Закона о защите персональных данных (152-фз)

Что же должно быть приведено в соответствие с требованиями 152-ФЗ?

Теперь заказчики часто спрашивают у производителей: «Соответствует ли Ваша СЭД требованиям закона о персональных данных?», рассчитывая таким образом решить проблему соответствия своей ИСПДн требованиям закона. Однако следует понимать, что СЭД, как тиражный программный продукт, не является той ИСПДн, о которой идет речь в законе «О персональных данных».

Обратимся опять к определениям, данным в законе: «Информационная система персональных данных - информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств». Таким образом, ИСПДн (в данном случае, СЭД) заказчика – это нечто гораздо большее, чем программный продукт, используемый в её составе. Если говорить в терминах ГОСТ по информационным технологиям, то ИСПДн – это автоматизированная система, а СЭД как программный продукт – это часть комплекса технических средств, средство вычислительной техники. Закон требует приведения в соответствие требованиям именно ИСПДн заказчика, как оператора персональных данных. И никакой документ о соответствии программного продукта СЭД каким-либо требованиям не решит этой проблемы.

Этапы работ по приведению Вашей СЭД (ИСПДн) в соответствие с требованиями 152-ФЗ

Для того чтобы привести свои ИСПДн в соответствие с требованиями 152-ФЗ, предприятию необходимо выполнить следующие этапы работ:

1. 
   Обследование предприятия на предмет работы с ПДн;
   
2. 
   Классификация ИСПДн;
   
3. 
   Разработка модели угроз нарушения безопасности ПДн;
   
4. 
   Формирование требований по обеспечению безопасности ПДн;
   
5. 
   Проектирование системы защиты ПДн;
   
6. 
   Внедрение системы защиты ПДн;
   
7. 
   Аттестация или декларирование соответствия ИСПДн.
   

Рис.1. Классификация ИСПДн.

Предприятие может проводить эти работы самостоятельно (за исключением аттестации, для чего требуется специальная лицензия), или привлечь внешних консультантов. В любом случае полезно понимать иерархию документов, регулирующих и методически обеспечивающих вопрос о защите персональных данных (см. рис. 2).

Рис.2. Иерархия документов по защите персональных данных.

Требования к программным продуктам СЭД в связи с 152-ФЗ

Итак, мы контурно разобрались с тем, что должно сделать предприятие со своими ИСПДн, чтобы привести их в соответствие с требованиями закона. А что же СЭД как программный продукт (компонента СЭД (ИСПДн) заказчика)? Предъявляются ли к ней какие-либо требования в связи с 152-ФЗ?

Всё зависит от следующих факторов:

1. 
   Результаты обследования и классификации ИСПДн: в зависимости от них, может потребоваться применение сертифицированных средств защиты информации от несанкционированного доступа (СЗИ НСД) и/или средств криптографической защиты информации (СКЗИ).
   
2. 
   Устройство СЭД (как программного продукта, так и автоматизированной системы предприятия): СЭД предприятия может использовать как внешние (по отношению к программному продукту СЭД), так и встроенные средства защиты. Ввиду функциональных и технологических особенностей программных продуктов СЭД, как правило, собственные СЗИ НСД встроены в них, а СКЗИ используются внешние.
   

Таким образом, чтобы провести аттестацию вашей СЭД, от приобретаемого программного продукта СЭД может потребоваться сертификат на встроенные в него средства защиты информации. На что именно, и какого уровня – зависит от класса ИСПДн, к которой отнесена ваша СЭД.

Пример сертификации программного продукта СЭД на соответствие требованиям по защите персональных данных

Одним из самых распространенных в России программных продуктов для организации электронного документооборота является система управления документами и бизнес-процессами DocsVision. Она используется в сотнях средних и крупных организаций и предприятий самых разных видов деятельности. В системе всегда уделялось большое внимание вопросам защиты информации от несанкционированного доступа. В частности, реализовано мандатное и дискреционное управление доступом, а на базе этого – динамическое контекстно-ролевое управление доступом, без чего СЭД не может быть активно задействована в бизнес-процессах. Осознавая свою ответственность перед пользователями, и идя навстречу их ожиданиям, разработчик системы – компания DocsVision провела сертификацию своего продукта на соответствие требованиям «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» (Гостехкомиссия России, 1992). Это, в свою очередь, даёт основания для заключения о соответствии требованиям закона по защите персональных данных.

В соответствии с сертификатом ФСТЭК №2118 от 16.06.2010 г., программный комплекс DocsVision 4.5 является программным средством общего назначения со встроенными средствами защиты от несанкционированного доступа к информации, и может использоваться при создании информационных систем персональных данных до 2 класса включительно.

Важными для заказчиков являются следующие обстоятельства:

1. 
   Сертификат, свидетельствующий о качестве средств защиты информации, встроенных в DocsVision, выдается на конкретную сборку ПО системы. Поэтому необходима процедура, гарантирующая соответствие сборки, используемой в решении заказчика и сертификата. Копия сертификата, приложенная к лицензии на версию 4.5 системы, не имеет юридического смысла в процессе аттестации решения.
   
2. 
   Для аттестации необходимо приобрести сертифицированный экземпляр продукта. Поэтому сертификация проведена по схеме «сертифицированное производство». Производителем сертифицированных экземпляров DocsVision, согласно документу, является компания «Сертифицированные информационные системы», выпускающая также на российском рынке сертифицированные версии продуктов Microsoft и других известных разработчиков. Поставка будет осуществляться в форме «пакетов сертификации», включающих верифицированный дистрибутив и комплект документов по сертификации экземпляра с голографическими знаками соответствия ФСТЭК России. Сертификация по схеме «сертифицированное производство» подразумевает также, что все обновления, содержащие исправление ошибок в продукте также будут оперативно поставляться в сертифицированном виде.
   

Выводы

1. 
   СЭД практически любого предприятия является ИСПДн, и попадает под действие закона 152-ФЗ.
   
2. 
   Начать нужно с обследования и классификации своей ИСПДн, от чего будут зависеть состав дальнейших работ и требований.
   
3. 
   Если будет выявлена необходимость использования сертифицированных технических средств – приобрести сертифицированный экземпляр программного продукта СЭД.
   
4. 
   Провести остальную часть комплекса работ по приведению своей ИСПДн в соответствие с требованиями закона (см. раздел «Этапы работ…»), самостоятельно и/или с привлечением внешних консультантов.
   

жүктеу/скачать 70.6 Kb.

Достарыңызбен бөлісу: