O klasifikácii informačných systémov osobných údajov sa toho popísalo veľa: tejto pálčivej téme sa venujú celé články, weby a fóra. Začnime tým, že v súlade s nariadením FSTEC \ FSB \ MITiS č. 55 \ 86 \ 20 existujú typický a špeciálne ISPDn. Odvolávame sa na typické ISPD, v ktorých je potrebné zabezpečiť len dôvernosť osobných údajov a na špeciálne - ak je potrebné zabezpečiť aspoň jednu z bezpečnostných charakteristík osobných údajov inú ako dôvernosť (celistvosť, pravosť, dostupnosť , atď.)
Objednávka predpokladá klasifikáciu ISPD na základe posúdenia možného poškodenia subjektov PD, ktorých údaje sa v ňom spracúvajú: čím vyššia je možná škoda, tým vyššia je trieda a podľa toho aj vyššie požiadavky na technická ochrana. Odsek 14 vyhlášky hovorí o 4 triedach:
- žiadne negatívne dôsledky (stupeň 4)
- menšie negatívne dôsledky (3. stupeň)
- negatívne dôsledky (2. stupeň)
-výrazné negatívne dôsledky (1. stupeň).
Priradenie jednej alebo druhej triedy ISPD podľa toho istého odseku sa vykonáva na základe výsledkov analýzy počiatočných údajov.
O klasifikácii typických ISPD sme tu už hovorili, poďme teda rovno k tým špeciálnym.

Ako klasifikovať špeciálny ISPD?

Ak váš ISPD obsahuje osobné údaje týkajúce sa rasy, národnosti,
politické názory, náboženské a filozofické presvedčenie, zdravotný stav, intímny život, potom je všetko jednoduché:
trieda vášho systému je K1. A je jedno, či ide o 10 záznamov alebo 100 000. Potom buď ochránite systém podľa K1 v súlade s požiadavkami FSTEC objednávky č.58, alebo znížite triedu napríklad depersonalizáciou takýchto údajov.
Teraz si predstavte určitú ISPD, ktorú musíme klasifikovať. Nech je to veľký podnik, ktorý poskytuje služby svojim zákazníkom.
Počiatočné údaje nášho systému:
1. Rozsah osobných údajov- viac ako 100 000.
2. Kategória osobných údajov- 2 (to znamená, že ide o osobné údaje, ktoré vám umožňujú identifikovať subjekt osobných údajov a získať o ňom ďalšie informácie).
3. Štruktúra informačného systému- distribuovaný;
4. Dostupnosť spojov informačného systému do verejných komunikačných sietí a (alebo) sietí medzinárodných výmena informácií- existuje;
5. Spôsob spracovania osobných údajov- viacužívateľský;
6. Režim diferenciácie prístupových práv používatelia informačného systému - s diferenciáciou prístupových práv;
7. Umiestnenie technických prostriedkov informačný systém – v rámci Ruská federácia.

Takýto systém ale nemôžeme zaradiť podľa štítku z objednávky č. 55 \ 86 \ 20, pretože. „Podľa výsledkov analýzy prvotných údajov typický informačnému systému je priradená jedna z nasledujúcich tried. Nie sme naštvaní, čítame objednávku ďalej a vidíme nasledujúci odsek:
16. Na základe výsledkov analýzy východiskových údajov sa určí trieda osobitného informačného systému na základe modelu ohrozenia bezpečnosti osobných údajov v súlade s metodickými dokumentmi vypracovanými v súlade s odsekom 2 nariadenia vlády SR. Ruskej federácie zo 17. novembra 2007 N 781 "O schválení Nariadení o zaistení bezpečnosti osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov"
Preto po rozbore prvotných údajov, zloženie spracovanej PD, stanovenie štruktúry ISPD a technologických procesov, môžeme dôvodne konštatovať, že Negatívne dôsledky môže spôsobiť porušenie dôvernosti informácií (napríklad šírenie informácií o zdravotnom postihnutí zamestnanca). Implementácia všetkých ostatných hrozieb povedie k menší negatív dôsledky, pretože sú akceptované (alebo budú akceptované v budúcnosti pri vytváraní systému ochrana ISPD) dostatočné technické opatrenia ochranu na ich neutralizáciu. Odrážajúc tieto informácie v modeli hrozby, špeciálna ISPD s špecifikované vlastnosti môžeme bezpečne klasifikovať ako K2.

Tagy: osobné údaje, ispdn

Jeden z Kľúčové elementy na počiatočná fáza zaistiť informačná bezpečnosť je proces klasifikácie chráneného systému podľa požiadaviek informačnej bezpečnosti. Tento proces dobre opísané a regulované, ale má svoje vlastné jemnosti. V predchádzajúcom článku sme sa zaoberali pojmom klasifikácia systému, hlavnými, často sa vyskytujúcimi klasifikačnými znakmi, určili sme zloženie dokumentov, na základe ktorých sa systémy klasifikujú podľa požiadaviek informačnej bezpečnosti, a objasnili niektoré otázky klasifikácie informačných systémov. a účtovných predmetov. V tomto článku sa pozrieme na všeobecný poriadok klasifikácia informačných systémov podľa požiadaviek informačnej bezpečnosti na príklade abstraktného štátneho informačného systému, ako aj množstvo kľúčových bodov klasifikácie.

Pred pokračovaním je potrebné veľmi jasne pochopiť nasledujúce hlavné body:

1. Pod klasifikáciou budeme rozumieť rozdelenie celkového súboru objektov na podmnožiny – triedy zoskupené podľa najvýznamnejších znakov, pričom pod triedou budeme rozumieť súhrn objektov, ktoré majú nejaké spoločné znaky, ktoré naopak bude vlastnosť – klasifikačné kritérium.

2. Viacnásobná klasifikácia podľa požiadaviek informačnej bezpečnosti nie je chybná.

3. Voľba klasifikačného poradia sa uskutočňuje na základe cieľov tvorby systému, skladby informácií na spracovanie a analýzu regulačnou, metodickou a inou dokumentáciou, ktorú musí klasifikovaný systém spĺňať.

4. Výsledkom klasifikácie je akt klasifikácie.

5. Výsledky klasifikácie nie sú konečné a podliehajú revízii.

6. Klasifikáciu vykonáva vlastník informácií.

Otázky 1 až 5 sme dostatočne podrobne rozobrali v predchádzajúcom článku, preto ich vynecháme a podrobnejšie zvážime ďalšie.

Začnime jednoducho: "Výsledkom klasifikácie je akt klasifikácie." Tento fakt ustanovené požiadavkami bodu 14.2, ktorým sa ustanovujú požiadavky na ktorýkoľvek štátny informačný systém.

Jedna z najčastejších chýb pri príprave zákona sa týka prípadov, keď sa vykonáva viacnásobná klasifikácia systémov. V tomto prípade je potrebné vykonať klasifikáciu nezávisle, bez spoliehania sa na výsledky predchádzajúcich klasifikácií (ak to nie je v rozpore s klasifikačným postupom) a výsledok by mal byť formalizovaný v samostatných klasifikačných aktoch.

Treba poznamenať, že neexistuje žiadna prísna požiadavka na prítomnosť samostatných aktov klasifikácie. Všetky informácie o výsledkoch viacnásobnej klasifikácie sa môžu prejaviť v jedinom akte. To však často vedie k zbytočným zmätkom a nepríjemnostiam pre ďalšiu prácu s dokumentom. Preto odporúčame, aby sa akty o klasifikácii vypracovali ako samostatné akty.

Prejdime k bodu 5: "Výsledky klasifikácie nie sú konečné a môžu byť revidované." Toto konštatovanie nasleduje na základe formálnej logiky samotného procesu, pretože sa môžu meniť podmienky fungovania objektu klasifikácie, jeho ciele, ciele a ďalšie aspekty. Samotné klasifikačné znaky sa môžu meniť alebo transformovať. Okrem toho dokument stanovujúci postup klasifikácie často obsahuje informácie o postupe revízie výsledkov klasifikácie. Takže podľa bodu 14.2 nariadenia FSTEC Ruska zo dňa 13. februára 2013 č. 17 bezpečnostná trieda informačného systému podlieha revízii, keď rozsah informačného systému alebo význam informácií v ňom spracovaných zmeny. Postup pri revízii výsledkov klasifikácie je prakticky rovnaký ako samotný proces klasifikácie.

Prejdime k poslednému výroku: "Klasifikáciu vykonáva vlastník informácií." Najprv si definujme, kto je „vlastníkom informácií“. Podľa čl. 2 Federálneho zákona Ruskej federácie z 27. júla 2006 „O informáciách, informačných technológiách a ochrane informácií“ č. 149-FZ „vlastníkom informácií je osoba, ktorá nezávisle vytvorila informácie alebo ktorá ich prijala na základe zákona, resp. dohoda, právo povoliť alebo obmedziť prístup k informáciám určeným z akéhokoľvek dôvodu.“ Práva vlastníka informácií sú ustanovené článkom 6 vyššie uvedeného zákona:

"jeden. Vlastník informácií, pokiaľ federálne zákony neustanovujú inak, má právo:

• povoliť alebo obmedziť prístup k informáciám, určiť postup a podmienky takéhoto prístupu;
• používať informácie vrátane ich šírenia podľa vlastného uváženia;
• odovzdávať informácie iným osobám na základe zmluvy alebo na inom základe ustanovenom zákonom;
• chrániť štatutárne spôsoby ich práv v prípade nezákonný príjem informácie alebo ich nezákonné použitie inými osobami;
• vykonávať iné činnosti s informáciami alebo povoliť vykonávanie takýchto činností.

Vlastník informácií je pri výkone svojich práv povinný:

• dodržiavať práva a oprávnené záujmy iných osôb;
• prijať opatrenia na ochranu informácií;
• obmedziť prístup k informáciám, ak je takáto povinnosť stanovená federálnymi zákonmi.“

Vychádzajúc z definície vlastníka informácií a jeho práv je zrejmé, že je to práve on, kto má právo utajovať, keďže utajovanie je neoddeliteľnou súčasťou tvorby požiadaviek na ochranu informácií obsiahnutých v informačnom systéme, čo je zase súčasťou práce na zaistení informačnej bezpečnosti v jej počiatočnom štádiu. Mnoho ľudí túto nuanciu často prehliada, čo vedie k vzniku chybných dokumentov, na základe ktorých sa okrem iného ďalej pracuje na informačnej bezpečnosti, čo je priamym porušením legislatívy Ruskej federácie. Niekoľko regulačných orgánov, pre objasnenie tento moment, jasne to naznačuje v ich normatívne dokumenty, napríklad v odseku 14 príkazu FSTEC Ruska z 13. februára 2013 č. 17. Okrem toho by sa malo chápať, že vlastník informácií má právo delegovať svoje povinnosti, ak to nie je v rozpore s legislatívnymi alebo inými požiadavkami. V tomto prípade skutočnosť prevodu toto právo, napríklad do podriadenej inštitúcie, by mali byť riadne zaznamenané. Samostatne je potrebné poznamenať, že klasifikácia informačného systému podľa požiadaviek informačnej bezpečnosti pri absencii zákonného nároku jednoducho nemá zmysel.

Teraz prejdime k priamemu poradiu klasifikácie. Pri klasifikácii sa odporúča dodržať nasledujúci postup:

1. Na príkaz vedúceho (povereného zástupcu) organizácie, ktorá je na zákonné dôvody poveriť vlastníka informácií spracúvaných v systéme utajovaných informácií, aby ustanovil komisiu na utajovanie. Zohľadnite v objednávke:

• zloženie komisie s uvedením celého mena, funkcie a funkčnej úlohy každého z členov komisie;
• názov klasifikovaného systému (alebo viacerých systémov);
• dokumenty, podľa ktorých sa má klasifikácia vykonať;
• načasovanie klasifikácie.

2. Oboznámiť všetkých členov komisie s objednávkou.

3. Stanovte čas zasadnutia komisie.

4. Provízie podľa protokolu v nastav čas stretnutia na určenie:

• postup klasifikácie v súlade s požiadavkami dokumentu, na základe ktorého sa klasifikácia vykonáva;
• určiť zloženie klasifikačné znaky, významné v klasifikácii;
• určiť hodnoty klasifikačných prvkov pre klasifikovaný systém;
• nastaviť triedu informačného systému.

5. Na základe zápisnice zo zasadnutia klasifikačnej komisie stanoviť konečný výsledok klasifikácie v klasifikačnom akte.

6. V v pravý čas predložiť klasifikačný akt na schválenie vedúcemu (poverenému zástupcovi) organizácie.

Pozrime sa podrobne na proces konania zasadnutia klasifikačnej komisie. Budeme klasifikovať v súlade s požiadavkami nasledujúcich dokumentov:

• Nariadenie vlády Ruskej federácie zo dňa 01.11.2012 „O schválení požiadaviek na ochranu osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov“ č.1119.

Postup klasifikácie v týchto dokumentoch je jasne uvedený, ako aj hlavné klasifikačné znaky:

• miera významnosti informácie, ktorá je určená mierou možného poškodenia vlastníka informácií (zákazníka) a (alebo) prevádzkovateľa v dôsledku porušenia dôvernosti (nelegálny prístup, kopírovanie, poskytovanie alebo šírenie), integrity (nedovolené zničenie alebo úprava). ) alebo dostupnosť (nezákonné blokovanie) informácií. Štátny informačný systém môže mať jednu z nasledujúcich úrovní významnosti:
• KM 1, ak má aspoň jedna z vlastností informačnej bezpečnosti (dôvernosť, integrita, dostupnosť) vysoký stupeň poškodenia;
• KL 2, ak aspoň pre jeden - je určený priemerný stupeň poškodenia a nie je ani jeden majetok, pre ktorý by bol určený vysoký stupeň poškodenia;
• KM 3, ak pre všetkých - sú určené nízke stupne poškodenia.

V tomto prípade mieru možnej škody určuje vlastník informácií a (alebo) prevádzkovateľ nezávisle odbornými alebo inými metódami a môže ísť o:

• vysoká, ak v dôsledku porušenia niektorej z vlastností informačnej bezpečnosti (dôvernosť, integrita, dostupnosť) sú možné významné negatívne dôsledky v sociálnych, politických, medzinárodných, ekonomických, finančných alebo iných oblastiach činnosti a (alebo) informačný systém a (alebo) prevádzkovateľ (vlastník informácií) nemôže vykonávať funkcie, ktoré im boli pridelené;
• médium, ak v dôsledku porušenia niektorej z vlastností informačnej bezpečnosti (dôvernosť, integrita, dostupnosť) sú možné mierne negatívne dôsledky v sociálnych, politických, medzinárodných, ekonomických, finančných alebo iných oblastiach činnosti a (alebo) informačný systém a (alebo) prevádzkovateľ (vlastník informácií) nemôže vykonávať aspoň jednu z ním pridelených funkcií;
• nízka, ak sú v dôsledku porušenia niektorej z vlastností informačnej bezpečnosti (dôvernosť, integrita, dostupnosť) možné menšie negatívne dôsledky v sociálnej, politickej, medzinárodnej, hospodárskej, finančnej alebo inej oblasti činnosti a (alebo) informačný systém a (alebo) prevádzkovateľ (vlastník informácií) môže vykonávať funkcie, ktoré im boli pridelené, nedostatočne efektívne alebo výkon funkcií je možný len so zapojením dodatočných síl a prostriedkov.
• systémová mierka:
• Federálny, ak pôsobí na území Ruskej federácie (v rámci federálny okres) a má segmenty v zakladajúcich subjektoch Ruskej federácie, obciach a (alebo) organizáciách;
• Regionálne, ak pôsobí na území zakladajúceho subjektu Ruskej federácie a má segmenty v jednej alebo viacerých obciach a (alebo) podriadených a iných organizáciách;
• Predmet, ak pôsobí v zariadeniach jedného federálneho štátneho orgánu, štátneho orgánu ustanovujúcej jednotky Ruskej federácie, obce a (alebo) organizácie a nemá segmenty v územných orgánoch, zastupiteľských úradoch, pobočkách, podriadených a iných organizáciách.
• typ súčasných hrozieb:
• Hrozby typu 1 sú relevantné pre informačný systém, ak je vystavený hrozbám spojeným s prítomnosťou nezdokumentovaných (nedeklarovaných) schopností v systéme softvér používané v informačnom systéme;
• Hrozby 2. typu sú relevantné pre informačný systém, ak je vystavený hrozbám spojeným s prítomnosťou nezdokumentovaných (nedeklarovaných) schopností v aplikačnom softvéri používanom v informačnom systéme;
• Hrozby 3. typu sú relevantné pre informačný systém, ak je vystavený hrozbám, ktoré nesúvisia s prítomnosťou nezdokumentovaných (nedeklarovaných) schopností v systéme a aplikačného softvéru používaného v informačnom systéme.
• kategória spracúvaných osobných údajov:
• osobitné kategórie osobných údajov;
• biometrické osobné údaje;
• iné;
• verejnosti.
• počet subjektov, ktorých osobné údaje sa spracúvajú:
• viac ako 100 000;
• menej ako 100 000.
• príslušnosť dotknutých osôb:
• zamestnanci prevádzkovateľa;
• nie zamestnancami prevádzkovateľa.
• príslušnosť dotknutých osôb (nie zamestnancov prevádzkovateľa). Tu je dôležité pochopiť, že ak existuje aspoň jeden subjekt OÚ, ktorého osobné údaje sa spracúvajú v systéme a nie je zamestnancom prevádzkovateľa, potom môžeme akceptovať túto predvolenú hodnotu;
• počet subjektov PD: pre náš systém tento počet nepresiahne 100 000;
• kategória osobných údajov: napríklad pre náš systém – iné osobné údaje. Pri určovaní tohto parametra stačí pochopiť, ktoré informácie patria do ktorej kategórie PD. Ak sa informácie spracúvajú súčasne z rôzne kategórie, potom by mal systém vybrať hodnotu atribútu podľa najvyššieho ukazovateľa, a to:
• osobitné kategórie osobných údajov, ak sa spracúvajú informácie o rase, národnosti, politických názoroch, náboženskom alebo filozofickom presvedčení, zdravotnom stave, intímnom živote dotknutých osôb;
• biometrické osobné údaje, ak sa po prvé nespracúvajú informácie týkajúce sa osobitných kategórií osobných údajov a po druhé, ak spracúva informácie, ktoré charakterizujú fyziologické a biologické vlastnosti osoby, na základe ktorých možno zistiť jej totožnosť a ktoré sú prevádzkovateľom využívané na zistenie totožnosti subjektu osobných údajov;
• verejne dostupné osobné údaje, ak spracúva osobné údaje dotknutých osôb získané len z verejne dostupných zdrojov osobných údajov vytvorených v súlade s § 8 federálneho zákona z 27. júla 2006 „O osobných údajoch“ č. 152-FZ;
• iné, ak nespracúva vyššie uvedené osobné údaje.
• podľa typu ohrozenia bezpečnosti osobných údajov. Tento parameter Nechali sme to nakoniec nie náhodou, pretože to závisí od modelu bezpečnostných hrozieb osobných údajov, ktorý by mal indikovať skutočné hrozby. Nech sú to hrozby 3. typu pre náš systém.

Proces určovania konečných hodnôt každého z klasifikačných znakov určuje odborník, zvyčajne ako výsledok konsolidovaného znaleckého posudku, takže prejdime rovno k definícii týchto znakov pre náš abstraktný štátny informačný systém federálnej stupnica. Takže v súlade s nariadením FSTEC Ruska z 13. februára 2013 č. 17 určujeme maximálnu škodu z porušenia jednej z bezpečnostných vlastností. Pri jej definovaní stačí odkázať na celý súbor funkcií implementovaných systémom, porušenie konkrétnej vlastnosti povedie k nemožnosti vykonať aspoň jednu z nich. Každý zvážime, vyhodnotíme dôsledky, nájdeme maximálny ukazovateľ a porovnáme ho so zoznamom hodnôt KM. V našom príklade bude stupeň maximálneho poškodenia stredný, potom KM 2 je želanou úrovňou informačnej významnosti.

Po určení hodnôt uvedených klasifikačných znakov musíme iba stanoviť bezpečnostnú triedu nášho systému v súlade s logikou vyššie uvedených dokumentov a správne odrážať výsledok činnosti komisie, najskôr v protokole a potom v klasifikačnom zákone.

V tomto článku sme teda skúmali všeobecný postup klasifikácie informačných systémov podľa požiadaviek informačnej bezpečnosti na príklade abstraktného štátneho informačného systému, pričom sme zvážili niekoľko kľúčových bodov a skrytých úskalia pri klasifikácii. V ďalšom článku sa zamyslíme nad postupom pri vydávaní štandardných dokumentov pri klasifikácii (objednávka na vytvorenie komisie, zápisnica zo zasadnutia komisie a klasifikačný akt), vyplníme ich pre náš abstraktný systém a pripravíme štandardné vzorové formuláre.

Registrácia N 11462

V súlade s odsekom 6 Nariadení o zaistení bezpečnosti osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov, schválených nariadením vlády Ruskej federácie zo dňa 17. novembra 2007 N 781 „O schválení Nariadení o zabezpečení zabezpečenie osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov „(Zbierka právnych predpisov Ruskej federácie, 2007, N 48, časť II, čl. 6001), objednávame:

Schváliť priložený postup klasifikácie informačných systémov osobných údajov.

riaditeľ

Federálna služba

pre technickú a exportnú kontrolu

S. Grigorov

Riaditeľ Federálnej bezpečnostnej služby

Ruská federácia

N. Patrushev

minister informačných technológií a komunikácie Ruskej federácie

L. Reiman

Postup pri klasifikácii informačných systémov osobných údajov

1. Tento postup určuje klasifikáciu informačných systémov osobných údajov, ktoré sú súborom osobných údajov obsiahnutých v databázach, ako aj informačných technológií a technických prostriedkov, ktoré umožňujú spracúvanie týchto osobných údajov pomocou nástrojov automatizácie (ďalej len informačné systémy )1.

2. Vykonáva sa klasifikácia informačných systémov vládne orgány, obecné úrady, právne a jednotlivcov organizovanie a (alebo) vykonávanie spracúvania osobných údajov, ako aj určovanie účelov a obsahu spracúvania osobných údajov (ďalej len prevádzkovateľ)2.

3. Klasifikácia informačných systémov sa vykonáva v štádiu vytvárania informačných systémov alebo počas ich prevádzky (pre predtým uvedené do prevádzky a (alebo) modernizované informačné systémy) za účelom stanovenia metód a prostriedkov ochrany informácií potrebných na zaistenie bezpečnosti osobných údajov.

4. Klasifikácia informačných systémov zahŕňa tieto kroky:

zber a analýza počiatočných údajov o informačnom systéme:

priradenie príslušnej triedy k informačnému systému a jeho dokumentácia.

5. Pri klasifikácii informačného systému sa berú do úvahy tieto východiskové údaje:

objem spracúvaných osobných údajov (počet dotknutých osôb, ktorých osobné údaje sa spracúvajú v informačnom systéme) - X npd;

bezpečnostné charakteristiky osobných údajov spracúvaných v informačnom systéme špecifikované prevádzkovateľom;

štruktúra informačného systému;

dostupnosť pripojení informačného systému k verejným komunikačným sieťam a (alebo) medzinárodným sieťam na výmenu informácií;

spôsob spracovania osobných údajov;

spôsob diferenciácie prístupových práv používateľov informačného systému;

umiestnenie technických prostriedkov informačného systému.

6. Vymedzujú sa tieto kategórie osobných údajov spracúvaných v informačnom systéme (X pd):

7. Х npd môže nadobúdať nasledujúce hodnoty:

1 - informačný systém súčasne spracúva osobné údaje viac ako 100 000 dotknutých osôb alebo osobné údaje dotknutých osôb v rámci zakladajúceho subjektu Ruskej federácie alebo Ruskej federácie ako celku;

2 - informačný systém súčasne spracúva osobné údaje od 1 000 do 100 000 subjektov osobných údajov alebo osobné údaje subjektov osobných údajov pôsobiacich v sektore hospodárstva Ruskej federácie v orgáne verejnej moci so sídlom v obci;

3 - v informačnom systéme sa súčasne spracúvajú údaje menej ako 1000 dotknutých osôb alebo osobné údaje dotknutých osôb v rámci konkrétnej organizácie.

8. Podľa daný operátor charakteristiky bezpečnosti osobných údajov spracúvaných v informačnom systéme sa informačné systémy delia na štandardné a špeciálne informačné systémy.

Typické informačné systémy sú informačné systémy, ktoré vyžadujú len dôvernosť osobných údajov.

Osobitné informačné systémy sú informačné systémy, v ktorých sa bez ohľadu na potrebu zabezpečiť dôvernosť osobných údajov vyžaduje zabezpečiť aspoň jednu z iných bezpečnostných charakteristík osobných údajov ako dôvernosť (ochrana pred zničením, zmenou, zablokovaním, ako aj ako iné neoprávnené úkony).

Špeciálne informačné systémy by mali zahŕňať:

informačné systémy, v ktorých sa spracúvajú osobné údaje týkajúce sa zdravotného stavu dotknutých osôb;

informačné systémy, ktoré zabezpečujú prijatie na základe výlučne automatizované spracovanie rozhodnutia o osobných údajoch, ktoré vyvolávajú právne následky vo vzťahu k subjektu osobných údajov alebo inak ovplyvňujú jeho práva a oprávnené záujmy.

9. Podľa štruktúry sa informačné systémy delia na:

na autonómne (neprepojené s inými informačnými systémami) komplexy technických a softvérové ​​nástroje, určené na spracúvanie osobných údajov (automatizované pracovné stanice);

o komplexoch automatizovaných pracovísk, združených do jedného informačného systému komunikačnými prostriedkami bez použitia techniky vzdialený prístup(miestne informačné systémy);

o komplexoch automatizovaných pracovísk a (alebo) lokálnych informačných systémoch, spojených do jedného informačného systému pomocou komunikačných prostriedkov s využitím technológie vzdialeného prístupu (distribuované informačné systémy).

10. Podľa dostupnosti pripojení k verejným komunikačným sieťam a (alebo) medzinárodným sieťam výmeny informácií sa informačné systémy delia na systémy, ktoré majú pripojenia a systémy, ktoré pripojenia nemajú.

11. Podľa spôsobu spracúvania osobných údajov v informačnom systéme sa informačné systémy delia na jednoužívateľské a viacužívateľské.

12. Podľa vymedzenia prístupových práv používateľov sa informačné systémy členia na systémy bez vymedzenia prístupových práv a systémy s vymedzením prístupových práv.

13. Informačné systémy v závislosti od umiestnenia ich technických prostriedkov sa delia na systémy, všetky technické prostriedky ktoré sa nachádzajú v Ruskej federácii a systémy, ktorých technické prostriedky sa čiastočne alebo úplne nachádzajú mimo Ruskej federácie.

14. Na základe výsledkov analýzy počiatočných údajov je typickému informačnému systému priradená jedna z nasledujúcich tried:

trieda 1 (K1) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných môže viesť k významným negatívnym dôsledkom pre dotknuté osoby;

trieda 2 (K2) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných môže viesť k negatívnym dôsledkom pre dotknuté osoby;

trieda 3 (K3) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných môže viesť k menším negatívnym dôsledkom pre dotknuté osoby;

trieda 4 (K4) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných nevedie k negatívnym dôsledkom pre dotknuté osoby.

15. Trieda typického informačného systému je určená podľa tabuľky.

16. Na základe výsledkov analýzy východiskových údajov sa na základe modelu ohrozenia bezpečnosti osobných údajov v súlade s metodickými dokumentmi vypracovanými podľa odseku 2 vyhlášky č. Vláda Ruskej federácie zo 17. novembra 2007 N 781 „O schválení Nariadení o zaistení bezpečnosti osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov“3.

17. V prípade prideľovania podsystémov v rámci informačného systému, z ktorých každý je informačným systémom, je informačnému systému ako celku priradená trieda zodpovedajúca najvyššej triede jeho podsystémov.

18. Výsledky klasifikácie informačných systémov sa dokumentujú príslušným aktom prevádzkovateľa.

19. Trieda informačného systému môže byť revidovaná:

rozhodnutím prevádzkovateľa na základe jeho analýzy a posúdenia ohrozenia bezpečnosti osobných údajov s prihliadnutím na vlastnosti a (alebo) zmeny v konkrétnom informačnom systéme;

na základe výsledkov opatrení na kontrolu dodržiavania požiadaviek na zaistenie bezpečnosti osobných údajov pri ich spracúvaní v informačnom systéme.

1 Prvý odsek bodu 1 Nariadenia o zaistení bezpečnosti osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov, schváleného nariadením vlády Ruskej federácie zo 17. novembra 2007

N 781 (Sobraniye zakonodatelstva Rossiyskoy Federatsii, 2007, N 48, časť II,

2 Prvý odsek odseku 6 pravidiel.

3Sobranie zakonodatelstva Rossiyskoy Federatsii 2007, N 48, časť II,čl. 6001.

Text dokumentu:

Príkaz o schválení postupu zaraďovania do informačných systémov osobných údajov

V súlade s odsekom 6 nariadenia o zaistení bezpečnosti osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov, schváleného nariadením vlády Ruskej federácie zo 17. novembra 2007 N 781 „O schválení nariadenia o zabezpečení zabezpečenie osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov "(Zbierka právnych predpisov Ruskej federácie, 2007, N 48, časť II, čl. 6001), nariaďujeme:

Schváliť priložený postup klasifikácie informačných systémov osobných údajov.

riaditeľ

Federálna služba

technické

a kontrola vývozu

S.I.GRIGOROV

riaditeľ

Federálna bezpečnostná služba

Ruská federácia

N. P. PATRUSHEV

informačné technológie a komunikácie

Ruská federácia

L.D. REIMAN

Schválené

na objednávku

FSTEC Ruska,

FSB Ruska,

Ministerstvo informácií a komunikácií Ruska

OBJEDNAŤ

KLASIFIKÁCIA INFORMAČNÝCH SYSTÉMOV

OSOBNÉ ÚDAJE

1. Tento postup určuje klasifikáciu informačných systémov osobných údajov, ktoré sú súborom osobných údajov obsiahnutých v databázach, ako aj informačných technológií a technických prostriedkov, ktoré umožňujú spracúvanie týchto osobných údajov pomocou nástrojov automatizácie (ďalej len informačné systémy )

2. Klasifikáciu informačných systémov vykonávajú štátne orgány, orgány obcí, právnické a fyzické osoby organizujúce a (alebo) vykonávajúce spracúvanie osobných údajov, ako aj určovanie účelov a obsahu spracúvania osobných údajov (ďalej len ďalej len prevádzkovateľ).

3. Klasifikácia informačných systémov sa vykonáva v štádiu vytvárania informačných systémov alebo počas ich prevádzky (pre predtým uvedené do prevádzky a (alebo) modernizované informačné systémy) za účelom stanovenia metód a prostriedkov ochrany informácií potrebných na zaistenie bezpečnosti osobných údajov.

4. Klasifikácia informačných systémov zahŕňa tieto kroky:

zber a analýza počiatočných údajov o informačnom systéme;

priradenie príslušnej triedy k informačnému systému a jeho dokumentácia.

5. Pri klasifikácii informačného systému sa berú do úvahy tieto východiskové údaje:

objem spracúvaných osobných údajov (počet subjektov

osobné údaje, ktorých osobné údaje sa spracúvajú

informačný systém) - X ;

bezpečnostné charakteristiky osobných údajov spracúvaných v informačnom systéme špecifikované prevádzkovateľom;

štruktúra informačného systému;

dostupnosť pripojení informačného systému k verejným komunikačným sieťam a (alebo) medzinárodným sieťam na výmenu informácií;

spôsob spracovania osobných údajov;

spôsob diferenciácie prístupových práv používateľov informačného systému;

umiestnenie technických prostriedkov informačného systému.

6. Nasledujúce kategórie sú definované spracované v informáciách

7. X môže nadobúdať nasledujúce hodnoty:

1 - informačný systém súčasne spracúva osobné údaje viac ako 100 000 dotknutých osôb alebo osobné údaje dotknutých osôb v rámci zakladajúceho subjektu Ruskej federácie alebo Ruskej federácie ako celku;

2 - informačný systém súčasne spracúva osobné údaje od 1 000 do 100 000 subjektov osobných údajov alebo osobné údaje subjektov osobných údajov pôsobiacich v sektore hospodárstva Ruskej federácie v orgáne verejnej moci so sídlom v obci;

3 - v informačnom systéme sa súčasne spracúvajú údaje menej ako 1000 dotknutých osôb alebo osobné údaje dotknutých osôb v rámci konkrétnej organizácie.

8. Podľa bezpečnostných charakteristík osobných údajov spracúvaných v informačnom systéme určených prevádzkovateľom sa informačné systémy delia na štandardné a špeciálne informačné systémy.

Typické informačné systémy sú informačné systémy, ktoré vyžadujú len dôvernosť osobných údajov.

Osobitné informačné systémy sú informačné systémy, v ktorých sa bez ohľadu na potrebu zabezpečiť dôvernosť osobných údajov vyžaduje zabezpečiť aspoň jednu z iných bezpečnostných charakteristík osobných údajov ako dôvernosť (ochrana pred zničením, zmenou, zablokovaním, ako aj ako iné neoprávnené úkony).

Špeciálne informačné systémy by mali zahŕňať:

informačné systémy, v ktorých sa spracúvajú osobné údaje týkajúce sa zdravotného stavu dotknutých osôb;

informačné systémy, ktoré umožňujú prijímať na základe výlučne automatizovaného spracúvania osobných údajov rozhodnutia, ktoré vyvolávajú právne následky vo vzťahu k dotknutej osobe alebo sa inak dotýkajú jej práv a oprávnených záujmov.

9. Podľa štruktúry sa informačné systémy delia na:

na autonómne (neprepojené s inými informačnými systémami) komplexy hardvéru a softvéru určeného na spracovanie osobných údajov (automatizované pracovné stanice);

do komplexov automatizovaných pracovísk, združených do jedného informačného systému prostredníctvom komunikácie bez použitia technológie vzdialeného prístupu (lokálne informačné systémy);

o komplexoch automatizovaných pracovísk a (alebo) lokálnych informačných systémoch, spojených do jedného informačného systému pomocou komunikačných prostriedkov s využitím technológie vzdialeného prístupu (distribuované informačné systémy).

10. Podľa dostupnosti pripojení k verejným komunikačným sieťam a (alebo) medzinárodným sieťam výmeny informácií sa informačné systémy delia na systémy, ktoré majú pripojenia a systémy, ktoré pripojenia nemajú.

11. Podľa spôsobu spracúvania osobných údajov v informačnom systéme sa informačné systémy delia na jednoužívateľské a viacužívateľské.

12. Podľa vymedzenia prístupových práv používateľov sa informačné systémy členia na systémy bez vymedzenia prístupových práv a systémy s vymedzením prístupových práv.

13. Informačné systémy sa v závislosti od umiestnenia ich technických prostriedkov delia na systémy, ktorých všetky technické prostriedky sa nachádzajú na území Ruskej federácie, a systémy, ktorých technické prostriedky sa čiastočne alebo úplne nachádzajú mimo územia Ruskej federácie.

14. Na základe výsledkov analýzy počiatočných údajov je typickému informačnému systému priradená jedna z nasledujúcich tried:

trieda 1 (K1) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných môže viesť k významným negatívnym dôsledkom pre dotknuté osoby;

trieda 2 (K2) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných môže viesť k negatívnym dôsledkom pre dotknuté osoby;

trieda 3 (K3) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných môže viesť k menším negatívnym dôsledkom pre dotknuté osoby;

trieda 4 (K4) - informačné systémy, pri ktorých porušenie danej bezpečnostnej charakteristiky osobných údajov v nich spracúvaných nevedie k negatívnym dôsledkom pre dotknuté osoby.

15. Trieda typického informačného systému je určená podľa tabuľky.

16. Na základe výsledkov rozboru východiskových údajov sa určí trieda osobitného informačného systému na základe modelu ohrozenia bezpečnosti osobných údajov v súlade s metodickými dokumentmi vypracovanými podľa odseku 2 nariadenia vlády SR. Ruskej federácie zo 17. novembra 2007 N 781 „O schválení Nariadení o zaistení bezpečnosti osobných údajov pri ich spracúvaní v informačných systémoch osobných údajov“ .

17. V prípade prideľovania podsystémov v rámci informačného systému, z ktorých každý je informačným systémom, je informačnému systému ako celku priradená trieda zodpovedajúca najvyššej triede jeho podsystémov.

18. Výsledky klasifikácie informačných systémov sa dokumentujú príslušným aktom prevádzkovateľa.

19. Trieda informačného systému môže byť revidovaná:

rozhodnutím prevádzkovateľa na základe jeho analýzy a posúdenia ohrozenia bezpečnosti osobných údajov s prihliadnutím na vlastnosti a (alebo) zmeny v konkrétnom informačnom systéme;

na základe výsledkov opatrení na kontrolu dodržiavania požiadaviek na zaistenie bezpečnosti osobných údajov pri ich spracúvaní v informačnom systéme.