Испдн

Информационные системы персональных данных (ИСПДн) используют в своей работе многие предприятия и организации. Давайте разберемся, что это такое, и какие нюансы нужно учитывать тем, кто работает с ИСПДн.

Что такое ИСПДН?

Если говорить просто, информационная система ИСПДн используется для хранения и обработки персональных данных.

В ее составе выделяют следующие составляющие:

  • Собственно, совокупность персональных данных, хранящихся в системе, в базе данных.
  • Технические средства, использующиеся для работы с этими данными.
  • Средства автоматизации процессов учета и обработки сведений, хранящихся в ИСПДн (могут быть не во всех системах).

ИСПДН – это серьезно

При использовании рассматриваемых систем важно обеспечить защиту персональных данных от несанкционированного доступа, утери и прочих нештатных ситуаций. Это прописано даже на законодательном уровне. А для того, чтобы принять советующие меры по ограничению доступа к сведениями и по их защите, проводится аудит ИСПДн (подробнее можно узнать, например, у специалистов компании «Rentacloud»: http://rentacloud.su/services/zashchita-personalnykh-dannykh/audit/). По его результатам составляется акт, содержащий следующую информацию:

  • Категория персональных данных, которые хранятся и обрабатываются в обследованной системе.
  • Их класс и тип (об этом — ниже).
  • Параметры и структура исследуемой системы.
  • Объемы ПДн (количество записей и пр.), хранящихся и обрабатываемых в ИСПДн.
  • Сведения о местонахождении системы.
  • Информация о возможности доступа к базе данных посредствам сетей, доступных для общего пользования (ЛВС, интернет и пр.).

Аудит проводится в точном соответствии с совместным документом, подготовленным Министерством связи, ФСТЭК и ФСБ. Он весьма объемный и требует досконального изучения. В связи с этим аудит системы и составление рекомендаций, на которых будет основываться защита ИСПДн, необходимо доверять специалистам. Их услугами можно воспользоваться, например, обратившись в компанию «Rentacloud»: (http://rentacloud.su).

Типы, классы ИСПДн, и что еще нужно знать про такие системы

Информационные системы персональных данных (ПДн) подразделяются на 4 класса и 2 типа. Разделение на классы осуществляется на основе таких признаков, как категория обрабатываемых ПДн, и их объемы.

Классы

Разобраться с этим вам поможет таблица:

Пояснения к таблице.

К категории под номером 4 относятся обезличенные ПДн, по которым невозможно идентифицировать конкретного субъекта (пример – статистические данные). К Кат 3 отнесены ПДн, на основе которых возможна только идентификация человека (встречаются довольно редко). Категория 2 включает данные, на основе которых можно провести идентификацию человека, и получить о нем некоторые дополнительные сведения (пример – системы начисления заработной платы в организациях и на предприятиях). К первой категории отнесены данные, содержащие сведения о национальности, состоянии здоровья и другие социальные сведения, и информация иного характера (пример – базы данных учреждений здравоохранения).

Что касается классов, указанных в таблице, отнесение ИСПДН к ним осуществляется на основе возможного ущерба для субъектов при нарушении условий безопасности:

  • Кл 4. Какие-либо негативные последствия для субъекта исключены.
  • Кл 3. Могут иметь место незначительные негативные последствия.
  • Кл 2. Возникновение таких последствий.
  • Кл 1. Возможны весьма серьезные негативные последствия.

Типы ИСПДн

К первому типу отнесены системы, где функции защиты ИСПДн сводятся только к достижению нужных показателей ее конфиденциальности. Если же, помимо конфиденциальности, есть необходимость обеспечении еще хотя бы одного дополнительного показателя безопасности (аутентичность, доступность, целостность данных и пр.), речь идет о втором типе.

Стоит отметить, что большинство используемых сегодня систем отнесены ко второму типу.

Видно, что разработка ИСПДн, их классификация и обеспечение надежной, эффективной защиты – весьма сложные и многогранные процессы. И чтобы не допустить ошибок, целесообразно доверить это специалистам. Обратиться для этого можно, к примеру, в компанию «Rentacloud», занимающую на этом рынке одну из лидирующих позиций.

ИСПДн (Информационная система персональных данных) – информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.

Чтобы отнести типовую информационную систему персональных данных (ИСПДн) к тому или иному уровню защищенности необходимо:

  • Определить категорию обрабатываемых персональных данных: 
    • категория 4 — обезличенные и (или) общедоступные персональные данные;
    • категория 3 — персональные данные, позволяющие идентифицировать субъекта персональных данных;
    • категория 2 — персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;
    • категория 1 — персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни.
  • Определить объем персональных данных, обрабатываемых в информационной системе:
    • объем 3 — одновременно обрабатываются данные менее чем 1 000 субъектов персональных данных в пределах конкретной организации;
    • объем 2 — одновременно обрабатываются персональные данные от 1 000 до 100 000 субъектов персональных данных, работающих в отрасли экономики РФ, в органе государственной власти, проживающих в пределах муниципального образования;
    • объем 1 — одновременно обрабатываются персональные данные более чем 100 000 субъектов персональных данных в пределах субъекта РФ или РФ.
  • По результатам анализа исходных данных типовой ИСПДн присваивается один из следующих классов защищенности (см.

    табл.):

    • класс защищенности(К-4) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, не приводит к негативным последствиям для субъектов персональных данных;
    • класс защищенности(К-З) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к незначительным негативным последствиям для субъектов персональных данных;
    • класс защищенности(К-2) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к негативным последствиям для субъектов персональных данных;
    • класс защищенности(К-1) — информационные системы, для которых нарушение заданной характеристики безопасности персональных данных, обрабатываемых в них, может привести к значительным негативным последствиям для субъектов персональных данных.

Объем / Категория

Объем 3
(<1 000, 
организация)

Объем 2
(1 000-100 000,
отрасль, город)

Объем1  
(>100 000,
субъект Федерации)

Категория 4 (обезличенные, общедоступные)

УЗ-4

УЗ-4

УЗ-4

Категория 3 (идентификационные)

УЗ-3

УЗ-3

УЗ-2

Категория 2 (идентификационные и еще)

УЗ-3

УЗ-2

УЗ-1

Категория 1 (медицинские, социальные)

УЗ-1

УЗ-1

УЗ-1

.

Ликбез по персональным данным

№6. Классификация информационных систем персональных данных отменена

Внимание! C 11 марта 2014 года классификация ИСПДн отменена (приказ ФСТЭК РФ №151, ФСБ РФ №786, Минкомсвязи РФ №461 от 31.12.2013)

До 11 марта 2013 г. все организации, в том числе государственные и муниципальные органы, которые осуществляют обработку персональных данных, обязаны были провести классификацию информационных систем, а также определить цели и содержание такой обработки.

Классификация проводилась с целью определения способов и методов, которые необходимо применить для защиты персональных данных. Классификация проводилась как на стадии создания информационной системы, так и на стадии ее модернизации.

Для проведения классификации создавалась комиссия, в состав которой входили специалисты по защите информации и другие сотрудники, непосредственно отвечающие за безопасность персональных данных. Процедура проведения классификации устанавливалась так называемым «приказом трех» (Совместный приказ ФСТЭК, ФСБ и Мининформсвязи РФ от 13.02.2008), который в настоящее время отменен.

В ходе проведения классификации члены комиссии должны были осуществить анализ собранной информации (исходных данных) об информационной системе, таких как:

  • количество субъектов, персональные данные которых обрабатываются (объем);
  • категория персональных данных;
  • характеристики безопасности персональных данных;
  • структура информационной системы (автономные, локальные или распределенные системы);
  • наличие подключений к сетям общего пользования, в том числе сети Интернет;
  • режим обработки (может быть однопользовательский и многопользовательский);
  • наличие разграничения прав доступа к персональным данным в информационной системе;
  • территориальное расположение элементов информационной системы (могут быть расположены в пределах РФ либо за пределами РФ частично или полностью).

По результатам анализа комиссия должна была определить класс информационной системы при помощи следующей таблицы:

Категория обрабатываемых персональных данных (ПДн) Количество субъектов ПДн
более 100 тыс. в объеме от 1 тыс. до 100 тыс. в объеме до 1 тыс.

субъектов

РФ субъекта РФ отрасли органа власти муниципального образования организации
касающиеся национальной и расовой принадлежности, религиозных либо философских убеждений, здоровья и интимной жизни класс 1 (К1) класс 1 (К1) класс 1 (К1)
позволяющие идентифицировать субъекта ПДн и получить о нем дополнительную информацию класс 1 (К1) класс 2 (К2) класс 3 (К3)
позволяющие идентифицировать субъекта ПДн класс 2 (К2) класс 3 (К3) класс 3 (К3)
обезличенные или общедоступные ПДн класс 4 (К4) класс 4 (К4) класс 4 (К4)

 

Напоминаем вам, что в настоящий момент классификацию ИСПДн проводить не нужно, так как отменен устанавливающий эту процедуру нормативный акт.

Понравилось? Расскажите друзьям:

.

Добавить комментарий

Закрыть меню