IngångModerna produkter för att skydda bankens personuppgifter. Förbättring av JSC Alfa Banks system för skydd av personuppgifter
PLACERA
om skydd av personuppgifter
Kunder (prenumeranter)
på Ortes-Finance LLC
Termer och definitioner
1.1. Personlig information— all information om en individ som identifierats eller fastställts på grundval av sådan information (föremålet för personuppgifter), inklusive efternamn, förnamn, patronym, år, månad, födelsedatum och födelseort, adress, e-postadress , telefonnummer, familj , social, fastighetsstatus, utbildning, yrke, inkomst, annan information.
1.2. Behandling av personuppgifter- åtgärder (operationer) med personuppgifter, inklusive insamling, systematisering, ackumulering, lagring, förtydligande (uppdatering, ändring), användning, distribution (inklusive överföring), depersonalisering, blockering.
1.3. Sekretess för personuppgifter— Ett obligatoriskt krav på att den utsedda ansvarig person som har fått tillgång till personuppgifter ska förhindra att de sprids utan subjektets samtycke eller annan rättslig grund.
1.4. Spridning av personuppgifter- åtgärder som syftar till överföring av personuppgifter till en viss krets av personer (överföring av personuppgifter) eller för att bekanta sig med personuppgifter för ett obegränsat antal personer, inklusive utlämnande av personuppgifter i media, placering i informations- och telekommunikationsnätverk eller ge tillgång till personuppgifter till något eller på något annat sätt.
1.5. Användning av personuppgifter- handlingar (operationer) med personuppgifter utförda i syfte att fatta beslut eller utföra andra handlingar som ger upphov till rättsliga konsekvenser i förhållande till föremålen för personuppgifter eller på annat sätt påverkar deras rättigheter och friheter eller andra personers rättigheter och friheter.
1.6. Blockering av personuppgifter- tillfälligt avbrytande av insamling, systematisering, ackumulering, användning, distribution av personuppgifter, inklusive överföring av dem.
1.7. Förstörelse av personuppgifter— Åtgärder som leder till att det är omöjligt att återställa innehållet i personuppgifter i informationssystemet för personuppgifter eller som ett resultat av vilka väsentliga bärare av personuppgifter förstörs.
1.8. Avpersonalisering av personuppgifter- handlingar, som ett resultat av vilka det är omöjligt utan användning av ytterligare information fastställa äganderätten till personuppgifter för en specifik subjekt.
1.9. Offentliga personuppgifter- personuppgifter, åtkomst för ett obegränsat antal personer som beviljas med subjektets samtycke eller som, i enlighet med federala lagar, inte omfattas av kravet på konfidentialitet.
1.10. Information- information (meddelanden, data) oavsett formen på deras presentation.
1.11. Klient (föremål för personuppgifter)- en enskild konsument av tjänster från Ortes-Finance LLC, nedan kallad "Organisationen".
1.12. Operatör- ett statligt organ, ett kommunalt organ, en juridisk person eller en individ, självständigt eller tillsammans med andra personer som organiserar och (eller) utför behandlingen av personuppgifter, samt bestämmer ändamålen med behandlingen av personuppgifter, sammansättningen av personuppgifter uppgifter som ska behandlas, åtgärder (operationer) som utförs med personuppgifter. Inom ramen för dessa regler är operatören aktiebolaget "Ortes-Finance";
2.1. Denna förordning om behandling av personuppgifter (nedan kallad förordningen) har utvecklats i enlighet med grundlagen Ryska Federationen, Ryska federationens civillag, den federala lagen "om information, informationsteknik och informationsskydd", federal lag 152-FZ "om personuppgifter", andra federala lagar.
2.2. Syftet med att utveckla förordningen är att fastställa förfarandet för behandling och skydd av personuppgifter för alla kunder i organisationen, vars uppgifter är föremål för behandling, baserat på operatörens auktoritet; säkerställa skyddet av en persons och medborgares rättigheter och friheter vid behandlingen av hans personuppgifter, inklusive skyddet av rätten till privatliv, personliga hemligheter och familjehemligheter, samt fastställa ansvaret för tjänstemän som har tillgång till personuppgifter för underlåtenhet att följa kraven i reglerna för behandling och skydd av personuppgifter.
2.3. Förfarandet för att sätta i kraft och ändra bestämmelserna.
2.3.1. Denna förordning träder i kraft från den tidpunkt den godkänns av organisationens generaldirektör och ska vara giltig på obestämd tid tills den ersätts av en ny förordning.
2.3.2. Ändringar av bestämmelserna görs på grundval av order från organisationens generaldirektör.
3. Sammansättning av personuppgifter.
3.1. Sammansättningen av klienternas personuppgifter inkluderar:
3.1.1. Fullständiga namn.
3.1.2. Födelseår.
3.1.3. Födelsemånad.
3.1.4. Födelsedatum.
3.1.5. Födelseort.
3.1.6. Passdata
3.1.7. E-postadress.
3.1.8. Telefonnummer (hem, mobil).
3.2. Organisationen kan skapa (skapa, samla in) och lagra följande dokument och information, inklusive i elektronisk form, innehållande data om klienter:
3.2.1. Ansökan om enkät om möjligheten att koppla en individ.
3.2.2. Avtal (offentligt erbjudande).
3.2.3. Bekräftelse av anslutning till avtalet.
3.2.5. Kopior av identitetshandlingar, samt andra handlingar som tillhandahålls av Kunden och som innehåller personuppgifter.
3.2.6. Uppgifter om betalningar för beställningar (varor/tjänster), som innehåller betalning och andra uppgifter om kunden.
4. Syfte med personuppgiftsbehandling.
4.1. Syftet med behandling av personuppgifter är genomförandet av en uppsättning åtgärder som syftar till att uppnå målet, inklusive:
4.1.1. Tillhandahållande av konsult- och informationstjänster.
4.1.2. Andra transaktioner som inte är förbjudna enligt lag, samt en uppsättning åtgärder med personuppgifter som är nödvändiga för att utföra ovanstående transaktioner.
4.1.3. För att uppfylla kraven i Ryska federationens lagstiftning.
4.2. Villkoret för att avsluta behandlingen av personuppgifter är likvidationen av Organisationen, såväl som motsvarande krav från Kunden.
5. Insamling, behandling och skydd av personuppgifter.
5.1. Förfarandet för att erhålla (samla in) personuppgifter:
5.1.1. Alla personliga uppgifter om klienten bör erhållas från honom personligen med hans skriftliga samtycke, med undantag för de fall som anges i punkterna 5.1.4 och 5.1.6 i dessa förordningar och andra fall som föreskrivs i Ryska federationens lagar.
5.1.2. Kundens samtycke till användning av hans personuppgifter lagras i Organisationen i pappersform och/eller elektronisk form.
5.1.3. Subjektets samtycke till behandling av personuppgifter är giltigt under hela avtalets löptid, samt inom 5 år från datumet för uppsägning av avtalsförhållandet mellan kunden och organisationen. Efter utgången av den angivna perioden anses samtycket förlängas för varje efterföljande fem år i avsaknad av information om återkallelsen.
5.1.4. Om Kundens personuppgifter endast kan erhållas från tredje part ska Kunden underrättas om detta i förväg och skriftligt samtycke inhämtas från denne. En tredje part som tillhandahåller kundens personuppgifter måste ha personens samtycke till överföringen av personuppgifter till organisationen. Organisationen är skyldig att inhämta bekräftelse från tredje part som överför Kundens personuppgifter att personuppgifter överförs med dennes samtycke. Organisationen är skyldig att, när den interagerar med tredje parter, ingå ett avtal med dem om konfidentialitet för information som rör klienters personuppgifter.
5.1.5. Organisationen är skyldig att informera Kunden om syften, påstådda källor och metoder för att inhämta personuppgifter, samt arten av de personuppgifter som ska inhämtas och konsekvenserna av Kundens vägran att lämna ut personuppgifter för att ge skriftligt samtycke att ta emot dem.
5.1.6. Behandlingen av klienters personuppgifter utan deras samtycke utförs i följande fall:
5.1.6.1. Personuppgifter är offentliga.
5.1.6.2. På begäran av auktoriserade statliga organ i fall som föreskrivs i federal lag.
5.1.6.3. Behandlingen av personuppgifter utförs på grundval av en federal lag som fastställer dess syfte, villkoren för att erhålla personuppgifter och kretsen av subjekt vars personuppgifter är föremål för behandling, samt fastställande av operatörens auktoritet.
5.1.6.4. Behandlingen av personuppgifter utförs i syfte att ingå och verkställa ett avtal, till vilken en av parterna är föremål för personuppgifter - Kunden.
5.1.6.5. Behandlingen av personuppgifter utförs för statistiska ändamål, med förbehåll för obligatorisk avpersonalisering av personuppgifter.
5.1.6.6. I andra fall enligt lag.
5.1.7. Organisationen har inte rätt att ta emot och behandla Kundens personuppgifter om hans ras, nationalitet, politiska åsikter, religiösa eller filosofiska övertygelser, hälsotillstånd, intima liv.
5.2. Förfarandet för behandling av personuppgifter:
5.2.1. Ämnet för personuppgifter ger organisationen tillförlitlig information om sig själv.
5.2.2. Endast anställda i Organisationen som får arbeta med kundens personuppgifter och som har undertecknat sekretessavtalet om kundens personuppgifter kan ha tillgång till behandlingen av kundens personuppgifter.
5.2.3. Följande personer har rätt att få tillgång till Kundens personuppgifter i Organisationen:
Organisationens generaldirektör;
Anställda som ansvarar för ekonomiska avräkningar (chef, revisor).
Anställda på avdelningen Kundrelationer (chef säljavdelning, chef).
IT-anställda (teknisk chef, systemadministratör).
Klienten som föremål för personuppgifter.
5.2.3.1. Listan över namn på organisationens anställda som har tillgång till klienternas personuppgifter bestäms av organisationens generaldirektör.
5.2.4. Behandlingen av kundens personuppgifter får utföras enbart för de ändamål som fastställs i förordningen och i enlighet med Ryska federationens lagar och andra reglerande rättsakter.
5.2.5. När organisationen bestämmer omfattningen och innehållet av behandlade personuppgifter vägleds organisationen av Ryska federationens konstitution, lagen om personuppgifter och andra federala lagar.
5.3. Skydd av personlig information:
5.3.1. Skyddet av kundens personuppgifter förstås som en uppsättning åtgärder (organisatoriska, administrativa, tekniska, juridiska) som syftar till att förhindra obehörig eller oavsiktlig åtkomst till dem, förstörelse, ändring, blockering, kopiering, distribution av personuppgifter om försökspersoner, samt som andra olagliga handlingar.
5.3.2. Skyddet av kundens personuppgifter utförs på organisationens bekostnad på det sätt som föreskrivs av Ryska federationens federala lag.
5.3.3. När Organisationen skyddar kunders personuppgifter vidtar organisationen alla nödvändiga organisatoriska, administrativa, juridiska och tekniska åtgärder, inklusive:
Antivirusskydd.
Säkerhetsanalys.
Intrångsdetektering och förebyggande.
Tillträdeskontroll.
Registrering och redovisning.
Säkerställa integritet.
Organisation av lokala lagar och metoder som reglerar skyddet av personuppgifter.
5.3.4. Den allmänna organisationen av skyddet av klienters personuppgifter utförs av organisationens generaldirektör.
5.3.5. Anställda i organisationen som behöver personuppgifter i samband med att de utför sina arbetsuppgifter har tillgång till kundens personuppgifter.
5.3.6. Alla anställda som är involverade i mottagande, bearbetning och skydd av klienters personuppgifter är skyldiga att underteckna ett sekretessavtal för personliga uppgifter om klienter.
5.3.7. Proceduren för att få tillgång till kundens personuppgifter inkluderar:
Att göra den anställde bekant med denna förordning mot underskrift. Om det finns andra regleringsakter (order, instruktioner, instruktioner etc.) som reglerar behandlingen och skyddet av Kundens personuppgifter, granskas även dessa handlingar mot underskrift.
Att kräva av en anställd (förutom generaldirektören) en skriftlig skyldighet att upprätthålla sekretessen för klienternas personuppgifter och följa reglerna för deras behandling i enlighet med organisationens interna lokala lagar som reglerar frågorna om att säkerställa säkerhet för konfidentiell information.
5.3.8. En anställd i organisationen som har tillgång till personliga uppgifter om klienter i samband med utförandet av arbetsuppgifter:
Säkerställer lagring av information som innehåller kundens personuppgifter, exklusive åtkomst till dem av tredje part.
I frånvaro av en anställd ska det inte finnas några dokument som innehåller personuppgifter om klienter på dennes arbetsplats.
När han reser på semester, under en affärsresa och i andra fall av lång frånvaro av en anställd på sin arbetsplats, är han skyldig att överföra dokument och andra medier som innehåller personuppgifter om klienter till en person som genom en lokal handling av Företaget (order, order), kommer att anförtros att utföra sina arbetsuppgifter.
Om en sådan person inte utses, överförs dokument och andra medier som innehåller klienternas personuppgifter till en annan anställd som har tillgång till klienternas personliga uppgifter på uppdrag av organisationens generaldirektör.
Vid uppsägning av en anställd som har tillgång till klienternas personuppgifter, överförs dokument och andra medier som innehåller klienternas personuppgifter till en annan anställd som har tillgång till klienternas personuppgifter på uppdrag av generaldirektören .
För att fullgöra den tilldelade uppgiften och på grundval av ett PM med ett positivt beslut från generaldirektören, kan åtkomst till Kundens personuppgifter lämnas till en annan anställd. Åtkomst till kundens personuppgifter för andra anställda i organisationen som inte har en korrekt formaliserad åtkomst är förbjuden.
5.3.9. Personalchefen tillhandahåller:
Att bekanta anställda med denna förordning mot underskrift.
Att kräva av anställda en skriftlig skyldighet att hålla sekretessen för Kundens personuppgifter (sekretessavtal) och följa reglerna för deras behandling.
Allmän kontroll över anställdas efterlevnad av åtgärder för att skydda Kundens personuppgifter.
5.3.10. Skyddet av personliga uppgifter om klienter som lagras i organisationens elektroniska databaser från obehörig åtkomst, förvrängning och förstörelse av information, såväl som från andra olagliga handlingar, tillhandahålls av systemadministratören.
5.4. Lagring av personuppgifter:
5.4.1. Kunders personuppgifter på papper lagras i kassaskåp.
5.4.2. Kunders personuppgifter lagras elektroniskt i organisationens lokala datornätverk, i elektroniska mappar och filer i personliga datorer Generaldirektör och anställda som har behörighet att behandla klienters personuppgifter.
5.4.3. Dokument som innehåller kunduppgifter förvaras i låsbara skåp (skåp) som ger skydd mot obehörig åtkomst. I slutet av arbetsdagen placeras alla dokument som innehåller kunduppgifter i skåp (skåp) som ger skydd mot obehörig åtkomst.
5.4.4. Skydd av åtkomst till elektroniska databaser som innehåller personliga uppgifter om klienter säkerställs av:
Användning av licensierade antivirus- och anti-hackerprogram som inte tillåter obehörig åtkomst till organisationens lokala nätverk.
Differentiering av åtkomsträttigheter med hjälp av konto.
Ett tvåstegssystem med lösenord: på nivån för det lokala datornätverket och på nivån för databaser. Lösenord ställs in av organisationens systemadministratör och kommuniceras individuellt till anställda som har tillgång till kundens personuppgifter.
5.4.4.1. Obehörig åtkomst till PC:n, som innehåller klienternas personliga data, blockeras av ett lösenord som ställs in av systemadministratören och är inte föremål för avslöjande.
5.4.4.2. Alla elektroniska mappar och filer som innehåller personliga uppgifter om klienter skyddas av ett lösenord, som ställs in av den anställde i organisationen som är ansvarig för PC:n och rapporteras till systemadministratören.
5.4.4.3. Lösenord ändras av systemadministratören minst en gång var tredje månad.
5.4.5. Kopiering och framställning av utdrag av kundens personuppgifter är tillåtet endast för officiella ändamål med skriftligt tillstånd från organisationens generaldirektör.
5.4.6. Svar på skriftliga förfrågningar från andra organisationer och institutioner om klienters personuppgifter ges endast med skriftligt medgivande från klienten själv, om inte annat föreskrivs i lag. Svar görs skriftligt, på Organisationens brevpapper, och i den utsträckning som tillåter att inte avslöja den överdrivna mängden av Kundens personuppgifter.
6. Blockering, depersonalisering, förstörelse av personuppgifter
6.1. Proceduren för att blockera och avblockera personuppgifter:
6.1.1. Blockering av klienters personuppgifter utförs med en skriftlig ansökan från klienten.
6.1.2. Blockering av personuppgifter innebär:
6.1.2.2. Förbud mot spridning av personuppgifter på något sätt (e-post, cellulär, materialbärare).
6.1.2.4. Återkallande av pappersdokument som hänför sig till Kunden och som innehåller dennes personuppgifter från Organisationens interna arbetsflöde och förbud mot deras användning.
6.1.3. Blockeringen av kundens personuppgifter kan tillfälligt tas bort om det krävs för att följa Ryska federationens lagstiftning.
6.1.4. Avblockering av Kundens personuppgifter sker med dennes skriftliga samtycke (om det finns behov av att inhämta samtycke) eller Kundens ansökan.
6.1.5. Kundens upprepade samtycke till behandlingen av hans personuppgifter (om nödvändigt erhålla dem) innebär att hans personuppgifter avblockeras.
6.2. Förfarandet för depersonalisering och förstörelse av personuppgifter:
6.2.1. Avpersonalisering av kundens personuppgifter sker på kundens skriftliga begäran, förutsatt att alla avtalsrelationer är slutförda och att minst 5 år har gått från datumet för utgången av det senaste kontraktet.
6.2.2. Vid avpersonalisering av personuppgifter i informationssystem ah ersätts av en uppsättning tecken med vilka det är omöjligt att avgöra om personuppgifter tillhör en viss kund.
6.2.3. Pappersbärare av dokument förstörs vid avpersonalisering av personuppgifter.
6.2.4. Organisationen är skyldig att säkerställa konfidentialitet i förhållande till personuppgifter om det är nödvändigt att testa informationssystem på utvecklarens territorium och att avpersonalisera personuppgifter i de informationssystem som överförs till utvecklaren.
6.2.5. Förstörelsen av Kundens personuppgifter innebär att all åtkomst till Kundens personuppgifter upphör.
6.2.6. När kundens personuppgifter förstörs kan organisationens anställda inte få tillgång till personens personuppgifter i informationssystem.
6.2.7. Vid förstöring av personuppgifter förstörs pappersbärare av dokument, personuppgifter i informationssystem avpersonifieras. Personuppgifter kan inte återställas.
6.2.8. Förstörelsen av personuppgifter är oåterkallelig.
6.2.9. Den period efter vilken driften av förstörelse av Kundens personuppgifter är möjlig bestäms av utgången av den period som anges i punkt 7.3 i dessa föreskrifter.
7. Överföring och lagring av personuppgifter
7.1. Överföring av personuppgifter:
7.1.1. Överföring av personens personuppgifter förstås som spridning av information genom kommunikationskanaler och på materiella medier.
7.1.2. Vid överföring av personuppgifter måste anställda i organisationen uppfylla följande krav:
7.1.2.1. Lämna inte ut kundens personuppgifter för kommersiella ändamål.
7.1.2.2. Avslöja inte klientens personuppgifter till tredje part utan skriftligt medgivande från klienten, förutom om annat föreskrivs av den ryska federationens federala lag.
7.1.2.3. Varna personer som tar emot personliga uppgifter om klienten att dessa uppgifter endast kan användas för de ändamål för vilka de rapporteras, och kräver att dessa personer bekräftar att denna regel har följts;
7.1.2.4. Tillåt åtkomst till klienters personliga data endast för särskilt auktoriserade personer, medan dessa personer bör ha rätt att endast få de personliga uppgifter om klienter som är nödvändiga för att utföra specifika funktioner.
7.1.2.5. Överföra Kundens personuppgifter inom Organisationen i enlighet med dessa Regler, regulatorisk och teknisk dokumentation och arbetsbeskrivningar.
7.1.2.6. Ge Kunden tillgång till sina personuppgifter vid kontakt eller vid mottagande av en begäran från Kunden. Organisationen är skyldig att förse Kunden med information om tillgängligheten av personuppgifter om honom, samt ge möjlighet att bekanta sig med dem inom tio arbetsdagar från datumet för begäran.
7.1.2.7. Överför Kundens personuppgifter till Kundens representanter på det sätt som föreskrivs av lag och regulatorisk och teknisk dokumentation och begränsa denna information endast till de personuppgifter om ämnet som är nödvändiga för att de angivna representanterna ska kunna utföra sina uppgifter.
7.2. Lagring och användning av personuppgifter:
7.2.1. Lagring av personuppgifter avser förekomsten av register i informationssystem och på fysiska medier.
7.2.2. Kunders personuppgifter behandlas och lagras i informationssystem, såväl som på papper i Organisationen. Kundernas personliga data lagras också i elektronisk form: i organisationens lokala datornätverk, i elektroniska mappar och filer på PC:n för generaldirektören och anställda som är behöriga att behandla klienters personuppgifter.
7.2.3. Lagringen av kundens personuppgifter får inte utföras längre än vad som krävs av behandlingens syften, om inte annat föreskrivs av Ryska federationens federala lagar.
7.3. Villkor för lagring av personuppgifter:
7.3.1. Villkoren för lagring av civilrättsliga avtal som innehåller personliga uppgifter om kunder, såväl som dokument som åtföljer deras ingående, utförande - 5 år från datumet för utgången av kontrakten.
7.3.2. Under lagringsperioden kan personuppgifter inte avpersonaliseras eller förstöras.
7.3.3. Efter utgången av lagringsperioden kan personuppgifter avpersonaliseras i informationssystem och förstöras på papper på det sätt som föreskrivs av förordningarna och den nuvarande lagstiftningen i Ryska federationen. (Bilaga lagen om förstöring av personuppgifter)
8. Personuppgiftsansvariges rättigheter
Organisationen har rätt:
8.1. Försvara dina intressen i domstol.
8.2. Tillhandahålla personliga uppgifter om klienter till tredje part, om detta föreskrivs i tillämplig lag (skatter, brottsbekämpande myndigheter, etc.).
8.3. Vägra att lämna personuppgifter i de fall som föreskrivs i lag.
8.4. Använd kundens personuppgifter utan hans samtycke, i de fall som föreskrivs i Rysslands lagstiftning.
9. Kundens rättigheter
Kunden har rätt:
9.1. Kräva förtydligande av deras personuppgifter, deras blockering eller förstörelse om personuppgifter är ofullständiga, föråldrade, opålitliga, olagligt erhållna eller inte nödvändiga för det angivna ändamålet med behandlingen, samt vidta rättsliga åtgärder för att skydda deras rättigheter;
9.2. Kräv en lista över behandlade personuppgifter som finns tillgängliga i organisationen och källan till deras mottagande.
9.3. Få information om villkoren för behandling av personuppgifter, inklusive villkoren för lagring av dem.
9.4. Kräv underrättelse till alla personer som tidigare informerats om felaktiga eller ofullständiga personuppgifter om alla undantag, korrigeringar eller tillägg som gjorts till dem.
9.5. Överklaga till det auktoriserade organet för skydd av personuppgiftspersoners rättigheter eller i domstol mot olagliga handlingar eller försummelser vid behandlingen av hans personuppgifter.
10. Ansvar för brott mot reglerna för behandling och skydd av personuppgifter
10.1. Organisationens anställda som gjort sig skyldiga till överträdelse av reglerna för mottagande, bearbetning och skydd av personuppgifter bär disciplinärt, administrativt, civilrättsligt eller straffrättsligt ansvar i enlighet med Ryska federationens nuvarande lagstiftning och organisationens interna lokala handlingar.
1. TEORETISK GRUND FÖR SÄKERHETEN FÖR PERSONUPPGIFTER
1.1 Lagstiftningsram för skydd av personuppgifter i Ryska federationen
1.3.1 generella egenskaper källor till hot om obehörig åtkomst i informationssystemet för personuppgifter.
1.3.2 Allmänna kännetecken för hot om direkt tillgång till peroperativa miljö
1.3.3 Allmänna kännetecken för hot mot personuppgifter som implementeras med hjälp av protokoll för internetarbete
1.4 Karakteristika för banken och dess verksamhet
1.5 Personliga databaser
1.5.1 Informationssystem för personuppgifter för anställda i organisationen
1.5.2 Personuppgiftsinformationssystem för åtkomstkontroll- och ledningssystemet
1.5.3 Det automatiserade banksystemets informationssystem för personuppgifter
1.6 Enhet och hot mot lokal datornätverk Burk
1.7 Informationssäkerhetsverktyg
2.2 Program- och hårdvaruskydd
2.3 Grundläggande säkerhetspolicy
2.3.1 Informationssäkerhetssystem för anställda
2.3.4 Hur anställda arbetar med e-post
2.3.5 Bankens lösenordspolicy
3. EKONOMISKA MOTIVERING AV PROJEKTET
SLUTSATS
Ansökningar.
INTRODUKTION
Den omfattande datoriseringen som började i slutet av 1900-talet fortsätter än i dag. Automatisering av processer i företag ökar arbetstagarnas produktivitet. Användare av informationssystem kan snabbt få de uppgifter som behövs för att utföra sina uppgifter. Samtidigt, tillsammans med att underlätta tillgången till data, finns det problem med säkerheten för dessa data. Genom att ha tillgång till olika informationssystem kan angripare använda dem för personlig vinning: samla in data för att sälja den på den svarta marknaden, stjäla Pengar från organisationens kunder och stjäl organisationens affärshemligheter.
Därför är problemet med skydd kritiskt viktig information för organisationer är mycket akut. I allt högre grad blir det känt från media om olika tekniker eller metoder för att stjäla pengar genom att hacka finansiella organisationers informationssystem. Efter att ha fått tillgång till informationssystem med personuppgifter kan en angripare stjäla data från kunder från finansiella organisationer, sprida information om deras finansiella transaktioner, vilket orsakar både ekonomisk och anseende skada för en bankklient. Dessutom, efter att ha lärt sig data om kunden, kan bedragare direkt ringa kunden, utger sig för att vara bankanställda och bedrägligt, med hjälp av social ingenjörsteknik, ta reda på lösenord från fjärrbanksystem och ta ut pengar från kundens konto.
I vårt land är problemet med stöld och olaglig distribution av personuppgifter mycket akut. Det finns ett stort antal resurser på internet som innehåller stulna persondatabaser, med hjälp av dessa t.ex. mobiltelefon, kan hittas mycket detaljerad information per person, inklusive deras passuppgifter, bostadsadresser, fotografier och mycket mer.
I det här examensprojektet utforskar jag processen att skapa ett system för skydd av personuppgifter på PJSC Citibank.
1. GRUNDLÄGGANDE SÄKERHETEN FÖR PERSONUPPGIFTER
1.1 Rättslig grund för skydd av personuppgifter
Idag i Ryssland utförs statlig reglering inom området för att säkerställa säkerheten för personuppgifter. De viktigaste rättsakterna som reglerar systemet för skydd av personuppgifter i Ryska federationen är Ryska federationens konstitution och den federala lagen "Om personuppgifter" daterad 27 juli 2006 nr 152-FZ. Dessa två huvudrättsakter fastställer huvudteserna om personuppgifter i Ryska federationen:
Varje medborgare har rätt till privatliv, personliga hemligheter och familjehemligheter, skydd av sin heder och goda namn;
Var och en har rätt till integritet för korrespondens, telefonsamtal, post, telegrafisk och annan kommunikation. Begränsning av denna rätt är endast tillåten på grundval av ett domstolsbeslut;
Insamling, lagring, användning och spridning av information om en persons privatliv utan hans samtycke är inte tillåtet;
Behandlingen av personuppgifter måste utföras på en laglig och rättvis grund;
Behandlingen av personuppgifter bör begränsas till att uppnå specifika, förutbestämda och legitima ändamål. Det är inte tillåtet att behandla personuppgifter som är oförenliga med syftet med att samla in personuppgifter.
Det är inte tillåtet att kombinera databaser som innehåller personuppgifter, vars behandling sker för ändamål som är oförenliga med varandra.
Endast personuppgifter som uppfyller ändamålen med deras behandling är föremål för behandling.
Vid behandling av personuppgifter måste personuppgifternas riktighet, deras tillräcklighet och vid behov deras relevans i förhållande till ändamålen med behandlingen av personuppgifter säkerställas. Operatören måste vidta nödvändiga åtgärder eller se till att de vidtas för att ta bort eller klargöra ofullständiga eller felaktiga uppgifter.
Lagringen av personuppgifter bör utföras i en form som gör det möjligt att fastställa föremålet för personuppgifter, inte längre än vad som krävs av syftet med behandlingen av personuppgifter, såvida inte perioden för lagring av personuppgifter fastställs i federal lag, ett avtal som föremålet för personuppgifter är en part, förmånstagare eller borgensman. De behandlade personuppgifterna är föremål för förstörelse eller depersonalisering vid uppnående av målen för behandlingen eller vid förlust av behovet av att uppnå dessa mål, om inte annat föreskrivs av federal lag.
Övriga regleringar som har rättslig påverkan inom området personuppgiftsskydd i organisationer bankverksamhet Ryska federationen är:
Ryska federationens federala lag av den 27 juli 2006 nr 149 FZ "Om information, informationsteknik och informationsskydd";
Ryska federationens arbetskod (kapitel 14);
Dekret från Ryska federationens regering av den 1 november 2012 nr 1119 "Om godkännande av krav för skydd av personuppgifter under deras behandling i informationssystem för personuppgifter";
Beställa FSTEC i Ryssland daterad 18 februari 2013 nr 21 ”Om godkännande av sammansättning och innehåll av organisatoriska och tekniska åtgärder för att säkerställa säkerheten för personuppgifter under deras behandling i”.
Beakta de viktigaste definitionerna som används i lagstiftningen.
Personuppgifter - all information som rör en direkt eller indirekt identifierad eller identifierbar fysisk person (föremål för personuppgifter).
Personuppgiftsoperatör - ett statligt organ, kommunalt organ, juridisk person eller individ, oberoende eller tillsammans med andra personer som organiserar och (eller) utför behandlingen av personuppgifter, samt bestämmer ändamålen med behandlingen av personuppgifter, sammansättningen av personuppgifter uppgifter som ska behandlas, åtgärder (operationer) som utförs med personuppgifter;
Behandling av personuppgifter - varje åtgärd (operation) eller en uppsättning åtgärder (operationer) som utförs med eller utan användning av automatiseringsverktyg med personuppgifter, inklusive insamling, registrering, systematisering, ackumulering, lagring, förtydligande (uppdatering, ändring), extrahering , användning, överföring (distribution, tillhandahållande, åtkomst), depersonalisering, blockering, radering, förstörelse av personuppgifter;
Automatiserad behandling av personuppgifter - behandling av personuppgifter med hjälp av datorteknik;
Spridning av personuppgifter - åtgärder som syftar till att lämna ut personuppgifter till en obestämd krets av personer;
Tillhandahållande av personuppgifter - åtgärder som syftar till att lämna ut personuppgifter till en viss person eller en viss krets av personer;
Blockering av personuppgifter - tillfälligt avbrytande av behandlingen av personuppgifter (om inte behandlingen är nödvändig för att klargöra personuppgifter);
Förstörelse av personuppgifter - åtgärder, som ett resultat av vilka det blir omöjligt att återställa innehållet i personuppgifter i informationssystemet för personuppgifter och (eller) som ett resultat av vilka väsentliga bärare av personuppgifter förstörs;
Depersonalisering av personuppgifter - åtgärder, som ett resultat av vilka det blir omöjligt, utan användning av ytterligare information, att bestämma äganderätten till personuppgifter för ett specifikt ämne av personuppgifter;
Informationssystem för personuppgifter - en uppsättning personuppgifter som finns i databaser och informationsteknik som säkerställer deras behandling och tekniska medel;
Gränsöverskridande överföring av personuppgifter - överföring av personuppgifter till en främmande stats territorium till en myndighet i en främmande stat, en främmande individ eller en utländsk juridisk enhet.
Biometriska personuppgifter - information som kännetecknar en persons fysiologiska och biologiska egenskaper, på grundval av vilken det är möjligt att fastställa dennes identitet (biometriska personuppgifter) och som används av operatören för att identifiera föremålet för personuppgifter.
Säkerhet för personuppgifter - tillståndet för skydd av personuppgifter, kännetecknat av användarnas förmåga, tekniska medel och informationsteknik att säkerställa konfidentialitet, integritet och tillgänglighet för personuppgifter under deras behandling i
1.2 Klassificering av hot mot informationssäkerheten av personuppgifter.
Ett hot om informationssäkerhet förstås som ett hot om kränkning av informationssäkerhetsegenskaper - tillgängligheten, integriteten eller konfidentialiteten hos en organisations informationstillgångar.
Listan över hot, bedömningen av sannolikheten för deras implementering samt inkräktaremodellen fungerar som grund för att analysera risken för hot och formulera krav på det automatiserade systemskyddssystemet. Förutom att identifiera möjliga hot är det nödvändigt att analysera de identifierade hoten utifrån deras klassificering enligt ett antal egenskaper. Hot som motsvarar varje klassificeringsfunktion gör att du kan förfina kravet som återspeglas av denna funktion.
Eftersom informationen som lagras och bearbetas i modern AS är utsatt för ett extremt stort antal faktorer, blir det omöjligt att formalisera uppgiften att beskriva hela uppsättningen av hot. För ett skyddat system är det därför vanligtvis inte en lista över hot som bestäms, utan en lista över hotklasser.
Klassificeringen av möjliga hot mot AS:s informationssäkerhet kan utföras enligt följande grundläggande funktioner:
Av händelsens natur:
Naturliga hot orsakade av inverkan på kärnkraftverket av objektiva fysiska processer eller naturkatastrofer;
Artificiella hot mot kärnkraftverkets säkerhet orsakade av mänskliga aktiviteter.
Beroende på graden av manifestations avsiktlighet:
Hot orsakade av mänskliga fel eller försumlighet, såsom missbruk av skyddsutrustning, vårdslöshet vid hantering av data;
Hot om avsiktliga åtgärder, som att hacka ett automatiserat system av inkräktare, förstörelse av data av anställda i organisationen för att hämnas mot arbetsgivaren.
Enligt den omedelbara källan till hot:
Naturkatastrofer, såsom naturkatastrofer, katastrofer orsakade av människor;
Mänskliga hot, till exempel: förstörelse av information, röjande av konfidentiella uppgifter;
Tillåten firmware, såsom fysiskt hårdvarufel, programvarufel, programvarukonflikter;
Otillåten mjukvara och hårdvara, till exempel införandet av hårdvarubuggar, mjukvarubuggar.
Efter hotkällans position:
Utanför det kontrollerade området, till exempel avlyssning av data som överförs via kommunikationskanaler;
O inom det kontrollerade området, till exempel, obehörig kopiering av information, obehörig åtkomst till det skyddade området;
Direkt i ett automatiserat system, till exempel felaktig användning av AS-resurser.
Beroende på graden av beroende av AS-aktivitet:
Oavsett AU:s aktivitet, till exempel fysisk stöld av lagringsmedia;
Endast under databehandling, såsom infektion med skadlig programvara.
Efter graden av påverkan på AC:
Farliga hot som, när de implementeras, inte ändrar någonting i strukturen och innehållet i AS, till exempel hotet att kopiera hemliga data;
Aktiva hot som, när de avslöjas, gör ändringar i strukturen och innehållet i AS, till exempel radering av data, deras modifiering.
Efter stadier av åtkomst för användare eller program till resurser:
Hot som visar sig i tillträdesstadiet till AS-resurser, till exempel: hot om obehörig åtkomst till AS;
Hot som dyker upp efter att ha tillåtit åtkomst till AS-resurser, till exempel felaktig användning av AS-resurser.
Som tillgång till AS-resurser:
Hot som utförs med hjälp av standardåtkomstvägen till AS-resurser
Hot som utförs med hjälp av en dold icke-standardsökväg för att komma åt AS-resurser, till exempel: obehörig åtkomst till AS-resurser genom att använda odokumenterade funktioner installerad programvara.
Enligt den aktuella platsen för information som lagras och bearbetas i AS:t:
Hot om åtkomst till information som finns på externa lagringsenheter, till exempel: kopiering av konfidentiell information från lagringsmedia;
Hot om tillgång till information som finns i random access minne, till exempel: läsning av restinformation från RAM, åtkomst till systemområdet för RAM med applikationsprogram;
Hot om tillgång till information som cirkulerar i kommunikationslinjer, till exempel: olaglig anslutning till kommunikationslinjer för att ta bort information, skicka modifierade data;
Farliga effekter på ett automatiserat system delas in i oavsiktlig och avsiktlig.
Orsakerna till oavsiktliga effekter under drift av kärnkraftverket kan vara:
Nödsituationer på grund av naturkatastrofer och strömavbrott;
Avslag på tjänster;
Programvarubuggar;
Fel i arbetet hos servicepersonal och användare;
Störningar i kommunikationslinjer på grund av miljöpåverkan.
Användning av fel i programvara är det vanligaste sättet att bryta mot informationssystemens informationssäkerhet. Beroende på programvarans komplexitet ökar antalet fel. Angripare kan hitta dessa sårbarheter och genom dem få tillgång till organisationens informationssystem. För att minimera dessa hot är det nödvändigt att hålla programvaruversionerna uppdaterade hela tiden.
Avsiktliga hot är förknippade med riktade handlingar från inkräktare. Angripare delas in i två typer: intern angripare och extern angripare. En intern inkräktare begår olagliga handlingar medan han befinner sig inom den kontrollerade zonen av det automatiserade systemet och kan använda officiell auktoritet för auktoriserad åtkomst till det automatiserade systemet. En extern angripare har inte tillgång till den kontrollerade zonen, men kan agera samtidigt med en intern angripare för att uppnå sina mål.
Det finns tre huvudsakliga informationssäkerhetshot riktade direkt mot den skyddade informationen:
Brott mot sekretess - konfidentiell information ändras inte, utan blir tillgänglig för tredje part som inte får tillgång till denna information. När detta hot realiseras är det stor sannolikhet att angriparen avslöjar den stulna informationen, vilket kan leda till ekonomisk skada eller skada på ryktet. Brott mot integriteten hos skyddad information - förvanskning, ändring eller förstörelse av information. Informationens integritet kan kränkas inte avsiktligt, utan som ett resultat av inkompetens eller vårdslöshet hos en anställd i företaget. Integritet kan också kränkas av en angripare för att uppnå sina egna mål. Till exempel att ändra kontouppgifter i ett automatiserat banksystem för att överföra pengar till en angripares konto eller ersätta personuppgifter för en organisations kund för att få information om kundens samarbete med organisationen.
Brott mot tillgången på skyddad information eller denial of service - åtgärder där en auktoriserad användare inte kan komma åt skyddad information på grund av sådana skäl som: fel på hårdvara, mjukvara, fel i det lokala nätverket.
Efter att ha övervägt hoten från automatiserade system kan du gå vidare till analysen av hoten mot informationssystemet för personuppgifter.
Informationssystem för personuppgifter - en uppsättning personuppgifter som finns i databaser och informationsteknik och tekniska medel som säkerställer behandlingen av dem.
Informationssystem för personuppgifter är en uppsättning informations- och mjukvaru- och hårdvaruelement, såväl som informationstekniker som används vid behandling av personuppgifter.
Huvudelementen i ISPD är:
Personuppgifter som finns i databaser;
Informationsteknik som används vid bearbetning av PD;
Tekniska medel som behandlar personuppgifter (datorutrustning, informations- och datorsystem och nätverk, medel och system för att överföra, ta emot och bearbeta personuppgifter, medel och system för ljudinspelning, ljudförstärkning, ljudåtergivning, medel för tillverkning, replikering av dokument och annat tekniska medel bearbetning av tal, grafik, video och alfanumerisk information);
programvara(operativsystem, databashanteringssystem, etc.);
Medel för informationsskydd ISPDn;
Tekniska hjälpmedel och system - tekniska medel och system, deras kommunikation, inte avsedda för behandling av personuppgifter, men belägna i de lokaler där ISPD är belägen.
Hot mot säkerheten för personuppgifter - en uppsättning villkor och faktorer som skapar fara för obehörig, inklusive oavsiktlig, tillgång till personuppgifter, vilket kan resultera i förstörelse, ändring, blockering, kopiering, distribution av personuppgifter, samt andra obehöriga handlingar under deras behandling i information persondatasystem.
Egenskaperna hos informationssystemet för personuppgifter som orsakar uppkomsten av UBPD inkluderar kategorin och volymen av personuppgifter som behandlas i informationssystemet för personuppgifter, strukturen för informationssystemet för personuppgifter, närvaron av ISPD-anslutningar till offentliga kommunikationsnät och (eller) internationella nätverk för informationsutbyte, egenskaperna hos delsystemets säkerhet för personuppgifter som behandlas i ISPD, sätt att behandla personuppgifter, metoder för differentiering av åtkomsträttigheter för ISPD-användare, plats och villkor för placering av ISPD tekniska medel.
Egenskaperna för spridningsmiljön för informativa signaler som innehåller skyddad information kännetecknas av den typ av fysisk miljö i vilken PD distribueras och bestäms vid bedömning av möjligheten att implementera UBPD. Förmågan hos UBPD-källor bestäms av en kombination av metoder för obehörig och (eller) oavsiktlig åtkomst till PD, som ett resultat av vilket konfidentialitet (kopiering, olaglig distribution), integritet (förstörelse, modifiering) och tillgänglighet (blockering) av PD kan kränkas.
Hotet mot säkerheten för personuppgifter realiseras som ett resultat av bildandet av en kanal för implementering av UBPD mellan källan till hotet och bäraren (källan) till PD, vilket skapar förutsättningar för att bryta mot säkerheten för PD:en. PD.
Huvudelementen i UBPD-implementeringskanalen (Figur 1) är:
Källa till UBPD - ett ämne, materiellt föremål eller fysiskt fenomen som skapar UBPD;
PD-distributionsmiljö eller influenser där ett fysiskt fält, signal, data eller program kan spridas och påverka personuppgifternas skyddade egenskaper;
Personuppgiftsbärare - en individ eller ett materiellt föremål, inklusive ett fysiskt fält där PD reflekteras i form av symboler, bilder, signaler, tekniska lösningar och processer, kvantitativa egenskaper hos fysiska storheter.
Figur 1. Generaliserat schema för kanalen för implementering av hot mot säkerheten för personuppgifter
PD-bärare kan innehålla information som presenteras i följande former:
Akustisk (tal) information som ingår direkt i ISPD-användarens talade tal när han utför funktionen röstinmatning PD i informationssystemet för personuppgifter, eller reproducerat med ISPD akustiska medel (om sådana funktioner tillhandahålls av PD-behandlingstekniken), samt ingår i elektromagnetiska fält och elektriska signaler som uppstår på grund av transformation av akustisk information;
Visa information (VI), presenterad i form av text och bilder olika enheter visning av information från datorutrustning, information och datorsystem, tekniska medel för att bearbeta grafisk, video och alfanumerisk information som är en del av ISPD;
Information som behandlas (cirkulerar) i ISPD, i form av elektriska, elektromagnetiska, optiska signaler;
Information bearbetad i ISPD, presenterad i form av bitar, bytes, filer och andra logiska strukturer.
För att bilda en systematisk lista över UBPD:er under deras bearbetning i ISPD:er och utvecklingen av privata modeller på basis av deras i förhållande till en specifik typ av ISPD:er, klassificeras hot enligt följande egenskaper (Figur 2):
Av typen av information skyddad från UBPD, innehållande PD;
Efter typer av möjliga källor till UBPD;
Efter typ av ISPD, till vilken implementeringen av UBPD är riktad;
Enligt metoden för implementering av UBPD;
Av typen av egendom för information som kränks (typ av obehöriga handlingar utförda med PD);
Genom utnyttjad sårbarhet;
Enligt påverkansobjektet.
Beroende på typerna av möjliga källor till UBPD särskiljs följande
Hotklasser:
Hot associerade med avsiktliga eller oavsiktliga handlingar från personer som har tillgång till ISPD, inklusive användare av informationssystemet för personuppgifter, som implementerar hot direkt i ISPD (intern överträdare);
Hot i samband med avsiktliga eller oavsiktliga handlingar från personer som inte har tillgång till ISPD, implementera hot från externa nätverk offentlig kommunikation och (eller) nätverk för internationellt informationsutbyte (extern inkräktare).
Dessutom kan hot uppstå från introduktionen av hårdvarubuggar och skadlig programvara.
Beroende på vilken typ av ISPD, som implementeringen av UBPD syftar till, särskiljs följande klasser av hot:
UBPD bearbetad i ISPD på basis av en autonom arbetsstation (AWP);
UBPD som behandlas i ISPD på basis av en automatiserad arbetsplats ansluten till det offentliga nätverket (till nätverket för internationellt informationsutbyte);
UBPD som behandlas i ISPD på basis av lokala informationssystem utan anslutning till det offentliga nätverket (till nätverket för internationellt informationsutbyte);
UBPD behandlad i ISPD baserat på lokala informationssystem med anslutning till det offentliga nätverket (till nätverket för internationellt informationsutbyte);
UBPD som behandlas i ISPD på basis av distribuerade informationssystem utan anslutning till det offentliga nätverket (till nätverket för internationellt informationsutbyte);
UBPD behandlas i ISPD baserat på distribuerade informationssystem kopplade till ett publikt nätverk (till ett nätverk för internationellt informationsutbyte).
Följande klasser av hot särskiljs enligt metoderna för implementering av UBPD:
Hot associerade med UA till PD (inklusive hot om att introducera skadlig programvara);
Hot om läckage av personuppgifter genom tekniska kanaler för informationsläckage;
Hot om särskilda effekter på ISPD.
Beroende på typen av otillåtna handlingar som utförs med PD, särskiljs följande klasser av hot:
Hot som leder till en kränkning av sekretessen för PD (kopiering eller otillåten distribution), vars genomförande inte direkt påverkar innehållet i informationen;
Hot som leder till obehörig, inklusive oavsiktlig, påverkan på informationens innehåll, som ett resultat av vilka PD ändras eller förstörs;
Hot som leder till obehörig, inklusive oavsiktlig, påverkan på mjukvara eller hårdvaru-programvara i ISPD, som ett resultat av vilka PD blockeras.
Följande hotklasser kännetecknas av den utnyttjade sårbarheten:
Hot implementerade med hjälp av sårbarheter i systemprogramvaran;
Hot implementerade med hjälp av sårbarheter i tillämpningsprogram;
Hot som härrör från användningen av en sårbarhet orsakad av närvaron av en hårdvaruflik i AS;
Hot implementerade med hjälp av sårbarheter i nätverkskommunikationsprotokoll och dataöverföringskanaler;
Hot till följd av utnyttjande av en sårbarhet orsakad av brister i organisationen av VBI från NSD;
Hot implementerade med hjälp av sårbarheter som orsakar förekomsten av tekniska kanaler för informationsläckage;
Hot implementerade med hjälp av sårbarheter i informationssäkerhet.
Beroende på föremålet för påverkan särskiljs följande klasser av hot:
Hot mot säkerheten för PD som behandlas på arbetsstationen;
Hot mot säkerheten för PD som bearbetas i dedikerade bearbetningsverktyg (skrivare, plottrar, plottrar, fjärrmonitorer, videoprojektorer, verktyg för ljudåtergivning, etc.);
Hot mot säkerheten för PD som sänds över kommunikationsnätverk;
Hot mot applikationsprogram som behandlar PD;
Hot mot systemprogramvara som säkerställer att ISPD fungerar.
Implementeringen av en av UBPD:erna i de listade klasserna eller deras kombination kan leda till följande typer av konsekvenser för PD-ämnen:
Betydande negativa konsekvenser för PD-personer;
Negativa konsekvenser för PD-personer;
Obetydliga negativa konsekvenser för PD-personer.
Hot om läckage av personuppgifter genom tekniska kanaler beskrivs otvetydigt av egenskaperna hos informationskällan, distributionsmediet och mottagaren av den informativa signalen, det vill säga de bestäms av egenskaperna teknisk kanal PD läcker.
Otillåtna åtkomsthot (UAH) presenteras som en uppsättning generaliserade klasser av möjliga källor till UA-hot, mjukvara och sårbarheter i programvara. hårdvara ISPD, sätt att implementera hot, påverkansobjekt (bärare av skyddad information, kataloger, kataloger, filer med PD eller PD själva) och eventuella destruktiva handlingar. En sådan representation beskrivs av följande formaliserade notation (Fig. 2).
1.3 Allmänna egenskaper hos hotkällor i
Hot mot UA i ISPD med användning av mjukvara och mjukvara och hårdvara implementeras när obehörig, inklusive oavsiktlig, åtkomst utförs, som ett resultat av vilket konfidentialitet, integritet och tillgänglighet för PD kränks, och inkluderar:
Hot om obehörig åtkomst till en dators operativa miljö med hjälp av standardprogramvara (verktyg operativ system eller allmänna tillämpningsprogram);
Hot om att skapa onormala driftsätt för programvara (mjukvara och hårdvara) innebär på grund av avsiktliga ändringar i tjänstdata, ignorering av begränsningarna för sammansättningen och egenskaperna hos den bearbetade informationen som tillhandahålls under vanliga förhållanden, förvrängning (modifiering) av själva data, etc.;
Figur 2 Klassificering av UBPD som behandlas i
Hot om att introducera skadliga program (programvara-matematisk påverkan).
Sammansättningen av elementen i beskrivningen av UA-hot mot information i ISPD visas i figur 3.
Dessutom är kombinerade hot möjliga, som är en kombination av dessa hot. Till exempel, på grund av introduktionen av skadliga program, kan villkor skapas för UA i en dators operativa miljö, inklusive genom att bilda icke-traditionella informationskanaler tillgång.
Hot om obehörig åtkomst till ISPD-operativmiljön med hjälp av standardprogramvara delas in i hot om direkt och Fjärranslutning. Hot om direktåtkomst utförs med hjälp av programvara och firmware I/O på datorn. Fjärråtkomsthot implementeras med hjälp av nätverkskommunikationsprotokoll.
Sådana hot implementeras i förhållande till ISPD både utifrån en automatiserad arbetsplats som inte ingår i det publika kommunikationsnätet, och i förhållande till alla ISPD som är anslutna till publika kommunikationsnät och internationella informationsutbytesnät.
Figur 3 Klassificering av UBPD som behandlas i
1.3.1 Allmän beskrivning av källorna till hot om obehörig åtkomst i informationssystemet för personuppgifter.
Källor till hot i pekan vara:
Inkräktare;
Bärare av ett skadligt program;
Hårdvara bokmärke.
PD-säkerhetshot i samband med introduktionen av hårdvarubuggar bestäms i enlighet med de reglerande dokumenten från Ryska federationens federala säkerhetstjänst på det sätt som fastställts av den.
Beroende på närvaron av rätten till permanent eller engångsåtkomst till den kontrollerade zonen i ISPD, är överträdare indelade i två typer:
Överträdare som inte har tillgång till ISPD, som inser hot från externa offentliga kommunikationsnätverk och (eller) internationella nätverk för informationsutbyte, är externa överträdare;
Överträdare som har tillgång till ISPD, inklusive ISPD-användare som implementerar hot direkt i ISPD, är interna överträdare.
Externa inkräktare kan vara:
Konkurrerande organisationer;
skrupelfria partners;
Externa ämnen (individuella).
En extern inkräktare har följande möjligheter:
Att utföra obehörig åtkomst till kommunikationskanaler som går utanför kontorslokalerna;
Utföra obehörig åtkomst genom arbetsstationer anslutna till offentliga kommunikationsnät och (eller) internationella nätverk för informationsutbyte;
Utföra obehörig åtkomst till information med hjälp av speciella programvaruåtgärder genom programvirus, skadlig programvara, algoritmer eller programvarubokmärken;
Utför obehörig åtkomst genom element informationsinfrastruktur informationssystem med personuppgifter, som under sin livscykel (modernisering, underhåll, reparation, bortskaffande) ligger utanför det kontrollerade området;
Att utföra obehörig åtkomst genom interagerande avdelningar, organisationer och institutioners informationssystem när de är anslutna till ISPD.
Interna potentiella kränkare är indelade i åtta kategorier beroende på metoden för åtkomst och behörighet att få åtkomst till PD.
Den första kategorin omfattar personer som har auktoriserad tillgång till ISPD, men som inte har tillgång till PD. Denna typ av förövare inkluderar tjänstemän som tillhandahåller normal funktion ISPDn.
Ha tillgång till fragment av information som innehåller PD och distribueras via interna ISPD-kommunikationskanaler;
Att ha fragment av information om topologin för ISPD och om de kommunikationsprotokoll som används och deras tjänster;
Ha namnen och utföra identifieringen av lösenord för registrerade användare;
Ändra konfigurationen av ISPD-hårdvaran, ange program- och hårdvarubokmärken i den och tillhandahåll informationshämtning med hjälp av en direkt anslutning till ISPD-hårdvaran.
Har alla förmågor hos personer i den första kategorin;
Känner till minst ett juridiskt åtkomstnamn;
Den har alla nödvändiga attribut som ger tillgång till en viss delmängd av PD;
Har konfidentiella uppgifter som han har tillgång till.
Dess åtkomst, autentisering och åtkomsträttigheter till en viss delmängd av PD bör regleras av relevanta regler för åtkomstkontroll.
Har alla förmågor hos personer i den första och andra kategorin;
Har information om ISPD-topologin baserad på ett lokalt och (eller) distribuerat informationssystem genom vilket åtkomst tillhandahålls, och om sammansättningen av ISPD:s tekniska medel;
Den har möjlighet till direkt (fysisk) tillgång till fragment av ISPD-tekniska medel.
Innehar fullständig information om systemet och programvaran som används i segmentet (fragmentet) av ISPD;
Har fullständig information om de tekniska medlen och konfigurationen av ISPD-segmentet (fragment);
Har tillgång till informationssäkerhet och loggningsverktyg, samt till enskilda element används i segmentet (fragmentet) av ISPD;
Har tillgång till alla tekniska hjälpmedel för ISPD-segmentet (fragment);
Den har rättigheter att konfigurera och administrera en del av de tekniska medlen för ISPD-segmentet (fragment).
ISPD-systemadministratörens befogenheter.
Har alla förmågor hos personer i de tidigare kategorierna;
Innehar fullständig information om systemet och applikationsmjukvaran för ISPD;
Innehar fullständig information om tekniska medel och konfiguration av ISPD;
Har tillgång till alla tekniska metoder för informationsbehandling och ISPD-data;
Innehar rättigheterna att konfigurera och administrativt ställa in ISPD tekniska medel.
Systemadministratören konfigurerar och hanterar programvaran och hårdvaran, inklusive den hårdvara som ansvarar för säkerheten för det skyddade objektet: verktyg kryptografiskt skydd information, övervakning, registrering, arkivering, skydd mot obehörig åtkomst.
Har alla förmågor hos personer i de tidigare kategorierna;
Har fullständig information om ISPD;
Har tillgång till informationssäkerhet och loggningsverktyg och till några av nyckelelementen i ISPD;
Har inga åtkomsträttigheter till att konfigurera nätverkshårdvara, förutom kontroll (inspektion).
Innehar information om algoritmer och program för att bearbeta information om ISPD;
Den har förmågan att introducera fel, odeklarerade funktioner, programvarubokmärken, skadlig programvara programvara ISPD i utvecklings-, implementerings- och underhållsstadiet;
Den kan ha vilka fragment av information som helst om topologin för ISPD och de tekniska sätten att bearbeta och skydda den PD som behandlas i ISPD.
Har förmågan att skapa bokmärken i de tekniska medlen för ISPD i utvecklings-, implementerings- och underhållsstadiet;
Den kan ha vilka fragment av information som helst om topologin för ISPD och de tekniska sätten att bearbeta och skydda information i ISPD.
Bäraren av ett skadligt program kan vara ett hårdvaruelement i en dator eller en mjukvarubehållare. Om skadlig programvara inte är associerad med någon applikationsprogram, då betraktas som dess bärare:
Alienable media, det vill säga en diskett, optisk skiva, flashminne;
Inbyggt lagringsmedium ( hårddiskar, RAM-chips, processor, chips moderkort, mikrochips av enheter inbäddade i systemenhet, - videoadapter, nätverkskort, ljudkort, modem, in-/utgångsenheter magnetiskt hårt Och optiska skivor, strömförsörjning, etc., chips för direkt minnesåtkomst, databussar, in-/utgångsportar);
Chips av externa enheter (skärm, tangentbord, skrivare, modem, skanner, etc.).
Om skadlig programvara är associerad med något program, filer som har vissa tillägg eller andra attribut, med meddelanden som sänds över nätverket, då är dess bärare:
Paket med meddelanden sända över ett datornätverk;
Filer (text, grafik, körbar, etc.).
1.3.2 Allmänna kännetecken för hot om direkt tillgång till peroperativa miljö
Hot om obehörig åtkomst till datorns operativa miljö och obehörig åtkomst till PD är förknippade med åtkomst till:
Till information och kommandon lagrade i det grundläggande I/O-systemet för ISPD, med möjlighet att avlyssna kontrollen av att ladda operativsystemet och erhålla rättigheterna för en betrodd användare;
I driftsmiljön, det vill säga i miljön för det lokala operativsystemets funktion för ett separat tekniskt medel för ISPD med möjlighet att utföra obehörig åtkomst genom att anropa vanliga program i operativsystemet eller lansera specialdesignade program som implementerar sådana åtgärder ;
Till miljön för applikationsprograms funktion (till exempel till ett lokalt databashanteringssystem);
Direkt till användarinformation (till filer, text, ljud och grafisk information, fält och register i elektroniska databaser) och beror på möjligheten att kränka dess konfidentialitet, integritet och tillgänglighet.
Dessa hot kan implementeras i fallet att erhålla fysisk åtkomst till ISPD eller åtminstone till sättet att mata in information i ISPD. De kan grupperas enligt villkoren för implementering i tre grupper.
Den första gruppen inkluderar hot som implementeras under laddningen av operativsystemet. Dessa informationssäkerhetshot syftar till att fånga upp lösenord eller identifierare, modifiera programvaran för det grundläggande in-/utdatasystemet, avlyssna nedladdningskontrollen med att ändra nödvändig teknisk information för att ta emot UA i ISPD-operativmiljön. Oftast implementeras sådana hot med hjälp av alienerade medier.
Den andra gruppen är hot som implementeras efter att operativmiljön laddats, oavsett vilket applikationsprogram som startas av användaren. Dessa hot är vanligtvis inriktade på att utföra direkt obehörig åtkomst till information. När en inkräktare får tillgång till operativmiljön kan en inkräktare använda både standardfunktionerna i operativsystemet eller något offentligt applikationsprogram (till exempel databashanteringssystem), och program speciellt skapade för att utföra obehörig åtkomst, till exempel:
Registervisare och ändringar;
Sök i program efter texter i textfiler nyckelord och kopiering;
Specialprogram för visning och kopiering av poster i databaser;
Program för att snabbt visa grafikfiler, redigera eller kopiera dem;
Stödprogram för omkonfigurationskapacitet mjukvarumiljö(ISPD-inställningar i gärningsmannens intresse).
Slutligen inkluderar den tredje gruppen hot, vars implementering bestäms av vilket av applikationsprogrammen som startas av användaren, eller av det faktum att något av applikationsprogrammen startas. De flesta av dessa hot är hot mot skadlig programvara.
1.3.3 Allmänna kännetecken för hot mot personuppgifter som implementeras med hjälp av protokoll för internetarbete
Om ISPD implementeras på basis av ett lokalt eller distribuerat informationssystem, kan informationssäkerhetshot implementeras i det genom att använda internetarbetande protokoll. Samtidigt kan NSD till PD tillhandahållas eller hotet om denial of service kan realiseras. Hot är särskilt farliga när ISPD är ett distribuerat informationssystem kopplat till offentliga nätverk och (eller) nätverk för internationellt informationsutbyte. Klassificeringsschemat för hot implementerade över nätverket visas i figur 4. Det är baserat på följande sju primära klassificeringsfunktioner.
Figur 4 Klassificeringsschema för hot som använder internetarbetande protokoll
1. Hotets karaktär. Utifrån detta kan hot vara passiva och aktiva. Ett passivt hot är ett hot, vars implementering inte direkt påverkar driften av ISPD, men de fastställda reglerna för att begränsa åtkomst till PD eller nätverksresurser kan överträdas. Ett exempel på sådana hot är hotet "Network traffic analysis" som syftar till att lyssna på kommunikationskanaler och fånga upp överförd information. Ett aktivt hot är ett hot associerat med en påverkan på ISPD-resurser, vars implementering direkt påverkar driften av systemet (konfigurationsändring, prestandaavbrott, etc.), och i strid med de fastställda reglerna för att begränsa åtkomst till PD eller nätverksresurser. Ett exempel på sådana hot är Denial of Service-hotet, marknadsfört som en "TCP request storm".
2. Syftet med genomförandet av hotet. På grundval av detta kan hot syfta till att kränka sekretessen, integriteten och tillgängligheten av information (inklusive att kränka funktionsdugligheten hos ISPD eller dess delar).
3. Villkoret för att påbörja processen för att implementera hotet. På grundval av detta kan ett hot realiseras:
På begäran från objektet mot vilket hotet genomförs. I det här fallet väntar inkräktaren på överföringen av en begäran av en viss typ, vilket kommer att vara villkoret för början av obehörig åtkomst;
Vid inträffandet av en förväntad händelse vid den anläggning mot vilken hotet implementeras. I detta fall övervakar inkräktaren ständigt tillståndet för ISPD-operativsystemet och, om en viss händelse inträffar i detta system, börjar obehörig åtkomst;
Ovillkorlig påverkan. I det här fallet är början av implementeringen av obehörig åtkomst ovillkorlig i förhållande till syftet med åtkomst, det vill säga hotet realiseras omedelbart och oavsett tillståndet i systemet.
4. Tillgänglighet respons med ISPD. På grundval av detta kan processen att implementera ett hot vara med eller utan feedback. Hotet, utfört i närvaro av feedback från informationssystemet för personuppgifter, kännetecknas av att vissa förfrågningar som överförs till ISPD kräver att överträdaren får ett svar. Följaktligen finns det en återkoppling mellan överträdaren och informationssystemet för personuppgifter, vilket gör det möjligt för överträdaren att adekvat reagera på alla förändringar som sker i ISPD. Till skillnad från hot som implementeras i närvaro av feedback från informationssystemet för personuppgifter, när hot implementeras utan feedback, är det inte nödvändigt att svara på eventuella förändringar som sker i ISPD.
5. Placeringen av inkräktaren i förhållande till ISPD. I enlighet med detta tecken realiseras hotet både inom segmentet och mellan segmentet.
Nätverkssegment - en fysisk sammanslutning av värdar (ISPD-hårdvara eller kommunikationselement som har en nätverksadress). Till exempel bildar ett segment av informationssystemet för personuppgifter en uppsättning värdar som är anslutna till servern enligt "common bus"-schemat. I fallet när det finns ett hot inom segmentet har inkräktaren fysisk åtkomst till ISPD-hårdvaruelementen. Om det finns ett hot mellan segmenten, befinner sig gärningsmannen utanför ISPD:n och inser hotet från ett annat nätverk eller från ett annat segment av informationssystemet för personuppgifter.
6. Nivå referens model Open Systems Interconnection (ISO/OSI) där hotet är implementerat. På grundval av detta kan ett hot implementeras på den fysiska, kanal-, nätverks-, transport-, sessions-, presentations- och applikationsnivåerna för ISO/OSI-modellen.
7. Förhållandet mellan antalet överträdare och ISPD-element mot vilka hotet genomförs. På grundval av detta kan ett hot klassificeras som ett hot som implementerats av en inkräktare mot ett tekniskt verktyg för ISPD ("en-till-en"-hot), mot flera tekniska medel från ISPD samtidigt ("ett-till-många"-hot) eller av flera inkräktare från olika datorer i förhållande till ett eller flera tekniska medel för ISPD (distribuerade eller kombinerade hot).
Med hänsyn till den utförda klassificeringen pekar vi ut huvudtyperna av attacker på informationssystemet för personuppgifter:
1. Analys av nätverkstrafik.
Detta hot implementeras med hjälp av speciell paketsniffer-mjukvara som fångar upp alla paket som sänds över ett nätverkssegment och pekar ut bland dem de där användar-ID och lösenord överförs. Under implementeringen av hotet studerar inkräktaren logiken i nätverket - det vill säga försöker få en en-till-en-överensstämmelse mellan de händelser som inträffar i systemet och de kommandon som skickas av värdarna vid tidpunkten för förekomsten av hotet. dessa händelser. I framtiden tillåter detta angriparen, baserat på tilldelningen av lämpliga kommandon, att få privilegierade rättigheter att agera i systemet eller utöka sina befogenheter i det, avlyssna strömmen av överförda data som utbyts mellan komponenterna i nätverksoperativsystemet för att att extrahera konfidentiell information eller identifieringsinformation, dess ersättning och modifiering.
2.Skanna nätverket.
Kärnan i hotimplementeringsprocessen är att skicka förfrågningar till ISPD-värdarnas nätverkstjänster och analysera svaren från dem. Målet är att identifiera de protokoll som används, tillgängliga portar nätverkstjänster, lagarna för bildandet av anslutningsidentifierare, definitionen av aktiva nätverkstjänster, valet av användaridentifierare och lösenord.
3. Hotet om lösenordsexponering.
Syftet med implementeringen av hotet är att få UA genom att övervinna lösenordsskyddet. En angripare kan implementera ett hot med en mängd olika metoder, såsom simpel brute force, brute force med hjälp av speciella ordböcker, installera skadlig programvara för att fånga upp lösenordet, spoofing av ett betrodd nätverksobjekt och paketsniffning. Främst för genomförandet av hotet används specialprogram som försöker få åtkomst till värden genom brute-force-lösenord. Om det lyckas kan angriparen skapa en ingångspunkt för sig själv för framtida åtkomst, som kommer att gälla även om åtkomstlösenordet ändras på värden.
4. Ersättning av ett betrodd nätverksobjekt och överföring av meddelanden via kommunikationskanaler för dess räkning med tilldelning av dess åtkomsträttigheter.
Ett sådant hot är effektivt implementerat i system där svaga algoritmer för att identifiera och autentisera värdar och användare används. Ett betrodd objekt är ett nätverksobjekt (dator, brandvägg, router, etc.) som är lagligt anslutet till servern. Två varianter av processen för att implementera detta hot kan särskiljas: med och utan att upprätta en virtuell anslutning. Implementeringsprocessen med etableringen av en virtuell anslutning består i att tilldela rättigheterna för en betrodd interaktionssubjekt, vilket gör att en inkräktare kan genomföra en session med ett nätverksobjekt på uppdrag av en betrodd subjekt. Implementering av denna typ av hot kräver att man övervinner systemet för meddelandeidentifiering och autentisering. Processen att implementera ett hot utan att upprätta en virtuell anslutning kan ske i nätverk som identifierar överförda meddelanden endast av nätverksadress avsändare. Kärnan ligger i överföringen av tjänstemeddelanden på uppdrag av nätverkskontrollenheter (till exempel på uppdrag av routrar) om att ändra routing och adressdata.
Som ett resultat av genomförandet av hotet får överträdaren åtkomsträttigheter, användarinstallerad för en betrodd abonnent, till det tekniska verktyget ISPD.
5. Att införa en falsk nätverksrutt.
Detta hot realiseras på ett av två sätt: genom intra-segment eller inter-segment påläggning. Möjligheten att införa en falsk rutt beror på de brister som är inneboende i routingalgoritmer (särskilt på grund av problemet med att identifiera nätverkskontrollenheter), som ett resultat av vilket du till exempel kan komma till en värd eller en angripares nätverk , där du kan gå in i driftmiljön för ett tekniskt verktyg som en del av en ISPD. Implementeringen av hotet är baserat på obehörig användning av routing- och nätverkskontrollprotokoll för att göra ändringar i routingtabellerna. I det här fallet måste inkräktaren skicka ett kontrollmeddelande på uppdrag av nätverkskontrollenheten (till exempel en router).
6. Introduktion av ett falskt nätverksobjekt.
Detta hot är baserat på att utnyttja svagheter i fjärrsökalgoritmer. Om nätverksobjekt initialt inte har adressinformation om varandra används olika fjärrsökningsprotokoll som består i att sända specialförfrågningar över nätet och ta emot svar på dem med den information som krävs. I det här fallet finns det möjlighet att avlyssning av inkräktaren Sök fråga och utfärdande av ett falskt svar på det, vars användning kommer att leda till den erforderliga ändringen i routing- och adressdata. I framtiden kommer hela informationsflödet associerat med offerobjektet att passera genom det falska nätverksobjektet
7. Denial of service.
Dessa hot är baserade på brister i nätverksprogramvara, dess sårbarheter som gör att inkräktaren kan skapa förutsättningar när operativsystemet inte kan behandla inkommande paket. Flera typer av sådana hot kan särskiljas:
En latent denial of service orsakad av inblandning av en del av ISPD-resurserna för att bearbeta paket som överförs av en angripare med en minskning av kommunikationskanalernas bandbredd, prestanda nätverksenheter, brott mot kraven på handläggningstid av förfrågningar. Exempel på implementering av hot av detta slag är: en riktad storm av ekoförfrågningar via ICMP-protokollet, en storm av förfrågningar att upprätta TCP-anslutningar, en storm av förfrågningar till en FTP-server;
Ett uttryckligt nekande av tjänster orsakat av uttömning av ISPD-resurser vid bearbetning av paket som överförs av en angripare (upptagande av hela bandbredden av kommunikationskanaler, översvämning av tjänsteförfrågningsköer), där juridiska förfrågningar inte kan överföras via nätverket på grund av otillgänglighet av överföringsmediet eller nekas i underhåll på grund av överfulla begärandeköer, minnesdiskutrymme, etc. Exempel på hot av denna typ är ICMP broadcast echo request storm, directed storm, mail server message storm;
Explicit nekande av tjänst orsakad av en kränkning av den logiska anslutningen mellan de tekniska medlen för ISPD när gärningsmannen skickar kontrollmeddelanden på uppdrag av nätverksenheter, vilket leder till en ändring av routing- och adressdata eller identifierings- och autentiseringsinformation;
En explicit denial of service orsakad av att en angripare sänder paket med icke-standardiserade attribut eller har en längd som överstiger den maximalt tillåtna storleken, vilket kan leda till fel på nätverksenheter som är involverade i bearbetning av förfrågningar, förutsatt att det finns fel i program som implementerar nätverksutbytesprotokoll . Resultatet av implementeringen av detta hot kan vara ett avbrott i utförandet av motsvarande tjänst för att tillhandahålla fjärråtkomst till PD i ISPD, överföring från en adress av lika många förfrågningar om anslutning till den tekniska anläggningen som en del av ISPD, som kan bearbeta trafiken så mycket som möjligt, vilket medför ett överflöde av förfrågningskön och fel på en från nätverkstjänster eller en fullständig avstängning av datorn på grund av att systemet inte kan göra något annat än att behandla förfrågningar.
8. Fjärrstart av applikationer.
Hotet ligger i önskan att köra olika tidigare inbäddade skadliga program på ISPD-värden: bokmärken, virus, "nätverksspioner", vars huvudsakliga syfte är att bryta mot konfidentialitet, integritet, tillgänglighet av information och fullständig kontroll över driften av värden. Dessutom är obehörig start av användarapplikationsprogram möjlig för att obehörigt skaffa de data som är nödvändiga för gärningsmannen, för att starta processer som kontrolleras av applikationsprogrammet, etc. Det finns tre underklasser av dessa hot:
Distribution av filer som innehåller otillåten körbar kod;
Fjärrstart av applikationen genom att fylla över bufferten av applikationsservrar;
Fjärrstart av applikationen genom att använda fjärrsystemhanteringsfunktionerna som tillhandahålls av dolda mjukvara och hårdvaruflikar eller används regelbundna medel.
Typiska hot från den första av dessa underklasser är baserade på aktivering av distribuerade filer när de av misstag nås. Exempel på sådana filer är: filer som innehåller körbar kod i form av makron (dokument Microsoft Word, Excel), html-dokument som innehåller körbar kod i formuläret ActiveX-kontroller, Java-applets, tolkade skript (till exempel JavaScript-skadlig kod); filer som innehåller körbara programkoder.
För distribution av filer kan e-post, filöverföring, nätverksfilsystemtjänster användas.
Hoten från den andra underklassen använder bristerna i program som implementerar nätverkstjänster (särskilt avsaknaden av kontroll över buffertspill). Genom att justera systemregister är det ibland möjligt att koppla om processorn, efter ett buffertspillavbrott, till exekvering av kod som finns utanför buffertgränsen.
Med hot från den tredje underklassen använder inkräktaren de funktioner för fjärrsystemhantering som tillhandahålls av dolda komponenter eller standardverktyg för hantering och administration. dator nätverk. Som ett resultat av deras användning är det möjligt att uppnå fjärrkontroll över stationen i nätverket. Schematiskt är huvudstadierna i arbetet med dessa program följande: installation i minnet; väntar på en begäran från en fjärrvärd som kör ett klientprogram och utbyter beredskapsmeddelanden med den; överföring av avlyssnad information till klienten eller ge denne kontroll över den attackerade datorn. Möjliga konsekvenser av implementeringen av hot av olika klasser visas i tabell 1
Tabell 1. Möjliga konsekvenser av genomförandet av hot av olika klasser
|
№
p/n |
Attack typ | Möjliga konsekvenser | |
| 1 | Nätverkstrafikanalys | Studie av nätverkstrafikens egenskaper, avlyssning av överförda data, inklusive användar-ID och lösenord | |
| 2 | Nätverksskanning | Definition av protokoll, tillgängliga portar för nätverkstjänster, regler för generering av anslutningsidentifierare, aktiva nätverkstjänster, användar-ID och lösenord | |
| 3 | "Lösenord" attack | Utföra alla destruktiva åtgärder relaterade till att få obehörig åtkomst | |
| 4 | Förfalska ett pålitligt nätverksobjekt | Ändra rutt för meddelanden, obehörig ändring av rutt och adressdata. Obehörig åtkomst till nätverksresurser, påförande av falsk information | |
| 5 | Att införa en falsk väg | Otillåten ändring av routing- och adressdata, analys och modifiering av överförda data, pålägg falska meddelanden̆ | |
| 6 | Injektion av ett skenbart nätverksobjekt | Avlyssning och visning av trafik. Obehörig åtkomst till nätverksresurser, påförande av falsk information | |
| 7 | Förnekande av tjänsten | Partiell resursutmattning | Minskad bandbredd för kommunikationskanaler, prestanda för nätverksenheter. Minskad prestanda för serverapplikationer. |
| Fullständig uttömning av resurser | Omöjligheten att sända meddelanden på grund av bristande tillgång till överföringsmediet, vägran att upprätta en anslutning. Förnekande av tjänsten. | ||
| Brott mot logisk koppling mellan attribut, data, objekt | Oförmåga att skicka meddelanden på grund av bristen på korrekt routing- och adressdata. Oförmåga att ta emot tjänster på grund av obehörig ändring av identifierare, lösenord, etc. | ||
| Använda buggar i program | Fel på nätverksenheter. | ||
| 8 | Fjärrstart av applikation | Genom att skicka filer som innehåller destruktiv körbar kod, virusinfektion. | Brott mot konfidentialitet, integritet, tillgänglighet av information. |
| Genom buffertspill av serverapplikationen | |||
| Genom att ta vara på möjligheter fjärrkontroll system, tillhandahållet av dolda program- och hårdvaruflikar eller använda standardverktyg | Dold systemhantering. | ||
Hotförverkligandeprocessen består i allmänhet av fyra steg:
Insamling av information;
Intrång (penetration i driftmiljön);
Implementering av obehörig åtkomst;
Eliminering av spår av obehörig åtkomst.
I stadiet för insamling av information kan överträdaren vara intresserad av olika information om ISPD, inklusive:
Om topologin för nätverket där systemet fungerar. Detta kan utforska området runt nätverket (till exempel kan inkräktaren vara intresserad av adresserna till betrodda, men mindre säkra värdar). Det finns parallella värdtillgänglighetsverktyg som kan skanna ett stort område av adressutrymmet för värdtillgänglighet på kort tid.;
Om typen av operativsystem (OS) i ISPD. Du kan notera metoden för att bestämma typen av OS, som enkel fråga för att upprätta en anslutning via Telnets fjärråtkomstprotokoll, som ett resultat av vilket, genom att svaret "visas", kan du bestämma värd OS-typen. Närvaron av vissa tjänster kan också tjäna som en ytterligare indikation på värd OS-typen;
Om tjänster som fungerar på värdar. Definitionen av tjänster som körs på en värd är baserad på metoden "öppna portar" för att samla in information om tillgängligheten för en värd.
I invasionsstadiet undersöks förekomsten av typiska sårbarheter i systemtjänster eller fel i systemadministrationen. Framgångsrik exploatering av sårbarheter resulterar vanligtvis i att en angripares process får privilegierat körningsläge (tillgång till processorns privilegierade körningsläge), injicerar ett olagligt användarkonto i systemet, erhåller en lösenordsfil eller stör den attackerade värden.
Detta stadium av utvecklingen av hotet är som regel flerfas. Faserna i hotimplementeringsprocessen kan till exempel inkludera: upprättande av en förbindelse med värden mot vilken hotet implementeras; identifiering av sårbarhet; införandet av ett skadligt program i intresse av bemyndigande etc.
Hot som implementeras vid intrångsstadiet är uppdelade i lager av TCP/IP-protokollstacken, eftersom de bildas på nätverks-, transport- eller applikationsnivå, beroende på vilken intrångsmekanism som används. Typiska hot som implementeras på nätverks- och transportnivåer inkluderar följande:
Ett hot som syftar till att ersätta ett pålitligt objekt;
Ett hot som syftar till att skapa en falsk rutt i nätverket;
Hot som syftar till att skapa ett falskt objekt med hjälp av bristerna hos fjärrsökalgoritmer;
Denial of service-hot.
Typiska hot som implementeras på applikationsnivå inkluderar hot som syftar till obehörig lansering av applikationer, hot, vars implementering är förknippad med introduktionen av programvarubuggar, med upptäckten av åtkomstlösenord till ett nätverk eller till en specifik värd, etc. Om implementeringen av hotet inte gav överträdaren de högsta åtkomsträttigheterna i systemet, är försök att utöka dessa rättigheter till högsta möjliga nivå. För detta kan sårbarheter i inte bara nätverkstjänster utan även sårbarheter i systemprogramvaran för ISPDN-värdar användas.
Vid genomförandet av obehörig åtkomst uppnås målet att implementera hotet:
Brott mot konfidentialitet (kopiering, olaglig distribution);
Kränkning av integritet (förstörelse, förändring);
Brott mot tillgänglighet (blockering).
I samma skede, efter dessa åtgärder, bildas som regel den så kallade "bakdörren" i form av en av tjänsterna som betjänar en viss hamn och utför inkräktarens kommandon. "Bakdörren" lämnas kvar i systemet i syfte att säkerställa: möjligheten att få tillgång till värden, även om administratören eliminerar sårbarheten som används för att framgångsrikt implementera hotet; förmågan att komma åt värden så diskret som möjligt; förmågan att snabbt få tillgång till värden (utan att upprepa processen för att implementera hotet). "Bakdörr" tillåter en angripare att injicera ett skadligt program i ett nätverk eller på en specifik värd, till exempel en "lösenordsanalysator" - ett program som extraherar användar-ID och lösenord från nätverkstrafik när protokoll på hög nivå körs). Objekten för injicering av skadlig programvara kan vara autentiserings- och identifieringsprogram, nätverkstjänster, operativsystemets kärna, filsystem, bibliotek osv.
Slutligen, vid eliminering av spår av hotets genomförande, görs ett försök att förstöra spåren av inkräktarens handlingar. Detta tar bort motsvarande poster från alla möjliga granskningsloggar, inklusive register om det faktum att information samlades in.
1.4 Karakteristika för banken och dess verksamhet
PJSC Citibank är en finans- och kreditorganisation inom Ryska federationens banksystem som utför finansiella transaktioner med pengar och värdepapper. Banken tillhandahåller finansiella tjänster till privatpersoner och juridiska personer.
De huvudsakliga aktiviteterna är utlåning till juridiska personer och individer, service av företagskunders konton, attrahera medel från befolkningen i inlåning, verksamhet på valuta- och interbankmarknaderna, investeringar i obligationer och växlar.
Banken har bedrivit sin finansiella verksamhet sedan 1 augusti 1990, på grundval av den allmänna licensen från Bank of Russia för bankverksamhet nr 356.
Banken har tre personuppgiftssystem:
Informationssystem med personuppgifter för bankens anställda - gör det möjligt att identifiera 243 ämnen av personuppgifter;
Informationssystem för personuppgifter i åtkomstkontroll- och ledningssystemet - låter dig identifiera 243 ämnen med personuppgifter;
Informationssystem för personuppgifter i det automatiserade banksystemet - låter dig identifiera 9681 personer med personuppgifter.
1.5 Personliga databaser
Banken behöver skydda flera informativa personuppgifter samtidigt, nämligen:
Informationssystem med personuppgifter om bankens anställda;
Informationssystem för personuppgifter i åtkomstkontroll- och ledningssystemet;
Informationssystem för personuppgifter i det automatiserade banksystemet.
1.5.1 Informationssystem för personuppgifter för anställda i organisationen
ISPD för bankens anställda används för att tillfalla bankens anställda lön, automatisera arbetet för anställda på HR-avdelningen, automatisera arbetet för anställda på bankens redovisningsavdelning och lösa andra personal- och redovisningsfrågor. Består av en databas 1C "Lön och personalhantering", ligger på en separat arbetsstation med möjlighet att ansluta till arbetsplatsen över nätverket. Arbetsstationen finns på HR-avdelningens kontor. En operationssal är installerad på arbetsstationen Microsoft system Windows XP. Det finns ingen internetanslutning på arbetsstationen.
Fullständiga namn;
Födelsedatum;
Passets serie och nummer;
Telefonnummer;
Rätten att arbeta med programvaran 1C "Lön och personalhantering" och databasen med personuppgifter har:
Kamrer;
Chefsrevisorns assistent;
Chef för personalavdelningen;
Löneansvarig anställd för bankens anställda.
Manuell dataändring;
1.5.2 Personuppgiftsinformationssystem för åtkomstkontroll- och ledningssystemet
Pei passerkontroll- och hanteringssystemet används för att lagra personuppgifter om anställda och besökare i banken som har tillgång till bankens olika lokaler. ISDN för passerkontroll- och hanteringssystemet används av bankens säkerhetsavdelning. ISPD-databasen är installerad på arbetsstationen i säkerhetsavdelningens säkerhetsrum. Microsoft Windows 7 operativsystem är installerat på arbetsstationen ISPD, Microsoft DBMS används som ett databashanteringssystem SQL Server 2012. AWP ISPD har inte tillgång till det lokala nätverket, och har inte heller tillgång till Internet.
ISPD lagrar följande personuppgifter:
Fullständiga namn;
Foto på en anställd.
Rätten att arbeta med ISPDn åtkomstkontroll och hanteringssystem har:
chef för bankens säkerhetsavdelning;
biträdande chef för bankens säkerhetsavdelning;
Anställda på bankens säkerhetsavdelning.
Tillgång till den automatiserade arbetsplatsen för passerkontroll- och hanteringssystemet har:
Systemadministratörer, för att administrera arbetsstationen och programvaran 1C "Lön och personalhantering" och persondatabas;
Anställda på den avdelning som ansvarar för bankens informationssäkerhet för att administrera AWP-informationsskyddssystemet.
Följande funktioner kan utföras i ISPD för bankanställda:
Automatisk radering av personuppgifter;
Manuell borttagning personlig information;
Manuell dataändring;
Manuellt tillägg personlig information;
Automatisk sökning efter personuppgifter.
I pelagras uppgifter som gör det möjligt att identifiera 243 anställda i banken.
Efter att ha uppnått målen med att behandla medarbetarens personuppgifter raderas hans personuppgifter från ISPD.
1.5.3 Det automatiserade banksystemets informationssystem för personuppgifter
Det automatiserade banksystemets är utformat för att automatisera arbetet för de flesta bankanställda. Det förbättrar de anställdas produktivitet. Komplexet används som ett automatiserat banksystem mjukvaruprodukter"CFT-Bank", producerad av gruppen av företag "Center of Financial Technologies". Oracle programvara används som ett databashanteringssystem. ISPD är installerat på bankens server, operativsystemet installerat på servern är Microsoft Windows Server 2008R2. Det automatiserade banksystemets ISPD är ansluten till bankens lokala datornät, men har inte tillgång till Internet. Användare är anslutna till ISPD-databasen med hjälp av CFT-Banks mjukvaruprodukter från dedikerade virtuella terminaler. Varje användare har sin egen inloggning och lösenord i ISPD.
Personuppgifter som behandlas i ISPD:
Fullständiga namn;
Födelsedatum;
Passets serie och nummer;
Telefonnummer;
Följande personer har rätt att arbeta med CFT-Banks programvara och persondatabas:
personal på ekonomiavdelning;
Lånetjänstemän;
Anställda på riskhanteringsavdelningen;
Anställda på säkerhetsavdelningen;
Personliga chefer;
Kundansvariga;
Säkerhetspersonal.
Tillgång till arbetsstationen är tillgänglig för:
Systemadministratörer för att administrera servern, persondatabas och CFT-Bank-programvara;
Anställda i avdelningen som ansvarar för bankens informationssäkerhet för att administrera servern, persondatadatabasen och CFT-Bankens programvara.
Följande funktioner kan utföras i ISPD för bankanställda:
Automatisk radering av personuppgifter;
Manuell radering av personuppgifter;
Manuell tillägg av personuppgifter;
Manuell dataändring;
Automatisk sökning efter personuppgifter.
I pelagras uppgifter som gör det möjligt att identifiera 243 anställda i banken och 9 438 kunder i banken.
Efter att ha uppnått målen med att behandla medarbetarens personuppgifter raderas hans personuppgifter från ISPD.
1.6 Struktur och hot i bankens lokala nätverk
Banken har ett klient-servernätverk. Namnet på domänen där användarnas arbetsstationer finns är vitabank.ru. Totalt har banken 243 automatiserade användararbetsstationer, samt 10 virtuella servrar och 15 virtuella arbetsstationer. Systemadministrationsavdelningen övervakar nätverkets prestanda. Nätverket bygger huvudsakligen på Ciscos nätverksutrustning. Kommunikation med ytterligare kontor upprätthålls med hjälp av VPN-kanaler som använder Internet via Internetleverantörens aktiva kanaler och backupkanaler. Utbytet av information med centralbanken sker genom en särskild kanal, såväl som genom konventionella kommunikationskanaler.
Alla användare har tillgång till Internet på lokala arbetsstationer, men arbetet med bankens dokument och informationssystem utförs endast med virtuella arbetsstationer, där tillgången till Internet är begränsad och endast bankens lokala resurser laddas.
Tillgång till Internet från lokala arbetsstationer avgränsas av åtkomstgrupper:
Minimiåtkomst - tillgång endast till resurserna för federala tjänster, till Rysslands Banks webbplats;
Normal åtkomst - alla resurser är tillåtna förutom underhållning, sociala nätverk, titta på videor och ladda ner filer är förbjudet.
Full åtkomst - alla resurser och filuppladdningar är tillåtna;
Resursfiltrering efter åtkomstgrupper implementeras av proxyservern.
Nedan visas ett diagram över PJSC Citibanks nätverk (Fig. 5).
1.7 Informationssäkerhetsverktyg
Informationssäkerhetsmedel är en uppsättning tekniska, tekniska, elektriska, elektroniska, optiska och andra enheter och enheter, instrument och tekniska system, samt andra element som används för att lösa olika problem med informationsskydd, inklusive att förhindra läckage och säkerställa säkerheten för skyddad information.
Informationssäkerhetsverktyg när det gäller att förhindra avsiktliga handlingar, beroende på implementeringsmetoden, kan delas in i grupper:
Tekniska (hårdvara) medel. Dessa är enheter av olika slag (mekaniska, elektromekaniska, elektroniska, etc.), som löser problemen med informationsskydd med hårdvara. De förhindrar åtkomst till information, bland annat genom att maskera den. Hårdvara inkluderar: brusgeneratorer, nätverksfilter, skanningsradio och många andra enheter som "blockerar" potentiella informationsläckagekanaler eller låter dem upptäckas. Fördelarna med tekniska medel är relaterade till deras tillförlitlighet, oberoende av subjektiva faktorer och hög motståndskraft mot modifiering. Svagheter - brist på flexibilitet, relativt stor volym och vikt, hög kostnad.
Figur 5 PJSC Citibank nätverksdiagram
Mjukvaruverktyg inkluderar program för användaridentifiering, åtkomstkontroll, informationskryptering, radering av kvarvarande (arbets)information såsom temporära filer, testkontroll av skyddssystemet etc. Fördelarna med mjukvaruverktyg är mångsidighet, flexibilitet, tillförlitlighet, enkel installation , förmåga att modifiera och utveckla. Nackdelar - begränsad funktionalitet hos nätverket, användningen av en del av resurserna på filservern och arbetsstationerna, hög känslighet för oavsiktliga eller avsiktliga ändringar, eventuellt beroende av typerna av datorer (deras hårdvara).
Blandad hårdvara och mjukvara implementerar samma funktioner som hårdvara och mjukvara separat, och har mellanliggande egenskaper.
Alla bankens kontorslokaler övervakas av säkerhetstjänsten med hjälp av ett passerkontroll- och ledningssystem samt ett videoövervakningssystem. Inträde till bankens kontorslokaler utförs med lämpliga behörigheter i passerkontroll- och ledningssystemet. En anställd får vid ansökning om jobb, eller en besökare av banken, om det är nödvändigt för att komma åt bankens kontorslokaler, kontaktlösa närhetskort på vilka användaridentifikationen är registrerad och när han försöker komma åt kontoret, denna identifierare överförs till åtkomstkontroll- och hanteringssystemet. Systemet jämför listan över rum som kortanvändaren får gå in i med rummet han vill gå in i och tillåter eller begränsar åtkomst till rummet.
Antivirusprogram installeras på bankens arbetsstationer Kaspersky Endpoint Security 10, som har ett certifikat för överensstämmelse från FSTEC of Russia nr 3025, giltigt till 25 november 2019, virussignaturdatabaser uppdateras centralt server del antivirus installerat på servern som finns i banken.
För att organisera elektronisk dokumenthantering med centralbanken hade myndigheterna i banken en särskild kommunikationslinje.
Att organisera elektronisk dokumenthantering med federala tjänster (Federal Tax Service, Pensionsfond Ryssland, Financial Monitoring Service, etc.) används en elektronisk signatur. Att arbeta med elektronisk signatur specialiserad programvara installeras på lokala arbetsstationer för artister som ansvarar för dokumentcirkulation med federala tjänster:
Crypto-Pro CSP;
Krypto-ARM;
CIPF Verba-OW;
CIPF-validering;
Signal-COM CSP.
Användningen av viss programvara av entreprenören beror på kraven från en viss federal byrå.
En Cisco ASA 5512-brandvägg tillverkad av Cisco Corporation är installerad i utkanten av bankens lokala nätverk. Kritiska banksystem (Workstation of the Bank of Russia Client, SWIFT, Banks ISPD) är dessutom separerade från bankens lokala nätverk av Cisco-brandväggar. VPN-tunnlar för kommunikation med ytterligare ett kontor organiseras med hjälp av Cisco-brandväggar.
1.8 Organisatoriska skyddsåtgärder
Enligt en studie gjord av det brittiska revisions- och konsultföretaget Ernst & Yong 2014 anser 69 procent av företagen som deltar i studien företagsanställda vara den främsta källan till hot mot informationssäkerhet.
Anställda på företaget kan av okunnighet eller inkompetens inom informationssäkerhetsområdet avslöja kritisk information som är nödvändig för att utföra riktade attacker mot organisationen. Angriparna skickar även nätfiskemeddelanden med inbäddad skadlig programvara som gör att angriparna kan få kontroll över den anställdes arbetsplats och attackera bankens informationssystem från denna arbetsplats.
Därför är informationssäkerhetsavdelningen i banken skyldig att utbilda bankens anställda i de grundläggande principerna för informationssäkerhet, övervaka efterlevnaden av säkerhetskrav vid arbete på arbetsplatsen samt informera bankens anställda om nya informationssäkerhetshot som de kan möta. .
På PJSC Citibank genomgår alla anställda en introduktionsgenomgång vid anställning. Dessutom genomgår nyanställda, anställda som flyttats från andra strukturavdelningar en inledande genomgång på informationssäkerhetsavdelningen, där de anställda förklaras de grundläggande informationssäkerhetsreglerna vid arbete med bankens informationssystem, säkerhetsregler vid arbete på Internet, säkerhetsregler när du arbetar med e-postbanken, bankens lösenordspolicy.
Anställda på bankens informationssäkerhetsavdelning är involverade i utvecklingen och implementeringen av bankens nya informationssystem på alla nivåer av systemutveckling.
I stadiet av systemdesign och utarbetande av mandat för utveckling av ett informationssystem ställer informationssäkerhetsavdelningen säkerhetskrav på systemet.
Vid utvecklingen av ett informationssystem studerar anställda på informationssäkerhetsavdelningen den aktuella dokumentationen, testar programvaran för eventuella sårbarheter i programkoden.
Vid test- och driftsättningsstadiet för informationssystemet deltar informationssäkerhetsavdelningen aktivt i att testa informationssystemet, genomför penetrationstester i informationssystemet och överbelastningstester samt distribuerar åtkomsträttigheter till informationssystemet.
I driftstadiet för det informationssystem som redan tagits i drift övervakar och upptäcker informationssäkerhetsavdelningen misstänkt aktivitet.
Vid färdigställandet av informationssystemet bygger informationssäkerhetsavdelningen, utifrån de uppgifter som erhållits under driften av informationssystemet, nya krav på informationssystemet.
Informationssäkerhetsavdelningen vid PJSC Citibank godkänner alla förfrågningar om tillgång till resurser på Internet, såväl som till bankens interna resurser.
1.9 Personuppgiftsbehandlingscykel
Personuppgifter som lagrats i banken erhölls endast lagligt.
De mottagna personuppgifterna om en anställd i banken behandlas endast för att banken ska kunna fullgöra sina skyldigheter enligt det avtal som ingåtts med den anställde. Personuppgifterna om bankens medarbetare erhålls från den anställde själv. Alla anställda i banken är bekanta med underskrift med bankens dokument som fastställer förfarandet för behandling av personuppgifter om anställda i banken, såväl som deras rättigheter och skyldigheter inom detta område.
Personuppgifterna för bankanställda som lagras i ISPD för åtkomstkontroll- och ledningssystemet är avsedda att tillåta den anställde att komma in på arbetsplatsen.
De personuppgifter om bankens kunder som lagras i det automatiserade banksystemets ISPD behandlas där endast för att banken ska kunna fullgöra sina skyldigheter enligt det avtal som ingåtts med bankens kund. I ISPD för det automatiserade banksystemet behandlas också personuppgifter om personer som inte ingick ett avtal med banken, men som erhållits lagligt, till exempel personuppgifter som tas emot och behandlas på begäran av federal lag nr. med kriminella medel och finansiering av terrorism”.
Efter att ha uppnått målen med att behandla personuppgifter förstörs eller avpersonaliseras de.
2. UTVECKLING AV ÅTGÄRDER FÖR ATT SKYDDA PERSONUPPGIFTER I BANKEN
På PJSC Citibank regleras personuppgiftsskyddssystemet av både statliga lagar och lokala bestämmelser (till exempel reglerna för fjärrbanktjänster för juridiska personer och enskilda företagare i PJSC CITIBANK” i bilaga 1).
PJSC Citibanks personuppgiftssystem har varit tillräckligt, för att undvika enkla attacker som nätfiske och infektion av arbetsstationer med ransomware-virus, men den klarar inte av riktade attacker som syftar till att stjäla personlig data.
Jag utförde arbete med omstrukturering och modernisering av personuppgiftsskyddssystemet.
2.1 Åtgärder för att skydda bankens lokala datornät ochet
Det finns uttalade svagheter i Citibank-nätverket, med hjälp av vilka angripare kan få full tillgång till bankens nätverk och ta kontroll över det, varefter de fritt kan stjäla, ändra eller radera personliga uppgifter från kunder eller bankanställda.
Eftersom bankens nätverk är ett enda segment måste det för att minimera riskerna för att inkräktare kommer in i bankens nätverk delas upp i flera segment med hjälp av teknik virtuella nätverk.
Konceptet med virtuell nätverksteknik (VLAN) är att nätverksadministratören kan skapa logiska grupper av användare i den, oavsett vilken del av nätverket de är anslutna till. Du kan kombinera användare till logiska arbetsgrupper, till exempel utifrån det gemensamma arbetet som utförs eller den gemensamt lösta uppgiften. Samtidigt kan användargrupper interagera med varandra eller vara helt osynliga för varandra. Gruppmedlemskap är föränderligt och en användare kan vara medlem i flera logiska grupper. Virtuella nätverk bildar logiska broadcast-domäner, vilket begränsar passagen av broadcast-paket genom nätverket, precis som routrar, som isolerar broadcast-trafik mellan nätverkssegment. På detta sätt förhindrar det virtuella nätverket broadcaststormar från att inträffa eftersom utsändningsmeddelanden är begränsade till medlemmar i det virtuella nätverket och inte kan tas emot av medlemmar i andra virtuella nätverk. Virtuella nätverk kan tillåta åtkomst till medlemmar i ett annat virtuellt nätverk i de fall där det är nödvändigt att få tillgång till delade resurser, såsom filservrar eller applikationsservrar, eller där en gemensam uppgift kräver interaktion mellan olika tjänster, såsom kredit- och avvecklingsavdelningar. Virtuella nätverk kan skapas på basis av switchportar, fysiska adresser till enheter som ingår i nätverket och logiska adresser till protokoll på den tredje nivån av OSI-modellen. Fördelen med virtuella nätverk ligger i switcharnas höga hastighet, eftersom moderna switchar innehåller en specialiserad uppsättning integrerade kretsar speciellt utformade för att lösa switchproblem på den andra nivån av OSI-modellen. Virtuella nätverk på den tredje nivån är de enklaste att installera om ingen omkonfigurering av nätverksklienter krävs, de svåraste att administrera, eftersom varje åtgärd med en nätverksklient kräver antingen en omkonfigurering av själva klienten eller routern, och är den minst flexibla, eftersom routing krävs för att kommunicera virtuella nätverk, vilket ökar kostnaderna för systemet och minskar dess prestanda.
Således kommer skapandet av virtuella nätverk i banken att förhindra ARP-spoofing-attacker. Skadliga aktörer kommer inte att kunna fånga upp informationen som passerar mellan servern och klienten. När angripare penetrerar nätverket kommer inte angriparna att kunna skanna hela bankens nätverk, utan bara nätverkssegmentet som de fick tillgång till.
När angripare infiltrerar bankens nätverk kommer angripare först av allt att skanna nätverket för att hitta kritiska nätverksnoder. Dessa noder är:
domänkontrollant;
Mejl server;
Fil server;
Applikationsserver.
Eftersom det lokala nätverket i banken kommer att organiseras med hjälp av virtuell nätverksteknik, kommer angripare inte att kunna upptäcka dessa noder utan ytterligare steg. För att göra det svårare för angripare att hitta kritiska noder på det lokala nätverket och förvirra dem, och i framtiden studera angriparnas strategi när de utför en attack på nätverket, är det nödvändigt att använda falska objekt som kommer att locka angripare . Dessa föremål kallas Honeypots.
Uppgiften för Honeypot är att attackeras eller otillåten forskning, som sedan kommer att tillåta dig att studera angriparnas strategi och bestämma listan över sätt med vilka verkliga säkerhetsobjekt kan träffas. En honeypot-implementering kan antingen vara en dedikerad dedikerad server eller en enda nätverkstjänst vars uppgift är att locka hackares uppmärksamhet.
En honungskruka är en resurs som inte gör något utan att påverka den. Honeypot samlar in en liten mängd information efter att ha analyserat vilken statistik som bygger på metoderna som används av kex, samt förekomsten av eventuella nya lösningar som senare kommer att användas i kampen mot dem.
En webbserver som till exempel inte har något namn och som är praktiskt taget okänd för någon bör därför inte ha gäster som kommer åt den, så alla som försöker bryta sig in i den är en potentiell angripare. Honeypot samlar in information om beteendet hos dessa kex och hur de påverkar servern. Därefter samlar specialisterna på informationssäkerhetsavdelningen information om attacken från inkräktare på resursen och utvecklar strategier för att avvärja attacker i framtiden.
För att kontrollera information som kommer från Internet och upptäcka hot mot informationssäkerheten i skedet av deras överföring över nätverket, samt för att upptäcka aktiviteten hos inkräktare som har penetrerat bankens lokala nätverk, är det nödvändigt att installera ett intrångsskyddssystem på kanten på nätverket.
Ett intrångsskyddssystem är en mjukvara eller hårdvara som är nätverksansluten och datorsäkerhet, som upptäcker intrång eller säkerhetsintrång och automatiskt skyddar mot dem.
Intrusion Prevention Systems kan ses som en förlängning av Intrusion Detection Systems, eftersom uppgiften att spåra attacker förblir densamma. De skiljer sig dock åt genom att systemet för förebyggande av intrång övervakar aktivitet i realtid och snabbt implementerar attackförebyggande åtgärder.
Intrångsdetektering och förebyggande system är indelade i:
System för förebyggande av nätverksintrång - analysera trafik som riktas till organisationens nätverk, passerar genom själva nätverket eller riktas till en specifik dator. Intrångsdetektering och förebyggande system kan implementeras med mjukvara eller hårdvara-mjukvarumetoder, installerade på omkretsen företagsnätverk och ibland inom den.
System för förebyggande av personligt intrång är programvara som installeras på arbetsstationer eller servrar och som låter dig kontrollera applikationernas aktivitet, samt övervaka nätverksaktiviteten för eventuella attacker.
Ett system för förebyggande av nätverksintrång valdes för utplacering i bankens nätverk.
Anses vara nätverkssystem intrång av IBM, Check Point, Fortinet, Palo Alto, eftersom den deklarerade funktionaliteten hos tillverkarna av dessa system uppfyllde kraven från bankens informationssäkerhetsavdelning.
Efter att ha installerat testbänkar och testat intrångsförebyggande system valdes Check Point-systemet då det visade den bästa prestandan, det bästa virusdetektionsundersystemet som överförs över ett lokalt nätverk, de bästa verktygen för att logga och logga viktiga händelser och anskaffningspriset.
IBM:s intrångsskyddssystem avvisades eftersom kostnaden för enheterna översteg informationssäkerhetsavdelningens budget för inköp av ett intrångsskyddssystem.
Fortinets intrångsskyddssystem avvisades på grund av ofullständig respons när informationssäkerhetsavdelningen utförde tester för överföring av infekterade filer och otillräckligt informativa verktyg för att logga viktiga händelser.
Palo Altos intrångsförebyggande system avvisades på grund av otillräckligt informativa verktyg för att logga viktiga händelser, överdriven komplexitet att arbeta med systemet och agera mer som en router.
Check Points intrångsskyddssystem valdes för implementering i det lokala nätverket. Detta system visade en hög nivå av upptäckt av informationssäkerhetshot, flexibla inställningar, möjligheten att utöka funktionaliteten genom att köpa ytterligare programvarumoduler, det har ett kraftfullt system för att logga viktiga händelser och en kraftfull verktygslåda för att tillhandahålla incidentrapporter, som kan användas att undersöka informationssäkerhetsincidenter mycket enklare.
Nätverksdiagrammet för PJSC Citibank med en ändrad arkitektur visas i figur 6.
2.2 Program- och hårdvaruskydd
Eftersom säkerheten för personuppgifter inte kan säkerställas endast genom nätverksskydd, eftersom inkräktare, trots alla åtgärder som vidtagits för att skydda nätverket, kan få tillgång till bankens nätverk.
Figur 6 PJSC Citibank nätverksdiagram med ytterligare säkerhetssystem
För ett mer motståndskraftigt skydd mot attacker är det nödvändigt att lägga till mjukvaru- och hårdvaruskyddsenheter för lokala arbetsstationer, virtuella arbetsstationer, virtuella och vanliga servrar till enheterna som är utformade för att skydda nätverket.
Som du vet ger antivirusprogram inte ett fullständigt skydd mot skadlig programvara, eftersom de fungerar enligt principen om signaturanalys. Ett antivirusprogramföretag har experter i sin personal som övervakar virusaktivitet på Internet, studerar virusprograms beteende på teststationer och skapar signaturer som sedan skickas till användarnas datorer genom att uppdatera signaturdatabaser för antivirusprogram. Efter att ha fått en uppdaterad databas med antivirusprogramsignaturer skannar antiviruset filer på användarens arbetsstation och letar efter tecken på skadlig programvara; om sådana tecken hittas under skanningen signalerar antiviruset detta och agerar i enlighet med inställningarna som ställs in av användaren eller antivirusadministratören. Således, om skadlig programvara inte upptäcks och analyseras av experterna från antivirusprogramföretaget, kommer antivirusprogrammet inte att kunna upptäcka skadlig programvara och kommer inte att vidta några åtgärder, med tanke på att den skannade filen är säker. Därför, för att minska sannolikheten för tillgång till nätverket och lanseringen av skadlig programvara, installerades en andra krets i banken antivirusskydd. Eftersom de flesta antivirusprogramföretag arbetar separat från varandra, kan skadlig programvara som ännu inte har upptäckts av ett antivirusprogramföretag upptäckas av en annan utvecklare och signaturer kan redan skapas för det upptäckta hotet.
För att implementera ett sådant schema skapades en virtuell arbetsstation, på vilken Doctor WEB Enterprise Security Suite antivirus installerades, som har ett certifikat för överensstämmelse från FSTEC of Russia nr 2446, giltigt till 20 september 2017. Alla filer som laddas ner av bankanställda under deras arbete skickas till denna station och skannas av antivirus. Om skadlig programvara upptäcks skickar antivirusprogrammet ett e-postmeddelande till informationssäkerhetsavdelningen med namnet på hotet och sökvägen där den infekterade filen lagras. Informationssäkerhetsavdelningen vidtar åtgärder för att ta bort skadlig programvara. Om filerna som laddats upp av användare klarar antivirusprogrammet, gör användaren som laddade upp filen en begäran till informationssäkerhetsavdelningen och avdelningens anställda överför den nedladdade filen till användaren.
Dessutom kommer en stor mängd skadlig programvara till bankens anställda via e-post. Dessa kan vara både vanliga krypteringsvirus och skadlig programvara som gör att angripare kan penetrera en bankanställds infekterade dator med hjälp av en fjärranslutning.
För att minimera riskerna för sådana hot installerades ClamAW antivirusprogramvara på bankens e-postserver, utformad för att skydda e-postservrar.
För att skydda mot obehörig åtkomst av interna inkräktare som på något sätt lärt sig lösenordet för en användare av en lokal station som har tillgång till informationssystem för personuppgifter, är det nödvändigt att installera ett informationsskyddssystem från obehörig åtkomst på de lokala arbetsstationerna för användare som arbetar med personliga data. datainformationssystem.
.Utbildning av bankens anställda genomförs av en specialist på informationssäkerhetsavdelningen.
En anställd på informationssäkerhetsavdelningen genomför utbildning i en avdelning av banken som bestäms av planen. Efter utbildningen klarar de anställda på enheten tester där de bekräftar de kunskaper som fåtts under utbildningen.
Den grundläggande säkerhetspolicyn reglerar genomförandet av utbildning på varje enhet minst fyra gånger per år.
Parallellt med utbildningen av anställda måste anställda på informationssäkerhetsavdelningen minst en gång i månaden skicka informationsbrev till alla anställda i banken som beskriver de grundläggande säkerhetsreglerna, nya hot mot bankens informationssäkerhet, om några upptäcks.
2.3.2 Ordningen för anställdas tillgång till Internetresurser
Banken har 3 grupper av åtkomst till Internet, men en sådan uppdelning av åtkomst är ineffektiv, eftersom en anställd, för att utföra sina uppgifter, kan behöva få information från en nätverksresurs som ingår i den fullständiga åtkomstgruppen, då kommer han att ha för att ge full tillgång till Internet, vilket är osäkert.
Grupp 6: nedladdning av arkiv - gruppen ger ingen tillgång till Internetresurser;Grupp 7: ladda ner körbara filer- gruppen ger ingen tillgång till Internetresurser;
Grupp 8: full tillgång till Internet - full tillgång till Internetresurser, ladda ner alla filer.
För att få tillgång till internetresurser skapar en anställd en ansökan via ServiceDesk-systemet och efter godkännande av avdelningschef eller ledning och en anställd på informationssäkerhetsavdelningen ges den anställde tillgång till internetresurser enligt den efterfrågade gruppen .
2.3.3 Förfarande för anställdas tillgång till intrabankresurser
Huvuddokumenten om en anställds arbete finns på den lokala arbetsplatsen eller i det automatiserade system där han arbetar. Varje division av banken har också en sektion på bankens filserver, som lagrar information som är nödvändig för flera anställda i divisionen och som är stor i storlek för överföring via e-post från banken.
När en nyanställd får jobb i banken skickar hans/hennes direkta chef en ansökan via ServiceDesk-systemet till för tillgång till intrabankresursen och efter att ansökan godkänts av en anställd på informationssäkerhetsavdelningen, den anställde på ger den nya medarbetaren tillgång till den begärda resursen.
Ofta finns det situationer där arbetet i flera avdelningar av banken korsar varandra och för utbyte av information behöver dessa avdelningar en separat sådan på bankens filserver.
För att skapa denna sektion skapar projektledaren, chefen för en av de avdelningar som är involverade i processen att arbeta med projektet, en applikation via ServiceDesk-systemet för att skapa delad resurs och tillgång till denna resurs för vissa anställda på deras avdelning som arbetar med ett gemensamt projekt och chefen för avdelningen som han samarbetar med i projektet. När den har godkänts av informatören skapar systemadministratören den begärda resursen och ger åtkomst till den till de efterfrågade anställda. Varje chef för avdelningen som deltar i projektet begär tillträde endast för de anställda som är underställda honom.
2.3.4 Hur anställda arbetar med e-post
Tidigare, innan en grundläggande säkerhetspolicy skapades, bestämde varje anställd själv graden av fara för brev och filer som tas emot via e-post från externa e-postservrar.
Efter att ha skapat en grundläggande säkerhetspolicy måste varje användare skicka varje fil som tas emot via e-post från externa e-postservrar till informationssäkerhetsavdelningen för att kontrollera den för skadlig programvara, graden av fara för brev bestäms av den anställde självständigt. Om en anställd i banken misstänker att ett inkommande meddelande innehåller spam eller nätfiske, är han skyldig att skicka brevet i sin helhet, det vill säga innehålla all officiell information om avsändaren, hans Brevlåda och IP-adress, till informationssäkerhetsavdelningen. Efter att ha analyserat ett misstänkt brev och bekräftat hotet från detta brev skickar informationssäkerhetsavdelningen adressen till avsändaren av brevet till och en anställd på svartlistar adressen till avsändaren av brevet.
Blockera alltid arbetsplatsen vid avvänjning från den.
2.3.6 Regler för anställdas tillgång till personuppgifter
Enligt artikel 89 i kapitel 14 i Ryska federationens arbetslagstiftning har en bankanställd rätt att få tillgång till sina personuppgifter, men får endast behandla personuppgifter från andra bankanställda eller bankkunder för att utföra sina officiella uppgifter .
För att säkerställa kontroll över tillgången till har banken fastställt följande regler för åtkomst till:
Endast anställda vars arbetsuppgifter inkluderar behandling av personuppgifter har tillgång till ISPD;
Tillgång till ISPD är endast tillåten från den lokala arbetsplatsen för en anställd som arbetar med personuppgifter;
Banken har skapat ett dokument som med efternamn definierar de anställda som får tillgång till personuppgifter för anställda och kunder i banken, vilket anger peoch listan över personuppgifter som den anställde får behandla.
3. EKONOMISKA MOTIVERING AV PROJEKTET
För att implementera ett personligt dataskyddssystem är det nödvändigt att köpa:
Utrustning för att skydda bankens nätverk;
Hårdvara för informationssäkerhet;
Programvara för informationssäkerhet.
För att återuppbygga organisationens nätverk är det nödvändigt att köpa Cisco Catalyst 2960-switchar i mängden 3 exemplar. En växel krävs för drift på kärnnivå i bankens nät, 2 andra för drift på distributionsnivå. nätverkshårdvara som arbetade i banken innan nätverksomstruktureringen kommer också att vara med.
Total kostnad (RUB) 9389159 613
Doctor WEB Enterprise säkerhetsdräkt155005500
Total kostnad1 371 615
SLUTSATS
I mitt examensarbete gick jag igenom det rättsliga ramverket för skydd av personuppgifter. Jag har övervägt de huvudsakliga källorna till hot mot säkerheten för personuppgifter.
Utifrån de övervägda personliga hoten analyserade jag befintligt system Personuppgiftsskydd på PJSC Citibank och kom fram till att det måste förbättras på allvar.
Under examensarbetet upptäcktes svagheter i bankens lokala nätverk. Med hänsyn till de avslöjade svagheterna i bankens lokala nätverk beslutades åtgärder för att minimera riskerna för informationssäkerhet i bankens nätverk.
Enheter och programvara för att skydda lokala arbetsplatser för anställda som behandlar personuppgifter om anställda och kunder i banken övervägdes och valdes också ut.
Med min medverkan skapades ett system för att öka medarbetarnas medvetenhet i frågor om informationssäkerhet.
Proceduren för att få tillgång till Internet för bankens anställda har gjorts om i grunden och grupper för åtkomst till Internet har gjorts om. Nya Internetåtkomstgrupper gör det möjligt att avsevärt minimera informationssäkerhetsrisker på grund av användarnas begränsade förmåga att ladda ner filer och komma åt otillförlitliga resurser.
Beräkningar av kostnaden för att bygga om nätverket och skapa ett fungerande personuppgiftsskyddssystem som kan spegla de flesta informationssäkerhetshot ges.
FÖRTECKNING ÖVER ANVÄND LITTERATUR
1. "Ryska federationens konstitution" (antagen genom folkomröstning den 12 december 1993) (med förbehåll för ändringar gjorda av Ryska federationens lagar om ändringar av Ryska federationens konstitution av 30 december 2008 N 6- FKZ, av 30 december 2008 N 7-FKZ, av 5 februari 2014 N 2-FKZ, daterad 21 juli 2014 N 11-FKZ) // Den officiella texten till Ryska federationens konstitution, ändrad den 21 juli , 2014, publicerades på den officiella internetportalen för juridisk information http://www.pravo.gov.ru, 08/01/2014
2. "Grundmodell för hot mot personuppgifter under deras behandling i informationssystem för personuppgifter" (utdrag) (godkänd av Ryska federationens FSTEC den 15 februari 2008)
3. Federal lag av den 27 juli 2006 N 149-FZ (som ändrad den 6 juli 2016) "Om information, informationsteknik och informationsskydd" // Dokumentet publicerades inte i denna form. Originaltexten till dokumentet publiceras i " rysk tidning", N 165, 2006-07-29
4. "Ryska federationens arbetslag" daterad den 30 december 2001 N 197-FZ (som ändrad den 3 juli 2016) (som ändrad och kompletterad, trädde i kraft den 3 oktober 2016) // Dokumentet publicerades inte i denna form publicerades dokumentets originaltext i Rossiyskaya Gazeta, N 256, 2001-12-31
5. Dekret från Ryska federationens regering av 01.11.2012 N 1119 "Om godkännande av kraven för skydd av personuppgifter under deras behandling i informationssystem för personuppgifter" // "Rossiyskaya Gazeta", N 256, 07.11.2012
6. Beslut från Rysslands FSTEC av den 18 februari 2013 N 21 "Om godkännande av sammansättningen och innehållet i organisatoriska och tekniska åtgärder för att säkerställa säkerheten för personuppgifter under deras behandling i informationssystem för personuppgifter" (Registrerad i ministeriet för Rysslands domare den 14 maj 2013 N 28375) // "Rysk tidning", N 107, 2013-05-22
7. "Standard för Rysslands Bank" Säkerställande av informationssäkerhet för organisationer i Ryska federationens banksystem. Allmänna bestämmelser "STO BR IBBS-1.0-2014" (antagen och genomförd av Rysslands centralbanks order av den 17 maj 2014 N R-399) // Bulletin of the Bank of Russia, nr 48-49, 30 maj 2014
8. "Förordning om kraven för att säkerställa skyddet av information vid penningöverföringar och om förfarandet för Rysslands centralbank att utöva kontroll över efterlevnaden av kraven för att säkerställa skyddet av information vid penningöverföringar" (godkänd av banken av Ryssland den 09.06.2012 N 382-P) (som ändrat den 14 augusti 2014) (Registrerad hos Rysslands justitieministerium den 14 juni 2012 N 24575) // Dokumentet publicerades inte i denna form, originalet texten till dokumentet publicerades i Bulletin of the Bank of Russia, N 32, 2012-06-22
9. "Föreskrifter om förfarandet för kreditinstitutens inlämnande av information till det auktoriserade organet enligt den federala lagen "Om att motverka legalisering (tvättning) av intäkter från brott och finansiering av terrorism" (godkänd av Rysslands centralbank den 29 augusti 2008 N 321-P) (som ändrad. daterad 2015-10-15) (tillsammans med "Procedur för att säkerställa informationssäkerhet under sändning och mottagning av ECO", "Regler för bildande av ECO och fylla i enskilda fält i ECO-posterna”) (Registrerad i Rysslands justitieministerium den 16.09.2008 N 12296) // I detta formulär publicerades inte dokumentet. Den ursprungliga texten till dokumentet publicerades i Bulletin från Rysslands centralbank, N 54, 2008-09-26
10. Beslut från Rysslands FSTEC av den 18 februari 2013 N 21 "Om godkännande av sammansättningen och innehållet i organisatoriska och tekniska åtgärder för att säkerställa säkerheten för personuppgifter under deras behandling i informationssystem för personuppgifter" (Registrerad i ministeriet för Rysslands domare den 14 maj 2013 N 28375) // "Rysk tidning", N 107, 2013-05-22
11. Averchenkov V.I., Rytov M.Yu., Gainulin T.R. Skydd av personuppgifter i organisationer. M.: Flinta, 2018
12. Agapov A. B. Grunderna för offentlig förvaltning inom informationsområdet i Ryska federationen. M.: Jurist, 2012
13. Kostin A. A., Kostina A. A., Latyshev D. M., Moldovyan A. A. Mjukvarukomplex serie "AURA" för skydd av informationssystem för personuppgifter // Izv. universitet. instrumentation. 2012. V. 55, nr 11
14. Moldovyan A. A. Kryptografi för skydd av datorinformation (del 1) // Integral. 2014. Nr 4 (18)
15. Romanov O.A., Babin S.A., Zhdanov S.G. Organisatoriskt stöd av informationssäkerhet. - M.: Akademin, 2016
16. Shults V.L., Rudchenko A.D., Yurchenko A.V. Affärssäkerhet. M.: Yurayt Publishing House, 2017
Ansökningar (finns i arkivet med verket).
Det har blivit särskilt efterfrågat för ryska divisioner av utländska företag i samband med tillägget av del 5 i artikel 18 till 152-FZ "Om personuppgifter": "... operatören är skyldig att säkerställa registrering, systematisering, ackumulering, lagring , förtydligande (uppdatering, ändring), personlig information medborgare i Ryska federationen som använder databaser som finns på Ryska federationens territorium" . Det finns ett antal undantag i lagen, men du måste erkänna att vid en kontroll av tillsynsmyndigheten vill du ha mer pålitliga trumfkort än "men det här rör oss inte."
Påföljderna för överträdare är mycket stränga. E-handel, sociala media, informationssajter, andra företag relaterade till internet vid anspråk från tillsynsmyndigheterna kan de faktiskt stängas. Kanske, vid den första kontrollen, kommer regulatorn att ge tid för att eliminera bristerna, men perioden är vanligtvis begränsad. Om problemet inte löses särskilt snabbt (vilket är svårt att göra utan förberedelser) kan förlusterna inte längre ersättas. Blockering av webbplatser leder inte bara till en paus i försäljningen, det innebär en förlust av marknadsandelar.
Uppträdandet på den "svarta listan" över brott mot lagen om personuppgifter för offlineföretag är mindre dramatiskt. Men detta medför anseenderisker, vilket är en betydande faktor för utländska företag. Dessutom finns det nu nästan inga aktiviteter som inte alls är relaterade till skydd av personuppgifter. Banker, handel, till och med tillverkning - alla upprätthåller kundbaser, vilket innebär att de är föremål för relevanta lagar.
Här är det viktigt att förstå att inom företag inte heller frågan kan betraktas isolerat. Personuppgiftsskyddet kan inte begränsas genom att installera certifierade säkerhetsverktyg på servrar och låsa in papperskort i kassaskåp. Personuppgifter har många ingångspunkter till företaget - försäljningsavdelningar, HR, kundtjänst, ibland också utbildningscenter, inköpsprovisioner och andra divisioner. Hantering av personuppgiftsskydd är en komplex process som påverkar DEN, dokumentflöde, föreskrifter, lagfart.
Låt oss ta en titt på vad som krävs för att köra och underhålla en sådan process.
Vilka uppgifter anses vara personliga
Strängt taget är all information som direkt eller indirekt relaterar till en specifik individ hans personuppgifter. Observera att vi pratar om människor, inte juridiska personer. Det visar sig att det räcker att ange det fullständiga namnet och adressen till bostaden för att initiera skyddet av dessa (liksom relaterade) uppgifter. Däremot får e-post med någons personuppgifter i form av en signatur och telefonnummer ingen anledning att försvara dem. Nyckelterm: "Konceptet att samla in personuppgifter." För att förtydliga sammanhanget vill jag särskilt lyfta fram flera artiklar i lagen "Om personuppgifter".
Artikel 5. Principer för behandling av personuppgifter. Det bör finnas tydliga mål som gör det tydligt varför denna information samlas in. Annars, även med full överensstämmelse med alla andra normer och regler, är sanktioner troliga.
Artikel 10. Särskilda kategorier av personuppgifter. Till exempel kan personalavdelningen fixa restriktioner för tjänsteresor, inklusive graviditeter för anställda. Sådan ytterligare information omfattas naturligtvis också av skydd. Detta utökar avsevärt förståelsen av PD, såväl som listan över avdelningar och informationsarkiv i företaget där skyddet måste uppmärksammas.
Artikel 12. Gränsöverskridande överföring av personuppgifter. Om ett informationssystem med uppgifter om medborgare i Ryska federationen finns på territoriet till ett land som inte har ratificerat konventionen om skydd av personuppgifter (till exempel i Israel), bör bestämmelserna i rysk lagstiftning följas.
Artikel 22. Meddelande om behandling av personuppgifter. Erforderligt skick för att inte väcka onödig uppmärksamhet från regulatorn. Leda företagande verksamhet relaterat till PD - anmäl det själv, utan att vänta på kontroller.
Var personuppgifter kan finnas
Tekniskt sett kan PD placeras var som helst, från tryckta media (pappersarkivskåp) till maskinmedia (hårddiskar, flashenheter, CD-skivor, etc.). Det vill säga att fokus ligger på all datalagring som faller under definitionen av ISPD (personuppgiftsinformationssystem).
Platsens geografi är en separat stor fråga. Å ena sidan måste personuppgifter från ryssar (individer som är medborgare i Ryska federationen) lagras på Ryska federationens territorium. Å andra sidan är det för närvarande snarare en vektor för utvecklingen av situationen än ett fait accompli. Många internationella och exportföretag, olika innehav, joint ventures har historiskt haft en distribuerad infrastruktur – och detta kommer inte att förändras över en natt. Till skillnad från metoderna för att lagra och skydda personuppgifter, som borde justeras nästan nu, direkt.
Minimilistan över avdelningar som är involverade i att registrera, organisera, ackumulera, lagra, förtydliga (uppdatering, ändra), extrahera PD:
- Personaltjänst.
- Säljavdelning.
- Juridiska avdelning.
Eftersom perfekt ordning sällan råder, i verkligheten, kan de mest oförutsägbara enheterna ofta läggas till denna "förväntade" lista. Till exempel kan ett lager ha personlig information om leverantörer, eller så kan en säkerhetstjänst upprätthålla sin egen detaljerade register över alla som kommer in på territoriet. Således kan förresten sammansättningen av PD för anställda kompletteras med data om kunder, partners, entreprenörer, såväl som slumpmässiga och till och med andras besökare - vars PD blir ett "brott" när de fotograferas för ett pass, skannar ett ID kort och i vissa andra fall. ACS (access control and management systems) kan lätt bli en källa till problem i samband med skydd av personuppgifter. Därför är svaret på frågan "Var?" ur lagens efterlevnadssynpunkt låter det så här: överallt i det ansvariga territoriet. Ett mer exakt svar kan endast ges genom att genomföra en lämplig revision. Detta är det första steget projekt för skydd av personuppgifter. Full lista dess nyckelfaser:
1) Granskning av nuläget i företaget.
2) Designa en teknisk lösning.
3) Utarbetande av en process för skydd av personuppgifter.
4) Verifiering av den tekniska lösningen och processen för skydd av personuppgifter för överensstämmelse med Ryska federationens lagstiftning och företagsbestämmelser.
5) Implementering av en teknisk lösning.
6) Starta processen för skydd av personuppgifter.
1. Granskning av den aktuella situationen i företaget
Kontrollera först och främst med personaltjänsten och andra avdelningar som använder pappersmedia med personuppgifter:
- Finns det former av samtycke till behandling av personuppgifter? Är de ifyllda och signerade?
- Följs "Förordningen om detaljerna i behandlingen av personuppgifter utan användning av automationsverktyg" daterad 15 september 2008 nr 687?
Bestäm den geografiska platsen för ISPD:n:
- Vilka länder finns de i?
- På vilken grund?
- Finns det kontrakt för deras användning?
- Vilket tekniskt skydd används för att förhindra läckage av PD?
- Vilka organisatoriska åtgärder vidtas för att skydda PD?
Helst måste ett informationssystem med PD för ryssar uppfylla alla krav i lagen 152-FZ "Om personuppgifter", även om det är beläget utomlands.
Slutligen, var uppmärksam på den imponerande listan över dokument som krävs vid verifiering (detta är inte allt, bara huvudlistan):
- PD-bearbetningsanmälan.
- Ett dokument som identifierar den person som ansvarar för att organisera behandlingen av PD.
- Lista över anställda som är behöriga att behandla PD.
- Ett dokument som bestämmer platsen för PD-lagring.
- Information om behandlingen av särskilda och biometriska kategorier av personuppgifter.
- Intyg om gränsöverskridande överföring av PD.
- Standardformulär för dokument med PD.
- Standardform för samtycke till behandling av personuppgifter.
- Förfarandet för att överföra PD till tredje part.
- Förfarandet för redovisning av förfrågningar från PD-subjekt.
- Lista över (ISPD).
- Dokument som reglerar säkerhetskopiering av data i ISPD.
- Lista över informationssäkerhetsverktyg som används.
- Förfarandet för att förstöra PD.
- Åtkomstmatris.
- hotmodell.
- Loggbok för maskinmedia PD.
- Ett dokument som definierar säkerhetsnivåerna för varje ISPD i enlighet med PP-1119 daterat den 1 november 2012 "Om godkännande av krav för skydd av personuppgifter under deras behandling i."
2. Designa en teknisk lösning
En beskrivning av de organisatoriska och tekniska åtgärder som måste vidtas för att skydda PD ges i kapitel 4. "Operatörens skyldigheter" i lagen 152-FZ "Om personuppgifter". Den tekniska lösningen måste baseras på bestämmelserna i artikel 2 i lag 242-FZ av den 21 juli 2014.
Men hur man följer lagen och behandlar PD för medborgare i Ryska federationen på Rysslands territorium i fallet när ISPD fortfarande är belägen utomlands? Det finns flera alternativ här:
- Fysisk överföring av informationssystemet och databasen till Ryska federationens territorium. Om det är tekniskt genomförbart kommer det att vara det enklaste.
- Vi lämnar ISPD utomlands, men i Ryssland skapar vi en kopia av den och upprättar envägsreplikering av PD för medborgare i Ryska federationen från en rysk kopia till en utländsk. Samtidigt, i ett utländskt system, är det nödvändigt att utesluta möjligheten att ändra personuppgifterna för medborgare i Ryska federationen, alla redigeringar endast genom den ryska ISPD.
- Det finns flera ISPD:er och de är alla utomlands. Överföringen kan vara dyr, eller till och med tekniskt omöjlig (det är till exempel omöjligt att separera en del av databasen med personuppgifter från medborgare i Ryska federationen och flytta den till Ryssland). I det här fallet kan lösningen vara att skapa en ny ISPD på valfri tillgänglig plattform på en server i Ryssland, varifrån enkelriktad replikering kommer att utföras till varje utländsk ISPD. Jag noterar att valet av plattform är upp till företaget.
Om PDIS inte har överförts helt och exklusivt till Ryssland, glöm inte att ange i certifikatet för gränsöverskridande dataöverföring till vem och vilken speciell uppsättning av PD som skickas. Syftet med överföringen av personuppgifter ska anges i meddelandet om behandling. Återigen måste detta mål vara legitimt och tydligt motiverat.
3. Förberedelse av processen för skydd av personuppgifter
Personuppgiftsskyddsprocessen bör definiera åtminstone följande punkter:
- Lista över personer som är ansvariga för behandlingen av personuppgifter i företaget.
- Förfarandet för att bevilja tillgång till ISPD. Helst är detta en åtkomstmatris med åtkomstnivån för varje position eller specifik anställd (läs/läs-skriv/ändra). Eller en lista över tillgängliga PD för varje position. Allt beror på implementeringen av IP och företagets krav.
- Granskning av åtkomst till personuppgifter och analys av åtkomstförsök med överträdelse av åtkomstnivåer.
- Analys av orsakerna till otillgängligheten av personuppgifter.
- Proceduren för att svara på förfrågningar från PD-subjekt om deras PD.
- Revidering av listan över personuppgifter som överförs utanför företaget.
- Granskning av mottagare av personuppgifter, även utomlands.
- Periodisk översyn av hotmodellen för PD, samt ändrad skyddsnivå för personuppgifter på grund av förändring av hotmodellen.
- Hålla företagets dokument uppdaterade (listan ovan, och den kan kompletteras vid behov).
Här kan du detaljera varje artikel, men jag vill vara särskilt uppmärksam på säkerhetsnivån. Det bestäms på grundval av följande dokument (läs i följd):
1. "Metod för att fastställa aktuella hot säkerhet personuppgifter under deras behandling i” (FSTEC RF 14 februari 2008).
2. Dekret från Ryska federationens regering nr 1119 av den 1 november 2012 "Om godkännande av krav för skydd av personuppgifter under deras behandling i informationssystem för personuppgifter".
3. FSTEC Order nr 21 daterad 18 februari 2013 "Om godkännande av sammansättningen och innehållet i organisatoriska och tekniska åtgärder för att säkerställa säkerheten för personuppgifter under deras behandling i."
Glöm inte heller att ta hänsyn till behovet av sådana kategorier av utgifter som:
- Organisation projekt lag och projektledning.
- Utvecklare för var och en av ISPD-plattformarna.
- Serverkapacitet (egen eller hyrd i datacentret).
I slutet av den andra och tredje etappen av projektet bör du ha:
- Kostnadsberäkning.
- kvalitetskrav.
- Projekttid och schema.
- Tekniska och organisatoriska risker med projektet.
4. Verifiering av den tekniska lösningen och processen för skydd av personuppgifter för överensstämmelse med Ryska federationens lagstiftning och företagsbestämmelser
Kort i termer av formulering, men ett viktigt steg, inom vilket du måste se till att alla planerade åtgärder inte strider mot Rysslands lagstiftning och företagsregler (till exempel säkerhetspolicyer). Om detta inte görs kommer en bomb att läggas i grunden för projektet, som kan "explodera" i framtiden och förstöra fördelarna med de uppnådda resultaten.
5. Implementering av en teknisk lösning
Här är allt mer eller mindre självklart. Detaljerna beror på utgångsläget och besluten. Men generellt sett borde bilden se ut ungefär så här:
- Serverkapacitet tilldelad.
- Nätverksingenjörerna tillhandahöll tillräckligt genomströmning kanaler mellan mottagare och sändare PD.
- Utvecklarna har etablerat replikering mellan ISPD-databaserna.
- Administratörer har förhindrat ändringar av ISPD som finns utomlands.
Den person som ansvarar för att skydda PD eller "procesägaren" kan vara samma person eller olika. Just det faktum att "processägaren" måste förbereda all dokumentation och organisera hela processen för att skydda PD. För att göra detta måste alla berörda parter underrättas, anställda måste instrueras och IT-tjänsten ska underlätta genomförandet av tekniska dataskyddsåtgärder.
6. Lansering av processen för skydd av personuppgifter
Detta är ett viktigt steg, och på sätt och vis är målet med hela projektet att sätta kontroll över flödet. Förutom tekniska lösningar och regulatorisk dokumentation är processägarens roll här avgörande. Han måste spåra förändringar inte bara i lagstiftningen, utan även i IT-infrastrukturen. Det innebär att lämplig kompetens och kompetens krävs.
Dessutom, vilket är avgörande i verkliga arbetsförhållanden, behöver ägaren av PD-skyddsprocessen alla nödvändiga befogenheter och administrativt stöd från företagets ledning. Annars kommer det att vara en evig "tiggare", som ingen uppmärksammar, och efter ett tag kan projektet startas om, med början igen från revisionen.
Nyanser
Några punkter som är lätta att förbise:
- Om du arbetar med ett datacenter behöver du ett kontrakt för tillhandahållande av serverkapacitetstjänster, enligt vilket ditt företag lagligt lagrar data och kontrollerar dem.
- Du behöver licenser för programvara som används för att samla in, lagra och bearbeta PD, eller leasingavtal för den.
- Om ISPD finns utomlands behövs ett avtal med företaget som äger systemet där - för att garantera efterlevnad av Ryska federationens lagstiftning i förhållande till ryska personuppgifter.
- Om personuppgifter överförs till en entreprenör för ditt företag (till exempel en IT-outsourcingpartner) så kommer du i händelse av en PD-läcka från outsourcaren att vara ansvarig för krav. I sin tur kan ditt företag göra anspråk på uppdragsgivaren. Kanske kan denna faktor påverka själva faktumet att överföra arbete till outsourcing.
Och återigen, det viktigaste är att skyddet av personuppgifter inte kan tas och säkerställas. Detta är en process. En kontinuerlig iterativ process som kommer att vara starkt beroende av ytterligare förändringar i lagstiftningen, samt av formatet och noggrannheten för att tillämpa dessa regler i praktiken.
Förmodligen har alla som någonsin tagit ett lån eller är HR-th råkat ut för en sådan situation när bankrepresentanter ringer till arbetsgivaren och ber om information om en anställd i organisationen.
Samtidigt, oftast i praktiken, följer arbetsgivaren inte kraven i den federala lagen 152 om skydd av personuppgifter och avslöjar information om den anställde per telefon. Arbetsgivaren kan inte verifiera mottagaren av denna information, och ofta har arbetstagaren inte skriftligt samtycke från arbetstagaren till sådan användning av hans uppgifter.
Vem i den här situationen bryter mot lagen mer: den som frågar eller den som svarar?
I den här situationen beror allt på vilka dokument från föremålet för personuppgifter har det ena och det andra. Det finns en situation då varken den som frågar eller den som svarar lagen bryter mot lagen, men det händer att båda bryter.
Låt oss ta itu med det här.
Så vi är en bank. En person kom till oss och i syfte att erhålla ett lån tillhandahöll alla nödvändiga dokumentpaket, inklusive ett inkomstbevis, intygat av underskrifterna från arbetsgivarens ansvariga personer och ett sigill, såväl som andra nödvändiga original och kopior av dokument.
Men trots det angivna originalintyget om inkomster vill vi kontrollera om den som ansöker om ett lån arbetar i denna organisation och om den verkliga inkomsten anges i det tillhandahållna intyget. I rättvisans namn måste det sägas att på senare tid begär banker fortfarande oftast bara information om huruvida en viss person arbetar i en specifik organisation. Dessutom skickar vi som bank inte denna begäran skriftligen, med våra sigill och anger vår identifieringsinformation, och anger inte skriftligt syftet med vår begäran, utan för att påskynda proceduren ringer vi helt enkelt telefonnumret anges i de dokument som tillhandahålls av bankens potentiella kund.
Det som alltid har förvånat mig i det här förfarandet är en viss ologiskhet i stadierna för att bekräfta tillförlitligheten hos de tillhandahållna uppgifterna.
Det vill säga att ett dokument med sigill och signaturer inte riktigt passar oss, men av någon anledning kommer svaret per telefon som angetts av den anställde att passa oss mer.
Vad är den anställdes telefonnummer? Tillhör den här telefonen verkligen denna organisation? Vem i andra änden av tråden kommer att svara mig: VD? Kamrer? HR-chef? Hur ska jag identifiera att dessa är tjänstemännen? Eller kanske en sekreterare som har jobbat här i en vecka och inte känner någon ännu? Eller en städare? Eller en vakt? Eller kanske i princip någon som den anställde själv bett att svara på bankens begäran på ett lämpligt sätt? Och om telefonen som den anställde inte svarar, vad kommer det att betyda för banken? Kommer han att kontrollera om en person gjort ett misstag med en siffra? Kan det vara ett problem med telefonbolaget? Kanske företaget inte längre använder den här telefonen, och den anställde visste inte om det?
Men vår uppgift är att ta reda på om parternas agerande: banken och arbetsgivaren i detta fall i princip är lagliga?
Om banken har skriftligt samtycke från försökspersonen att verifiera hans uppgifter och få information från sin arbetsgivare, då är bankens agerande lagligt.
Hur är det med en arbetsgivare?
En arbetsgivare kan lagligen lämna uppgifter om en anställd till en bank i följande fall:
2. Den anställde får lämna sina uppgifter SKRIFTLIGT till en specifik juridisk person. Men i det här fallet är arbetsgivaren skyldig att se till att begäran kom från den bank som den anställde tillät att lämna information (det vill säga ett svar endast på en skriftlig begäran).
Vad händer om arbetsgivaren inte har ett sådant samtycke?
Arbetsgivaren har inte rätt att lämna uppgifter om arbetstagaren. Då kommer arbetsgivaren att fullgöra sina skyldigheter enligt lagen om skydd av personuppgifter? Ja. Kommer arbetstagaren att få lån om arbetsgivaren vägrar att lämna uppgifter om den anställde? Okänd.
Dessutom, om organisationen är stor och har ett omfattande nätverk av separata divisioner, är det inte alltid möjligt att snabbt få ett sådant samtycke. Särskilt i de fall då den anställde spontant bestämt sig för att få ett lån. Och redan samma dag eller nästa ringer bankanställda arbetsgivaren för att verifiera riktigheten av den lämnade informationen.
Dessutom måste själva samtycket upprättas skriftligt, det räcker inte för den anställde att till exempel ringa personalavdelningen och be honom att muntligen svara på begäran från en viss bank.
När allt kommer omkring är alla väl medvetna om att när en arbetsgivare lämnar information om en viss anställds arbete till banken på telefonförfrågan, gör han detta för att skydda den anställdes intressen i första hand, så att han inte är nekat lån. Men automatiskt i det här fallet bryter det mot lagen om skydd av personuppgifter, om arbetsgivaren inte i förväg oroade sig för att få skriftligt medgivande från den anställde själv.
Det är möjligt att om banker slutar använda illegala telefonkontroller kommer det att bli färre sådana överträdelser från arbetsgivarens sida.
Nyligen utfärdades ett brev från Rysslands centralbank daterat den 14 mars 2014 N 42-T "Om att stärka kontrollen över risker som uppstår från kreditinstitut vid användning av information som innehåller personuppgifter om medborgare", som rekommenderar kreditinstitut att stärka kontrollen över risker som uppstår från behandling (som, förresten, insamling) av information som innehåller personuppgifter, samt uppdatera interna dokument som definierar: personligt ansvar för anställda vid kreditinstitut som är engagerade i direkt behandling av personuppgifter (inklusive insamling) för att upprätthålla och säkerställa konfidentialitet information som genereras i kundtjänstprocessen.
Samtidigt angavs det uttryckligen i brevet ovan att Rysslands centralbank, när den utövar tillsyn över bankernas verksamhet, skulle ta hänsyn till fall av identifierade brister i genomförandet av lagstiftningen om skydd av personuppgifter och överväga dem som en negativ faktor vid bedömning av kvaliteten på förvaltningen av ett kreditinstitut, inklusive bedömning av organisationen av systemet för intern kontroll.
Det återstår att hoppas att bankerna äntligen också kommer att följa lagen om skydd av personuppgifter, utan att leda arbetsgivaren till påtvingat lagbrott.
Dzhhabrail Matiev, chef för personuppgiftsskydd för den kommersiella delen av företagetReignVox
Konstant arbete med enorma mängder klientdata kräver en bank av vilket format som helst för att ständigt arbeta med att skydda dessa data.
Därför är ämnet informationssäkerhet, och med det ämnet förtroende, särskilt relevant inom finanssektorn. Dessutom är kravet på att skydda alla personuppgifter som ingår i strukturen för informationssystemet för ett modernt finansbolag också juridiskt motiverat - federal lag nr 152 "Om personuppgifter" ålägger tydligt varje företag som behandlar dessa uppgifter att skydda dem inom strikt definierade termer. Både nya och befintliga informationssystem som behandlar personuppgifter ska senast den 1 januari 2011 anpassas till lagens krav. Med tanke på en så strikt definierad tidsram har organisationer som behandlar sådan information mindre och mindre tid på sig att följa lagens krav.
Hur börjar man arbeta med skydd av personuppgifter? Vilka är de förväntade handläggningstiderna? Vem ansvarar för att arbetet utförs? Vad är den genomsnittliga projektkostnaden och hur kan man minimera kostnaderna? Alla dessa frågor är relevanta idag för alla företag som gör affärer inom finanssektorn. Expertsvar på dem gör att vi kan ge ReignVox omfattande erfarenhet inom området för skydd av personuppgifter i finansiella strukturer.
Livet i nedräkningsläge
Federal lag nr 152 "Om personuppgifter" träder i full kraft den 1 januari 2011 - mer än sex månader före den deadline som lagstiftarna satt. Men låt dig inte luras av tanken på för mycket tid.
För det första tar genomförandet av ett projekt som syftar till att uppfylla kraven för skydd av personuppgifter fyra till sex månader, beroende på dess komplexitet. Men denna siffra är inte slutgiltig - villkoren kan öka upp till sex till åtta månader på grund av den tid som banken kommer att lägga på att välja en värdig integratör för utveckling och underhåll av projektet. Att utföra denna typ av arbete på egen hand är fylld för banken med en förlust av objektivitet vid undersöknings- och analysstadiet, de skyddsmedel som finns i den, såväl som behovet av att hitta separata arbetsresurser för detta arbete. I det här fallet bör man också komma ihåg sådana faktorer som tillgången på specialister som är utbildade i ämnet personuppgiftsskydd, den nödvändiga mängden reglerande och metodologiskt stöd och gratis resurser för själva uppgiften att skydda personuppgifter. Praxis visar att det vanligtvis är tredjepartsintegratörer som uppfyller alla dessa krav i ett komplex.
För det andra, att återgå till ämnet för de tidsfrister som anges i lagen "Om personuppgifter" för dataoperatörer (och det faktum att banker är just sådana operatörer är inte längre en fråga i princip), oavsett vad de säger om sin "överföring". , de första kontrollerna av tillsynsmyndigheter äger redan rum. Slutsatsen är ganska logisk: relevansen av problemet har inte bara bevarats, det har ökat många gånger om och dess lösning börjar bli ett akut behov.
"Och kistan öppnades precis..."
På senare tid har det förts aktiva diskussioner kring uppgiften att bringa ISPD i linje med bestämmelserna i lagen "Om personuppgifter", vars resultat huvudsakligen handlar om en sak: lösningen av denna uppgift är mycket problematisk på grund av kombinationen dess organisatoriska och juridiska egenskaper. Denna slutsats är inte helt korrekt: praxisen att tillämpa kraven för skydd av personuppgifter, som dök upp under första kvartalet 2010 (inklusive i banksektorn), bekräftar tydligheten och tolkningsbarheten av kraven för ISPD. Deras formulering, implementering och dokumentär bekräftelse av det senare med en minimal risk för eventuella fel är inte så svårt att implementera som det är viktigt ur säkerhetssynpunkt för bankverksamheten. Ännu mer förenklar uppgiften är möjligheten att anförtro den till en tredjepartsintegratör, vars specialister snabbt och professionellt kommer att slutföra skyddsprojektet för personuppgifter, med hänsyn till bankverksamhetens individuella egenskaper.
Den första prioriteringen är alltså valet av ett integratörsföretag, som kommer att anförtros projektet.
"Standard" = "Exklusivt"?
Ett sådant likhetstecken mellan dessa ömsesidigt uteslutande begrepp har rätt att existera. Detta uttalande backas upp av den praktiska erfarenheten av framgångsrika projekt för skydd av personuppgifter som redan genomförts av ReignVox.
Å ena sidan innehåller varje sådant projekt ett standardantal stadier: stadiet för undersökning av informationssystem för personuppgifter, stadiet för utformning av ett skyddssystem för personuppgifter, stadiet för implementering av SPPD, stadiet för att bedöma om ISPD överensstämmer med lagens krav och stadiet för att stödja det skapade systemet. Dessutom är bedömningen av överensstämmelse med ISPD, som ett steg, frivillig och utförs efter kundföretagets gottfinnande. Samt supportstadiet för det skapade systemet.
Typiskhet slutar vanligtvis i det första skedet (stadiet av informationssystemundersökning), eftersom det är detta stadium som låter dig identifiera och beskriva de krav som kommer att presenteras i framtiden för systemen. Och dessa parametrar är redan individuella och fokuserade på varje specifik kund, optimerade i enlighet med hans behov.
Denna undersökning analyserar informationsresurser, standardlösningar som används vid konstruktion av IT-infrastruktur, informationsflöden personuppgifter, tillgängliga system och sätt för informationsskydd.
I samma skede utvecklas en modell av hot och en överträdare av PD-säkerhet, behovet av att säkerställa säkerheten för PD i ISPD med hjälp av kryptografiska medel bedöms.
Det klassiska schemat för att genomföra det andra steget inkluderar en revision av regelverket och en bedömning av dess överensstämmelse med tillsynsmyndigheternas krav. Resultatet är utvecklingen av de saknade interna dokumenten, såväl som utvecklingen av referensvillkor för utvecklingen av SZPDn. I samma skede går integratören vidare till den direkta utvecklingen av en uppsättning åtgärder för att skydda information.
I slutet av detta skede är banken redan ganska kapabel att framgångsrikt klara testet av en av tillsynsmyndigheterna.
Kärnan i det tredje steget är att implementera system och konfigurera befintliga skyddsverktyg. Efter testning, vid behov, färdigställs komplexet av hårdvara och mjukvara.
I vart och ett av de beskrivna stadierna står ReignVox-företaget, som en integratör, inför olika ytterligare uppgifter på grund av specifikationerna för verksamheten som kundföretaget driver, dess storlek, infrastruktur, affärsprocessaktivitet och många andra punkter. Och varje gång bildas ett nytt, individuellt anpassat koncept för personuppgiftsskyddsprojektet av en mängd sådana komponenter.
"...och fåren är säkra"
Kostnadsminimering, budgetoptimering, besparingar - vilken fras du än väljer, essensen förblir densamma - ett rationellt förhållningssätt till användningen av finansiella resurser - det är han som är den andra hörnstenen i framgången för en finansiell struktur (efter förtroende, naturligtvis ). Och därför är önskan att sänka kostnaderna så mycket som möjligt utan att kompromissa med informationssäkerheten naturlig och ganska uppnåelig.
Kostnaden för ett genomsnittligt standardprojekt för att skapa ett personligt dataskyddssystem för en bankstruktur är cirka 1,5 miljoner rubel. Vid beräkningen av detta belopp beaktas även ett antal principer, varefter det är möjligt att minska budgeten för att skapa ett personuppgiftssystem.
Först och främst strävar vi efter att bevara befintlig IT-infrastruktur i organisationen så mycket som möjligt. Vanligtvis talar man om två polära scenarier för skydd av personuppgifter. Den första är en radikal ändring av alla ISPD:er, och den andra är en formell sådan, som endast består i utfärdande av interna regleringsdokument, utan att göra några ändringar i ISPD:er. Vi anser att det tredje alternativet är optimalt, vilket består just i att bibehålla bankens nuvarande IT-infrastruktur, åtföljd av en modifiering av några av dess delar, lägga till nya nödvändiga för att säkerställa efterlevnad av lagen.
I det här fallet talar vi om den första principen, baserad på maximal användning av befintliga informationssäkerhetsverktyg vid design av informationssäkerhetssystem. Skyddsverktyg i alla företag används oavsett behovet av att skydda personuppgifter, dessa är antivirusskyddssystem och inbyggda åtkomstkontrollverktyg i operativsystemet, och brandväggar och många andra medel. Därför stängs det maximala antalet krav av de befintliga skyddsmedlen. Och endast i händelse av att vissa krav inte är uppfyllda av de nuvarande skyddsmedlen, är det nödvändigt att köpa och implementera ytterligare.
Den andra principen är principen ekonomisk logisk strukturering av informationssystem personlig information. Enligt denna princip, som en del av genomförandet av ett personuppgiftsskyddsprojekt i en bank, blir det ekonomiskt genomförbart att kombinera flera system placerade i samma rum till ett, kombinerat med en nedgradering av icke-kritiska segment. Således skapas ISPD "Data Processing Center", i vilket skydd tillhandahålls längs omkretsen. Detta gör att du avsevärt kan minimera kostnaden för att separera flöden inom olika system.
Den tredje principen skydda endast mot aktuella hot. Samtidigt beskrivs aktualisering av hot i obligatoriska speciella system dokument som heter "Hotmodell". Vid aktualisering av hot kasseras de av dem vars sannolikhet är låg och skadan under implementeringen liten.
Med förbehåll för användningen av redan beprövade metoder är uppgiften att bringa ISPD för alla banker i linje med lagens krav senast den 1 januari 2011 fullt genomförbar. För maximal framgång i implementeringen av sådan teknik i banksektorn är det fortfarande nödvändigt att komma ihåg ett integrerat tillvägagångssätt för att arbeta med ett projekt. I det här fallet menar vi organiseringen av gemensamt arbete av specialister från olika avdelningar - specialister inom IT-teknik, informationssäkerhet och projektledning, finansiärer, jurister - garanterar den nödvändiga balansen av den övergripande strategin för att skydda kritiska data inom den finansiella strukturen.
Referens: ReignVox är ett ryskt företag som specialiserat sig på innovativa projekt och utvecklingar inom området informationsteknologi och att säkerställa deras informationssäkerhet.
Syftet med företagets etablering är att tillhandahålla tjänster för att säkerställa skyddet av personuppgifter i enlighet med kraven i lagen "Om personuppgifter" FZ-152 av den 27 juli 2006 och att bygga integrerade informationssäkerhetssystem.
ReignVox är medlem i den interregionala offentliga organisationen "Information Protection Association" (IPO "AZI"), en associerad medlem av "Infocommunication Union" (Infocommunication Union), samt en medlem av Association of Regional Banks of Russia.
ReignVox har betydande erfarenhet av att framgångsrikt genomföra projekt för skydd av personuppgifter i stora affärsbanker. Bland sina kunder finns NOTA-Bank, Vnesheconombank, CentroCredit, Tempbank, Alta-Bank, etc.
Uppskatta: