Новое постановление правительства об уровнях защищенности персональных данных

У Алексея Волкова в заметке "Уровни и требования" дан полезный и развернутый обзор проекта постановления Правительства. Также информацию для себя можно почерпнуть здесь, здесь и здесь.

А здесь я приведу свой анализ нового документа "Об установлении уровней защищенности персональных данных при их обработке в информационных системах персональных данных в зависимости от угроз безопасности этих данных" :-)

С текстом проекта можно ознакомиться на сайте ФСБ России - http://www.fsb.ru/files/fsbdoc/project_normakt/urovni.pdf.

Итак, мы имеем 4 уровня защищенности: УЗ-1, УЗ-2, УЗ-3, УЗ-4. Уровни защищенности персональных данных определяются оператором в зависимости:

• от угроз безопасности персональных данных с учетом возможного вреда субъекту персональных данных (т.е. необходимо оценить вред субъекту персональных данных),
• объема и содержания обрабатываемых персональных данных (это аналогично приказу трех), 
• вида деятельности, при осуществлении которого обрабатываются персональные данные (это что-то новое и интересное), 
• актуальности угроз безопасности персональных данных (строим модель угроз).

"Под уровнем защищенности персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определенных угроз безопасности персональных данных при их обработке в информационных системах". 

Определение уровня защищенности персональных данных включает в себя следующие этапы:

• сбор и анализ исходных данных по информационной системе;
• классификацию информационной системы;
• формирование модели угроз и определение категории нарушителя;
• установление уровня защищенности персональных данных и его документальное оформление.

Причем появились некоторые изменения в классификации информационной системы. В частности в определении категории данных, которые теперь называются типы данных.

ТИП 1

СТАЛО:

тип 1 – специальные категории персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также биометрические персональные данные;

БЫЛО:

категория 1 - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

Добавились биометрические персональные данные. 

ТИП 2

СТАЛО:

тип 2 – фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, или любая совокупность таких персональных  данных, позволяющая однозначно определить субъекта персональных данных, а также дополнительные  персональные данные, за исключением персональных данных типа 1;

БЫЛО:

категория 2 - персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

Стало понятнее, что относить ко второй категории: например, ФИО, паспорт и еще что-то.

ТИП 3

СТАЛО:

тип 3 – фамилия, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе, или любая совокупность таких персональных данных, позволяющая однозначно определить субъекта персональных данных;

БЫЛО:

категория 3 - персональные данные, позволяющие идентифицировать субъекта персональных данных;

Т.е. ФИО и паспорт - тип 3.

ТИП 4

СТАЛО:

тип 4 – результат обезличивания персональных данных, представляющего действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных (далее – обезличенные персональные данные). В случае, если имеется возможность получения оператором  такой дополнительной информации, информационная система считается обрабатывающей  персональные данные того типа содержания, который был определен до прохождения процедуры обезличивания.

БЫЛО:

категория 4 - обезличенные и (или) общедоступные персональные данные.

Очень важно: теперь не получится разбить базу на две и объявить одну из них класса 4, так как есть возможность получения дополнительной информации!

Определение объема также изменилось: исчезло указание на возможное определение в пределах субъекта РФ, организации или отрасли экономики, теперь разделяем только по количеству субъектов. Т.е. если в организации работает более 1000 человек, то это уже объем 2, а не 1 как раньше.

Таблица классификации новая:

Таблица классификации старая:

Желтым обозначены те позиции, которые изменились (для удобства старая таблица была развернута аналогично новой, столбцы и строки переставлены). Т.е. для категории 1 стал возможен 2 класс, а для категории 2 - невозможен 3й. :)

Оператор вправе поставить класс выше, чем требуется. Затем по требования ФСТЭК и ФСБ строится модель угроз. Интересно, можно ли будет пользоваться Базовой моделью угроз от ФСТЭК и Методическими рекомендациями ФСБ или же появятся новые требования?

Дальше начинается самое интересное - определение нарушителя. В Методических рекомендациях по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации была классификация нарушителей по 6 типам: Н1- Н6.В данном проекте предусмотрено 3 класса: КН1, КН2, КН3.

КН1 – нарушитель (группа нарушителей), самостоятельно осуществляющий (осуществляющая)  создание методов и средств реализации атак и реализацию атак на информационную систему (нарушитель с низким потенциалом); 

Инсайдер или сторонний злоумышленник с небольшими возможностями (неспециалист).

КН2 – группа нарушителей, осуществляющая создание методов и средств реализации атак и реализацию атак на информационную систему с привлечением специалистов в области разработки и анализа средств защиты информации, включая специалистов в области защиты информации от утечки по техническим каналам и (или) специалистов в области использования для реализации атак недокументированных  (недекларированных) возможностей прикладного программного обеспечения (нарушитель со средним 

потенциалом);

Привлекаются специалисты по защите информации.

КН3 – нарушитель или  группа нарушителей, осуществляющая создание методов и средств реализации атак и реализацию атак на информационную систему с привлечением специалистов в области разработки и анализа средств защиты информации, включая специалистов в области использования для реализации атак недокументированных (недекларированных) возможностей системного программного обеспечения (нарушитель с высоким потенциалом).

Привлекаются специалисты-разработчики.

Для рядовой ИСПДн, на мой взгляд, достаточно КН1. Уровень защищенности определяется по специальной таблице, где столбцы - классы нарушителей, строки - классы ИСПДн. 

Для КН1 нет уровня защищенности 1, только 2, 3 и 4. Уровень защищенности необходимо закреплять актом, делать его выше - право оператора. Устанавливать уровень ниже можно только с письменного разрешения ФСТЭК и ФСБ.

Ну вот и весь анализ, отметила основные моменты, надеюсь он будет Вам полезен в работе :)

А и кстати - где же специальные системы?:)