ВВЕДЕНИЕ
Настоящая Политика информационной безопасности (далее – Политика) муниципального бюд-жетного общеобразовательного учреждения «Классическая школа» г. Гурьевска (далее - ОУ) яв-ляется официальным документом.
Политика разработана в соответствии с целями, задачами и принципами обеспечения безопас-ности персональных данных, изложенных в Концепции информационной безопасности ИСПДн ОУ.
Политика разработана в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и Постановления Правительства РФ от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информаци-онных системах персональных данных", на основании:
- «Рекомендаций по обеспечению безопасности персональных данных при их обработке в ин-формационных системах персональных данных», утвержденных Заместителем директора ФСТЭК России от 15.02.2008 г.;
- «Типовых требований по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведе-ний, составляющих государственную тайну в случае их использования для обеспечения без-опасности персональных данных при их обработке в информационных системах персональных данных», утвержденных руководством 8 Центра ФСБ России 21.02.2008 г. № 149/6/6-662;
- приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания органи-зационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн».
В Политике определены требования к персоналу, задействованному в работе с ИСПДн ОУ, сте-пень ответственности персонала, структура и необходимый уровень защищенности, статус и должностные обязанности сотрудников, ответственных за обеспечение безопасности персональ-ных данных в ИСПДн ОУ.
1. Общие положения
Целью настоящей Политики является обеспечение безопасности объектов защиты ОУ от всех видов угроз, внешних и внутренних, умышленных и непреднамеренных, минимизация ущерба от возможной реализации угроз безопасности объектам защиты в т.ч. ПДн (УБПДн).
Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уни-чтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий.
Информация и связанные с ней ресурсы должны быть доступны для авторизованных пользова-телей. Должно осуществляться своевременное обнаружение и реагирование на УБПДн и другие угрозы безопасности.
Должно осуществляться предотвращение преднамеренных или случайных, частичных или пол-ных несанкционированных модификаций или уничтожения данных.
Состав объектов защиты представлен в перечне защищаемой информации.
Состав ИСПДн подлежащих защите, представлен в Отчете о результатах проведения внутрен-ней проверки.
Эта Политика информационной безопасности была утверждена директором муниципального бюджетного общеобразовательного учреждения «Классическая школа» г. Гурьевска и введена в Приказом № ____ от ___.___.20__ г.
2. Область действия
Требования настоящей Политики распространяются на всех сотрудников ОУ (штатных, времен-ных, работающих по контракту и т.п.), а также всех прочих лиц – представителей организаций, которые находятся в договорных отношениях с ОУ (подрядчики, аудиторы и т.п.).
3. Система защиты персональных данных
Система защиты персональных данных (СЗПДн) строится на основании:
- Отчета о результатах проведения внутренней проверки;
- Перечня защищаемой информации;
- Модели угроз безопасности персональных данных;
- Положения о разграничении прав доступа к обрабатываемым персональным данным;
- Руководящих документов ФСТЭК и ФСБ России.
На основании этих документов определяется необходимый уровень защищенности ПДн каждой ИСПДн ОУ. На основании анализа актуальных угроз безопасности ПДн, описанного в Модели угроз и Отчета о результатах проведения внутренней проверки, делается заключение о необхо-димости использования технических средств и организационных мероприятий для обеспечения безопасности ПДн.
Выбранные необходимые мероприятия отражаются в Плане мероприятий по обеспечению защиты ПДн.
Для каждой ИСПДн должен быть составлен список используемых технических средств защиты, а также программного обеспечения, участвующего в обработке ПДн на всех элементах ИСПДн:
- АРМ пользователей.
- Сервера приложений.
- СУБД.
- Границы ЛВС.
- Каналы передачи в сети общего пользования и (или) международного обмена, если по ним передаются ПДн.
В зависимости от уровня защищенности ИСПДн и актуальных угроз, СЗПДн может включать следующие технические средства:
- антивирусные средства для рабочих станций пользователей и серверов;
- средства межсетевого экранирования;
- средства криптографической защиты информации, при передаче защищаемой информации по каналам связи.
Также в список должны быть включены функции защиты, обеспечиваемые штатными средства-ми обработки ПДн операционными системами, прикладным ПО и специальными комплексами, реализующими средства защиты. Список функций защиты может включать:
- управление и разграничение доступа пользователей;
- регистрацию и учет действий с информацией;
- обеспечение целостности данных;
- обнаружение вторжений.
Список используемых технических средств отражается в Плане мероприятий по обеспечению защиты персональных данных. Список используемых средств должен поддерживаться в акту-альном состоянии. При изменении состава технических средств защиты или элементов ИСПДн, соответствующие изменения должны быть внесены в Список и утверждены директором ОУ или лицом, ответственным за обеспечение защиты ПДн.
4. Требования к подсистемам СЗПДн
СЗПДн включает в себя следующие подсистемы:
- управления доступом, регистрации и учета;
- обеспечения целостности и доступности;
- антивирусной защиты;
- межсетевого экранирования;
- анализа защищенности;
- обнаружения вторжений;
- криптографической защиты.
Подсистемы СЗПДн имеют различную функциональность в зависимости от класса ИСПДн, определенного в Акте классификации информационной системы персональных данных. Список соответствия функций подсистем СЗПДн классу защищенности представлен в Приложении 1.
4.1. Подсистемы управления доступом, регистрации и учета
Подсистема управления доступом, регистрации и учета предназначена для реализации следую-щих функций:
- идентификации и проверки подлинности субъектов доступа при входе в ИСПДн;
- идентификации терминалов, узлов сети, каналов связи, внешних устройств по логическим именам;
- идентификации программ, томов, каталогов, файлов, записей, полей записей по именам;
- регистрации входа (выхода) субъектов доступа в систему (из системы), либо регистрации за-грузки и инициализации операционной системы и ее останова.
- регистрации попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам;
- регистрации попыток доступа программных средств к терминалам, каналам связи, програм-мам, томам, каталогам, файлам, записям, полям записей.
Подсистема управления доступом может быть реализована с помощью штатных средств обра-ботки ПДн (операционных систем, приложений и СУБД). Также может быть внедрено специ-альное техническое средство или их комплекс, осуществляющий дополнительные меры по аутентификации и контролю. Например, применение единых хранилищ учетных записей поль-зователей и регистрационной информации, использование биометрических и технических (с помощью электронных пропусков) мер аутентификации и других.
4.2. Подсистема обеспечения целостности и доступности
Подсистема обеспечения целостности и доступности предназначена для обеспечения целостно-сти и доступности ПДн, программных и аппаратных средств ИСПДн ОУ, а также средств защи-ты при случайной или намеренной модификации.
Подсистема реализуется с помощью организации резервного копирования обрабатываемых дан-ных, а также резервированием ключевых элементов ИСПДн.
4.3. Подсистема антивирусной защиты
Подсистема антивирусной защиты предназначена для обеспечения антивирусной защиты серве-ров и АРМ пользователей ИСПДн ОУ.
Средства антивирусной защиты предназначены для реализации следующих функций:
- резидентный антивирусный мониторинг;
- антивирусное сканирование;
- скрипт-блокирование;
- централизованная/удаленная установка/деинсталляция антивирусного продукта, настройка, администрирование, просмотр отчетов и статистической информации по работе продукта;
- автоматизированное обновление антивирусных баз;
- ограничение прав пользователя на остановку исполняемых задач и изменение настроек анти-вирусного программного обеспечения;
- автоматический запуск сразу после загрузки операционной системы.
Подсистема реализуется путем внедрения специального антивирусного программного обеспе-чения на все элементы локальной вычислительной сети в т.ч. ИСПДн.
4.4. Подсистема межсетевого экранирования
Подсистема межсетевого экранирования предназначена для реализации следующих функций:
- фильтрации открытого и зашифрованного (закрытого) IP-трафика по различным параметрам;
- фиксации во внутренних журналах информации о проходящем открытом и закрытом IP-трафике;
- идентификации и аутентификации администратора межсетевого экрана при его локальных запросах на доступ;
- регистрации входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова;
- контроля целостности своей программной и информационной части;
- фильтрации пакетов служебных протоколов, служащих для диагностики и управления рабо-той сетевых устройств;
- фильтрации с учетом входного и выходного сетевого интерфейса как средства проверки под-линности сетевых адресов;
- фильтрации контента на прикладном уровне;
- регистрации и учета запрашиваемых сервисов прикладного уровня;
- блокирования доступа не идентифицированного объекта или субъекта, подлинность которого при аутентификации не подтвердилась, методами, устойчивыми к перехвату;
- контроля за сетевой активностью приложений и обнаружения сетевых атак.
Подсистема реализуется внедрением программно-аппаратных комплексов межсетевого экрани-рования на границе ЛВС, классом не ниже 4.
4.5. Подсистема анализа защищенности
Подсистема анализа защищенности должна обеспечивать выявления уязвимостей, связанных с ошибками в конфигурации ПО ИСПДн (и других информационных систем конфиденциальных данных), которые могут быть использованы нарушителем для реализации атаки на систему.
Функциональность подсистемы может быть реализована программными и программно-аппаратными средствами.
4.6. Подсистема обнаружения вторжений
Подсистема обнаружения вторжений должна обеспечивать выявление сетевых атак на элементы ИСПДн (и другие информационные системы конфиденциальных данных), подключенные к се-тям общего пользования и (или) международного обмена.
Функциональность подсистемы может быть реализована программными и программно-аппаратными средствами.
4.7. Подсистема криптографической защиты
Подсистема криптографической защиты предназначена для исключения НСД к защищаемой информации в ИСПДн (и другим информационным системам конфиденциальных данных) ОУ при ее передаче по каналам связи сетей общего пользования и (или) международного обмена.
Подсистема реализуется внедрением криптографических программно-аппаратных комплексов.
5. Пользователи ИСПДн
В Концепции информационной безопасности определены основные категории пользователей. На основании этих категории должна быть произведена типизация пользователей ИСПДн, определен их уровень доступа и возможности.
В ИСПДн ОУ можно выделить следующие группы пользователей, участвующих в обработке и хранении ПДн:
- Администратор ИСПДн;
- Администратор безопасности ИСПДн;
- Оператор АРМ;
- Администратор сети;
- Технический специалист по обслуживанию периферийного оборудования;
- Программист-разработчик ИСПДн.
Данные о группах пользователей, уровне их доступа и информированности должен быть отра-жен в Положении о разграничении прав доступа к обрабатываемым персональным данным.
5.1. Администратор ИСПДн
Администратор ИСПДн - сотрудник ОУ, ответственный за настройку, внедрение и сопровож-дение ИСПДн. Обеспечивает функционирование подсистемы управления доступом ИСПДн и уполномочен осуществлять предоставление и разграничение доступа конечного пользователя (оператора АРМ) к элементам, хранящим персональные данные.
Администратор ИСПДн обладает следующим уровнем доступа и знаний:
- обладает полной информацией о системном и прикладном программном обеспечении ИС-ПДн;
- обладает полной информацией о технических средствах и конфигурации ИСПДн;
- имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;
- обладает правами конфигурирования и административной настройки технических средств ИСПДн.
5.2. Администратор безопасности
Администратор безопасности - сотрудник ОУ, ответственный за функционирование СЗПДн, включая обслуживание и настройку административной, серверной и клиентской компонент.
Администратор безопасности обладает следующим уровнем доступа и знаний:
- обладает правами Администратора ИСПДн;
- обладает полной информацией об ИСПДн;
- имеет доступ к средствам защиты информации и протоколирования и к части ключевых эле-ментов ИСПДн;
- не имеет прав доступа к конфигурированию технических средств сети за исключением кон-трольных (инспекционных).
Администратор безопасности уполномочен:
- реализовывать политику безопасности в части настройки системы контроля защиты информации, межсетевых экранов и систем обнаружения атак, в соответствии с которыми пользователь Оператор АРМ) получает возможность работать с элементами ИСПДн;
- осуществлять аудит средств защиты;
- устанавливать доверительные отношения своей защищенной сети с сетями других подразде-лений.
5.3. Оператор АРМ
Оператор АРМ - сотрудник ОУ, осуществляющий обработку ПДн. Обработка ПДн включает: возможность просмотра ПДн, ручной ввод ПДн в систему ИСПДн (включая корректировку), формирование справок и отчетов по информации, полученной из ИСПДн. Оператор не имеет полномочий для управления подсистемами обработки данных и СЗПДн.
Оператор ИСПДн обладает следующим уровнем доступа и знаний:
- обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн;
- располагает конфиденциальными данными, к которым имеет доступ.
5.4. Администратор сети
Администратор сети - сотрудник ОУ, ответственный за функционирование телекоммуникаци-онной подсистемы ИСПДн. Администратор сети не имеет полномочий для управления подси-стемами обработки данных и безопасности.
Администратор сети обладает следующим уровнем доступа и знаний:
- обладает частью информации о системном и прикладном программном обеспечении ИСПДн;
- обладает частью информации о технических средствах и конфигурации ИСПДн;
- имеет физический доступ к техническим средствам обработки информации и средствам за-щиты;
- знает, по меньшей мере, одно легальное имя доступа.
5.5. Технический специалист по обслуживанию периферийного оборудования
Технический специалист по обслуживанию - сотрудник ОУ (или контрагент ОУ), осуществля-ющий обслуживание и настройку периферийного оборудования ИСПДн. Технический специа-лист по обслуживанию не имеет доступа к ПДн, не имеет полномочий для управления подси-стемами обработки данных и безопасности.
Технический специалист по обслуживанию обладает следующим уровнем доступа и знаний:
- обладает частью информации о системном и прикладном программном обеспечении ИСПДн;
- обладает частью информации о технических средствах и конфигурации ИСПДн;
- знает, по меньшей мере, одно легальное имя доступа.
5.6. Программист-разработчик ИСПДн
Программисты-разработчики (поставщики) прикладного программного обеспечения обеспечи-вают его сопровождение на защищаемом объекте. К данной группе могут относиться как со-трудники ОУ, так и сотрудники сторонних организаций.
Лицо этой категории:
- обладает информацией об алгоритмах и программах обработки информации в ИСПДн;
- обладает возможностями внесения ошибок, не декларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, недрения и сопровождения;
- может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых в ИСПДн.
6. Требования к персоналу по обеспечению защиты ПДн
Все сотрудники ОУ, являющиеся пользователями ИСПДн, должны четко знать и строго выпол-нять установленные правила и обязанности по доступу к защищаемым объектам и соблюдению принятого режима безопасности ПДн.
При вступлении в должность нового сотрудника специалист по кадрам, обязан организовать его ознакомление с должностной инструкцией и необходимыми документами, регламентирующими требования по защите ПДн, а администратор безопасности также организует обучение навыкам выполнения процедур, необходимых для санкционированного использования ИСПДн.
Сотрудник должен быть ознакомлен со сведениями настоящей Политики, принятых процедур работы с элементами ИСПДн и СЗПДн.
Сотрудники ОУ, использующие технические средства аутентификации, должны обеспечивать сохранность идентификаторов (электронных ключей) и не допускать НСД к ним, а так же воз-можность их утери или использования третьими лицами. Пользователи несут персональную от-ветственность за сохранность идентификаторов.
Сотрудники ОУ должны следовать установленным процедурам поддержания режима безопасно-сти ПДн при выборе и использовании паролей (если не используются технические средства аутентификации).
Сотрудники ОУ должны обеспечивать надлежащую защиту оборудования, оставляемого без присмотра, особенно в тех случаях, когда в помещение имеют доступ посторонние лица. Все пользователи должны знать требования по безопасности ПДн и процедуры защиты оборудова-ния, оставленного без присмотра, а также свои обязанности по обеспечению такой защиты.
Сотрудникам запрещается устанавливать постороннее программное обеспечение, подключать личные мобильные устройства и носители информации (в случае работы в ИСПДн), а так же записывать на них защищаемую информацию.
Сотрудникам запрещается разглашать защищаемую информацию, которая стала им известна при работе с информационными системами ОУ, третьим лицам.
При работе с ПДн в ИСПДн сотрудники ОУ обязаны обеспечить отсутствие возможности про-смотра ПДн третьими лицами с мониторов АРМ или терминалов.
При завершении работы с ИСПДн сотрудники обязаны защитить АРМ или терминалы с помо-щью блокировки ключом или эквивалентного средства контроля, например, доступом по паро-лю, если не используются более сильные средства защиты.
Сотрудники ОУ должны быть проинформированы об угрозах нарушения режима безопасности ПДн и ответственности за его нарушение. Они должны быть ознакомлены с утвержденной фор-мальной процедурой наложения дисциплинарных взысканий на сотрудников, которые наруши-ли принятые политику и процедуры безопасности ПДн.
Сотрудники обязаны без промедления сообщать обо всех наблюдаемых или подозрительных случаях работы ИСПДн, могущих повлечь за собой угрозы безопасности ПДн, а также о выяв-ленных ими событиях, затрагивающих безопасность ПДн, руководству и администратору без-опасности ПДн.
7. Должностные обязанности пользователей ИСПДн
Должностные обязанности пользователей ИСПДн описаны в следующих документах:
- инструкция администратора безопасности ИСПДн;
- инструкция пользователя ИСПДн;
- инструкция пользователя при возникновении внештатных ситуаций;
- инструкция по организации парольной защиты.
8. Ответственность сотрудников ИСПДн
В соответствии со ст. 24 Федерального закона Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных» лица, виновные в нарушении требований данного Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную преду-смотренную законодательством Российской Федерации ответственность.
Действующее законодательство РФ позволяет предъявлять требования по обеспечению безопас-ной работы с защищаемой информацией и предусматривает ответственность за нарушение уста-новленных правил эксплуатации ЭВМ и систем, неправомерный доступ к информации, если эти действия привели к уничтожению, блокированию, модификации информации или наруше-нию работы ЭВМ или сетей (статьи 272,273 и 274 УК РФ).
Администратор ИСПДн и администратор безопасности несут ответственность за все действия, совершенные от имени их учетных записей или системных учетных записей, если не доказан факт несанкционированного использования учетных записей.
При нарушениях сотрудниками ОУ - пользователями ИСПДн правил, связанных с безопасно-стью ПДн, они несут ответственность, установленную действующим законодательством Рос-сийской Федерации.
Приведенные выше требования нормативных документов по защите информации должны быть отражены в Положениях ОУ, регламентирующих обработку ПДн в ИСПДн и должностных ин-струкциях сотрудников ОУ.
Необходимо внести в Положения ОУ, регламентирующие обработку ПДн в ИСПДн сведения об руководителей и сотрудников за разглашение и несанкционированную модификацию (искаже-ние, фальсификацию) ПДн, а также за неправомерное вмешательство в процессы их автоматизи-рованной обработки.
9. Список использованных источников
Основными нормативно-правовыми и методическими документами, на которых базируется настоящее Положение, являются:
1. Федеральный Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн.
2. Постановление Правительства РФ от 01.11.2012 № 1119
«Об утверждении требований к защите персональных данных при их обработке в информаци-онных системах персональных данных».
3. «Порядок проведения классификации информационных систем персональных данных», утвержденный совместным Приказом ФСТЭК России № 55, ФСБ России № 86 и Мининформ-связи РФ № 20 от 13.02.2008 г.
4. «Положение об особенностях обработки персональных данных, осуществляемой без исполь-зования средств автоматизации», утвержденное Постановлением Правительства РФ от 15.09.2008 г. № 687.
5. «Требования к материальным носителям биометрических персональных данных и техноло-гиям хранения таких данных вне информационных систем персональных данных», утвержден-ные Постановлением Правительства РФ от 06.07.2008 г. № 512.
6. Нормативно-методические документы Федеральной службы по техническому и экспертно-му контролю Российской Федерации (далее - ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн:
7. Рекомендации по обеспечению безопасности персональных данных при их обработке в ин-формационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (Для служебного пользования).
8. Основные мероприятия по организации и техническому обеспечению безопасности персо-нальных данных, обрабатываемых в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (Для служебного пользования).
9. Базовая модель угроз безопасности персональных данных при их обработке в информаци-онных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (Для слу-жебного пользования).
10. Методика определения актуальных угроз безопасности персональных данных при их обра-ботке в информационных системах персональных данных, утв. Зам. директора ФСТЭК России 15.02.08 г. (Для служебного пользования).