Защита ИСПДн по 152-ФЗ под ключ

Документы и техническая защита персональных данных в одном проекте

Кадровая система, CRM, клиентская база и сервис записи могут обрабатывать персональные данные по разным правилам. Для защиты необходимо определить границы информационных систем, права пользователей, способы передачи данных и обязанности сотрудников и подрядчиков.

Обследуем эти процессы и выстраиваем защиту ИСПДн с учетом действующей инфраструктуры. Определяем применимые требования, разрабатываем документацию, настраиваем необходимые технические меры и проверяем их эффективность.

До внедрения согласуем состав работ и способ проверки результата. Если часть требований уже реализована, учитываем действующие документы, оборудование и программное обеспечение при проектировании защиты.

Какой состав работ нужен вашей организации

Начать можно с обследования. По его результатам определим, какие компоненты действующей защиты подходят для проекта, какие требуют перенастройки и где нужны дополнительные средства.

Как проходит проект по защите ИСПДн

1. Обследуем системы и процессы обработки данных

Определяем, какие персональные данные обрабатываются, где они находятся и как передаются между подразделениями, площадками и внешними сервисами. В охват могут входить 1С, CRM, кадровые системы, корпоративные порталы, медицинские системы и другие приложения.

Проверяем:

• состав серверов, рабочих мест и информационных систем;
• права пользователей, администраторов и обслуживающих подрядчиков;
• удаленные подключения и взаимодействие между площадками;
• хранение данных, выгрузок и резервных копий;
• действующие средства защиты и их настройки;
• документацию и актуальность сведений об обработке данных, переданных в Роскомнадзор.

По итогам согласуем границы ИСПДн, выявленные несоответствия и объем дальнейших работ.

2. Определяем требования и разрабатываем документацию

Для каждой ИСПДн определяем актуальные угрозы и необходимый уровень защищенности. На этой основе подбираем организационные и технические меры.

Постановление Правительства РФ № 1119 устанавливает четыре уровня защищенности персональных данных. Приказ ФСТЭК России № 21 определяет состав и содержание мер для их обеспечения. Дополнительные требования учитываем в зависимости от статуса системы и применяемых технологий.

В согласованный комплект документации могут входить:

• модель угроз безопасности персональных данных;
• документы по определению уровня защищенности ИСПДн;
• правила доступа пользователей и администраторов;
• регламенты работы с персональными данными и средствами защиты;
• порядок реагирования на инциденты;

• проектная и эксплуатационная документация.

   

Состав документов определяем по фактическим процессам обработки данных. При необходимости готовим сведения для уведомления Роскомнадзора или актуализации записи в реестре операторов. Уведомление подается от имени организации.

3. Проектируем и внедряем техническую защиту

Определяем, какими настройками и средствами защиты будут реализованы согласованные требования. Оцениваем возможности существующего оборудования и ПО, затем предусматриваем необходимые изменения и поставки.

Поставляем и настраиваем недостающие средства, интегрируем их с инфраструктурой и проверяем совместимость с рабочими системами. Изменения, требующие перезапуска или ограничения доступности сервисов, планируем по согласованному графику.

4. Проверяем эффективность и передаем защиту в эксплуатацию

До ввода ИСПДн в эксплуатацию необходимо оценить эффективность принимаемых мер защиты. Это предусмотрено статьей 19 закона № 152-ФЗ.

Проверяем реализованные настройки и средства защиты по согласованной программе: права доступа, регистрацию событий, работу защитных механизмов и другие включенные в проект меры.

Фиксируем результаты, устраняем замечания в согласованном объеме и передаем документацию по внедренной защите.

Что передаем по результатам проекта

В зависимости от согласованного состава работ передаем:

• Описание ИСПДн и процессов обработки данных – границы систем, состав данных и основные связи.
• Модель угроз и обоснование уровня защищенности – основу для выбора необходимых мер.
• Организационные и эксплуатационные документы – правила доступа, работы с данными и средствами защиты.
• Описание выполненных технических настроек – реализованные меры в согласованном контуре.
• Результаты оценки эффективности – проведенные проверки и выявленные замечания.
• Рекомендации по эксплуатации и актуализации – что учитывать при изменении систем, доступа и процессов обработки.

В документации связываем требования с реализованными мерами и результатами проверки. Так можно установить, какие работы выполнены и какие задачи еще требуют действий.

Точный перечень документов, настроек, поставок и проверок фиксируем в техническом задании и договоре.

Защита персональных данных в типовых системах

1С и кадровые системы

Проверяем доступ к данным сотрудников, права кадровых и расчетных подразделений, административные подключения и работу обслуживающих подрядчиков. Учитываем хранение выгрузок и резервных копий, обмен данными между системами и порядок предоставления доступа.

CRM и клиентские базы

Обследуем права менеджеров и администраторов, доступ к выгрузкам, интеграции с сайтом и внешними сервисами. Определяем необходимые ограничения и порядок изменения доступа при переводе или увольнении сотрудников.

Медицинские организации

Учитываем состав данных пациентов, доступ к медицинской информационной системе, работу филиалов и внешних исполнителей. Требования и способы проверки определяем с учетом архитектуры системы и связанных сервисов.

Образовательные организации

Обследуем системы с данными обучающихся и сотрудников, электронные сервисы, обмен данными и доступ внешних пользователей. Разрабатываем документы и настраиваем защиту с учетом фактического распределения обязанностей.

Облачные сервисы и распределенные площадки

Определяем, где обрабатываются данные и как распределены обязанности между организацией и поставщиками сервисов. Проверяем удаленный доступ, взаимодействие площадок и меры, которые доступны для реализации в используемой инфраструктуре.

Оценка эффективности защиты действующих ИСПДн

Защиту необходимо поддерживать после завершения внедрения. Новая CRM, подключение филиала, изменение прав пользователей или переход в облачный сервис могут потребовать актуализации документов и технических мер.

Приказ ФСТЭК № 21 предусматривает оценку эффективности реализованных мер не реже одного раза в три года. Проверяем действующую защиту, фиксируем замечания и определяем необходимый объем доработок.

Отдельно учитываем готовность к инцидентам: порядок обнаружения события, сбора сведений, внутреннего расследования и подготовки уведомлений. Распределяем действия и ответственность в регламентах с учетом процессов организации.

Стоимость защиты ИСПДн

Стоимость рассчитываем по согласованному охвату проекта. На нее влияют количество информационных систем и площадок, состав обрабатываемых данных, число пользователей и состояние действующей защиты.

Для предварительного расчета укажите основные информационные системы, примерное количество пользователей и площадок, действующие средства защиты и задачу проекта.

Если границы ИСПДн пока неизвестны, определим их при обследовании. Состав работ и поставки согласуем до внедрения.

Смежные задачи

Для проверки всей корпоративной инфраструктуры предусмотрен аудит информационной безопасности.

Если требуется централизованная защита рабочих станций и серверов, используйте услугу корпоративной антивирусной защиты.

Работы по сегментации, межсетевому экранированию и защищенным подключениям подробнее описаны на странице сетевой безопасности предприятия.

Рассчитать проект защиты ИСПДн

Укажите, в каких системах обрабатываются персональные данные, сколько пользователей и площадок нужно включить в проект и что уже используется для защиты.

Определим необходимый состав обследования, документации, технических работ и проверки эффективности. Если есть замечания по действующей защите или техническое задание, приложите их к обращению.