Перечень подсистем, их назначение и основные характеристики

 

В соответствии с «Моделью угроз безопасности ПДн для информационно - аналитической системы Центрального аппарата Министерства здравоохранения и социального развития Российской Федерации (ИАС ЦА МЗРФ)», «Положением о методах и способах защиты информации в информационных системах персональных данных», а также «Методическими рекомендациями по обеспечению с помощью криптосредств безопасности ПДн при их обработке в ИСПДн с использованием средств автоматизации» мероприятия по обеспечению безопасности ПДн при их обработке в ИСПДн реализуются в рамках следующих подсистем СЗПДн ИАС ЦА МЗРФ:

­ управления доступом;

­ регистрации и учета;

­ обеспечения целостности;

­ антивирусной защиты;

­ криптографической защиты.

Также, в соответствии с «Положением о методах и способах защиты информации в информационных системах персональных данных» должны проводиться мероприятия по:

­ обнаружению вторжений в информационную систему, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;

­ анализу защищенности информационных систем, предполагающему применение специализированных программных средств;

­ обеспечению безопасного межсетевого взаимодействия ИСПДн.

Подсистема управления доступом, её назначение и основные характеристики

Согласно «Положению о методах и способах защиты информации в информационных системах персональных данных» подсистема управления доступом в СЗПДн предназначена для выполнения функций защиты самостоятельно или в комплексе с другими СрЗИ, направленных на исключение или затруднение несанкционированного доступа к ИСПДн.

Реализуемые в СЗПДн характеристики подсистемы должны быть предложены на стадии технического проектирования в соответствии с группой требований.

Техническое решение по реализации данных требований должно исключать дублирование функций безопасности, реализованных в соответствующих сегментах действующей СЗИ ИАС ЦА МЗРФ и отвечающих требованиям нормативных документов к СрЗПДн.

Подсистема регистрации и учета, её назначение и основные характеристики

Подсистема регистрации и учета предназначена для фиксирования событий, происходящих в ИСПДн.

Реализуемые в СЗПДн характеристики подсистемы должны быть предложены на стадии технического проектирования в соответствии с группой требований, заданных в таблице 1.

Техническое решение по реализации данных требований должно исключать дублирование функций безопасности, реализованных в соответствующих сегментах действующей СЗИ ИАС ЦА МЗРФ и отвечающих требованиям нормативных документов к СрЗПДн.

 

Подсистема обеспечения целостности, её назначение и основные характеристики

Подсистема обеспечения целостности предназначена для осуществления контроля целостности программных средств системы защиты ПДн и неизменности программной среды.

Реализуемые в СЗПДн характеристики подсистемы должны быть предложены на стадии технического проектирования в соответствии с группой требований.

Техническое решение по реализации данных требований должно исключать дублирование функций безопасности, реализованных в соответствующих сегментах действующей СЗИ ИАС ЦА МЗРФ и отвечающих требованиям нормативных документов к СрЗПДн.

Требования к обеспечению безопасного межсетевого взаимодействия, назначению и основным характеристикам

Обеспечение безопасного межсетевого взаимодействия осуществляется путем применения МЭ, предназначенных для разграничения доступа, получаемого к ресурсам ИСПДн по каналам связи.

Реализуемые в СЗПДн характеристики подсистемы должны быть предложены на стадии технического проектирования в соответствии с группой требований.

Техническое решение по реализации данных требований должно исключать дублирование функций безопасности, реализованных в соответствующих сегментах действующей СЗИ ИАС ЦА МЗРФ и отвечающих требованиям нормативных документов к СрЗПДн.

Глава 2

Модель нарушителя

 

В соответствии с п. 2 Положения [6] безопасность персональных данных при их обработке в информационных системах обеспечивается с помощью системы защиты персональных данных, включающей организационные меры и средства защиты информации (в том числе шифровальные (криптографические) средства, средства предотвращения несанкционированного доступа, утечки информации по техническим каналам, программно-технических воздействий на технические средства обработки персональных данных), а также используемые в информационной системе информационные технологии. Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации.

Характеристики ИСПДн ИАС ЦА МЗРФ, защищаемые ресурсы ИСПДн ИАС ЦА МЗРФ, угрозы утечки ПДн по техническим каналам, угрозы НСД к информации ИСПДн ИАС ЦА МЗРФ рассмотрены в «Модели угроз безопасности персональных данных при их обработке в «Информационно-аналитической системе Центрального аппарата Министерства здравоохранения и социального развития Российской Федерации»[13].

Основываясь на полученных данных с учетом методических рекомендаций ФСБ России [3], Положения ПКЗ-2005 [11] и Типовых требований [12] необходимо уточнить возможности нарушителей при обеспечении с помощью криптосредств безопасности ПДн при их обработке в ИСПДн ИАС ЦА МЗРФ.

Нарушитель может действовать на различных этапах жизненного цикла информационных ресурсов, средств защиты информации, криптосредств (СКЗИ) и СФК, используемых в ИСПДн. Под этими этапами в настоящем документе понимаются этапы разработки указанных средств, их производства, хранения, транспортировки, ввода в эксплуатацию, эксплуатации.