji zagrożenia. Na tej podstawie można zrealizować zagrożenie:

Na żądanie obiektu, przeciwko któremu realizowane jest zagrożenie. W takim przypadku intruz czeka na przesłanie żądania określonego typu, co będzie warunkiem rozpoczęcia nieautoryzowanego dostępu;

Po wystąpieniu oczekiwanego zdarzenia w obiekcie, przeciwko któremu realizowane jest zagrożenie. W takim przypadku intruz stale monitoruje stan systemu operacyjnego ISPD i jeśli w tym systemie wystąpi określone zdarzenie, rozpoczyna się nieautoryzowany dostęp;

Bezwarunkowy wpływ. W tym przypadku rozpoczęcie realizacji nieautoryzowanego dostępu jest bezwarunkowe w stosunku do celu dostępu, to znaczy natychmiastowe zrealizowanie zagrożenia niezależnie od stanu systemu.

4. Dostępność informacja zwrotna z ISPD. Na tej podstawie proces wdrażania zagrożenia może przebiegać z informacją zwrotną lub bez. Zagrożenie realizowane w obecności informacji zwrotnej z systemu informacji o danych osobowych charakteryzuje się tym, że niektóre żądania przesyłane do ISPD wymagają odpowiedzi od sprawcy. W konsekwencji dochodzi do sprzężenia zwrotnego między sprawcą naruszenia a systemem informacji o danych osobowych, co umożliwia sprawcy adekwatne reagowanie na wszelkie zmiany zachodzące w ISPD. W przeciwieństwie do zagrożeń realizowanych w obecności informacji zwrotnej z systemu informacji o danych osobowych, przy realizacji zagrożeń bez informacji zwrotnej nie jest wymagane reagowanie na zmiany zachodzące w ISPD.

5. Lokalizacja intruza względem ISPD. Zgodnie z tym znakiem zagrożenie jest realizowane zarówno wewnątrzsegmentowo, jak i międzysegmentowo.

Segment sieci - fizyczne powiązanie hostów (sprzęt ISPD lub elementy komunikacyjne posiadające adres sieciowy). Na przykład segment systemu informacji o danych osobowych tworzy zbiór hostów połączonych z serwerem według schematu „wspólnej magistrali”. W przypadku wystąpienia zagrożenia wewnątrz segmentu, intruz ma fizyczny dostęp do elementów sprzętowych ISPD. Jeżeli występuje zagrożenie międzysegmentowe, to sprawca znajduje się poza ISPD, realizując zagrożenie z innej sieci lub z innego segmentu systemu informacji o danych osobowych.

6. Poziom model referencyjny Open Systems Interconnection (ISO/OSI), na którym zaimplementowane jest zagrożenie. Na tej podstawie zagrożenie może zostać zaimplementowane na poziomie fizycznym, kanałowym, sieciowym, transportowym, sesji, prezentacji i aplikacji modelu ISO/OSI.

7. Stosunek liczby sprawców naruszeń do elementów ISPD, przeciwko którym realizowane jest zagrożenie. Na tej podstawie zagrożenie można sklasyfikować jako zagrożenie realizowane przez jednego intruza przeciwko jednemu narzędziu technicznemu ISPD (zagrożenie „jeden do jednego”), kilku środkom technicznym ISPD jednocześnie (zagrożenie „jeden do wielu”) lub przez kilku intruzów z różnych komputerów w stosunku do jednego lub kilku środków technicznych ISPD (zagrożenia rozproszone lub połączone).

Biorąc pod uwagę przeprowadzoną klasyfikację, wyróżniamy główne rodzaje ataków na system informatyczny danych osobowych:

1. Analiza ruchu sieciowego.

Zagrożenie to jest realizowane za pomocą specjalnego oprogramowania do sniffera pakietów, które przechwytuje wszystkie pakiety przesyłane przez segment sieci i wyróżnia spośród nich te, w których przesyłany jest identyfikator użytkownika i hasło. W trakcie realizacji zagrożenia intruz bada logikę sieci – czyli dąży do uzyskania zgodności jeden do jednego między zdarzeniami zachodzącymi w systemie a poleceniami wysyłanymi przez hosty w momencie wystąpienia te wydarzenia. Pozwala to w przyszłości atakującemu na podstawie przypisania odpowiednich poleceń uzyskać uprzywilejowane uprawnienia do działania w systemie lub rozszerzyć w nim swoje uprawnienia, przechwycić strumień przesyłanych danych wymienianych między komponentami sieciowego systemu operacyjnego w w celu wydobycia informacji poufnych lub identyfikacyjnych, ich podmiany i modyfikacji.

2. Skanowanie sieci.

Istotą procesu implementacji zagrożenia jest wysyłanie żądań do usług sieciowych hostów ISPD i analizowanie odpowiedzi z nich. Celem jest identyfikacja używanych protokołów, dostępnych portów usługi sieciowe, prawa tworzenia identyfikatorów połączeń, definicje aktywnych usług sieciowych, dobór identyfikatorów użytkowników i haseł.

3. Zagrożenie ujawnieniem hasła.

Celem implementacji zagrożenia jest uzyskanie UA poprzez obejście zabezpieczenia hasłem. Atakujący może zaimplementować zagrożenie przy użyciu różnych metod, takich jak zwykła brutalna siła, brutalna siła przy użyciu specjalnych słowników, instalowanie złośliwego oprogramowania przechwytującego hasła, podszywanie się pod zaufany obiekt sieciowy i wąchanie pakietów. Wykorzystywane są głównie do realizacji zagrożenia specjalne programy które próbują uzyskać dostęp do hosta poprzez wymuszanie haseł. Jeśli się powiedzie, atakujący może utworzyć dla siebie punkt wejścia do przyszłego dostępu, który pozostanie w mocy, nawet jeśli hasło dostępu zostanie zmienione na hoście.

4. Podstawienie zaufanego obiektu sieciowego i przekazywanie komunikatów kanałami komunikacyjnymi w jego imieniu wraz z nadaniem mu praw dostępu.

Zagrożenie to jest skutecznie realizowane w systemach, w których stosowane są słabe algorytmy identyfikacji i uwierzytelniania hostów i użytkowników. Obiekt zaufany to obiekt sieciowy (komputer, zapora ogniowa, router itp.) legalnie podłączony do serwera. Wyróżnić można dwie odmiany procesu implementacji tego zagrożenia: z nawiązywaniem połączenia wirtualnego oraz bez nawiązywania połączenia. Proces wdrożenia z nawiązaniem połączenia wirtualnego polega na nadaniu uprawnień zaufanemu podmiotowi interakcji, co pozwala intruzowi na przeprowadzenie sesji z obiektem sieciowym w imieniu zaufanego podmiotu. Implementacja tego typu zagrożenia wymaga pokonania systemu identyfikacji i uwierzytelniania wiadomości. Proces implementacji zagrożenia bez nawiązywania połączenia wirtualnego może odbywać się w sieciach, które identyfikują przesyłane wiadomości jedynie za pomocą adres sieciowy nadawca. Istota polega na przesyłaniu komunikatów serwisowych w imieniu urządzeń sterujących siecią (na przykład w imieniu routerów) o zmianie tras i danych adresowych.

W wyniku realizacji zagrożenia sprawca uzyskuje prawa dostępu, instalowane przez użytkownika dla zaufanego abonenta do narzędzia technicznego ISPD.

5. Narzucanie fałszywej trasy sieciowej.

Zagrożenie to realizowane jest na jeden z dwóch sposobów: poprzez impozycję wewnątrzsegmentową lub międzysegmentową. Możliwość narzucenia fałszywej trasy wynika z niedociągnięć tkwiących w algorytmach routingu (w szczególności z powodu problemu z identyfikacją urządzeń sterujących siecią), w wyniku czego można dostać się np. do hosta lub sieci atakującego , gdzie można wejść do środowiska operacyjnego narzędzia technicznego w ramach ISPD. Realizacja zagrożenia polega na nieautoryzowanym wykorzystaniu protokołów routingu i sterowania siecią do wprowadzania zmian w tablicach routingu. W takim przypadku intruz musi wysłać wiadomość kontrolną w imieniu urządzenia sterującego siecią (na przykład routera).

6. Wprowadzenie fałszywego obiektu sieciowego.

Zagrożenie to opiera się na wykorzystaniu słabości algorytmów zdalnego wyszukiwania. Jeśli obiekty sieciowe początkowo nie mają informacji adresowych o sobie nawzajem, stosowane są różne protokoły zdalnego wyszukiwania, które polegają na przesyłaniu specjalnych żądań przez sieć i otrzymywaniu na nie odpowiedzi z wymaganymi informacjami. W takim przypadku istnieje możliwość przechwycenia przez intruza wyszukiwana fraza oraz udzielenia na nie fałszywej odpowiedzi, której użycie doprowadzi do wymaganej zmiany danych trasowania i adresowych. W przyszłości cały przepływ informacji związanych z obiektem ofiary będzie przechodził przez fałszywy obiekt sieciowy

7. Odmowa usługi.

Zagrożenia te opierają się na wadach oprogramowania sieciowego, jego lukach, które pozwalają intruzowi stworzyć warunki, w których system operacyjny nie jest w stanie przetworzyć przychodzących pakietów. Można wyróżnić kilka rodzajów takich zagrożeń:

Ukryta odmowa usługi spowodowana zaangażowaniem części zasobów ISPD do przetwarzania pakietów przesyłanych przez atakującego przy spadku przepustowości kanałów komunikacyjnych, wydajności urządzenia sieciowe, naruszenie wymagań dotyczących czasu przetwarzania wniosków. Przykładami implementacji tego typu zagrożeń są: ukierunkowana burza żądań echa poprzez protokół ICMP, burza żądań nawiązania połączenia TCP, burza żądań do serwera FTP;

jawna odmowa usługi spowodowana wyczerpaniem zasobów ISPD podczas przetwarzania pakietów przesyłanych przez atakującego (zajęcie całej przepustowości kanałów komunikacyjnych, przepełnienie kolejek zgłoszeń serwisowych), w której żądania prawne nie mogą być przesyłane przez sieć z powodu niedostępności nośnika transmisyjnego lub są odrzucane w konserwacji z powodu przepełnienia kolejek żądań, miejsca na dysku pamięci itp. Przykładami zagrożeń tego typu są burza żądań echa ICMP, burza kierowana, burza wiadomości serwera poczty;

Wyraźna odmowa usługi spowodowana naruszeniem łączności logicznej między środkami technicznymi ISPD, gdy sprawca wysyła komunikaty kontrolne w imieniu urządzeń sieciowych, co prowadzi do zmiany tras i danych adresowych lub informacji identyfikacyjnych i uwierzytelniających;

Wyraźna odmowa usługi spowodowana przez atakującego przesyłającego pakiety o niestandardowych atrybutach lub długości przekraczającej maksymalny dopuszczalny rozmiar, co może doprowadzić do awarii urządzeń sieciowych biorących udział w przetwarzaniu żądań, pod warunkiem wystąpienia błędów w programach implementujących protokoły wymiany sieciowej . Skutkiem realizacji tego zagrożenia może być przerwa w wykonywaniu odpowiedniej usługi zapewnienia zdalnego dostępu do PD w ISPD, przeniesienie z jednego adresu tylu próśb o przyłączenie do obiektu technicznego w ramach ISPD, który może przetworzyć ruch w jak największym stopniu, co pociąga za sobą przepełnienie kolejki żądań i awarię jednej z usług sieciowych lub całkowite wyłączenie komputera z powodu niezdolności systemu do robienia czegokolwiek innego niż przetwarzanie żądań.

8.Zdalne uruchamianie aplikacji.

Zagrożenie polega na chęci uruchomienia na hoście ISPD różnych osadzonych wcześniej złośliwych programów: zakładek, wirusów, „szpiegów sieciowych”, których głównym celem jest naruszenie poufności, integralności, dostępności informacji oraz pełnej kontroli nad działaniem gospodarz. Ponadto możliwe jest nieautoryzowane uruchomienie aplikacji użytkownika w celu nieuprawnionego uzyskania danych niezbędnych sprawcy, uruchomienia procesów kontrolowanych przez aplikację itp. Istnieją trzy podklasy tych zagrożeń:

Dystrybucja plików zawierających nieautoryzowany kod wykonywalny;

Zdalne uruchamianie aplikacji poprzez przepełnienie bufora serwerów aplikacji;

Zdalne uruchamianie aplikacji za pomocą możliwości zdalnego zarządzania systemem zapewnianych przez ukryte lub używane zakładki oprogramowania i sprzętu regularne środki.

Typowe zagrożenia pierwszej z tych podklas opierają się na aktywacji rozproszonych plików w przypadku przypadkowego dostępu do nich. Przykładami takich plików są: pliki zawierające kod wykonywalny w postaci makr (documents Microsoft Word, Excel), dokumenty html zawierające kod wykonywalny w formularzu Formanty ActiveX, aplety Java, interpretowane skrypty (na przykład złośliwe oprogramowanie JavaScript); pliki zawierające wykonywalne kody programów.

Do dystrybucji plików można wykorzystać pocztę e-mail, przesyłanie plików, usługi sieciowego systemu plików.

Zagrożenia drugiej podklasy wykorzystują niedociągnięcia programów realizujących usługi sieciowe (w szczególności brak kontroli przepełnienia bufora). Dopasowując rejestry systemowe, czasami możliwe jest przełączenie procesora po przerwaniu przepełnienia bufora na wykonanie kodu znajdującego się poza granicami bufora.

W przypadku zagrożeń trzeciej podklasy intruz wykorzystuje możliwości zdalnego zarządzania systemem, które zapewniają ukryte komponenty lub standardowe narzędzia do zarządzania i administrowania. sieć komputerowa. W wyniku ich zastosowania możliwe jest zdalne sterowanie stacją w sieci. Schematycznie główne etapy pracy tych programów są następujące: instalacja w pamięci; oczekiwanie na żądanie od zdalnego hosta, na którym działa program kliencki i wymiana z nim komunikatów o gotowości; przekazanie przechwyconych informacji klientowi lub oddanie mu kontroli nad atakowanym komputerem. Możliwe skutki wdrożenia zagrożeń różnych klas przedstawiono w tabeli 1

Tabela 1. Możliwe konsekwencje wdrożenia zagrożeń różnych klas

№ nr kat	Typ ataku		Możliwe konsekwencje
1	Analiza ruchu sieciowego		Badanie charakterystyk ruchu sieciowego, przechwytywanie przesyłanych danych, w tym identyfikatorów użytkowników i haseł
2	Skanowanie sieciowe		Definicja protokołów, dostępnych portów usług sieciowych, zasad generowania identyfikatorów połączeń, aktywnych usług sieciowych, identyfikatorów i haseł użytkowników
3	Atak „hasłem”.		Dokonywanie jakichkolwiek destrukcyjnych działań związanych z uzyskaniem nieautoryzowanego dostępu
4	Fałszowanie zaufanego obiektu sieciowego		Zmiana trasy komunikatów, nieautoryzowana zmiana trasy i danych adresowych. Nieautoryzowany dostęp do zasobów sieciowych, narzucanie fałszywych informacji
5	Narzucanie fałszywej trasy		Nieautoryzowana zmiana danych trasowania i adresów, analiza i modyfikacja przesyłanych danych, narzucanie fałszywe wiadomoścĭ
6	Wstrzyknięcie fałszywego obiektu sieciowego		Przechwytywanie i podgląd ruchu. Nieautoryzowany dostęp do zasobów sieciowych, narzucanie fałszywych informacji
7	Odmowa usługi	Częściowe wyczerpanie zasobów	Zmniejszona przepustowość kanałów komunikacyjnych, wydajność urządzeń sieciowych. Zmniejszona wydajność aplikacji serwerowych.
		Całkowite wyczerpanie zasobów	Brak możliwości transmisji komunikatów z powodu braku dostępu do medium transmisyjnego, odmowa nawiązania połączenia. Odmowa usługi.
		Naruszenie logicznej łączności między atrybutami, danymi, obiektami	Brak możliwości wysłania wiadomości z powodu braku poprawnego routingu i danych adresowych. Brak możliwości odbioru usług z powodu nieautoryzowanej modyfikacji identyfikatorów, haseł itp.
		Używanie błędów w programach	Awaria urządzeń sieciowych.
8	Zdalne uruchamianie aplikacji	Wysyłając pliki zawierające destrukcyjny kod wykonywalny, infekcja wirusem.	Naruszenie poufności, integralności, dostępności informacji.
		Przez przepełnienie bufora aplikacji serwera
		Wykorzystując okazje pilot system, dostarczany przez ukryte zakładki oprogramowania i sprzętu lub używane standardowe narzędzia	Ukryte zarządzanie systemem.

Proces realizacji zagrożenia składa się generalnie z czterech etapów:

Kolekcja informacji;

Włamania (penetracja do środowiska operacyjnego);

Implementacja nieautoryzowanego dostępu;

Eliminacja śladów nieautoryzowanego dostępu.

Na etapie zbierania informacji sprawca może być zainteresowany różnymi informacjami o ISPD, w tym:

O topologii sieci, w której pracuje system. Może to eksplorować obszar wokół sieci (np. intruz może być zainteresowany adresami zaufanych, ale mniej bezpiecznych hostów). Istnieją równoległe narzędzia dostępności hosta, które mogą skanować duży obszar przestrzeni adresowej pod kątem dostępności hosta w krótkim czasie.;

Informacje o typie systemu operacyjnego (OS) w ISPD. Możesz zwrócić uwagę na metodę określania typu systemu operacyjnego, jak proste zapytanie nawiązania połączenia za pośrednictwem protokołu zdalnego dostępu Telnet, w wyniku czego po „wyglądzie” odpowiedzi można określić typ systemu operacyjnego hosta. Obecność niektórych usług może również służyć jako dodatkowe wskazanie typu systemu operacyjnego hosta;

O usługach działających na hostach. Definicja usług działających na hoście opiera się na metodzie „otwartych portów” w celu zebrania informacji o dostępności hosta.

Na etapie inwazji badana jest obecność typowych podatności w usługach systemowych lub błędów w administrowaniu systemem. Udane wykorzystanie luk zwykle skutkuje uzyskaniem przez proces atakującego uprzywilejowanego trybu wykonywania (dostęp do uprzywilejowanego trybu wykonywania procesora), wprowadzeniem nielegalnego konta użytkownika do systemu, uzyskaniem pliku z hasłami lub zakłóceniem działania zaatakowanego hosta.

Ten etap rozwoju zagrożenia jest z reguły wielofazowy. Fazy ​​procesu realizacji zagrożenia mogą obejmować np.: nawiązanie połączenia z hostem, przeciwko któremu realizowane jest zagrożenie; identyfikacja podatności; wprowadzenie złośliwego programu w celu wzmocnienia pozycji itp.

Zagrożenia realizowane na etapie włamania dzielą się na warstwy stosu protokołów TCP/IP, gdyż powstają one na poziomie sieci, transportu lub aplikacji, w zależności od zastosowanego mechanizmu włamania. Do typowych zagrożeń wdrażanych na poziomie sieci i transportu należą:

Zagrożenie mające na celu podmianę zaufanego obiektu;

Zagrożenie mające na celu stworzenie fałszywej trasy w sieci;

Zagrożenia mające na celu stworzenie fałszywego obiektu z wykorzystaniem niedociągnięć algorytmów zdalnego wyszukiwania;

Zagrożenia odmową usługi.

Do typowych zagrożeń realizowanych na poziomie aplikacji należą zagrożenia mające na celu nieautoryzowane uruchomienie aplikacji, zagrożenia, których realizacja wiąże się z wprowadzeniem błędów oprogramowania, z wykryciem haseł dostępu do sieci lub do konkretnego hosta itp. Jeżeli realizacja zagrożenia nie przyniosła sprawcy najwyższych uprawnień dostępu w systemie, możliwe są próby rozszerzenia tych uprawnień do maksymalnego możliwego poziomu. W tym celu można wykorzystać luki nie tylko w usługach sieciowych, ale także w oprogramowaniu systemowym hostów ISPDN.

Na etapie realizacji nieautoryzowanego dostępu osiągany jest cel realizacji zagrożenia:

Naruszenie poufności (kopiowanie, nielegalne rozpowszechnianie);

Naruszenie integralności (zniszczenie, zmiana);

Naruszenie dostępności (blokowanie).

Na tym samym etapie po tych działaniach z reguły tworzy się tzw. „tylne wejście” w postaci jednej ze służb obsługujących dany port i wykonujących polecenia intruza. Pozostawienie „tylnych drzwi” w systemie ma na celu zapewnienie: możliwości uzyskania dostępu do hosta, nawet jeśli administrator usunie podatność wykorzystaną do skutecznej implementacji zagrożenia; możliwość dostępu do hosta tak dyskretnie, jak to możliwe; możliwość szybkiego uzyskania dostępu do hosta (bez powtarzania procesu implementacji zagrożenia). „Tylne drzwi” umożliwiają atakującemu wstrzyknięcie złośliwego programu do sieci lub określonego hosta, na przykład „analizatora haseł” — programu, który wyodrębnia identyfikatory użytkowników i hasła z ruchu sieciowego podczas działania protokołów wysokiego poziomu). Obiektami wstrzykiwania szkodliwego oprogramowania mogą być programy uwierzytelniające i identyfikujące, usługi sieciowe, jądro systemu operacyjnego, system plików, biblioteki itp.

Ostatecznie na etapie likwidowania śladów realizacji zagrożenia podejmuje się próbę zniszczenia śladów działania intruza. Spowoduje to usunięcie odpowiednich wpisów ze wszystkich możliwych dzienników kontroli, w tym zapisów dotyczących faktu zebrania informacji.

1.4 Charakterystyka Banku i jego działalności

PJSC Citibank to organizacja finansowa i kredytowa Systemu Bankowego Federacji Rosyjskiej, która przeprowadza transakcje finansowe pieniędzmi i papierami wartościowymi. Bank świadczy usługi finansowe dla osób fizycznych i prawnych.

Główne działania to udzielanie pożyczek osobom prawnym i osobom fizycznym, obsługa rachunków klientów korporacyjnych, przyciąganie środków od ludności w depozytach, operacje na rynku walutowym i międzybankowym, inwestycje w obligacje i bony.

Bank prowadzi działalność finansową od 1 sierpnia 1990 r. na podstawie Ogólnej Licencji Banku Rosji na działalność bankową nr 356.

Bank posiada trzy systemy informacji o danych osobowych:

System informacji o danych osobowych pracowników Banku – pozwala na identyfikację 243 podmiotów danych osobowych;

System informacji o danych osobowych systemu kontroli i zarządzania dostępem – umożliwia identyfikację 243 podmiotów danych osobowych;

System informacyjny danych osobowych zautomatyzowanego systemu bankowego – pozwala zidentyfikować 9681 podmiotów danych osobowych.

1.5 Bazy danych osobowych

Bank musi chronić jednocześnie kilka informacyjnych danych osobowych, a mianowicie:

System informatyczny danych osobowych pracowników Banku;

System informatyczny danych osobowych systemu kontroli i zarządzania dostępem;

System informacyjny danych osobowych zautomatyzowanego systemu bankowego.

1.5.1 System informacyjny danych osobowych pracowników organizacji

ISPD dla pracowników Banku służy do naliczania pracownikom Banku wynagrodzenie, automatyzację pracy pracowników działu HR, automatyzację pracy pracowników działu księgowości Banku oraz rozwiązywanie innych kwestii kadrowo-księgowych. Składa się z bazy danych 1C „Zarządzanie wynagrodzeniami i personelem”, znajduje się na osobnej stacji roboczej z możliwością połączenia z miejscem pracy przez sieć. Stanowisko pracy znajduje się w biurze działu HR. Na stacji roboczej zainstalowana jest sala operacyjna systemu Microsoftu Windows XP. Na stacji roboczej nie ma połączenia z Internetem.

Pełne imię i nazwisko;

Data urodzenia;

Seria i numer paszportu;

Numer telefonu;

Prawo do pracy z oprogramowaniem 1C „Zarządzanie wynagrodzeniami i personelem” oraz bazą danych osobowych mają:

Główny księgowy;

Asystent Głównego Księgowego;

Kierownik Działu Zasobów Ludzkich;

Pracownik odpowiedzialny za płace pracowników Banku.

Ręczna zmiana danych;

1.5.2 System informacji o danych osobowych systemu kontroli i zarządzania dostępem

System teleinformatyczny systemu kontroli i zarządzania dostępem służy do przechowywania danych osobowych pracowników i gości Banku, którzy mają dostęp do poszczególnych pomieszczeń Banku. ISDN systemu kontroli i zarządzania dostępem jest wykorzystywany przez departament bezpieczeństwa Banku. Baza danych ISPD jest zainstalowana na stacji roboczej znajdującej się w pomieszczeniu ochrony działu bezpieczeństwa. Na stacji roboczej ISPD zainstalowany jest system operacyjny Microsoft Windows 7, jako system zarządzania bazą danych wykorzystywany jest Microsoft DBMS Serwer SQL 2012. AWP ISPD nie ma dostępu do sieci lokalnej, jak również nie ma dostępu do Internetu.

ISPD przechowuje następujące dane osobowe:

Pełne imię i nazwisko;

Zdjęcie pracownika.

Uprawnienia do współpracy z systemami kontroli i zarządzania dostępem ISPDn mają:

Kierownik Departamentu Bezpieczeństwa Banku;

Zastępca Dyrektora Departamentu Bezpieczeństwa Banku;

Pracownicy departamentu bezpieczeństwa Banku.

Dostęp do zautomatyzowanego stanowiska pracy systemu kontroli i zarządzania dostępem ma:

Administratorzy systemu, do administrowania stacją roboczą i oprogramowaniem 1C „Zarządzanie wynagrodzeniami i personelem” oraz bazą danych osobowych;

Pracownicy pionu odpowiedzialnego za bezpieczeństwo informacji Banku do administrowania systemem ochrony informacji AWP.

W ISPD dla pracowników banku można realizować następujące funkcje:

Automatyczne usuwanie danych osobowych;

Usuwanie ręczne dane osobiste;

Ręczna zmiana danych;

Ręczne dodawanie dane osobiste;

Automatyczne wyszukiwanie danych osobowych.

W systemie informacji o danych osobowych przechowywane są dane umożliwiające identyfikację 243 pracowników Banku.

Po osiągnięciu celów przetwarzania danych osobowych pracownika, jego dane osobowe są usuwane z ISPD.

1.5.3 System informacji o danych osobowych zautomatyzowanego systemu bankowego

System informacji o danych osobowych zautomatyzowanego systemu bankowego ma na celu zautomatyzowanie pracy większości pracowników banku. Poprawia produktywność pracowników. Kompleks jest używany jako zautomatyzowany system bankowy produkty oprogramowania„CFT-Bank”, wyprodukowany przez grupę firm „Centrum technologii finansowych”. Oprogramowanie Oracle jest wykorzystywane jako system zarządzania bazą danych. ISPD jest wdrożony na serwerze Banku, system operacyjny zainstalowany na serwerze to Microsoft serwer Windowsa 2008R2. ISPD zautomatyzowanego systemu bankowego jest podłączony do lokalnej sieci komputerowej banku, ale nie ma dostępu do Internetu. Użytkownicy są połączeni z bazą danych ISPD za pomocą oprogramowania CFT-Bank z dedykowanych terminali wirtualnych. Każdy użytkownik ma swój login i hasło w ISPD.

Dane osobowe przetwarzane w ISPD:

Pełne imię i nazwisko;

Data urodzenia;

Seria i numer paszportu;

Numer telefonu;

Następujące osoby mają prawo pracować z oprogramowaniem CFT-Bank i bazą danych osobowych:

Księgowi;

Oficerowie pożyczek;

Pracownicy działu zarządzania ryzykiem;

Pracownicy działu zabezpieczeń;

Menedżerowie osobiści;

menedżerowie klientów;

Pracownicy ochrony.

Dostęp do stanowiska pracy mają:

Administratorzy systemu do administrowania serwerem, bazą danych osobowych oraz oprogramowaniem CFT-Bank;

Pracownicy pionu odpowiedzialnego za bezpieczeństwo informacji Banku do administrowania serwerem, bazą danych osobowych oraz oprogramowaniem CFT-Bank.

W ISPD dla pracowników banku można realizować następujące funkcje:

Automatyczne usuwanie danych osobowych;

Ręczne usuwanie danych osobowych;

Ręczne dodawanie danych osobowych;

Ręczna zmiana danych;

Automatyczne wyszukiwanie danych osobowych.

W systemie informacji o danych osobowych przechowywane są dane umożliwiające identyfikację 243 pracowników Banku oraz 9 438 klientów Banku.

Po osiągnięciu celów przetwarzania danych osobowych pracownika, jego dane osobowe są usuwane z ISPD.

1.6 Struktura i zagrożenia sieci lokalnej Banku

Bank posiada sieć klient-serwer. Nazwa domeny, w której znajdują się stacje robocze użytkowników, to vitabank.ru. Łącznie bank posiada 243 zautomatyzowane stanowiska użytkowników, a także 10 Serwery Wirtualne i 15 wirtualnych stacji roboczych. Dział administracji systemem monitoruje wydajność sieci. Sieć jest zbudowana głównie na sprzęcie sieciowym Cisco. Komunikacja z dodatkowymi urzędami utrzymywana jest z wykorzystaniem kanałów VPN z wykorzystaniem Internetu poprzez aktywne i zapasowe kanały dostawcy Internetu. Wymiana informacji z Bankiem Centralnym odbywa się za pośrednictwem dedykowanego kanału, jak również za pośrednictwem konwencjonalnych kanałów komunikacji.

Wszyscy użytkownicy mają dostęp do Internetu na lokalnych stacjach roboczych, jednak praca z dokumentami i systemami informatycznymi Banku odbywa się wyłącznie przy wykorzystaniu wirtualnych stacji roboczych, na których dostęp do Internetu jest ograniczony i ładowane są wyłącznie lokalne zasoby Banku.

Dostęp do Internetu z lokalnych stacji roboczych jest ograniczony grupami dostępu:

Minimalny dostęp - dostęp tylko do zasobów służb federalnych, do strony internetowej Banku Rosji;

Normalny dostęp - wszystkie zasoby są dozwolone z wyjątkiem rozrywki, sieci społecznościowe, oglądanie filmów i pobieranie plików jest zabronione.

Pełny dostęp — dozwolone jest przesyłanie wszystkich zasobów i plików;

Filtrowanie zasobów według grup dostępu jest realizowane przez serwer proxy.

Poniżej znajduje się schemat sieci PJSC Citibank (rys. 5).

1.7 Narzędzia bezpieczeństwa informacji

Środki ochrony informacji to zespół inżynieryjnych, technicznych, elektrycznych, elektronicznych, optycznych i innych urządzeń i urządzeń, przyrządów i systemy techniczne, a także inne elementy służące rozwiązywaniu różnych problemów ochrony informacji, w tym zapobieganiu wyciekom i zapewnianiu bezpieczeństwa chronionych informacji.

Narzędzia bezpieczeństwa informacji pod kątem przeciwdziałania celowym działaniom, w zależności od sposobu realizacji, można podzielić na grupy:

Środki techniczne (sprzętowe). Są to urządzenia różnego typu (mechaniczne, elektromechaniczne, elektroniczne itp.), które rozwiązują problemy ochrony informacji za pomocą sprzętu. Uniemożliwiają dostęp do informacji, w tym poprzez ich maskowanie. Sprzęt obejmuje: generatory szumów, filtry sieciowe, radia skanujące i wiele innych urządzeń, które „blokują” potencjalne kanały wycieku informacji lub pozwalają je wykryć. Zalety środków technicznych wiążą się z ich niezawodnością, niezależnością od czynników subiektywnych oraz dużą odpornością na modyfikacje. Słabe strony - brak elastyczności, stosunkowo duża objętość i waga, wysoki koszt.

Rysunek 5 Schemat sieci PJSC Citibank

Narzędzia programowe obejmują programy do identyfikacji użytkownika, kontroli dostępu, szyfrowania informacji, usuwania szczątkowych (roboczych) informacji, takich jak pliki tymczasowe, kontroli testowej systemu ochrony itp. Zaletami narzędzi programowych są wszechstronność, elastyczność, niezawodność, łatwość instalacji , możliwość modyfikacji i rozwoju. Wady - ograniczona funkcjonalność sieci, wykorzystanie części zasobów serwera plików i stacji roboczych, duża wrażliwość na przypadkowe lub celowe zmiany, możliwe uzależnienie od typów komputerów (ich sprzętu).

Mieszany sprzęt i oprogramowanie realizują te same funkcje, co osobno sprzęt i oprogramowanie, i mają właściwości pośrednie.

Wszystkie pomieszczenia biurowe Banku są monitorowane przez służbę bezpieczeństwa z wykorzystaniem systemu kontroli i zarządzania dostępem oraz systemu monitoringu wizyjnego. Wejście do pomieszczeń biurowych banku odbywa się z odpowiednimi uprawnieniami w systemie kontroli i zarządzania dostępem. Pracownikowi, ubiegającemu się o pracę, lub osobie odwiedzającej Bank, jeśli jest to niezbędne do uzyskania dostępu do pomieszczeń biurowych Banku, wydawane są zbliżeniowe karty zbliżeniowe, na których zapisany jest identyfikator użytkownika oraz przy próbie uzyskania dostępu do biura, identyfikator ten jest przekazywany do systemu kontroli i zarządzania dostępem. System porównuje listę pomieszczeń, do których użytkownik karty może wejść z pokojem, do którego chce wejść i zezwala lub ogranicza dostęp do pokoju.

Na stacjach roboczych Banku zainstalowane jest oprogramowanie antywirusowe Punkt końcowy Kaspersky Security 10, który posiada certyfikat zgodności FSTEC Rosji nr 3025, ważny do 25 listopada 2019 r., bazy sygnatur wirusów są aktualizowane centralnie część serwerowa antywirus zainstalowany na serwerze zlokalizowanym w Banku.

W celu zorganizowania elektronicznego obiegu dokumentów z Bankiem Centralnym władze Banku prowadziły dedykowaną linię komunikacyjną.

Aby zorganizować elektroniczne zarządzanie dokumentami ze służbami federalnymi (Federalna Służba Podatkowa, Fundusz emerytalny Rosja, Usługa Monitorowania Finansowego itp.) używany jest podpis elektroniczny. Pracować z podpis elektroniczny na lokalnych stacjach roboczych wykonawców odpowiedzialnych za obieg dokumentów ze służbami federalnymi instalowane jest specjalistyczne oprogramowanie:

Crypto-Pro CSP;

Crypto-ARM;

CIPF Verba-OW;

Walidacja CIPF;

CSP Signal-COM.

Korzystanie z określonego oprogramowania przez wykonawcę zależy od wymagań konkretnej agencji federalnej.

Na brzegu sieci lokalnej Banku zainstalowany jest firewall Cisco ASA 5512 firmy Cisco Corporation. Ponadto krytyczne systemy bankowe (Stacja Robocza Klienta Banku Rosji, SWIFT, ISPD Banku) są dodatkowo oddzielone od sieci lokalnej Banku zaporami Cisco. Tunele VPN do komunikacji z dodatkowym biurem zorganizowane są z wykorzystaniem firewalli Cisco.

1.8 Zabezpieczenia organizacyjne

Według badania przeprowadzonego przez brytyjską firmę audytorsko-konsultingową Ernst & Yong w 2014 roku, 69 proc. firm biorących udział w badaniu uważa pracowników firm za główne źródło zagrożeń dla bezpieczeństwa informacji.

Pracownicy firmy mogą z powodu niewiedzy lub niekompetencji w zakresie bezpieczeństwa informacji ujawnić krytyczne informacje niezbędne do przeprowadzenia ukierunkowanych ataków na organizację. Atakujący wysyłają również wiadomości phishingowe z wbudowanym złośliwym oprogramowaniem, które umożliwia atakującemu przejęcie kontroli nad stanowiskiem pracy pracownika i dokonanie z niego ataku na systemy informatyczne Banku.

W związku z tym w Banku dział bezpieczeństwa informacji ma obowiązek przeszkolić pracowników Banku z podstawowych zasad bezpieczeństwa informacji, monitorować przestrzeganie wymagań bezpieczeństwa podczas pracy na stanowisku pracy oraz informować pracowników Banku o nowych zagrożeniach bezpieczeństwa informacji, z którymi mogą się spotkać .

W PJSC Citibank wszyscy pracownicy przechodzą wstępną odprawę dotyczącą zatrudnienia. Również nowi pracownicy, pracownicy przenoszeni z innych pionów strukturalnych przechodzą w departamencie bezpieczeństwa informacji wstępną odprawę, podczas której pracownicy są zapoznawani z podstawowymi zasadami bezpieczeństwa informacji podczas pracy z systemami informatycznymi Banku, zasadami bezpieczeństwa podczas pracy w Internecie, zasadami bezpieczeństwa podczas pracy z Bankiem e-mail, polityka haseł Banku.

Pracownicy departamentu bezpieczeństwa informacji Banku zaangażowani są w tworzenie i wdrażanie nowych systemów informatycznych Banku na wszystkich poziomach rozwoju systemu.

Na etapie projektowania systemu i przygotowania specyfikacji istotnych warunków zamówienia na rozwój systemu informatycznego dział bezpieczeństwa informacji nakłada na system wymagania bezpieczeństwa.

Na etapie tworzenia systemu informatycznego pracownicy działu bezpieczeństwa informacji zapoznają się z aktualną dokumentacją, testują oprogramowanie pod kątem ewentualnych luk w kodzie programu.

Na etapie testowania i uruchamiania systemu informatycznego dział bezpieczeństwa informacji aktywnie uczestniczy w testowaniu systemu informatycznego, przeprowadza testy penetracyjne do systemu informatycznego oraz testy typu „odmowa usługi”, a także dystrybuuje prawa dostępu do systemu informatycznego.

Na etapie eksploatacji uruchomionego już systemu informatycznego dział bezpieczeństwa informacji monitoruje i wykrywa podejrzane działania.

Na etapie finalizowania systemu informatycznego dział bezpieczeństwa informacji na podstawie danych uzyskanych podczas eksploatacji systemu informatycznego buduje nowe wymagania dla systemu informatycznego.

Departament Bezpieczeństwa Informacji w PJSC Citibank zatwierdza wszystkie wnioski o dostęp do zasobów w Internecie, jak również do zasobów wewnętrznych Banku.

1.9 Cykl przetwarzania danych osobowych

Dane osobowe przechowywane w Banku zostały pozyskane wyłącznie zgodnie z prawem.

Otrzymane dane osobowe pracownika Banku przetwarzane są wyłącznie w celu realizacji przez Bank jego zobowiązań wynikających z zawartej z pracownikiem umowy. Dane osobowe pracownika Banku pozyskiwane są od samego pracownika. Wszyscy pracownicy Banku są zapoznawani za podpisem z dokumentami Banku, które określają tryb przetwarzania danych osobowych pracowników Banku, a także ich prawa i obowiązki w tym zakresie.

Dane osobowe pracowników banku przechowywane w ISPD systemu kontroli i zarządzania dostępem mają na celu umożliwienie pracownikowi wejścia na stanowisko pracy.

Dane osobowe klientów Banku przechowywane w ISPD zautomatyzowanego systemu bankowego są tam przetwarzane wyłącznie w celu wykonania przez Bank zobowiązań wynikających z umowy zawartej z klientem Banku. Ponadto w ISPD zautomatyzowanego systemu bankowego przetwarzane są dane osobowe osób, które nie zawarły umowy z Bankiem, ale zostały uzyskane zgodnie z prawem, na przykład dane osobowe otrzymane i przetwarzane na żądanie ustawy federalnej nr uzyskany środkami przestępczymi i finansowaniem terroryzmu”.

Po osiągnięciu celów przetwarzania danych osobowych są one niszczone lub depersonalizowane.

2. ROZWÓJ ŚRODKÓW OCHRONY DANYCH OSOBOWYCH W BANKU

W PJSC Citibank system ochrony danych osobowych jest regulowany zarówno przepisami stanowymi, jak i lokalnymi (np. indywidualni przedsiębiorcy w PJSC CITIBANK” w Załączniku 1).

System ochrony danych osobowych PJSC Citibank został wystarczająco, aby uniknąć prostych ataków, takich jak phishing i zainfekowanie stacji roboczych wirusami ransomware, ale nie jest w stanie wytrzymać ataków ukierunkowanych, których celem jest kradzież danych osobowych.

Prowadziłem prace nad restrukturyzacją i modernizacją systemu ochrony danych osobowych.

2.1 Działania zabezpieczające lokalną sieć komputerową banku oraz system informacji o danych osobowych

W sieci Citibank występują wyraźne słabości, za pomocą których atakujący mogą uzyskać pełny dostęp do sieci banku i przejąć nad nią kontrolę, po czym mogą swobodnie kraść, zmieniać lub usuwać dane osobowe klientów lub pracowników Banku.

Ponieważ sieć Banku jest jednym segmentem, aby zminimalizować ryzyko wtargnięcia intruzów do sieci Banku, należy ją podzielić na kilka segmentów za pomocą technologii sieci wirtualne.

Koncepcja technologii sieci wirtualnych (VLAN) polega na tym, że administrator sieci może tworzyć w niej logiczne grupy użytkowników, niezależnie od tego, do której części sieci są podłączeni. Możesz łączyć użytkowników w logiczne grupy robocze, na przykład na podstawie wspólności wykonywanej pracy lub wspólnie rozwiązywanego zadania. Jednocześnie grupy użytkowników mogą wchodzić ze sobą w interakcje lub być dla siebie całkowicie niewidoczne. Członkostwo w grupie jest zmienne, a użytkownik może należeć do wielu grup logicznych. Sieci wirtualne tworzą logiczne domeny rozgłoszeniowe, ograniczające przepływ pakietów rozgłoszeniowych przez sieć, podobnie jak routery, które izolują ruch rozgłoszeniowy pomiędzy segmentami sieci. W ten sposób sieć wirtualna zapobiega występowaniu burz rozgłoszeniowych, ponieważ komunikaty rozgłoszeniowe są ograniczone do członków sieci wirtualnej i nie mogą być odbierane przez członków innych sieci wirtualnych. Sieci wirtualne mogą umożliwiać dostęp członkom innej sieci wirtualnej w przypadkach, gdy niezbędny jest dostęp do współdzielonych zasobów, takich jak serwery plików lub serwery aplikacji, lub gdy wspólne zadanie wymaga interakcji różnych usług, takich jak działy kredytowe i rozliczeniowe. Sieci wirtualne mogą być tworzone na podstawie portów przełączników, adresów fizycznych urządzeń wchodzących w skład sieci oraz adresów logicznych protokołów trzeciego poziomu modelu OSI. Zaletą sieci wirtualnych jest duża prędkość przełączników, ponieważ nowoczesne przełączniki zawierają wyspecjalizowany zestaw układów scalonych specjalnie zaprojektowanych do rozwiązywania problemów przełączania na drugim poziomie modelu OSI. Sieci wirtualne trzeciego poziomu są najłatwiejsze do zainstalowania, jeśli nie jest wymagana rekonfiguracja klientów sieciowych, najtrudniejsze w administrowaniu, ponieważ każda akcja z klientem sieciowym wymaga albo rekonfiguracji samego klienta, albo routera i jest najmniej elastyczna, ponieważ routing jest wymagany do komunikacji sieci wirtualnych, co zwiększa koszt systemu i zmniejsza jego wydajność.

Tym samym utworzenie sieci wirtualnych w Banku zapobiegnie atakom typu ARP spoofing. Złoczyńcy nie będą w stanie przechwycić informacji przekazywanych między serwerem a klientem. Podczas penetracji sieci atakujący nie będą mogli przeskanować całej sieci Banku, a jedynie segment sieci, do którego uzyskali dostęp.

Podczas infiltracji sieci Banku osoby atakujące będą przede wszystkim skanować sieć w celu znalezienia krytycznych węzłów sieciowych. Te węzły to:

kontroler domeny;

Serwer proxy;

Serwer poczty elektronicznej;

Serwer plików;

Serwer aplikacji.

Ponieważ sieć lokalna w Banku będzie zorganizowana z wykorzystaniem technologii sieci wirtualnych, osoby atakujące nie będą w stanie wykryć tych węzłów bez dodatkowych kroków. Aby utrudnić atakującym znalezienie krytycznych węzłów w sieci lokalnej i zdezorientować je, a w przyszłości zbadać strategię atakujących podczas przeprowadzania ataku na sieć, konieczne jest użycie fałszywych obiektów, które przyciągną atakujących . Obiekty te nazywane są Honeypots.

Zadaniem Honeypot jest atak lub nieautoryzowane badanie, które następnie pozwoli ci przestudiować strategię atakujących i ustalić listę środków, za pomocą których można zaatakować rzeczywiste obiekty bezpieczeństwa. Implementacją honeypota może być dedykowany serwer dedykowany lub pojedyncza usługa sieciowa, której zadaniem jest przyciągnięcie uwagi hakerów.

Honeypot to zasób, który nie robi nic bez żadnego wpływu na niego. Honeypot zbiera niewielką ilość informacji, po przeanalizowaniu, jakie statystyki są zbudowane na metodach stosowanych przez crackerów, a także obecności wszelkich nowych rozwiązań, które następnie zostaną wykorzystane w walce z nimi.

Na przykład serwer WWW, który nie ma nazwy i jest praktycznie nikomu nieznany, nie powinien mieć dostępu do gości, więc każdy, kto spróbuje się na niego włamać, jest potencjalnym atakującym. Honeypot zbiera informacje o zachowaniu tych crackerów i ich wpływie na serwer. Następnie specjaliści działu bezpieczeństwa informacji zbierają informacje o ataku intruzów na zasób i opracowują strategie odparcia ataków w przyszłości.

W celu kontrolowania informacji przychodzących z sieci Internet i wykrywania zagrożeń bezpieczeństwa informacji na etapie ich transmisji przez sieć, a także wykrywania aktywności intruzów, którzy przeniknęli do sieci lokalnej Banku, konieczne jest zainstalowanie systemu zapobiegania włamaniom na krawędź sieci.

System zapobiegania włamaniom to oprogramowanie lub sprzęt połączony w sieć i bezpieczeństwo komputera, która wykrywa włamania lub naruszenia bezpieczeństwa i automatycznie chroni przed nimi.

Systemy zapobiegania włamaniom można postrzegać jako rozszerzenie systemów wykrywania włamań, ponieważ zadanie śledzenia ataków pozostaje takie samo. Różnią się jednak tym, że system zapobiegania włamaniom monitoruje aktywność w czasie rzeczywistym i szybko wdraża działania zapobiegające atakom.

Systemy wykrywania i zapobiegania włamaniom dzielą się na:

Systemy zapobiegania włamaniom do sieci – analizują ruch kierowany do sieci organizacji, przechodzący przez samą sieć lub kierowany do konkretnego komputera. Systemy wykrywania i zapobiegania włamaniom mogą być wdrażane programowo lub sprzętowo-programowo, instalowane na obwodzie sieć korporacyjna a czasem w jej obrębie.

Systemy zapobiegania włamaniom osobistym to oprogramowanie instalowane na stacjach roboczych lub serwerach, które umożliwia kontrolowanie działania aplikacji, a także monitorowanie aktywności sieciowej pod kątem możliwych ataków.

Do wdrożenia w sieci Banku wybrano sieciowy system zapobiegania włamaniom.

Uważany za systemy sieciowe włamań IBM, Check Point, Fortinet, Palo Alto, ponieważ deklarowana funkcjonalność producentów tych systemów spełniała wymagania departamentu bezpieczeństwa informacji Banku.

Po wdrożeniu stanowisk testowych i przetestowaniu systemów zapobiegania włamaniom wybrano system Check Point, który wykazał się najlepszą wydajnością, najlepszym podsystemem wykrywania wirusów przesyłanych przez sieć lokalną, najlepszymi narzędziami do logowania i rejestrowania ważnych zdarzeń oraz ceną nabycia.

System zapobiegania włamaniom IBM został odrzucony, ponieważ koszt urządzeń przekroczył budżet działu bezpieczeństwa informacji na zakup systemu zapobiegania włamaniom.

System zapobiegania włamaniom firmy Fortinet został odrzucony z powodu niepełnej odpowiedzi, gdy dział bezpieczeństwa informacji przeprowadzał testy przesyłania zainfekowanych plików i niewystarczająco informacyjnych narzędzi do rejestrowania ważnych zdarzeń.

System zapobiegania włamaniom firmy Palo Alto został odrzucony z powodu niewystarczającej ilości informacji w narzędziach do rejestrowania ważnych zdarzeń, nadmiernej złożoności pracy z systemem i działania bardziej jak router.

Do wdrożenia w sieci lokalnej wybrano system zapobiegania włamaniom Check Point. System ten wykazał się wysokim poziomem wykrywania zagrożeń bezpieczeństwa informacji, elastycznymi ustawieniami, możliwością rozbudowy funkcjonalności poprzez zakup dodatkowych modułów oprogramowania, posiada rozbudowany system rejestrowania ważnych zdarzeń oraz rozbudowany zestaw narzędzi do dostarczania raportów o incydentach, z których można korzystać znacznie łatwiejsze badanie incydentów związanych z bezpieczeństwem informacji.

Schemat sieci PJSC Citibank ze zmienioną architekturą przedstawiono na rysunku 6.

2.2 Zabezpieczenia oprogramowania i sprzętu

Ponieważ bezpieczeństwa danych osobowych nie można zapewnić tylko poprzez ochronę sieci, ponieważ intruzi, mimo wszelkich działań podejmowanych w celu ochrony sieci, mogą uzyskać dostęp do sieci Banku.

Rysunek 6 Schemat sieci PJSC Citibank z dodatkowymi systemami zabezpieczeń

Aby zapewnić bardziej odporną ochronę przed atakami, do urządzeń przeznaczonych do ochrony sieci należy dodać programowe i sprzętowe urządzenia zabezpieczające lokalne stacje robocze, wirtualne stacje robocze, serwery wirtualne i zwykłe.

Jak wiesz, programy antywirusowe nie zapewniają pełnej ochrony przed złośliwym oprogramowaniem, ponieważ działają na zasadzie analizy sygnatur. Firma zajmująca się oprogramowaniem antywirusowym ma wśród swoich pracowników ekspertów, którzy monitorują aktywność wirusów w Internecie, badają zachowanie oprogramowania antywirusowego na stacjach testowych i tworzą sygnatury, które są następnie wysyłane do komputerów użytkowników poprzez aktualizację baz danych sygnatur oprogramowania antywirusowego. Po otrzymaniu zaktualizowanej bazy sygnatur oprogramowania antywirusowego, antywirus skanuje pliki na stacji roboczej użytkownika w poszukiwaniu oznak obecności szkodliwego oprogramowania; jeżeli podczas skanowania takie znaki zostaną wykryte, program antywirusowy sygnalizuje to i działa zgodnie z ustawienia określone przez użytkownika lub administratora programu antywirusowego. Tak więc, jeśli złośliwe oprogramowanie nie zostanie wykryte i przeanalizowane przez ekspertów firmy produkującej oprogramowanie antywirusowe, wówczas program antywirusowy nie będzie w stanie wykryć złośliwego oprogramowania i nie podejmie żadnych działań, uznając zeskanowany plik za bezpieczny. Dlatego w celu ograniczenia prawdopodobieństwa dostępu do sieci i uruchomienia złośliwego oprogramowania w Banku zainstalowano drugi obwód ochrona antywirusowa. Ponieważ większość producentów oprogramowania antywirusowego działa niezależnie od siebie, złośliwe oprogramowanie, które nie zostało jeszcze wykryte przez jednego producenta oprogramowania antywirusowego, może zostać wykryte przez innego programistę, a sygnatury mogą już zostać utworzone dla wykrytego zagrożenia.

W celu realizacji takiego schematu utworzono wirtualną stację roboczą, na której zainstalowano pakiet antywirusowy Doctor WEB Enterprise Security Suite, który posiada certyfikat zgodności FSTEC Rosji nr 2446, ważny do 20 września 2017 r. Wszystkie pliki pobrane przez pracowników banku podczas pracy są przesyłane na tę stację i skanowane przez program antywirusowy. W przypadku wykrycia złośliwego oprogramowania program antywirusowy wysyła wiadomość e-mail do działu bezpieczeństwa informacji z nazwą zagrożenia i ścieżką, w której przechowywany jest zainfekowany plik. Dział bezpieczeństwa informacji podejmuje działania w celu usunięcia złośliwego oprogramowania. Jeśli przesłane przez użytkowników pliki przejdą kontrolę oprogramowania antywirusowego, użytkownik, który przesłał plik, składa wniosek do działu bezpieczeństwa informacji, a pracownicy działu przekazują pobrany plik użytkownikowi.

Również duża ilość szkodliwego oprogramowania trafia do pracowników Banku za pośrednictwem e-mail. Mogą to być zarówno zwykłe wirusy szyfrujące, jak i złośliwe oprogramowanie, które umożliwia atakującemu penetrację zainfekowanego komputera pracownika Banku za pomocą połączenia zdalnego.

W celu zminimalizowania ryzyka wystąpienia tego rodzaju zagrożeń na serwerze pocztowym Banku zainstalowano oprogramowanie antywirusowe ClamAW, którego zadaniem jest ochrona serwery pocztowe.

Aby zabezpieczyć się przed nieautoryzowanym dostępem intruzów wewnętrznych, którzy w jakiś sposób poznali hasło użytkownika stacji lokalnej mającej dostęp do systemów informatycznych danych osobowych, konieczne jest zainstalowanie systemu ochrony informacji przed nieautoryzowanym dostępem na lokalnych stacjach roboczych użytkowników pracujących z danymi osobowymi systemy informacji o danych.

.

Szkolenia pracowników Banku prowadzone są przez specjalistę działu bezpieczeństwa informacji.

Pracownik działu bezpieczeństwa informacji prowadzi szkolenia w określonym planem pionie Banku. Po szkoleniu pracownicy jednostki przechodzą testy, w których potwierdzają wiedzę zdobytą podczas szkolenia.

Podstawowa polityka bezpieczeństwa reguluje prowadzenie szkoleń w każdej jednostce co najmniej cztery razy w roku.

Równolegle ze szkoleniami pracowników, pracownicy działu bezpieczeństwa informacji zobowiązani są do wysyłania co najmniej raz w miesiącu do wszystkich pracowników Banku pism informacyjnych opisujących podstawowe zasady bezpieczeństwa, nowe zagrożenia dla bezpieczeństwa informacji Banku, jeśli zostaną wykryte.

2.3.2 Kolejność dostępu pracowników do zasobów Internetu

Bank posiada 3 grupy dostępu do Internetu, ale taki podział dostępu jest nieefektywny, gdyż pracownik w celu wykonywania swoich obowiązków może potrzebować uzyskać informacje z zasobu sieciowego zaliczanego do grupy pełnego dostępu, wówczas będzie musiał dać pełny dostęp do Internetu, co jest niebezpieczne.

Grupa 6: pobieranie archiwów - grupa nie zapewnia żadnego dostępu do zasobów Internetu;

Grupa 7: pobieranie pliki wykonywalne- grupa nie zapewnia żadnego dostępu do zasobów Internetu;

Grupa 8: pełny dostęp do Internetu - pełny dostęp do zasobów Internetu, pobieranie dowolnych plików.

W celu uzyskania dostępu do zasobów Internetu pracownik tworzy aplikację poprzez system ServiceDesk i po zatwierdzeniu przez kierownika działu lub kierownictwo oraz pracownika działu bezpieczeństwa informacji pracownik uzyskuje dostęp do zasobów Internetu zgodnie z wnioskowaną grupą .

2.3.3 Procedura dostępu pracowników do zasobów wewnątrzbankowych

Główne dokumenty dotyczące pracy pracownika znajdują się w lokalnym miejscu pracy lub w zautomatyzowanym systemie, w którym pracuje. Ponadto każdy oddział Banku posiada sekcję na serwerze plików Banku, w której przechowywane są informacje niezbędne dla kilku pracowników oddziału i która jest duża do przesłania pocztą elektroniczną Banku.

Gdy nowy pracownik dostaje pracę w Banku, jego bezpośredni przełożony przesyła wniosek poprzez system ServiceDesk do działu administracji systemem o dostęp do zasobu wewnątrzbankowego, a po zatwierdzeniu wniosku przez pracownika działu bezpieczeństwa informacji, pracownik działu administracji systemem zapewnia nowemu pracownikowi dostęp do żądanego zasobu.

Często zdarzają się sytuacje, w których krzyżuje się praca kilku oddziałów Banku i do wymiany informacji te działy potrzebują oddzielnego na serwerze plików Banku.

Aby utworzyć tę sekcję, kierownik projektu, kierownik jednego z działów zaangażowanych w proces pracy nad projektem, tworzy aplikację poprzez system ServiceDesk do tworzenia udostępniony zasób i dostęp do tego zasobu przez niektórych pracowników swojego działu pracujących nad wspólnym projektem oraz kierownika działu, z którym współpracuje przy projekcie. Po zatwierdzeniu przez pracownika ds. informacji, administrator systemu tworzy żądany zasób i udziela dostępu do niego żądanym pracownikom. Każdy kierownik działu biorącego udział w projekcie prosi o dostęp tylko tych pracowników, którzy mu podlegają.

2.3.4 Jak pracownicy pracują z pocztą elektroniczną

Wcześniej, przed stworzeniem podstawowej polityki bezpieczeństwa, każdy pracownik sam określał stopień zagrożenia listów i plików otrzymywanych pocztą elektroniczną z zewnętrznych serwerów pocztowych.

Po stworzeniu podstawowej polityki bezpieczeństwa każdy użytkownik ma obowiązek przesłania każdego pliku otrzymanego pocztą elektroniczną z zewnętrznych serwerów pocztowych do działu bezpieczeństwa informacji w celu sprawdzenia go pod kątem obecności złośliwego oprogramowania, stopień zagrożenia listów określa pracownik samodzielnie. Jeżeli pracownik Banku podejrzewa, że ​​przychodząca wiadomość zawiera spam lub phishing, jest zobowiązany do przesłania listu w całości, tj. zawierającego wszystkie oficjalne informacje o nadawcy, jego Skrzynka pocztowa i adres IP do działu bezpieczeństwa informacji. Po przeanalizowaniu podejrzanego listu i potwierdzeniu zagrożenia tym listem dział bezpieczeństwa informacji przesyła adres nadawcy listu do działu administracji systemem, a pracownik działu administracji systemu umieszcza na czarnej liście adres nadawcy listu.

Zawsze blokuj miejsce pracy, gdy odstawiasz się od niego.

2.3.6 Zasady dostępu pracowników do danych osobowych

Zgodnie z art. 89 rozdziału 14 Kodeksu pracy Federacji Rosyjskiej pracownik Banku ma prawo dostępu do swoich danych osobowych, ale może przetwarzać dane osobowe innych pracowników Banku lub klientów Banku wyłącznie w celu wykonania swoich obowiązków służbowych .

W celu zapewnienia kontroli nad dostępem do systemów informatycznych danych osobowych, Bank ustanowił następujące zasady dostępu do systemów informatycznych danych osobowych:

Dostęp do ISPD mają tylko pracownicy, których obowiązki służbowe obejmują przetwarzanie danych osobowych;

Dostęp do ISPD jest dozwolony tylko z lokalnego miejsca pracy pracownika pracującego z danymi osobowymi;

Bank stworzył dokument, który określa nazwiska pracowników, którzy mają dostęp do danych osobowych pracowników i klientów Banku, wskazując System Informacji o Danych Osobowych oraz listę danych osobowych, które pracownik może przetwarzać.

3. UZASADNIENIE EKONOMICZNE PROJEKTU

Do wdrożenia systemu ochrony danych osobowych niezbędny jest zakup:

Sprzęt do ochrony sieci Banku;

Sprzęt do ochrony informacji;

Oprogramowanie do ochrony informacji.

Do odbudowy sieci organizacji niezbędny jest zakup przełączników Cisco Catalyst 2960 w ilości 3 sztuk. Do pracy na poziomie rdzenia sieci Banku wymagany jest jeden przełącznik, do pracy na poziomie dystrybucji potrzebne są 2 pozostałe. sprzęt sieciowy którzy pracowali w banku przed restrukturyzacją sieci również będą zaangażowani.

Całkowity koszt (RUB) 9389159 613

Kombinezon bezpieczeństwa Doctor WEB Enterprise155005500

Koszt całkowity1 371 615

WNIOSEK

W pracy dyplomowej dokonałem przeglądu ram prawnych dotyczących ochrony danych osobowych. Rozważyłem główne źródła zagrożeń dla bezpieczeństwa danych osobowych.

Na podstawie rozważanych zagrożeń osobistych dokonałem analizy istniejący system Ochrony Danych Osobowych w PJSC Citibank i doszedł do wniosku, że trzeba to poważnie poprawić.

W trakcie projektu dyplomowego stwierdzono słabe strony w sieci lokalnej Banku. Mając na uwadze ujawnione słabości w sieci lokalnej Banku, określono działania mające na celu zminimalizowanie zagrożeń bezpieczeństwa informacji w sieci Banku.

Rozważono i wybrano również urządzenia i oprogramowanie do ochrony lokalnych miejsc pracy pracowników przetwarzających dane osobowe pracowników i klientów Banku.

Przy moim udziale powstał system podnoszący świadomość pracowników w kwestiach bezpieczeństwa informacji.

Głęboko przeprojektowano procedurę dostępu pracowników Banku do Internetu oraz przeprojektowano grupy dostępu do Internetu. Nowe grupy dostępu do Internetu pozwalają znacząco zminimalizować zagrożenia bezpieczeństwa informacji ze względu na ograniczoną możliwość pobierania plików przez użytkowników oraz dostęp do niezaufanych zasobów.

Podano obliczenia kosztów przebudowy sieci i stworzenia realnego systemu ochrony danych osobowych, który może odzwierciedlać większość zagrożeń bezpieczeństwa informacji.

WYKAZ WYKORZYSTANEJ LITERATURY

1. „Konstytucja Federacji Rosyjskiej” (przyjęta w głosowaniu powszechnym 12 grudnia 1993 r.) (z zastrzeżeniem zmian wprowadzonych przez ustawy Federacji Rosyjskiej o zmianie Konstytucji Federacji Rosyjskiej z dnia 30 grudnia 2008 r. N 6- FKZ, z dnia 30 grudnia 2008 r. N 7-FKZ, z dnia 5 lutego 2014 r. N 2-FKZ, z dnia 21 lipca 2014 r. N 11-FKZ) // Oficjalny tekst Konstytucji Federacji Rosyjskiej w wersji zmienionej 21 lipca , 2014, został opublikowany na Oficjalnym Internetowym Portalu Informacji Prawnej http://www.pravo.gov.ru, 01.08.2014

2. „Podstawowy model zagrożeń bezpieczeństwa danych osobowych podczas ich przetwarzania w systemach informacji o danych osobowych” (wyciąg) (zatwierdzony przez FSTEC Federacji Rosyjskiej w dniu 15 lutego 2008 r.)

3. Ustawa federalna z dnia 27 lipca 2006 r. N 149-FZ (zmieniona 6 lipca 2016 r.) „O informacji, technologiach informacyjnych i ochronie informacji” // Dokument nie został opublikowany w tej formie. Oryginalny tekst dokumentu jest opublikowany w „ Rosyjska gazeta", N 165, 29.07.2006

4. „Kodeks pracy Federacji Rosyjskiej” z dnia 30 grudnia 2001 r. N 197-FZ (zmieniony 3 lipca 2016 r.) (z późniejszymi zmianami i uzupełnieniami, wszedł w życie 3 października 2016 r.) // Dokument nie został opublikowany w tej postaci oryginalny tekst dokumentu został opublikowany w Rossijskaja Gazeta, N 256, 31.12.2001

5. Rozporządzenie Rządu Federacji Rosyjskiej z dnia 01.11.2012 N 1119 „O zatwierdzeniu wymagań dotyczących ochrony danych osobowych podczas ich przetwarzania w systemach informacji o danych osobowych” // „Rossijskaja Gazieta”, N 256, 07.11.2012

6. Rozporządzenie FSTEC Rosji z dnia 18 lutego 2013 r. N 21 „O zatwierdzeniu składu i treści środków organizacyjnych i technicznych zapewniających bezpieczeństwo danych osobowych podczas ich przetwarzania w systemach informatycznych danych osobowych” (zarejestrowany w Ministerstwie Sprawiedliwość Rosji z dnia 14 maja 2013 r. N 28375) // „Gazeta rosyjska”, N 107, 22.05.2013 r.

7. „Standard Banku Rosji „Zapewnienie bezpieczeństwa informacji organizacji systemu bankowego Federacji Rosyjskiej. Postanowienia ogólne „STO BR IBBS-1.0-2014” (przyjęte i wprowadzone w życie zarządzeniem Banku Rosji z dnia 17 maja 2014 r. N R-399) // Biuletyn Banku Rosji nr 48-49, 30 maja 2014 r

8. „Rozporządzenie w sprawie wymagań dotyczących zapewnienia ochrony informacji przy dokonywaniu przelewów pieniężnych oraz w sprawie trybu sprawowania przez Bank Rosji kontroli nad przestrzeganiem wymagań dotyczących zapewnienia ochrony informacji przy dokonywaniu przelewów pieniężnych” (zatwierdzone przez Bank Rosji w dniu 09.06.2012 N 382-P) (z późniejszymi zmianami z dnia 14 sierpnia 2014 r.) (Zarejestrowano w Ministerstwie Sprawiedliwości Rosji w dniu 14 czerwca 2012 r. N 24575) // Dokument nie został opublikowany w tej formie, oryginał tekst dokumentu został opublikowany w Biuletynie Banku Rosji, N 32, 22.06.2012

9. „Regulamin dotyczący procedury przekazywania przez instytucje kredytowe upoważnionemu organowi informacji przewidzianych w ustawie federalnej „O przeciwdziałaniu legalizacji (praniu) dochodów pochodzących z przestępstwa i finansowaniu terroryzmu” (zatwierdzony przez Bank Rosji z dnia 29 sierpnia 2008 r. N 321-P) (z późn. zm. z dnia 15.10.2015 r.) (wraz z „Procedurą zapewnienia bezpieczeństwa informacji podczas transmisji i odbioru EKO”, „Zasadami tworzenia EKO i wypełniając poszczególne pola rekordów ECO”) (Zarejestrowano w Ministerstwie Sprawiedliwości Rosji w dniu 16.09.2008 N 12296) // W tej formie dokument nie został opublikowany, Oryginalny tekst dokumentu został opublikowany w Biuletynie Banku Rosji, N 54, 26.09.2008

10. Rozporządzenie FSTEC Rosji z dnia 18 lutego 2013 r. N 21 „O zatwierdzeniu składu i treści środków organizacyjnych i technicznych w celu zapewnienia bezpieczeństwa danych osobowych podczas ich przetwarzania w systemach informatycznych danych osobowych” (zarejestrowany w Ministerstwie Sprawiedliwość Rosji z dnia 14 maja 2013 r. N 28375) // „Gazeta rosyjska”, N 107, 22.05.2013 r.

11. Averchenkov VI, Rytov M.Yu., Gainulin T.R. Ochrona danych osobowych w organizacjach. M.: Flinta, 2018

12. Agapov A. B. Podstawy administracji publicznej w zakresie informatyzacji w Federacji Rosyjskiej. M.: Prawnik, 2012

13. Kostin A.A., Kostina A.A., Latyshev D.M., Moldovyan A.A. Kompleksy oprogramowania seria „AURA” do ochrony systemów informatycznych danych osobowych // Izv. uniwersytety. oprzyrządowanie. 2012. T. 55, nr 11

14. Mołdawska kryptografia A. A. do ochrony informacji komputerowych (część 1) // Integral. 2014. nr 4 (18)

15. Romanov O.A., Babin SA, Żdanow S.G. Wsparcie organizacyjne bezpieczeństwa informacji. - M.: Akademia, 2016

16. Shults V.L., Rudchenko A.D., Yurchenko A.V. Bezpieczeństwo biznesu. M.: Wydawnictwo Yurayt, 2017

Aplikacje (dostępne w archiwum z pracą).

Stało się to szczególnie pożądane w przypadku rosyjskich oddziałów firm zagranicznych w związku z dodaniem części 5 artykułu 18 do 152-FZ „O danych osobowych”: „… operator jest zobowiązany do zapewnienia rejestrowania, systematyzacji, gromadzenia, przechowywania , wyjaśnienie (aktualizacja, zmiana), dane osobiste obywatele Federacji Rosyjskiej korzystający z baz danych znajdujących się na terytorium Federacji Rosyjskiej” . W prawie jest szereg wyjątków, ale trzeba przyznać, że w przypadku sprawdzenia przez regulatora, chce się mieć bardziej pewne atuty niż „ale to nas nie dotyczy”.

Kary dla łamiących przepisy są bardzo surowe. zakupy online, Media społecznościowe, strony informacyjne, inne firmy związane z Internet w przypadku roszczeń organów nadzorczych można je faktycznie zamknąć. Być może przy pierwszej kontroli regulator da czas na usunięcie niedociągnięć, ale okres ten jest zwykle ograniczony. Jeśli problem nie zostanie rozwiązany bardzo szybko (co jest trudne bez wstępnego przygotowania), strat nie da się już zrekompensować. Blokowanie stron internetowych prowadzi nie tylko do wstrzymania sprzedaży, ale oznacza również utratę udziału w rynku.

Mniej dramatyczne jest pojawienie się na „czarnej liście” łamiących ustawę o danych osobowych firm offline. Wiąże się to jednak z ryzykiem utraty reputacji, co jest istotnym czynnikiem dla firm zagranicznych. Ponadto obecnie prawie nie ma działań, które w ogóle nie są związane z ochroną danych osobowych. Banki, handel, a nawet produkcja - wszystkie utrzymują bazy klientów, co oznacza, że ​​podlegają odpowiednim prawom.

Tutaj ważne jest, aby zrozumieć, że w firmach kwestia ta nie może być rozpatrywana w izolacji. Ochrona danych osobowych nie może ograniczać się do instalowania na serwerach certyfikowanych narzędzi bezpieczeństwa i zamykania kart papierowych w sejfach. Dane osobowe mają wiele punktów wejścia do firmy - działy sprzedaży, HR, obsługi klienta, czasami także centra szkoleniowe, komisje zakupowe i inne działy. Zarządzanie ochroną danych osobowych to złożony proces, który wpływa TO, obieg dokumentów, regulaminy, rejestracja prawna.

Przyjrzyjmy się, co jest potrzebne do uruchomienia i utrzymania takiego procesu.

Jakie dane są uważane za dane osobowe

Ściśle mówiąc, wszelkie informacje, które odnoszą się bezpośrednio lub pośrednio do konkretnej osoby, są jej danymi osobowymi. Zauważ, że mówimy o ludziach, a nie podmiotach prawnych. Okazuje się, że wystarczy podać pełne imię i nazwisko oraz adres zamieszkania, aby rozpocząć ochronę tych (i powiązanych) danych. Jednak uzyskanie e-mail z czyimiś danymi osobowymi w postaci podpisu i numer telefonu nie ma powodu, by ich bronić. Termin kluczowy: „Koncepcja zbierania danych osobowych”. Aby wyjaśnić kontekst, chcę podkreślić w szczególności kilka artykułów ustawy „O danych osobowych”.

Artykuł 5. Zasady przetwarzania danych osobowych. Powinny istnieć jasne cele, które wyjaśniają, dlaczego zbierane są te informacje. W przeciwnym razie, nawet przy pełnym przestrzeganiu wszystkich innych norm i zasad, prawdopodobne są sankcje.

Artykuł 10. Szczególne kategorie danych osobowych. Na przykład dział personalny może ustalić ograniczenia dotyczące podróży służbowych, w tym ciąży pracowników. Oczywiście takie dodatkowe informacje również podlegają ochronie. To znacznie poszerza zrozumienie PD, a także listę działów i repozytoriów informacji firmy, w których należy zwrócić uwagę na ochronę.

Artykuł 12. Transgraniczne przekazywanie danych osobowych. Jeżeli system informatyczny zawierający dane obywateli Federacji Rosyjskiej znajduje się na terytorium kraju, który nie ratyfikował Konwencji o ochronie danych osobowych (np. w Izraelu), należy przestrzegać przepisów prawa rosyjskiego.

Artykuł 22. Powiadomienie o przetwarzaniu danych osobowych. Wymagany warunek aby nie przyciągać nadmiernej uwagi regulatora. Ołów działalność przedsiębiorcza związane z PD - zgłoś to sam, nie czekając na kontrole.

Gdzie mogą znajdować się dane osobowe

Technicznie rzecz biorąc, PD może być zlokalizowane w dowolnym miejscu, od nośników drukowanych (szafy na akta papierowe) po nośniki maszynowe (dyski twarde, dyski flash, płyty CD itp.). Oznacza to, że nacisk kładzie się na wszelkie przechowywanie danych, które mieści się w definicji ISPD (systemy informacji o danych osobowych).

Geografia lokalizacji to osobne duże pytanie. Z jednej strony dane osobowe Rosjan (osób fizycznych będących obywatelami Federacji Rosyjskiej) muszą być przechowywane na terytorium Federacji Rosyjskiej. Z drugiej strony, w tej chwili jest to raczej wektor rozwoju sytuacji niż fakt dokonany. Wiele firm międzynarodowych i eksportowych, różne holdingi, spółki joint venture posiadały historycznie rozproszoną infrastrukturę – i to się nie zmieni z dnia na dzień. W przeciwieństwie do sposobów przechowywania i ochrony danych osobowych, które należy dostosować niemalże od razu.

Minimalny wykaz działów zajmujących się rejestracją, porządkowaniem, gromadzeniem, przechowywaniem, wyjaśnianiem (aktualizacja, zmiana), wydobywaniem PD:

• Obsługa personelu.
• Dział sprzedaży.
• Dział prawny.

Ponieważ rzadko panuje idealny porządek, w rzeczywistości do tej „oczekiwanej” listy często można dodać najbardziej nieprzewidywalne jednostki. Na przykład magazyn może mieć spersonalizowane informacje o dostawcach, a służby bezpieczeństwa mogą prowadzić własny szczegółowy rejestr wszystkich osób wchodzących na terytorium. Tak nawiasem mówiąc, skład PD dla pracowników można uzupełnić o dane dotyczące klientów, partnerów, kontrahentów, a także przypadkowych, a nawet innych osób odwiedzających – których PD staje się „przestępstwem” przy fotografowaniu do przepustki, skanowaniu dowodu osobistego karty oraz w niektórych innych przypadkach. ACS (systemy kontroli i zarządzania dostępem) łatwo mogą stać się źródłem problemów w kontekście ochrony danych osobowych. Dlatego odpowiedź na pytanie „Gdzie?” z punktu widzenia przestrzegania Prawa brzmi to tak: wszędzie na odpowiedzialnym terytorium. Dokładniejszej odpowiedzi można udzielić jedynie przeprowadzając odpowiedni audyt. To jest pierwszy etap projekt dla ochrony danych osobowych. Pełna lista jego kluczowe fazy:

1) Audyt aktualnej sytuacji w firmie.

2) Zaprojektowanie rozwiązania technicznego.

3) Przygotowanie procesu ochrony danych osobowych.

4) Weryfikacja rozwiązania technicznego i procesu ochrony danych osobowych pod kątem zgodności z ustawodawstwem Federacji Rosyjskiej i regulaminami firmowymi.

5) Wdrożenie rozwiązania technicznego.

6) Uruchomienie procesu ochrony danych osobowych.

1. Audyt aktualnej sytuacji w firmie

Przede wszystkim sprawdź w dziale personalnym i innych działach, które używają papierowych nośników z danymi osobowymi:

• Czy istnieją formy zgody na przetwarzanie danych osobowych? Czy są wypełnione i podpisane?
• Czy przestrzegane jest „Rozporządzenie w sprawie właściwości przetwarzania danych osobowych bez użycia narzędzi automatyzacji” z dnia 15 września 2008 r. nr 687?

Określ położenie geograficzne ISPD:

• W jakich krajach są?
• Na jakiej podstawie?
• Czy są umowy na ich używanie?
• Jakie zabezpieczenie technologiczne jest stosowane, aby zapobiec wyciekowi WNZ?
• Jakie środki organizacyjne są podejmowane w celu ochrony PD?

W idealnym przypadku system informacyjny z PD Rosjan musi spełniać wszystkie wymagania ustawy 152-FZ „O danych osobowych”, nawet jeśli znajduje się za granicą.

Na koniec zwróć uwagę na imponującą listę dokumentów wymaganych w przypadku weryfikacji (to nie wszystko, tylko główna lista):

• Powiadomienie o przetwarzaniu PD.
• Dokument identyfikujący osobę odpowiedzialną za organizację przetwarzania PD.
• Lista pracowników upoważnionych do obsługi PD.
• Dokument określający miejsce przechowywania PD.
• Informacja o przetwarzaniu szczególnych i biometrycznych kategorii danych osobowych.
• Zaświadczenie o transgranicznym przekazaniu PD.
• Standardowe formularze dokumentów z PD.
• Wzór zgody na przetwarzanie danych osobowych.
• Procedura przekazywania PD osobom trzecim.
• Procedura rozliczania wniosków od podmiotów PD.
• Wykaz systemów informacji o danych osobowych (ISPD).
• Dokumenty regulujące tworzenie kopii zapasowych danych w ISPD.
• Lista wykorzystywanych narzędzi bezpieczeństwa informacji.
• Procedura niszczenia PD.
• Macierz dostępu.
• model zagrożenia.
• Dziennik mediów maszyny PD.
• Dokument określający poziomy bezpieczeństwa dla każdego ISPD zgodnie z PP-1119 z dnia 1 listopada 2012 r. „W sprawie zatwierdzenia wymagań ochrony danych osobowych podczas ich przetwarzania w systemach informatycznych danych osobowych”.

2. Projektowanie rozwiązania technicznego

Opis środków organizacyjnych i technicznych, które należy podjąć w celu ochrony PD, znajduje się w rozdziale 4. „Obowiązki operatora” ustawy 152-FZ „O danych osobowych”. Rozwiązanie techniczne musi opierać się na przepisach art. 2 ustawy 242-FZ z dnia 21 lipca 2014 r.

Ale jak przestrzegać prawa i przetwarzać PD obywateli Federacji Rosyjskiej na terytorium Rosji w przypadku, gdy ISPD nadal znajduje się za granicą? Istnieje kilka opcji:

• Fizyczne przeniesienie systemu informatycznego i bazy danych na terytorium Federacji Rosyjskiej. Jeśli technicznie wykonalne, będzie to najłatwiejsze.
• Zostawiamy ISPD za granicą, ale w Rosji tworzymy jego kopię i ustalamy jednokierunkową replikację PD obywateli Federacji Rosyjskiej z kopii rosyjskiej na zagraniczną. Jednocześnie w systemie zagranicznym należy wykluczyć możliwość modyfikowania danych osobowych obywateli Federacji Rosyjskiej, wszelkie zmiany wyłącznie za pośrednictwem rosyjskiego ISPD.
• Istnieje kilka ISPD i wszystkie są za granicą. Przeniesienie może być kosztowne, a nawet technicznie niewykonalne (np. niemożliwe jest wydzielenie części bazy danych z danymi osobowymi obywateli Federacji Rosyjskiej i przeniesienie jej do Rosji). W takim przypadku rozwiązaniem może być utworzenie nowego ISPD na dowolnej dostępnej platformie na serwerze w Rosji, skąd prowadzona będzie jednokierunkowa replikacja do każdego zagranicznego ISPD. Zaznaczam, że wybór platformy należy do firmy.

Jeżeli PDIS nie został przekazany w całości i wyłącznie do Rosji, nie zapomnij wskazać w zaświadczeniu o transgranicznym przekazie danych, do kogo i jaki konkretnie zestaw PD jest wysyłany. Cel przekazywania danych osobowych musi być wskazany w powiadomieniu o przetwarzaniu. Ponownie, cel ten musi być uzasadniony i jasno uzasadniony.

3. Przygotowanie procesu ochrony danych osobowych

Proces ochrony danych osobowych powinien określać co najmniej następujące punkty:

• Wykaz osób odpowiedzialnych za przetwarzanie danych osobowych w firmie.
• Procedura udzielania dostępu do ISPD. Idealnie jest to macierz dostępu z poziomem dostępu dla każdego stanowiska lub konkretnego pracownika (odczyt/odczyt-zapis/modyfikacja). Lub lista dostępnych PD dla każdego stanowiska. Wszystko zależy od wdrożenia IP i wymagań firmy.
• Audyt dostępu do danych osobowych oraz analiza prób dostępu z naruszeniem poziomów dostępu.
• Analiza przyczyn niedostępności danych osobowych.
• Procedura odpowiadania na prośby osób z PD dotyczące ich PD.
• Weryfikacja wykazu danych osobowych przekazywanych poza firmę.
• Przegląd odbiorców danych osobowych, w tym za granicą.
• Okresowy przegląd modelu zagrożenia dla PD, a także zmiana stopnia ochrony danych osobowych w związku ze zmianą modelu zagrożenia.
• Aktualizowanie dokumentów firmowych (lista powyżej, w razie potrzeby może być uzupełniana).

Tutaj możesz wyszczególnić każdy element, ale chcę zwrócić szczególną uwagę na poziom bezpieczeństwa. Ustala się go na podstawie następujących dokumentów (czytanych kolejno):

1. „Metodyka określania aktualnych zagrożeń bezpieczeństwo danych osobowych podczas ich przetwarzania w systemach informacji o danych osobowych” (FSTEC RF 14 lutego 2008).

2. Rozporządzenie Rządu Federacji Rosyjskiej nr 1119 z dnia 1 listopada 2012 r. „O zatwierdzeniu wymagań dotyczących ochrony danych osobowych podczas ich przetwarzania w systemach informacyjnych danych osobowych”.

3. Zarządzenie FSTEC nr 21 z dnia 18 lutego 2013 r. „W sprawie zatwierdzenia składu i treści środków organizacyjnych i technicznych zapewniających bezpieczeństwo danych osobowych podczas ich przetwarzania w systemach informatycznych danych osobowych”.

Nie zapomnij również wziąć pod uwagę potrzeby takich kategorii wydatków, jak:

• Organizacja Grupa projektowa i zarządzania projektami.
• Deweloperzy dla każdej z platform ISPD.
• Pojemność serwera (własna lub wynajmowana w centrum danych).

Pod koniec drugiego i trzeciego etapu projektu powinieneś mieć:

• Kalkulacja kosztów.
• wymagania jakościowe.
• Harmonogram i harmonogram projektu.
• Ryzyka techniczne i organizacyjne projektu.

4. Weryfikacja rozwiązania technicznego i procesu ochrony danych osobowych pod kątem zgodności z ustawodawstwem Federacji Rosyjskiej i regulaminami firmowymi

Krótki w brzmieniu, ale ważny krok, w ramach którego należy upewnić się, że wszystkie planowane działania nie są sprzeczne z ustawodawstwem Federacji Rosyjskiej i zasadami firmy (np. Polityką bezpieczeństwa). Jeśli tego nie zrobi, pod fundament projektu zostanie podłożona bomba, która w przyszłości może „wybuchnąć”, niszcząc korzyści z osiągniętych wyników.

5. Wdrożenie rozwiązania technicznego

Tutaj wszystko jest mniej lub bardziej oczywiste. Szczegóły zależą od sytuacji wyjściowej i decyzji. Ale ogólnie obraz powinien wyglądać mniej więcej tak:

• Przydzielone pojemności serwerów.
• Inżynierowie sieci zapewnili wystarczające wydajność kanałów między odbiornikiem a nadajnikiem PD.
• Twórcy ustanowili replikację między bazami danych ISPD.
• Administratorzy uniemożliwili zmiany w ISPD zlokalizowanym za granicą.

Osobą odpowiedzialną za ochronę PD lub „właścicielem procesu” może być ta sama osoba lub inna. Już sam fakt, że „właściciel procesu” musi przygotować całą dokumentację i zorganizować cały proces ochrony PD. W tym celu należy powiadomić wszystkich zainteresowanych, poinstruować pracowników, a obsługa informatyczna musi ułatwić wdrożenie technicznych środków ochrony danych.

6. Uruchomienie procesu ochrony danych osobowych

To ważny krok iw pewnym sensie celem całego projektu jest przejęcie kontroli nad przepływem. Oprócz rozwiązań technicznych i dokumentacji regulacyjnej kluczowa jest tutaj rola właściciela procesu. Musi śledzić zmiany nie tylko w przepisach, ale także w infrastrukturze IT. Oznacza to, że wymagane są odpowiednie umiejętności i kompetencje.

Dodatkowo, co jest krytyczne w rzeczywistych warunkach pracy, właściciel procesu ochrony PD potrzebuje wszelkich niezbędnych uprawnień oraz wsparcia administracyjnego ze strony kierownictwa firmy. W przeciwnym razie będzie to wieczny „żebrak”, na którego nikt nie zwraca uwagi, a po pewnym czasie projekt można uruchomić ponownie, zaczynając od nowa od audytu.

Niuanse

Kilka punktów, które łatwo przeoczyć:

• Jeśli współpracujesz z centrum danych, potrzebujesz umowy na świadczenie usług pojemności serwera, zgodnie z którą Twoja firma legalnie przechowuje dane i je kontroluje.
• Potrzebujesz licencji na oprogramowanie służące do gromadzenia, przechowywania i przetwarzania PD lub umów dzierżawy na to oprogramowanie.
• Jeśli ISPD znajduje się za granicą, potrzebna jest umowa z firmą, która jest tam właścicielem systemu - w celu zagwarantowania zgodności z ustawodawstwem Federacji Rosyjskiej w odniesieniu do danych osobowych Rosjan.
• Jeżeli dane osobowe zostaną przekazane kontrahentowi Twojej firmy (np. partnerowi outsourcingowemu IT), to w przypadku wycieku PD od outsourcera, będziesz odpowiedzialny za roszczenia. Z kolei Twoja firma może wystąpić z roszczeniami do outsourcingu. Być może ten czynnik może wpłynąć na sam fakt przeniesienia pracy do outsourcingu.

I znowu najważniejsze jest to, że ochrony danych osobowych nie można podjąć i zapewnić. To jest proces. Ciągły iteracyjny proces, który będzie w dużym stopniu zależny od dalszych zmian w prawodawstwie, a także od formatu i rygoru stosowania tych przepisów w praktyce.

Chyba każdy, kto kiedykolwiek brał kredyt lub jest HR-em, spotkał się z taką sytuacją, gdy przedstawiciele banku dzwonią do pracodawcy i proszą o informacje na temat pracownika organizacji.

Jednocześnie najczęściej w praktyce pracodawca nie wywiązuje się z wymogów 152- federalnej ustawy o ochronie danych osobowych i ujawnia informacje o pracowniku telefonicznie. Pracodawca nie może zweryfikować odbiorcy tych informacji, a często pracownik nie posiada pisemnej zgody pracownika na takie wykorzystanie jego danych.

Kto w tej sytuacji bardziej łamie prawo: ten, kto pyta, czy ten, który odpowiada?

W tej sytuacji wszystko zależy od tego, jakie dokumenty z przedmiotu danych osobowych posiadają jedno, a drugie. Zdarza się, że ani ten, kto pyta, ani ten, kto odpowiada, nie łamie prawa, ale zdarza się, że obaj łamią.

Zajmijmy się tym.

Jesteśmy więc bankiem. Zgłosiła się do nas osoba, która w celu uzyskania pożyczki dostarczyła cały niezbędny pakiet dokumentów, w tym zaświadczenie o zarobkach, poświadczone podpisami osób odpowiedzialnych pracodawcy i pieczęcią, a także inne niezbędne oryginały i kopie dokumentów.

Ale mimo dostarczonego oryginału zaświadczenia o zarobkach, chcemy sprawdzić, czy osoba ubiegająca się o pożyczkę pracuje w tej organizacji i czy realny dochód jest wskazany w dostarczonym zaświadczeniu. Trzeba uczciwie przyznać, że w ostatnim czasie banki nadal najczęściej żądają jedynie informacji o tym, czy dana osoba pracuje w określonej organizacji. Ponadto my jako bank nie wysyłamy tego żądania na piśmie, z naszymi pieczęciami i danymi identyfikacyjnymi, ani nie wskazujemy na piśmie celu naszego wniosku, ale aby przyspieszyć procedurę, po prostu dzwonimy pod numer wskazane w dokumentach dostarczonych przez potencjalnego klienta banku.

To, co zawsze mnie w tej procedurze dziwiło, to pewna nielogiczność etapów potwierdzania wiarygodności przekazywanych danych.

Oznacza to, że dokument z pieczęciami i podpisami nie do końca nam odpowiada, ale z jakiegoś powodu wskazana przez pracownika odpowiedź telefoniczna bardziej nam odpowiada.

Jaki jest numer telefonu pracownika? Czy ten telefon naprawdę należy do tej organizacji? Kto po drugiej stronie drutu mi odpowie: CEO? Główny księgowy? Menedżer HR? Jak mam rozpoznać, że to są urzędnicy? A może sekretarka, która pracuje tu od tygodnia i jeszcze nikogo nie zna? Albo sprzątaczka? Albo strażnik? A może w zasadzie ktoś, kogo sam pracownik poprosił, aby w odpowiedni sposób ustosunkował się do żądania banku? A jeśli wskazany przez pracownika telefon nie odpowiada, co to będzie oznaczać dla banku? Czy sprawdzi, czy dana osoba nie pomyliła się w jednej cyfrze? Czy może to być problem z firmą telefoniczną? Może firma już nie używa tego telefonu, a pracownik o tym nie wiedział?

Ale naszym zadaniem jest ustalenie, czy działania stron: banku i pracodawcy w tym przypadku są co do zasady zgodne z prawem?

Jeżeli bank posiada pisemną zgodę podmiotu na weryfikację jego danych i uzyskanie informacji od jego pracodawcy, wówczas działania banku są zgodne z prawem.

A co z pracodawcą?

Pracodawca może zgodnie z prawem przekazać bankowi informacje o pracowniku w następujących przypadkach:

2. Pracownik wyraził zgodę na przekazanie swoich danych W FORMIE PISEMNEJ do określonego podmiotu prawnego. Ale w tym przypadku pracodawca ma obowiązek upewnić się, że wniosek pochodzi z banku, któremu pracownik zezwolił na udzielenie informacji (czyli odpowiedź tylko na pisemny wniosek).

Co jeśli pracodawca takiej zgody nie posiada?

Pracodawca nie jest uprawniony do udzielania informacji o pracowniku. Wtedy pracodawca wywiąże się z obowiązków wynikających z ustawy o ochronie danych osobowych? Tak. Czy pracownik otrzyma pożyczkę, jeśli pracodawca odmówi udzielenia informacji o pracowniku? Nieznany.

Co więcej, jeśli organizacja jest duża i posiada rozbudowaną sieć wydzielonych oddziałów, nie zawsze możliwe jest szybkie uzyskanie takiej zgody. Zwłaszcza w przypadku, gdy pracownik spontanicznie zdecydował się na otrzymanie pożyczki. A tego samego dnia lub następnego pracownicy banku dzwonią do pracodawcy, aby zweryfikować prawdziwość podanych informacji.

Co więcej, sama zgoda musi być sporządzona na piśmie, nie wystarczy, że pracownik zadzwoni np. do działu kadr i poprosi o ustną odpowiedź na prośbę konkretnego banku.

Przecież każdy doskonale zdaje sobie sprawę, że gdy pracodawca na telefoniczną prośbę przekazuje bankowi informację o pracy konkretnego pracownika, to robi to przede wszystkim po to, by chronić interesy pracownika, aby nie odmówił pożyczki. Ale automatycznie w tym przypadku narusza to ustawę o ochronie danych osobowych, jeśli pracodawca nie martwił się z góry o uzyskanie pisemnej zgody samego pracownika.

Możliwe, że jeśli banki zaprzestaną praktyki nielegalnych czeków telefonicznych, takich naruszeń ze strony pracodawcy będzie mniej.

Niedawno ukazało się pismo Banku Rosji z dnia 14 marca 2014 r. N 42-T „W sprawie wzmocnienia kontroli nad ryzykiem wynikającym z instytucji kredytowych podczas korzystania z informacji zawierających dane osobowe obywateli”, w którym zaleca się instytucjom kredytowym wzmocnienie kontroli nad ryzykiem wynikającym przed przetwarzaniem (co notabene gromadzeniem) informacji zawierających dane osobowe, a także aktualizacją dokumentów wewnętrznych określających: osobistą odpowiedzialność pracowników instytucji kredytowych zaangażowanych w bezpośrednie przetwarzanie danych osobowych (w tym gromadzenie) za zachowanie i zapewnienie poufności informacji generowanych w procesie obsługi klienta.

Jednocześnie w powyższym piśmie wyraźnie stwierdzono, że Bank Rosji sprawując nadzór nad działalnością banków będzie brał pod uwagę przypadki stwierdzonych uchybień we wdrażaniu przepisów o ochronie danych osobowych i rozpatrywał je jako czynnik negatywny przy ocenie jakości zarządzania instytucją kredytową, w tym przy ocenie organizacji systemu kontroli wewnętrznej.

Pozostaje mieć nadzieję, że banki w końcu też będą przestrzegać ustawy o ochronie danych osobowych, nie doprowadzając pracodawcy do wymuszonego łamania prawa.

Dzhabrail Matiev, szef ochrony danych osobowych w komercyjnej części firmyReignVox

Ciągła praca z ogromnymi tablicami danych klientów wymaga od banku dowolnego formatu ciągłej pracy w zakresie ochrony tych danych.

Dlatego temat bezpieczeństwa informacji, a wraz z nim temat zaufania, jest szczególnie istotny w sektorze finansowym. Ponadto prawnie uzasadniony jest również wymóg ochrony wszelkich danych osobowych wchodzących w skład struktury systemu informatycznego nowoczesnej firmy finansowej – ustawa federalna nr 152 „O danych osobowych” wyraźnie zobowiązuje każdą spółkę przetwarzającą te dane do ich ochrony w ściśle zdefiniowane terminy. Zarówno nowe, jak i istniejące systemy informatyczne przetwarzające dane osobowe muszą zostać dostosowane do wymogów prawa do 1 stycznia 2011 r. W tak ściśle określonych ramach czasowych organizacje przetwarzające takie informacje mają coraz mniej czasu na dostosowanie się do wymogów prawa.

Jak rozpocząć pracę nad ochroną danych osobowych? Jakie są przewidywane czasy realizacji? Kto jest odpowiedzialny za wykonanie pracy? Jaki jest średni koszt projektu i jak minimalizować koszty? Wszystkie te kwestie są dziś istotne dla każdej firmy prowadzącej działalność w sektorze finansowym. Odpowiedzi ekspertów na nie pozwalają nam przekazać ReignVox bogate doświadczenie w zakresie ochrony danych osobowych w strukturach finansowych.

Życie w trybie odliczania

Ustawa federalna nr 152 „O danych osobowych” wchodzi w życie 1 stycznia 2011 r. - ponad sześć miesięcy przed terminem wyznaczonym przez ustawodawców. Ale nie daj się zwieść idei zbyt dużej ilości czasu.

Po pierwsze, realizacja projektu mającego na celu spełnienie wymogów ochrony danych osobowych wymaga od czterech do sześciu miesięcy, w zależności od jego złożoności. Ale ta liczba nie jest ostateczna - warunki mogą wzrosnąć do sześciu do ośmiu miesięcy ze względu na okres, jaki bank poświęci na wybór godnego integratora do rozwoju i utrzymania projektu. Wykonywanie tego typu prac we własnym zakresie obarczone jest dla banku utratą obiektywizmu na etapie badania i analizy, istniejących w nim środków ochrony, a także koniecznością znalezienia odrębnych zasobów siły roboczej do tej pracy. W tym przypadku należy również pamiętać o takich czynnikach, jak dostępność specjalistów przeszkolonych w zakresie ochrony danych osobowych, niezbędna ilość wsparcia regulacyjnego i metodycznego oraz wolne środki na samo zadanie ochrony danych osobowych. Praktyka pokazuje, że to zwykle integratorzy zewnętrzni kompleksowo spełniają wszystkie te wymagania.

Po drugie, wracając do tematu terminów wyznaczonych ustawą „o danych osobowych” dla operatorów danych (a fakt, że banki są właśnie takimi operatorami nie jest już kwestią zasadniczą), bez względu na to, co mówią o swoim „przekazaniu” , pierwsze kontrole organów regulacyjnych już się odbywają. Wniosek jest dość logiczny: aktualność problemu nie tylko została zachowana, ale wielokrotnie wzrosła, a jego rozwiązanie staje się pilną potrzebą.

„A trumna właśnie się otworzyła…”

W ostatnim czasie wokół zadania dostosowania ISPD do przepisów ustawy „O danych osobowych” toczą się ożywione dyskusje, których wynik sprowadza się głównie do jednego: rozwiązanie tego zadania jest bardzo problematyczne ze względu na połączenie jego cech organizacyjno-prawnych. Wniosek ten nie jest do końca słuszny: praktyka stosowania wymogów ochrony danych osobowych, która pojawiła się w I kwartale 2010 r. (m.in. w sektorze bankowym), potwierdza klarowność i interpretowalność wymogów ISPD. Ich sformułowanie, wdrożenie i udokumentowane potwierdzenie tych ostatnich przy minimalnym ryzyku popełnienia błędu jest nie tyle trudne do wykonania, co istotne z punktu widzenia bezpieczeństwa biznesu bankowego. Jeszcze większym ułatwieniem jest możliwość powierzenia go zewnętrznemu integratorowi, którego specjaliści szybko i profesjonalnie zrealizują projekt ochrony danych osobowych z uwzględnieniem specyfiki prowadzonej działalności bankowej.

Dlatego pierwszym priorytetem jest wybór firmy integratorskiej, której zostanie powierzony projekt.

„Standardowy” = „Ekskluzywny”?

Taki znak równości między tymi wzajemnie wykluczającymi się pojęciami ma prawo istnieć. To stwierdzenie jest poparte praktycznymi doświadczeniami z udanych projektów ochrony danych osobowych, które zostały już zrealizowane przez ReignVox.

Każdy taki projekt obejmuje z jednej strony standardową liczbę etapów: etap badania systemów informacji o danych osobowych, etap projektowania systemu ochrony danych osobowych, etap wdrożenia SPPD, etap oceny zgodności ISPD z wymogów prawa oraz etapu wsparcia tworzonego systemu. Ponadto etapowa ocena zgodności z ISPD jest fakultatywna i przeprowadzana według uznania firmy klienta. Jak również etap wsparcia tworzonego systemu.

Typowość zwykle kończy się na pierwszym etapie (etapie badania systemów informatycznych), ponieważ to właśnie ten etap pozwala zidentyfikować i opisać te wymagań, jakie zostaną w przyszłości przedstawione systemom. A te parametry są już indywidualne i ukierunkowane na każdego konkretnego klienta, zoptymalizowane zgodnie z jego potrzebami.

Ta ankieta analizuje zasoby informacyjne, standardowe rozwiązania stosowane w budowie infrastruktury IT, przepływy informacji danych osobowych, dostępnych systemów i środków ochrony informacji.

Na tym samym etapie opracowywany jest model zagrożeń i sprawcy naruszenia bezpieczeństwa PD, oceniana jest potrzeba zapewnienia bezpieczeństwa PD w ISPD przy użyciu środków kryptograficznych.

Klasyczny schemat przeprowadzenia drugiego etapu obejmuje audyt otoczenia regulacyjnego oraz ocenę jego zgodności z wymaganiami regulatorów. Jej efektem jest opracowanie brakujących dokumentów wewnętrznych, a także opracowanie specyfikacji istotnych warunków zamówienia dla rozwoju SZPDn. Na tym samym etapie integrator przystępuje do bezpośredniego opracowania zestawu środków ochrony informacji.

Pod koniec tego etapu bank jest już w stanie pomyślnie przejść test jednego z regulatorów.

Istotą trzeciego etapu jest wdrożenie systemów i konfiguracja istniejących narzędzi ochronnych. Po przetestowaniu, jeśli to konieczne, finalizowany jest kompleks sprzętu i oprogramowania.

Na każdym z opisanych etapów firma ReignVox jako integrator stoi przed różnymi dodatkowymi zadaniami wynikającymi ze specyfiki biznesu jaki prowadzi firma klienta, jego wielkości, infrastruktury, aktywności procesów biznesowych i wielu innych punktów. I za każdym razem z mnóstwa takich składowych powstaje nowa, indywidualnie dostosowana koncepcja projektu ochrony danych osobowych.

„…a owce są bezpieczne”

Minimalizacja kosztów, optymalizacja budżetu, oszczędności – cokolwiek byście nie sformułowali, istota pozostaje ta sama – racjonalne podejście do wykorzystania środków finansowych – to on jest drugim kamieniem węgielnym sukcesu struktury finansowej (po zaufaniu oczywiście ). A zatem chęć maksymalnego obniżenia kosztów bez narażania bezpieczeństwa informacji jest naturalna i całkiem osiągalna.

Koszt przeciętnego standardowego projektu stworzenia systemu ochrony danych osobowych dla struktury bankowej to około 1,5 miliona rubli. Przy obliczaniu tej kwoty bierze się również pod uwagę szereg zasad, zgodnie z którymi możliwe jest zmniejszenie budżetu na stworzenie systemu ochrony danych osobowych.

Przede wszystkim dążymy do jak największego zachowania istniejącej infrastruktury IT w organizacji. Zwykle mówi się o dwóch biegunowych scenariuszach ochrony danych osobowych. Pierwsza to radykalna zmiana wszystkich ISPD, a druga formalna, polegająca jedynie na wydaniu wewnętrznych dokumentów regulacyjnych, bez wprowadzania jakichkolwiek zmian w ISPD. Za optymalny uważamy wariant trzeci, który polega właśnie na utrzymaniu obecnej infrastruktury informatycznej banku, wraz z modyfikacją niektórych jej elementów, dodaniem nowych niezbędnych do zapewnienia zgodności z prawem.

W tym przypadku mówimy o pierwszej zasadzie, opartej na maksymalne wykorzystanie istniejących narzędzi bezpieczeństwa informacji przy projektowaniu systemów bezpieczeństwa informacji. Narzędzia ochrony stosowane są w każdej firmie niezależnie od potrzeby ochrony danych osobowych, są to systemy ochrony antywirusowej, wbudowane narzędzia kontroli dostępu systemu operacyjnego oraz zapory ogniowe i wiele innych środków. Dlatego maksymalna liczba wymagań jest zamknięta przez istniejące środki ochrony. I tylko w przypadku, gdy niektórych wymagań nie spełniają obecne środki ochrony, konieczny jest zakup i wdrożenie dodatkowych.

Druga zasada to zasada ekonomiczna struktura logiczna systemów informacyjnych dane osobiste. Kierując się tą zasadą, w ramach realizacji projektu ochrony danych osobowych w banku, ekonomicznie opłacalne staje się połączenie kilku systemów zlokalizowanych w tym samym pomieszczeniu w jeden, połączone z downgradem segmentów niekrytycznych. W ten sposób powstaje „Centrum przetwarzania danych” ISPD, w którym zapewniona jest ochrona wzdłuż obwodu. Pozwala to znacznie zminimalizować koszty rozdzielenia przepływów w ramach różnych systemów.

Trzecia zasada chronić tylko przed bieżącymi zagrożeniami. Jednocześnie w obowiązkowym opisana jest aktualizacja zagrożeń systemy specjalne dokument o nazwie „Model zagrożeń”. Przy aktualizacji zagrożeń odrzuca się te, których prawdopodobieństwo jest niskie, a szkody w trakcie realizacji niewielkie.

Przy zastosowaniu sprawdzonych już metod zadanie dostosowania ISPD dowolnego banku do wymogów prawa do 1 stycznia 2011 roku jest w pełni wykonalne. Aby osiągnąć maksymalny sukces we wdrażaniu takich technologii w sektorze bankowym, nadal należy pamiętać o zintegrowanym podejściu do pracy nad projektem. W tym przypadku mamy na myśli organizację wspólnej pracy specjalistów z różnych działów – specjalistów od technologii IT, bezpieczeństwa informacji i zarządzania projektami, finansistów, prawników – gwarantującą niezbędną równowagę całościowego podejścia do ochrony danych krytycznych w ramach struktury finansowej.

Odniesienie: ReignVox to rosyjska firma specjalizująca się w innowacyjnych projektach i rozwiązaniach w dziedzinie technologii informatycznych oraz zapewnianiu bezpieczeństwa informacji.

Celem powstania firmy jest świadczenie usług zapewniających ochronę danych osobowych zgodnie z wymogami Ustawy „O Danych Osobowych” FZ-152 z dnia 27 lipca 2006 roku oraz budowanie zintegrowanych systemów bezpieczeństwa informacji.

ReignVox jest członkiem międzyregionalnej organizacji publicznej „Stowarzyszenie Ochrony Informacji” (IPO „AZI”), członkiem stowarzyszonym „Związku Informatyki” (Związku Informatyki), a także członkiem Stowarzyszenia Banków Regionalnych Rosji.

ReignVox ma duże doświadczenie w skutecznym wdrażaniu projektów ochrony danych osobowych w dużych bankach komercyjnych. Wśród jego klientów są NOTA-Bank, Vnesheconombank, CentroCredit, Tempbank, Alta-Bank itp.

Oszacować: