About

Photo theory   Фотоапараты системы 4/3. Что это такое. Panorama Tools Часть 1. PTStitcher и PTOptimizer. Часть 2. Терминология. (Distorsions, HFOV и т.д.) Часть 3. Подготовка оптимизатора. Часть 4. Связывание кадров. Анализ ACPD. Финальный расчет.

Альбомы   Карелия Часть1. Карельское серебро Часть 2. Поселок Соломенное Часть 3. Петрозаводск Часть 4. Кижи. Остров игрищ Часть 5. Водопад Кивач Часть 6. Прыжок в неизвестность.

Разное   Реквием. Клязьминское Водохранилище. О пылесосах. Теория и практика. Интересный разминочный кейс из MBA

Freeware   Введение Офисный комплект: Таблицы, тексты, графика, печать Работа с графикой Организация данных Почтовые клиенты В помощь администратору: Средства автоматизации Декодирование Работа с реестром Имперсонализация Поиск и замена Восстановление данных Прямой доступ к диску Аппаратный мониторинг Сетевые утилиты Сетевой мониторинг и анализ Инвентаризация ресурсов

System administration Введение Правила транслитерирования российских имен и фамилий Технологии Новелл EDirectory GroupWise ZenWorks Win32 Shell Scripting Введение. Подготовка рабочей среды Оператор "FOR" Блоки команд. Переменные окружения. Детали: Обход двусмысленности в SET. Библиотека решений. Info Security: Статьи Механизмы заражения и противодействия им. Часть 1 Часть 2 Часть 3 Часть 4 Механизмы функционирования BotNet сетей.

Information Security Введение в электронную цифровую подпись. Аппаратные закладки. Нулевое администрирование: миф или реальность? Основные этапы приведения ИСПДн в соотв. с ФЗ №152. Упрощенная частная модель угроз. Анализ: Почему закон о персональных данных не заработал? -------- Облачные вычисления. Национальные и бизнес риски.

Psychologyes   История Связь ника и характера человека

Прежде чем продолжить, я хочу поблагодарить Ершова Дмитрия Вячеславовича, заместителя директора учебного центра "Информзащита", за огромный труд, который они провели систематизируя и "раскладывая по полочкам" наше непростое законодательство. С его позволения, я могу поделиться этой работой с вами.

Документ впервые был опубикован в клубе Info.Security. В основе ниже перечисленных шагов, лежит дополненная и расширенная мной последовательность действий, сформулированная коллективом учебного центра "Информзащита" и представленная Дмитрием Вячеславовичем на конференции Infosecurity 2009.
Еще раз огромное спасибо, за возможность оперировать материалом вашего учебного центра.

Основные этапы, полностью приведены так, как они сформулированы учебным центром.
Толкования и комментирование, результат моей проработки.

Оновные этапы построения ИСПДн можно представить следующим образом^{<"Информзащита">}:

1. Определение ответственных за обеспечение безопасности ПДн в ИСПДн.
2. Подготовка (обучение) должностных лиц, ответственных за обеспечение безопасности ПДн в ИСПДн.
3. Сбор и анализ исходных данных по информационной системе, формирование перечня персональных данных и выявление ИСПДн.
4. Классификация ИСПДн
5. Построение (формирование) частной модели угроз и модели нарушителей.
6. Разработка (проектирование) системы защиты персональных данных (СЗПДн).
7. Разработка документов, регламентирующих вопросы организации обеспечения безопасности ПДн и эксплуатации СЗПДн в ИСПДн
8. Развертывание, настройка и ввод в опытную эксплуатацию СЗПДн в ИСПДн
9. Испытания СЗПДН в процессе опытной эксплуатации ИСПДн
10. Получение лицензий
11. Оценка соответствия (аттестация) ИСПДн по требованиям безопасности ПДн
12. Уведомление уполномоченного органа по защите прав субъектов персональных данных
13. Организация контроля за соблюдением условий использования средств защиты информации.

Теперь последовательно рассмотрим каждый из этапов.

Определение ответственных за обеспечение безопасности ПДн в ИСПДн.
Работу лучше начинать с определения списка лиц, отвественных за выполнение поставленной задачи.
Поэтому предлагается начать работу с выпуска документа в котором будет утвержден состав и список лиц, ответственных за обеспечение выполнения требований по обеспечению безопасности ПДн.

В качестве опорного пункта берется "Постановление Правительства Российской Федерации от 17.11.2007 г. № 781"
п. 13. Для разработки и осуществления мероприятий по организации и обеспечению безопасности ПДн при их обработке в ИСПДн оператором или уполномоченным им лицом может назначаться структурное подразделение или должностное лицо (работник), ответственное за обеспечение безопасности ПДн.

Виды обеспечения работ по защите ПДн:^{<"Информзащита">}

1. Финансовое - осуществляется по результатам проведенного обоснования необходимых затрат на организацию защиты в целях:
   • финансирования и стимулирования работ сотрудников организации, привлекаемых к работам
   • подготовки кадров (персонала
   • привлечения сторонних организаций для проведения работ
   • проведения закупок программных, аппаратных и иных материальных средств
2. Кадровое – проводится в интересах:
• Повышения уровня знаний в области обеспечения безопасности информации
• Приобретения навыков работы с новым программными и аппаратными средствами
• Привлечения в организацию квалифицированных специалистов
3. Программно-аппаратное – закупка и испытания средств защиты
4. Информационное - направлено на информирование всех заинтересованных лиц, участвующих в организации и проведении мероприятий по защите ПДн, и касается:
   1. правовых аспектов организации защиты,
   2. подготовки и доведения до ответственных лиц требований организационных распорядительных и нормативных документов,
   3. обеспечения справочной и иной информацией оперативного характера, возникающей в ходе работ
5. Материальное - связано с закупкой или изготовлением изделий, необходимых для организации и проведения мероприятий по защите ПДн, например, шкафов, кондиционеров, канцелярских принадлежностей и т.п.

Подготовка (обучение) должностных лиц, ответственных за обеспечение безопасности ПДн в ИСПДн.
При отсутствии специализированного отдела, требуется произвести дополнитетельное обучение лиц вовлеченных в процесс построения и последующего обслуживания ИСПДн.
Подготовка (обучение) должностных лиц, ответственных за обеспечение безопасности ПДн в ИСПДн с целью:^{<"Информзащита">}

1. компетентного планирования, руководства и исполнения работ по защите ПДн;
2. получения лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации;
3. получения лицензии ФСБ России на деятельность по техническому обслуживанию криптосредств (при их использовании в ИСПДн).

Сбор и анализ исходных данных по информационной системе, формирование перечня персональных данных и выявление ИСПДн.
Выделение ИСПДн, задача нетривиальная, по причине того, что все они примелькались или за таковые не считаются, что не является верным. Поэтому, вкрадце перечислю основные ИС, которые могут содержать ПДн.

• CRM системы. В нее могут входить, как данные о клиентах (частных или представителях юридических лиц), партнерах, так и персональные данные ответственных менеджеров, а также самих операторов, в том числе их ПДн
• Системы биллинга (информация о клиентах)
• Базы данных. Это могут быть части автоматизированных систем обработки информации о клиентах, пациентах, сотрудниках, оцифрованные копии документов содержащих ПДн. Сюда входят бухгалтерские, кадровые, военно учетные (в ВУЗах) системы обработки ПДн.
• Системы каталога, такие как Active Directory, eDirectory, LDAP и DAP базы данных, содержащих ПДн.
• Почтовые системы. Данные о клиентах почтовых систем в рамках заполненных соотвестствующих полей в адресной книге.
• Системы бюро пропусков, а также учетные электронные книги на КПП охраняемых объектов.

Выходные документы:^{<"Информзащита">}
- "Перечень персональных данных"
- "Описание технологического процесса (технологии) обработки информации в ИСПДн"
- "Списк лиц, допущенных к обработке персональных данных"

Классификация ИСПДн
Классификация осуществляется в соответствии с приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 г. № 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных», а также регулируется постановлением Правительства Российской Федерации от 17.11.2007 г. №781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», в частности пунктом 6 абзац 2, который гласит: "Порядок проведения классификации информационных систем устанавливается совместно Федеральной службой по техническому и экспортному контролю, Федеральной службой безопасности Российской Федерации и Министерством информационных технологий и связи Российской Федерации."

Установлены следующие категории персональных данных (X_пд):

• Категория 1 - ПД, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;
• Категория 2 - ПД, позволяющие идентифицировать субъекта ПД и получить о нем дополнительную информацию, за исключением ПД, относящихся к категории 1;
• Категория 3 - Персональные данные, позволяющие идентифицировать субъекта ПД;
• Категория 4 - Обезличенные и (или) общедоступные персональные данные.

1. - в информационной системе одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах субъекта Российской Федерации или Российской Федерации в целом;
2. - в информационной системе одновременно обрабатываются персональные данные от 1000 до 100 000 субъектов персональных.данных или персональные данные субъектов персональных данных, работающих в отрасли экономики Российской Федерации, в органе государственной власти, проживающих в пределах муниципального образования;
3. - в информационной системе одновременно обрабатываются данные менее чем 1000 субъектов персональных данных или персональные данные субъектов персональных данных в пределах конкретной организации.

• класс 1 (К1) — информационные системы, для которых нарушения могут привести к значительным негативным последствиям для субъектов персональных данных;
• класс 2 (К2) — информационные системы, для которых нарушения могут привести к негативным последствиям для субъектов персональных данных;
• класс 3 (К3) — информационные системы, для которых нарушения могут привести к незначительным негативным последствиям для субъектов персональных данных;
• класс 4 (К4) — информационные системы, для которых нарушения не приводят к негативным последствиям для субъектов персональных данных.

Специальные информационные системы - информационные системы, в которых вне зависимости от необходимости обеспечения конфиденциальности персональных данных требуется обеспечить хотя бы одну из характеристик безопасности персональных данных, отличную от конфиденциальности (защищенность от уничтожения, изменения, блокирования, а также иных несанкционированных действий).

К специальным информационным системам автоматически относятся:
- информационные системы, в которых обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных;
- информационные системы, в которых предусмотрено принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы.

В случае выделения в составе информационной системы подсистем, каждая из которых является информационной системой, информационной системе в целом присваивается класс, соответствующий наиболее высокому классу входящих в нее подсистем. Вследствие этого интегрированные информационные системы, как правило, подпадают под классы К1 и К2 и требуют больших затрат на защиту персональных данных. Защита систем упрощается, если сложная система сегментирована на несколько отдельных, не связанных друг с другом систем, различных по целям и регламентам обработки персональных данных.

п 15. Класс типовой информационной системы определяется в соответствии с таблицей.

Xпд\Xнпд	3	2	1
Категория 4	К4	К4	К4
Категория 3	К3	К3	К2
Категория 2	К3	К2	К2
Категория 1	К1	К1	К1

- К1 и К2: соответствие степени защищенности требованиям безопасности устанавливается путем обязательной сертификации (аттестации);
- К3: соответствие требованиям безопасности подтверждается путем сертификации (аттестации) или (по выбору оператора) декларированием соответствия, проводимым оператором персональных данных;
- К4: оценка соответствия не регламентируется и осуществляется по решению оператора персональных данных.

По неофициальным данным: Классификация К1-К4 присваивается как типовой так и специальной. Отличие состоит в том, что специальная ИСПДн классифицируется по частной модели угроз. В результате получаем те же классы.

Построение (формирование) частной модели угроз и модели нарушителей.
Мероприятия по построению модели угроз и модели нарушителей в ИСПДн:^{<"Информзащита">}

• определение исходной защищённости ИСПДн
• анализ уязвимостей и возможных угроз безопасности ПДн
• определение модели нарушителя
• оценка ущерба от реализации угроз
• определение актуальности угроз

• Типовая модель угроз безопасности ПДн, обрабатываемых в автоматизированных рабочих местах, не имеющих подключения к сетям общего пользования и (или) сетям международного информационного обмена;
• Типовая модель угроз безопасности ПДн, обрабатываемых в автоматизированных рабочих местах, имеющих подключение к сетям общего пользования и (или) сетям международного информационного обмена;
• Типовая модель угроз безопасности ПДн, обрабатываемых в локальных ИСПДн, не имеющих подключение к сетям общего пользования и (или) сетям международного информационного обмена;
• Типовая модель угроз безопасности ПДн, обрабатываемых в локальных ИСПДн, имеющих подключение к сетям общего пользования и (или) сетям международного информационного обмена;
• Типовая модель угроз безопасности ПДн, обрабатываемых в распределенных ИСПДн, не имеющих подключение к сетям общего пользования и (или) сетям международного информационного обмена;
• Типовая модель угроз безопасности ПДн, обрабатываемых в распределенных ИСПДн, имеющих подключение к сетям общего пользования и (или) сетям международного информационного обмена;

Более детально с мероприятиями по защите информации в ИСПДн, рекомендую ознакомиться в информационном бюллетене №5 компании Jet Info, полностью посвященному защите персональных данных, страница 16 глава "Что подлежит защите в ИСПДн ?(Jetinfo.Ru: HTML версия Jetinfo.Ru: PDF версия)"

Разработка (проектирование) системы защиты персональных данных (СЗПДн).
Мероприятия по разработке (проектированию) СЗПДн освещены в постановлении правительства N 781 «Об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» 17 ноября 2007 г.

п. 12. Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:
б) разработку на основе модели угроз системы защиты персональных данных, обеспечивающей нейтрализацию предполагаемых угроз с спользованием методов и способов защиты персональных данных, предусмотренных для соответствующего класса информационных систем;
Этапы при разработке (проектировании) СЗПДн:

• определение требований к СЗПДн исходя из класса ИСПДн и модели угроз;
  - Конкретные требования по нейтрализации выявленных угроз безопасности и конкретные функциональные требования к защитным механизмам определяются после классификации системы и актуализации модели угроз на основании методических документов ФСТЭК и ФСБ.
• определение основных функций, структуры, состава СЗПДн и перечня предполагаемых к использованию сертифицированных средств защиты;
  Сюда входят следующие вопросы:
  1. Выделение и формирование подразделений, которые будут заниматься разработкой и обслуживанием СЗПДн;
  2. Выделение направлений и категорий, по которым будет производится защита ПДн;
  3. Освещение вопросов управления защитой, в том числе организация сигнализации, протоколирования, взаимодействия, администрирования,
  резервного копирования и резервирования по питанию.
  4. Формирование списка сертифицированного оборудования, плана и этапов внедрения СЗПДн
  5. Реализация направлений финансовой, технической, юридической и информационной поддержки кадров.
• планирование организационных мероприятий по защите ПДн в ИСПДн (по администрированию, по разрешительной системе и др.).

Сюда входят следующие вопросы:
1. Определение функций управления доступом к данным и их обработкой, между всеми определенными ранее участниками(операторами и администраторам) ИСПДн;
2. Определение порядка правил доступа к данным защищаемым ИСПДн;
3. Определение порядка правил доступа к архивным данным ИСПДн;
4. Определение порядков разборов инцидентов связанных с нарушениями при доступе к ИСПДн, а также порядка реагирования в случае нештатных ситуаций;
5. Проведение проверочных мероприятий и действий по их результатам.

Разработка документов, регламентирующих вопросы организации обеспечения безопасности ПДн и эксплуатации СЗПДн в ИСПДн
Перечень разрабатываемых документов:^{Reignvox.Ru: Комментарии экспертов: Документы, регламентирующие обработку персональных данных}
Документы, регламентирующие обработку ПДн в ИСПДн компании (для каждой ИСПДн)

1. Акт классификации информационной системы персональных данных (ИСПДн).
2. Модель угроз безопасности ПДн при их обработке в ИСПДн (для специальных систем).
3. Определение границ контролируемой зоны ИСПДн.
4. Технический паспорт ИСПДн.
5. Электронный журнал регистрации обращений пользователей ИСПДн на получение ПДн.
6. Регламент разграничения прав доступа.
7. Приказ о назначении администратора безопасности ИСПДн.
8. Руководство администратора ИСПДн.
9. Руководство пользователя ИСПДн.
10. Приказ об утверждении списка лиц, которым необходим доступ к ПДн, обрабатываемым в ИСПДн, для выполнения служебных (трудовых) обязанностей.
11. Перечень применяемых средств защиты информации (СЗИ) (правовое обоснование см. в п.11)
12. Перечень эксплуатационной и технической документации применяемых СЗИ (правовое обоснование см. в п.11)
13. Перечень носителей ПДн(правовое обоснование см. в п.11)
14. Заключение о готовности СЗИ к эксплуатации (правовое обоснование см. в п.11)

1. Положение о защите персональных данных в компании.
2. Положение по организации и проведению работ по обеспечению безопасности ПДн при их обработке в ИСПДн.
3. Должностные инструкции персоналу в части обеспечения безопасности ПДн при их обработке в ИСПДн (правовое обоснование см. в п.2.)
4. Рекомендации по использованию программных и аппаратных средств защиты (правовое обоснование см. в п.2.)
5. Положение по организации контроля эффективности защиты информации в компании
6. Положение об организации режима безопасности помещений, где осуществляется работа с ПДн
7. Положение о порядке хранения и уничтожения носителей ПДн
8. Формы учета для организации обработки ПДн (шаблоны, бланки)
9. Отчет об обследования информационных систем компании
10. Перечень сведений конфиденциального характера
11. Приказ о назначении структурного подразделения или должностного лица, ответственного за обеспечение безопасности ПДн.
12. Копия «Уведомления об обработке ПДн», выписка из реестра операторов ПДн

Развертывание, настройка и ввод в опытную эксплуатацию СЗПДн в ИСПДн

Соответсвующие мероприятия сформулированы в п. 12 постановления правительства N 781 «Об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» 17 ноября 2007 г.

п.12 Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:
  г) установку и ввод в эксплуатацию средств защиты информации в соответствии с эксплуатационной и технической документацией;
  д) обучение лиц, использующих средства защиты информации, применяемые в информационных системах, правилам работы с ними;
  е) учет применяемых средств защиты информации, эксплуатационной и технической документации к ним, носителей персональных данных;
  ж) учет лиц, допущенных к работе с персональными данными в информационной системе;
  з) контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

Испытания СЗПДН в процессе опытной эксплуатации ИСПДн
На данном этапе выполняются:^{<"Информзащита">}

• приемо-сдаточные испытания средств защиты информации по результатам опытной эксплуатации
• анализ защищенности системного и прикладного программного обеспечения
• доработка СЗПДн и дополнительная настройка СЗИ по результатам опытной эксплуатации
• сертификация программного обеспечения ИСПДн на отсутствие недекларированных возможностей

Получение лицензий^{<"Информзащита">}
Основные определения находятся в документе ФСТЕК "Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных" от 15 февраля 2008 года

3.14. В соответствии с положениями Федерального закона от 8 августа 2001 г. № 128-ФЗ «О лицензировании отдельных видов деятельности» и требованиями постановления Правительства Российской Федерации от 16 августа 2006 г. № 504 «О лицензировании деятельности по технической защите конфиденциальной информации» операторы ИСПДн при проведении мероприятий по обеспечению безопасности ПДн (конфиденциальной информации) при их обработке в ИСПДн 1, 2 классов и распределенных информационных систем 3 класса должны получить лицензию на осуществление деятельности по технической защите конфиденциальной информации в установленном порядке.

1. Лицензии ФСТЭК России – на деятельность по технической защите конфиденциальной информации
2. Лицензии ФСБ России – на деятельность по техническому обслуживанию криптографических (шифровальных) средств
3. Лицензии ФСБ России – на деятельность по распространению криптографических (шифровальных) средств (для холдингов и групп компаний)
4. Лицензии ФСБ России – на деятельность по предоставлению услуг в области шифрования информации (для холдингов и групп компаний)

Оценка соответствия (аттестация) ИСПДн по требованиям безопасности ПДн
Как было упомянуто ранее для ИСПДн:

• - К1 и К2: соответствие степени защищенности требованиям безопасности устанавливается путем обязательной сертификации (аттестации);
• - К3: соответствие требованиям безопасности подтверждается путем сертификации (аттестации) или (по выбору оператора) декларированием соответствия, проводимым оператором персональных данных;
• - К4: оценка соответствия не регламентируется и осуществляется по решению оператора персональных данных.

Следует заметить, что обоснование применения криптографических средств, нигде жестко не регламентируется и для начала их применения, требуется сформулировать модель угроз в которой их применение будет обоснованным.
В частности, к системам в которых обосновано применение СКЗИ можно отнести следующие системы (краткий, примерный список):

• Территориально распределенные системы, которые в качестве транспорта для передачи ПД применяется сети общего доступа, в том числе интернет;
• Системы в которых предполагается вынос средств обработки или хранения ПДн, за пределы контролируемой зоны, в том числе ноутбуки, кпк, смартфоны, и прочие системы обработки и хранения ПДн.
• Многопользовательские системы ПДн, первого класса с разграничением доступа по криптографическим ключам.

Уведомление уполномоченного органа по защите прав субъектов персональных данных
Данная часть мероприятий регулируется Федеральным законом Российской Федерации от 27.07.2006 г. N 152-ФЗ «О персональных данных»

Статья 22. Уведомление об обработке персональных данных

1. Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.

Статья 25. Заключительные положения

4. Операторы, которые осуществляют обработку персональных данных до дня вступления в силу настоящего Федерального закона и продолжают осуществлять такую обработку после дня его вступления в силу, обязаны направить в уполномоченный орган по защите прав субъектов персональных данных, за исключением случаев, предусмотренных частью 2 статьи 22 настоящего Федерального закона, уведомление, предусмотренное частью 3 статьи 22 настоящего Федерального закона, не позднее 1 января 2008 года.

Организация контроля за соблюдением условий использования средств защиты информации.
Регулируется постановлением Правительства Российской Федерации от 17.11.2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»

12. Мероприятия по обеспечению безопасности персональных данных при их обработке в информационных системах включают в себя:

з) контроль за соблюдением условий использования средств защиты информации, предусмотренных эксплуатационной и технической документацией;

и) разбирательство и составление заключений по фактам несоблюдения условий хранения носителей персональных данных, использования средств защиты информации, которые могут привести к нарушению конфиденциальности персональных данных или другим нарушениям, приводящим к снижению уровня защищенности персональных данных, разработку и принятие мер по предотвращению возможных опасных последствий подобных нарушений;

• Consultant.Ru: Трудовой кодекс Российской Федерации от 30.12.2001 г. № 197-ФЗ (14 глава, с изменениями и дополнениями)
• Businesspravo.Ru: Федеральный закон от 19.12.2005 г. N 160-ФЗ «О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных»
• Consultant.Ru: Федеральный закон Российской Федерации от 27.07.2006 г. N 152-ФЗ «О персональных данных».
• RG.Ru: Постановление Правительства Российской Федерации от 17.11.2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных».
• Consultant.Ru: Постановление Правительства Российской Федерации от 15.09.2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
• RG.Ru: Постановление Правительства Российской Федерации от 6.07.2008 г. № 512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных».
• RG.Ru: Постановление Правительства Российской Федерации от 15.08.2006 г. № 504 «О лицензировании деятельности по технической защите конфиденциальной информации
• RG.Ru: Постановление Правительства Российской Федерации от 16.03.2009 г. № 228 «О Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций»
• RG.Ru: Приказ ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 г. № 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»
• Consultant.Ru: Приказ Россвязькомнадзора от 17.07.2008 г. № 08 «Об утверждении образца формы уведомления об обработке персональных данных»
• Pd.Rsoc.Ru: Приказ Россвязькомнадзора от 18.02.2009 № 42 «О внесении изменений в приказ Россвязькомнадзора от 17 июля 2008г. № 8 «Об утверждении образца формы уведомления об обработке персональных данных»
• Rg.Ru: Федеральный закон от 27 декабря 2002 г. N 184-ФЗ «О техническом регулировании»
• Методические документы ФСТЭК России по обеспечению безопасности персональных данных (документы ДСП)
  • Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных" от 15 февраля 2008 год
  • Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных" от 15 февраля 2008 года(выписка)(При рассмотрении угроз утечки информации по каналам побочных электромагнитных излучений и наводок (ПЭМИН) необходимо применять полную версию данного документа.)
  • Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных" от 15 февраля 2008 года
  • Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" от 15 февраля 2008 года.
• Криптографическая защита для обеспечения безопасности ПД осуществляется в соответствии со следующими документами:
  • Businesspravo.Ru: Приказом ФСБ России от 9.02.2005 г. № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации)
  • Consultant.Ru: Постановлением Правительства Российской Федерации от 29.12.2007 г. № 957 «Об утверждении положений о лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами»;
  • Mediann.Ru: Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации (ФСБ России, от 21.02.2008 г. № 149/54-144)
  • Mediann.Ru: Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных" от 21 февраля 2008 года
  • Businesspravo.Ru: Постановление правительства N 781 «Об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных» 17 ноября 2007 г.
• Fstec.Ru: Перечень органов (организаций) по аттестации cистемы сертификации средств защиты информации по требованиям безопасности информации, а также Государственный реестр сертифицированных средств защиты информации

(c) 2009 Учебный центр "Информзащита".
Перепечатка или цитирование возможна только при
наличии официального разрешения правообладателя.

(c) 2006-2012
by Foto-Workshop.
Перепечатка или цитирование свободно при
условии, указания ссылки на данный источник,
но только в случае, если не оговорены дополнительные условия.