Модель угроз и уровни защищённости ИСПДн: как определить и что выполнить
Защита персональных данных в информационной системе начинается не с покупки средств защиты, а с двух документов: модели угроз и акта определения уровня защищённости. От них зависят требования к защите, поэтому ошибка на этом шаге либо раздувает расходы, либо оставляет систему без нужных мер. Ниже порядок определения типа угроз и уровня защищённости по постановлению Правительства № 1119, состав требований на каждом уровне и шаги по составлению документов.
Оговорка. Статья не юридическая консультация. Правила определения уровней и состав требований сверены по тексту постановления Правительства РФ от 01.11.2012 № 1119 в базе «Гарант»; документ меняется, действующую редакцию проверяйте по тексту постановления. Выбор конкретных средств защиты определяется нормативными актами ФСТЭК России и ФСБ России, а допустимые модели и методики разрабатываются на основании актов ФСТЭК: вопросы лицензируемой деятельности и сертификации согласуйте со специалистом. Структура соответствует областям обеспечения безопасности ПДн в методике контроля Группы Сбер (источник); это методика для крупных компаний, мы пересказываем её своими словами.
Общая схема
- Составить перечень информационных систем с ПДн (ИСПДн): реестр ИТ-активов.
- Определить категории данных и число субъектов в каждой системе.
- Составить модель угроз и определить тип актуальных угроз (1, 2 или 3).
- По правилам постановления № 1119 определить уровень защищённости (от 1 до 4; 1 — самый высокий).
- Выбрать организационные и технические меры и средства защиты в соответствии с актами ФСТЭК и ФСБ.
- Оформить акт определения уровня, утвердить, пересматривать при изменениях.
- Контролировать выполнение: не реже раза в три года (часть требований 1119).
Категории данных в системе
| Категория | Что это |
|---|---|
| Специальные | Расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь |
| Биометрические | Сведения о физиологических и биологических особенностях, по которым можно установить личность и которые оператор использует для идентификации, если в системе нет специальных категорий |
| Общедоступные | Данные, полученные только из общедоступных источников, созданных по статье 8 закона |
| Иные | Все остальные (ФИО, контакты, должности и др.), если в системе нет данных из предыдущих категорий |
Отдельно различают данные сотрудников оператора и данные субъектов, не являющихся сотрудниками, и учитывают, больше ли 100 000 таких субъектов в системе.
Типы угроз
| Тип | Когда актуальны |
|---|---|
| 1-й | Актуальны угрозы, связанные с недокументированными (недекларированными) возможностями в системном программном обеспечении системы |
| 2-й | Актуальны угрозы, связанные с недокументированными возможностями в прикладном программном обеспечении |
| 3-й | Актуальны угрозы, не связанные с недокументированными возможностями ни в системном, ни в прикладном ПО |
Тип определяет оператор с учётом оценки возможного вреда: оценка вреда субъектам. Для большинства небольших организаций на стандартном общедоступном ПО выводом является 3-й тип; но решение принимается на основе модели угроз, а не по умолчанию, и его нужно обосновать.
Определение уровня защищённости
Ниже сводка условий из пунктов 9–12 постановления (достаточно любого из условий уровня). Числа относятся к субъектам, не являющимся сотрудниками оператора:
| Уровень | Условия (сокращённо) |
|---|---|
| 1 | Угрозы 1-го типа и любые категории данных; либо угрозы 2-го типа и специальные категории более чем у 100 000 субъектов |
| 2 | 1-й тип и общедоступные данные; 2-й тип и специальные категории (сотрудников или менее 100 000 субъектов); 2-й тип и биометрические; 2-й тип и общедоступные либо иные категории у более чем 100 000 субъектов; 3-й тип и специальные категории у более чем 100 000 субъектов |
| 3 | 2-й тип и общедоступные либо иные категории (сотрудников или менее 100 000 субъектов); 3-й тип и специальные категории (сотрудников или менее 100 000 субъектов); 3-й тип и биометрические; 3-й тип и иные категории у более чем 100 000 субъектов |
| 4 | 3-й тип и общедоступные данные; 3-й тип и иные категории сотрудников или менее 100 000 субъектов |
Сводка сокращена для обзора: при определении уровня используйте полный текст пунктов 9–12. Типичный пример: интернет-магазин на стандартной CMS с данными клиентов (иные категории, 3-й тип угроз, менее 100 000 субъектов) получает 4-й уровень; медицинская система с данными о здоровье при 3-м типе угроз — 3-й уровень (менее 100 000 субъектов).
Требования по уровням
Требования накапливаются: каждый следующий уровень включает предыдущие (пункты 13–16):
| Уровень | Что нужно выполнить |
|---|---|
| 4 | Режим безопасности помещений с системой; сохранность носителей; утверждённый руководителем перечень лиц с допуском; применение средств защиты, прошедших оценку соответствия, когда они нужны для нейтрализации актуальных угроз |
| 3 | Всё из 4-го уровня и назначение должностного лица, ответственного за безопасность ПДн в системе |
| 2 | Всё из 3-го уровня и доступ к электронному журналу сообщений только у должностных лиц, которым он нужен по работе |
| 1 | Всё из 2-го уровня; автоматическая регистрация в электронном журнале безопасности изменения полномочий по доступу к ПДн; структурное подразделение, ответственное за безопасность ПДн (или возложение функций на подразделение) |
Эти положения задают минимальный набор; конкретные технические меры (идентификация и аутентификация, управление доступом, регистрация событий, антивирусная защита, защита среды виртуализации, защита каналов и т.д.) выбираются по актам ФСТЭК России применительно к уровню защищённости и актуальным угрозам, а средства защиты — по актам ФСТЭК и ФСБ. Для практических настроек см. материалы по защите: рекомендации ФСТЭК по настройке Linux, управление доступом, сбор логов.
Как составить модель угроз
Модель угроз — документ, который показывает, что может случиться с данными в вашей системе и какие угрозы актуальны. Опирайтесь на актуальные методики ФСТЭК России по оценке угроз безопасности информации, проверив, какие из них применимы к вашей системе. Состав документа:
| Раздел | Что включить |
|---|---|
| Описание системы | Назначение, состав, архитектура, границы, потоки данных, схема сети |
| Объекты защиты | Данные, компоненты, каналы, носители, помещения |
| Нарушители | Внешние и внутренние, их возможности и цели |
| Способы реализации угроз | Через интернет, через подрядчика, через учётные записи, физический доступ, ошибки персонала |
| Актуальные угрозы | Перечень угроз с оценкой возможности реализации и последствий; обоснование неактуальных |
| Тип угроз | Вывод о 1, 2 или 3 типе с обоснованием |
Практика: начните с перечня угроз из банка данных угроз безопасности информации ФСТЭК России (БДУ), исключите те, что неприменимы к вашей системе, добавьте специфические; фиксируйте обоснование каждого решения. Привязывайте к реестру рисков: реестр рисков.
Акт определения уровня защищённости
- наименование системы и оператора, дата, состав комиссии;
- категории данных, число субъектов, наличие данных сотрудников;
- тип актуальных угроз и ссылка на модель угроз;
- определённый уровень защищённости с обоснованием по пунктам 9–12 постановления № 1119;
- перечень мер и средств защиты, ответственные, сроки;
- подписи; дата следующего пересмотра.
Акт и модель пересматриваются при изменении состава данных, числа субъектов, архитектуры, подрядчиков и после инцидентов.
Контроль и подрядчики
- Контроль выполнения требований организуется оператором самостоятельно и (или) с привлечением на договорной основе организаций, имеющих лицензию на деятельность по технической защите конфиденциальной информации; проводится не реже 1 раза в 3 года в сроки, определяемые оператором.
- Безопасность ПДн обеспечивает оператор или уполномоченное лицо по договору; договор обязан предусматривать обязанность обеспечить безопасность данных: поручение обработки.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Акта нет, но средства защиты куплены | Меры не привязаны к требованиям. Определите уровень и сопоставьте с купленным, устраните пробелы |
| Всем системам присвоен 1-й уровень «на всякий случай» | Нет модели угроз. Определите тип угроз и уровень по правилам, снизьте затраты и сфокусируйтесь на реальных рисках |
| Не знаете число субъектов в системе | Нет учёта. Посчитайте записи по категориям, определите пороги в 100 000 |
| Система изменилась, документы нет | Нет процесса изменений. Включите пересмотр модели и акта в: управление изменениями |
Где это в моделях
Материал продолжает раздел «Регуляторика ПДн» и относится к направлению «Безопасность данных» (материалы направления, самопроверка оператора ПДн, карта зрелости). Определение угроз и уровней защищённости входит в базовый минимум оператора по методике Группы Сбер.
Как проверить
- Для каждой ИСПДн есть модель угроз, вывод о типе угроз и акт определения уровня защищённости.
- Выполнены требования, соответствующие уровню по пунктам 13–16 постановления, и выбранные меры по актам ФСТЭК.
- Утверждён перечень лиц с допуском, назначен ответственный за безопасность ПДн в системе (для 3-го уровня и выше).
- Контроль выполнения проводился в течение последних трёх лет, результаты сохранены.
Источники
- Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»: Гарант. Проверяйте действующую редакцию.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статьи 18.1 и 19: КонсультантПлюс.
- Акты ФСТЭК России (состав мер защиты, методики оценки угроз, банк данных угроз) и ФСБ России: официальные сайты fstec.ru, bdu.fstec.ru; конкретные приказы и методики выбирайте и проверяйте на этих ресурсах.
- Методика осуществления контроля соблюдения фокусными компаниями законодательства РФ в области персональных данных, Группа Сбер: sberbank.ru.
