Политика в отношении обработки персональных данных

Содержание

• 
  Федерального закона от 27 июля 2006г. №152-ФЗ «О персональных данных»;
  
• 
  Постановления Правительства РФ от 11 ноября 2007г. №781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных»;
  
• 
  Постановления Правительства РФ от 15 сентября 2008г. №687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
  
• 
  Постановления Правительства РФ от 6 июля 2008г. №512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
  
• 
  Приказа Федеральной службы по техническому и экспортному контролю РФ, Федеральной службы безопасности РФ и Министерства информационных технологий и связи РФ от 13 февраля 2008г. №55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»;
  
• 
  Приказа Федеральной службы по техническому и экспортному контролю РФ от 5 февраля 2010г. №58 «Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных»;
  
• 
  «Базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной Федеральной службой по техническому и экспортному контролю РФ 15 февраля 2008г.;
  
• 
  «Методики определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденной Федеральной службой по техническому и экспортному контролю РФ 15 февраля 2008г.;
  
• 
  «Типовых требований по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденных Федеральной службой безопасности РФ 21 февраля 2008г. №149/6/6-622;
  
• 
  «Методических рекомендаций по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации», утвержденных Федеральной службой безопасности РФ 21 февраля 2008г. №149/54-144.
  

1. 1. 
      Политика содержит сведения о реализуемых требованиях к защите персональных данных.
      
   2. 
      Политика должна быть опубликована или иным образом должен быть обеспечен неограниченный доступ к ней.
      
2. 
   Определения
   
   1. 
      Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
      
   2. 
      Безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.
      
   3. 
      Биометрические персональные данные – сведения, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность.
      
   4. 
      Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
      
   5. 
      Вирус (компьютерный, программный) – исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению.
      
   6. 
      Вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных.
      
   7. 
      Доступ к информации – возможность получения информации и ее использования.
      
   8. 
      Идентификация – присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.
      
   9. 
      Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
      
   10. 
       Информационные технологии – процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.
       
   11. 
       Контролируемая зона – пространство, в пределах которого осуществляется контроль за пребыванием и действиями лиц и (или) транспортных средств. Границей контролируемой зоны может быть: периметр охраняемой территории предприятия (учреждения), ограждающие конструкции охраняемого здания, охраняемой части здания, выделенного помещения.
       
   12. 
       Конфиденциальность персональных данных – обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их раскрытие третьим лицам или их распространение без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
       
   13. 
       Криптосредство – шифровальное (криптографическое) средство, предназначенное для защиты информации, не содержащей сведений, составляющих государственную тайну.
       
   14. 
       Нарушитель безопасности персональных данных – физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных.
       
   15. 
       Недекларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.
       
   16. 
       Несанкционированный доступ (несанкционированные действия) – доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных.
       
   17. 
       Носитель персональных данных – материальный объект, в котором информация, содержащая персональные данные, находит свое отражение в виде символов, образов, сигналов, количественных характеристик физических величин. Выделяются следующие типы носителей персональных данных:
       

• бумажный носитель персональных данных – носитель на бумажной основе, содержащий персональные данные;

• машинный носитель персональных данных – электронный, магнитный, магнитооптический, оптический носитель, содержащий персональные данные (дискета, CD-диск, DVD-диск, жесткий диск, USB устройства, позволяющие хранить информацию, и т.д.).

• средства шифрования – аппаратные, программные и аппаратно–программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации при передаче по каналам связи и (или) для защиты информации от несанкционированного доступа при ее обработке и хранении;

• средства имитозащиты – аппаратные, программные и аппаратно–программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты от навязывания ложной информации;

• средства электронной подписи – аппаратные, программные и аппаратно–программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание электронной подписи с использованием закрытого ключа электронной подписи, подтверждение с использованием открытого ключа электронной подписи подлинности электронной подписи, создание закрытых и открытых ключей электронной подписи;

• средства кодирования – средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций;

• средства изготовления ключевых документов (независимо от вида носителя ключевой информации);

• ключевые документы (независимо от вида носителя ключевой информации).

3. 
   Перечень условных обозначений и сокращений
   

   ИСПДн	информационные системы персональных данных ОАО «Банк «Екатеринбург»
   ПДн	персональные данные
   СЗПДн	система защиты персональных данных, обрабатываемых в информационных системах персональных данных ОАО «Банк «Екатеринбург»
   СЗИ	средство защиты информации

4. 
   Построение защиты персональных данных
   
   1. 
      В локальном акте ОАО «Банк «Екатеринбург» – «Положении об обработке и защите персональных данных», определяются:
      

• 
  порядок взаимодействия с Роскомнадзором;
  
• 
  перечень оснований для обработки персональных данных (далее ПДн);
  
• 
  порядок получения ПДн;
  
• 
  порядок поручения обработки ПДн;
  
• 
  порядок предоставления, распространения ПДн;
  
• 
  порядок трансграничной передачи ПДн;
  
• 
  порядок прекращения обработки ПДн, уничтожения ПДн;
  
• 
  порядок рассмотрения запросов субъектов ПДн на предоставление информации;
  
• 
  порядок рассмотрения запросов на уточнение ПДн;
  
• 
  порядок рассмотрения запросов на устранение нарушений законодательства, допущенных при обработке ПДн, блокирование или уничтожение ПДн;
  
• 
  порядок принятия решений на основании исключительно автоматизированной обработки ПДн;
  
• 
  порядок защиты ПДн.
  

• 
  Отчета по результатам обследования СЗПДн;
  
• 
  Перечня ПДн, обрабатываемых в информационных системах персональных данных ОАО «Банк «Екатеринбург» (далее ИСПДн);
  
• 
  Актов классификации ИСПДн;
  
• 
  Модели угроз безопасности ПДн при их обработке в ИСПДн.
  

1. 1. 
      ИСПДн классифицируются в соответствии с Приказом Федеральной службы по техническому и экспортному контролю РФ, Федеральной службы безопасности РФ и Министерства информационных технологий и связи РФ от 13 февраля 2008г. №55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных».
      
   2. 
      На основании класса ИСПДн, перечня актуальных угроз безопасности ПДн, указанных в Модели угроз безопасности ПДн при их обработке в ИСПДн, готовится Описание СЗПДн.
      
2. 
   Состав подсистем СЗПДн
   
   1. 
      СЗПДн включает в себя следующие подсистемы:
      

• 
  организационных мер защиты;
  
• 
  физической защиты;
  
• 
  защиты каналов связи;
  
• 
  управления логическим доступом;
  
• 
  защиты от воздействия вредоносных программ;
  
• 
  межсетевого экранирования;
  
• 
  защиты информационного взаимодействия через сети связи общего пользования;
  
• 
  обнаружения вторжений;
  
• 
  инструментального анализа защищенности;
  
• 
  конфиденциального делопроизводства;
  
• 
  обеспечения целостности;
  
• 
  обеспечения непрерывности;
  
• 
  очистки памяти;
  
• 
  защиты от наличия недекларированных возможностей;
  
• 
  защиты от утечки по техническим каналам;
  
• 
  подтверждения соответствия требованиям по безопасности.
  

6. 
   Подсистема организационных мер защиты
   
   1. 
      Состоит из лиц, выполняющих функции по:
      

• 
  администрированию программных, программно-аппаратных, аппаратных средств ИСПДн;
  
• 
  администрированию средств защиты информации ИСПДн (далее СЗИ);
  
• 
  защите ПДн.
  

1. 1. 
      Также в данную подсистему входят локальные акты ОАО «Банк «Екатеринбург» по вопросам обработки и защиты ПДн.
      
2. 
   Подсистема физической защиты
   
   1. 
      Данная подсистема предназначена для обеспечения физической охраны технических средств ИСПДн, эксплуатационной и технической документации к СЗИ, ключевых документов, носителей ПДн.
      
   2. 
      Данная подсистема реализуется путем применения инженерно-технических средств охраны, надежных хранилищ, мер мо обеспечению необходимого уровня физической укрепленности помещений.
      
3. 
   Подсистема защиты каналов связи
   
   1. 
      Данная подсистема предназначена для исключения несанкционированного доступа к защищаемой информации ИСПДн (ПДн, служебная информация СЗИ) при ее передаче по каналам связи, выходящим за пределы контролируемой зоны ОАО «Банк «Екатеринбург».
      
   2. 
      Данная подсистема реализуется путем применения криптосредств, защищенных коробов и защищенных телекоммуникационных шкафов совместно со средствами контроля за их вскрытием.
      
4. 
   Подсистема управления логическим доступом
   
   1. 
      Данная подсистема предназначена для идентификации, проверки подлинности пользователей и администраторов ИСПДн, разграничения и контроля доступа в ИСПДн, регистрации действий пользователей и администраторов ИСПДн.
      
   2. 
      Данная подсистема реализуется путем применения СЗИ от несанкционированного доступа, встроенных механизмов защиты применяемых программных, программно-аппаратных, аппаратных средств ИСПДн (операционных систем, систем управления базами данных, приложений).
      

10. 
    Подсистема защиты от воздействия вредоносных программ
    
    1. 
       Данная подсистема предназначена для защиты от воздействия на ИСПДн вредоносных программ.
       
    2. 
       Данная подсистема реализуется путем применения средств антивирусной защиты, периодического обновления антивирусных баз на рабочих местах и серверах ИСПДн, подключенных к сетям связи общего пользования, а также ИСПДн, при функционировании которых предусмотрено использование съемных носителей информации.
       
11. 
    Подсистема межсетевого экранирования
    
    1. 
       Данная подсистема предназначена для фильтрации трафика, передаваемого в/из ИСПДн.
       
    2. 
       Данная подсистема реализуется путем применения межсетевых экранов при подключении ИСПДн к сетям связи общего пользования, локальным вычислительным сетям ОАО «Банк «Екатеринбург», ИСПДн другого класса.
       
12. 
    Подсистема защиты информационного взаимодействия через сети связи общего пользования
    
    1. 
       Данная подсистема предназначена для защиты ПДн при подключении ПДн к сетям связи общего пользования в целях:
       

• 
  получения общедоступной информации;
  
• 
  удаленного доступа к ИСПДн через сети связи общего пользования,
  
• 
  межсетевого взаимодействия отдельных ИСПДн ОАО «Банк «Екатеринбург» через сети связи общего пользования;
  
• 
  межсетевого взаимодействии отдельных ИСПДн ОАО «Банк «Екатеринбург» с ИСПДн других операторов через сети связи общего пользования.
  

• 
  применения электронных замков, носителей информации для надежной идентификации и проверки подлинности пользователей;
  
• 
  применения средств централизованного управления СЗПДн;
  
• 
  анализа принимаемой по сетям связи общего пользования информации (в том числе на наличие компьютерных вирусов);
  
• 
  проверки подлинности взаимодействующих ИСПДн;
  
• 
  проверки подлинности пользователей;
  
• 
  проверки целостности данных, передаваемых по сетям связи общего пользования;
  
• 
  предотвращения возможности отрицания пользователем факта отправки ПДн другому пользователю;
  
• 
  предотвращения возможности отрицания пользователем факта получения ПДн от другого пользователя.
  

13. 
    Подсистема обнаружения вторжений
    
    1. 
       Данная подсистема предназначена для защиты от воздействия на ИСПДн сетевых атак.
       
    2. 
       Данная подсистема реализуется путем применения средств обнаружения вторжений при подключении ИСПДн к сетям связи общего пользования.
       
14. 
    Подсистема инструментального анализа защищенности
    
    1. 
       Данная подсистема предназначена для периодического тестирования функций СЗПДн в целях выявления уязвимостей, связанных с ошибками в конфигурации программного обеспечения ИСПДн, которые могут быть использованы нарушителем для реализации атаки на ИСПДн.
       
    2. 
       Данная подсистема реализуется путем применения средств анализа защищенности как периодически, так и при изменении программной среды или состава пользователей ИСПДн.
       
15. 
    Подсистема конфиденциального делопроизводства
    
    1. 
       Данная подсистема предназначена для исключения несанкционированного доступа к носителям ПДн.
       
    2. 
       Данная подсистема реализуется путем учета носителей ПДн, исключения хищения, подмены или уничтожения съемных носителей ПДн.
       
16. 
    Подсистема обеспечения целостности
    
    1. 
       Данная подсистема предназначена для обеспечения целостности программной среды ИСПДн, программных компонент СЗИ.
       
    2. 
       Данная подсистема реализуется путем:
       

• 
  обеспечения отсутствия средств модификации объектного кода программ в процессе обработки и (или) хранения ПДн;
  
• 
  проверки целостности программных компонентов СЗПДн;
  
• 
  оборудования аппаратных средств, с которыми осуществляется штатное функционирование программных криптосредств, а также аппаратных и аппаратно-программных криптосредств средствами контроля за их вскрытием.
  

17. 
    Подсистема обеспечения непрерывности
    
    1. 
       Данная подсистема предназначена для обеспечения возможности восстановления ПДн, работоспособности СЗПДн.
       
    2. 
       Данная подсистема реализуется путем применения средств дублирования массивов ПДн, ведения копий программных компонентов СЗПДн.
       
18. 
    Подсистема очистки памяти
    
    1. 
       Данная подсистема предназначена для исключения несанкционированного доступа к ПДн, находящимся в оперативной памяти ИСПДн, на внешних накопителях.
       
    2. 
       Данная подсистема реализуется путем применения в ИСПДн класса К1 средств очистки (обнуления, обезличивания) освобождаемых областей оперативной памяти ИСПДн, внешних накопителей.
       
19. 
    Подсистема защиты от наличия недекларированных возможностей
    
    1. 
       Данная подсистема предназначена для исключения наличия недекларированных возможностей в программных компонентах СЗПДн.
       
    2. 
       Данная подсистема реализуется путем применения в ИСПДн класса К1 программного обеспечения СЗИ, соответствующего 4 уровню контроля отсутствия недекларированных возможностей.
       
20. 
    Подсистема защиты от утечки по техническим каналам
    
    1. 
       Данная подсистема предназначена для исключения утечки ПДн по техническим каналам.
       
    2. 
       Данная подсистема реализуется путем:
       

• 
  размещения устройств вывода информации (мониторов) таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей ПДн.
  

21. 
    Подсистема подтверждения соответствия требованиям по безопасности
    
    1. 
       Данная подсистема предназначена для обеспечения соответствия требованиям по безопасности ПДн.
       
    2. 
       Данная подсистема реализуется путем:
       

• 
  применения СЗИ, прошедших в установленном порядке процедуру оценки соответствия;
  
• 
  оценки эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн.
  

22. 
    Персонал
    
    1. 
       Выделяются следующие группы лиц, участвующих в обработке и защите ПДн:
       

• 
  ответственный за организацию обработки ПДн;
  
• 
  администратор информационной безопасности ИСПДн;
  
• 
  администратор ИСПДн;
  
• 
  пользователи ИСПДн.
  

23. 
    Ответственный за организацию обработки ПДн
    
    1. 
       Ответственный за организацию обработки ПДн – сотрудник ОАО «Банк «Екатеринбург» или специализированной организации, имеющей необходимые лицензии ФСТЭК России и ФСБ России, ответственный за:
       

• 
  подготовку локальных актов ОАО «Банк «Екатеринбург» по вопросам обработки и защиты ПДн;
  
• 
  осуществление внутреннего контроля за соблюдением ОАО «Банк «Екатеринбург» и его работниками законодательства Российской Федерации, локальных актов по вопросам обработки и защиты ПДн;
  
• 
  проведение инструктажа работников в целях доведения до данных работников положений законодательства Российской Федерации, локальных актов по вопросам обработки и защиты ПДн;
  
• 
  организацию приема и обработки запросов (обращений, заявлений) субъектов ПДн или их представителей.
  

1. 1. 
      Ответственным за организацию обработки ПДн назначается лицо, имеющее высшее профессиональное образование и (или) переподготовку (повышение квалификации) в области информационной безопасности, а также производственный стаж в области информационной безопасности не менее одного года.
      
   2. 
      Ответственный за организацию обработки ПДн несет ответственность за некачественное, неполное, несвоевременное исполнение или неисполнение своих обязанностей, предусмотренных «Инструкцией ответственного за организацию обработки ПДн» или соответствующим договором со специализированной организацией.
      
2. 
   Администратор информационной безопасности ИСПДн
   
   1. 
      Администратор информационной безопасности ИСПДн – сотрудник ОАО «Банк «Екатеринбург» или специализированной организации, имеющей необходимые лицензии ФСТЭК России и ФСБ России, ответственный за установку, настройку и сопровождение СЗИ.
      
   2. 
      Администратором информационной безопасности ИСПДн назначается лицо, имеющее высшее профессиональное образование и (или) переподготовку (повышение квалификации) в области информационной безопасности, а также производственный стаж в области информационной безопасности не менее одного года.
      
   3. 
      Администратор информационной безопасности ИСПДн несет ответственность за некачественное, неполное, несвоевременное исполнение или неисполнение своих обязанностей, предусмотренных «Инструкцией администратора информационной безопасности ИСПДн» или соответствующим договором со специализированной организацией.
      
3. 
   Администратор ИСПДн
   
   1. 
      Администратор ИСПДн – сотрудник ОАО «Банк «Екатеринбург» или работник специализированной организации, ответственное за установку, настройку и сопровождение программных, программно-аппаратных, аппаратных средств ИСПДн.
      
   2. 
      Администратором ИСПДн назначается лицо, имеющее производственный стаж в области создания, обслуживания локальных вычислительных сетей не менее одного года.
      
   3. 
      Администратор ИСПДн несет ответственность за некачественное, неполное, несвоевременное исполнение или неисполнение своих обязанностей, предусмотренных «Инструкцией администратора ИСПДн» или соответствующим договором со специализированной организацией или соответствующим договором с физическим лицом.
      
4. 
   Пользователь ИСПДн
   
   1. 
      Пользователь ИСПДн – сотрудник ОАО «Банк «Екатеринбург», осуществляющее обработку ПДн в ИСПДн.
      
   2. 
      Пользователь ИСПДн несет ответственность за некачественное, неполное, несвоевременное исполнение или неисполнение своих обязанностей, предусмотренных «Инструкцией пользователя ИСПДн» или соответствующим договором с контрагентом или соответствующим договором с физическим лицом.