Требования по обеспечению безопасности персональных данных

Выбранные и реализованные меры по обеспечению безопасности ПДн должны обеспечивать нейтрализацию предполагаемых угроз безопасности персональных данных, при их обработке в информационных системах в составе системы защиты персональных данных Организации.

Система защиты персональных данных, строится на основании:

· Модели угроз безопасности персональным данным при их обработке в информационной системе персональных данных «Сотрудники» МАУК «ДКиТ «Торфяник»;

· Модели угроз безопасности персональным данным при их обработке в информационной системе персональных данных «Клиенты» МАУК «ДКиТ «Торфяник»;

· Модели угроз безопасности персональным данным при их обработке в информационной системе персональных данных «Исполнители» МАУК «ДКиТ «Торфяник»;

· Технического проекта «системы защиты персональных данных информационных систем персональных данных МАУК «ДКиТ «Торфяник»;

· Руководящих документов ФСТЭК и ФСБ России.

Выбранные необходимые мероприятия по защите ПДн отражаются в «Описании системы защиты персональных данных МАУК «ДКиТ «Торфяник».

3.1.Требования по обеспечению защиты в ИСПДн «Сотрудники», ИСПДн «Клиенты» и ИСПДн «Исполнители»

Для защиты от НСД в ИСПДн на рабочих станциях и серверах устанавливается средства защиты информации, обеспечивающие:

- Идентификация и аутентификация пользователей, являющихся работниками оператора;

- Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов;

- Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации;

- Защита обратной связи при вводе аутентификационной информации

- Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей);

- Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей

- Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа;

- Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами;

- Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы;

- Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функ­ционирование информационной системы;

- Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе);

- Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети;

- Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы);

- Определение событий безопасности, подлежащих регистрации, и сроков их хранения;

- Определение состава и содержания информации о событиях безопасности, подлежащих регистрации;

- Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения;

- Защита информации о событиях безопасности;

- Реализация антивирусной защиты;

- Обновление базы данных признаков вредоносных компьютерных программ (вирусов);

- Организация контролируемой зоны, в пределах которой постоянно размещаются стационарные технические средства, обрабатывающие информацию, и средства защиты информации, а также средства обеспечения функционирования;

- Контроль и управление физическим доступом к техническим средствам, средствам защиты информации, средствам обеспечения функционирования, а также в помещения и сооружения, в которых они установлены, исключающие несанкционированный физический доступ к средствам обработки информации, средс­твам защиты информации и средствам обеспечения функционирования информационной системы, в помещения и сооружения, в которых они установлены;

- Размещение устройств вывода (отображения) информации, исключающее ее несанкционированный просмотр;

- Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации;

- Контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации;

- Контроль состава технических средств, программного обеспече­ния и средств защиты информации;

- Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи;

Дата добавления: 2015-06-29