На что опираемся?
В статье рассмотрены особенности выполнения операторами требований ФЗ «О персональных данных» в части проектирования и создания систем защиты персональных данных при их обработке в информационных системах персональных данных.
Задача проектирования и создания систем защиты персональных данных (СЗПДн) в составе информационной системы персональных данных (ИСПДн) – одна из наиболее интеллектуально сложных и трудоемких, требующих наибольшего вложения финансовых средств, в череде задач, связанных с исполнением требований ФЗ «О персональных данных». Этот процесс должен осуществляться в соответствии с руководящими и нормативно-методическим документами регуляторов: ФСТЭК России и ФСБ России, прежде всего – первой, поскольку общие вопросы построения систем защиты регулируются именно этим органом. Научно-исследовательскими организациями ФСТЭК России разработаны государственные стандарты для автоматизированных систем в защищенном исполнении. Методические документы ФСБ России не содержат рекомендаций по порядку проектирования систем защиты и предназначены для применения лишь в случае использования средств криптографической защиты информации (СКЗИ) для защиты персональных данных.
Методический документ ФСТЭК России «Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» напоминает: «В связи с тем, что ИСПДн по своим характеристикам и номенклатуре угроз безопасности ПДн близки к наиболее распространенным, так называемым «офисным», информационным системам, целесообразно при их защите максимально использовать традиционные подходы к технической защите информации в автоматизированных системах».
В связи с этим при разработке СЗПДн следует четко представлять себе методологии, разработанные в ФСТЭК России для защиты конфиденциальной информации, и непосредственно руководствоваться следующими руководящими и методическими документами:
- ГОСТ Р 51583-2000 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Основные положения» (для служебного пользования);
- ГОСТ Р 51624-2000 «Защита информации. Автоматизированные системы в защищенном исполнении. Основные положения» (для служебного пользования);
- Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К), Гостехкомиссия России, 2002 год (для служебного пользования);
- Основные мероприятия по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных, ФСТЭК РФ, 2008 год, утверждены Заместителем директора ФСТЭК России 15.02.2008 (пометка «для служебного пользования» снята Решением ФСТЭК России от 11.11.2009);
- Рекомендации по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, ФСТЭК России, 2008 год, утверждены Заместителем директора ФСТЭК России 15.02.2008 (пометка «для служебного пользования» снята Решением ФСТЭК России от 11.11.2009).
< ... >
