|
В соответствии с пунктом 1 статьи 19 Федерального закона от 26.06.2007 № 152-ФЗ «О персональных данных» оператор при обработке персональных данных обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий. Методы и способы защиты информации в ИСПДн определены приказом ФСТЭК России от 05.02.2010 № 58.
В соответствии с данным Приказом различают средства защиты информации от несанкционированного доступа (система разграничения доступа к информации, антивирусная защита, межсетевые экраны, средства блокирования устройств ввода-вывода информации, криптографические средства и т. п.) и средства защиты информации от утечки по техническим каналам (использование экранированных кабелей; установка высокочастотных фильтров на линии связи; установка активных систем зашумления и т. д.)
Комплекс необходимых мероприятий по защите прав субъектов персональных данных, в том числе выбор средств защиты информации определяется оператором ПДн на основании результатов проведенной классификации информационной системы персональных данных (далее - ИСПДн) исходя из объема обрабатываемых персональных данных и угроз безопасности жизненно важным интересам личности, общества и государства.
|
В целях соблюдения требований законодательства о защите персональных данных (с учетом требований Приказа ФСТЭК России от 05.02.2010 № 58) были осуществлены специальные доработки технологической платформы «1С:Предприятие 8.2», в том числе в подсистеме управления доступом и подсистеме регистрации и учета. Начиная с версии 8.2.10, реализованы следующие возможности:
1) регистрация аутентификации и отказа в аутентификации (реализовано в версии 8.2.9);
2) регистрация изменений прав пользователей позволяет определить, когда какие роли назначались пользователю;
3) регистрация фактов отказа в доступе. Регистрируются все факты отказа в доступе пользователю. Например, для поиска массовых попыток обращения к недоступным для пользователя ресурсам;
4) регистрация доступа к защищаемым ресурсам:
- разработчик включает регистрацию для доступа к определенным полям по определенным объектам метаданных;
- разработчик описывает какую ключевую информацию необходимо включать в события журнала регистрации для поиска событий;
- система реализует отражение всех фактов доступа к указанной информации (например, сотрудника, к данным которого выполнялось обращение);
- система предоставляет возможность отбора зарегистрированных событий по метаданным и данным. Например, поиск всех обращений к защищаемым данным по конкретному физическому лицу.
С учетом сделанных доработок с целью соблюдения действующего законодательства в области защиты персональных данных создан защищенный программный комплекс «1С:Предприятие, версия 8.2z», который представляет собой сертифицированный релиз технологической платформы «1С:Предприятие 8.2».
|
Использование ЗПК «1С:Предприятие, 8.2z» позволяет соблюсти требования законодательства в части защиты ПДн, предусмотренные пунктом 5 Положения об обеспечении безопасности ПДн при их обработке в ИСПДн, утвержденного Постановлением Правительства РФ № 781, а также требования, предусмотренные Приказом ФСТЭК России от 05.02.2010 № 58 для ИСПДн 1 класса при многопользовательском режиме пользования и разных правах доступа в части подсистем управления доступом (идентификация и проверка подлинности пользователя), регистрации и учета (например, регистрация входа (выхода) субъекта доступа в систему), обеспечения целостности (напр., обеспечение целостности средств защиты с помощью контрольных сумм).
Говорить о том, что с применением ЗПК «1С:Предприятие, версия 8.2z» реализованы все требования, предусмотренные Приказом ФСТЭК России от 05.02.2010 № 58, нельзя. Ряд обязательных мер относится к организационно-распорядительным (например, наличие средств восстановления системы защиты ПДн, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности должно быть обеспечено администратором сети, физическая охрана и учет защищаемых носителей информации - не имеет отношение к ЗПК и т. д.) Иные требования, предусмотренные Федеральным законом № 152-ФЗ и приказом ФСТЭК России № 58, должны быть соблюдены реализацией иных мер (антивирусные программы, межсетевое экраны и т. п.).
Платформа 8.2z обеспечивает все те же возможности, что и 1С:Предприятие 8.2, в том числе поддерживает работу с СУБД: MS SQL, PostgreSQL, DB2 Oracle.
|
Фирмой «1С» была проведена сертификация ЗПК «1С:Предприятие 8.2z» на соответствие требованиям руководящих документов:
- «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1992) - по 5 классу защищенности;
- «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей (Гостехкомиссия России, 1999) - по 4 уровню контроля.
По результатам проведенной сертификации ЗПК «1С:Предприяти, 8.2z» признан программным средством общего назначения со встроенными средствами защиты от несанкционированного доступа к информации, не содержащей сведений, составляющих государственную тайну. Также подтверждена возможность использования ЗПК для защиты информации в информационных системах ПДн до 1 класса включительно.
Согласно условиям проведенной сертификации какие либо специальные требования к конфигурациям («Бухгалтерия предприятия», «Зарплата и управление предприятием» и т. п.) не предъявлены. Действующим законодательством в части защиты ПДН также не предусмотрены требования к ПО, не являющемуся средством защиты информации. В связи с вышеизложенным ЗПК «1С:Предприятие 8.2» может быть использован с любыми конфигурациями, разработанными на платформе 8.2.
|
Пунктом 2.12 Положения, утвержденного Приказом ФСТЭК России от 05.02.2010 № 58, предусмотрено, что ПО средств защиты информации, применяемое в информационных системах 1 класса, проходит контроль отсутствия недекларированных возможностей, при этом пунктом 7 данного приказа определено, что необходимо применять ПО средств защиты информации, соответствующее 4 уровню контроля отсутствия недекларированных возможностей. Необходимость проведения контроля отсутствия недекларированных возможностей программного обеспечения средств защиты информации, применяемых в информационных системах 2 и 3 классов, определяется оператором (уполномоченным лицом).
С учетом изложенного, обязательное применение СЗИ с проведенным контролем отсутствия недекларированных возможностей предусмотрено только для ИСПДн 1 класса. Таким образом, ЗПК «1С:Предприятие, 8.2z» может быть использован для организации защиты ПДн в ИСПДн любого класса.
Порядок продажи ЗПК «1С:Предприятие, версия 8.2z» определен в инфописьме от 29.12.2010 № 12891.
|
ЗПК «1С:Предприятие, версия 8.2z» может использоваться как для файл-серверного, так и клиент-серверного режима работы.
|
К продаже предлагается два варианта защищенного программного комплекса. Отличие между двумя продуктами в дистрибутивах программных продуктов, входящих в комплект поставки. ЗПК «1С:Предприятие, версия 8.2z» (Х86-32) предназначен для локальных компьютеров и 32-х разрядных серверов.
ЗПК «1С:Предприятие, версия 8.2z» (x86-64) предназначен для 64-разрядного сервера. При этом следует учитывать, что данный вариант комплекса содержит дистрибутивы обоих продуктов.
|
Комплект поставки ЗПК включает:
- непосредственно дистрибутив сертифицированной платформы;
- формуляр с голографической наклейкой ФСТЭК и контрольной суммой;
- спецификацию;
- описание применения;
- описание программы;
- копию сертификата ФСТЭК.
Документом, подлежащим систематическому заполнению оператором ПДн, является формуляр. Именно в формуляре подлежит делать записи об установке, результатах периодических проверок целостности ЗПК «1С:Предприятие, 8.2z», а также при установке вновь выходящих сертифицированных релизов.
|
С целью проведения сертификации вновь выходящих релизов заключен договор инспекционного контроля. В соответствии с условиями договора предусматривается ежеквартальное проведение инспекционного контроля с выдачей заключения о распространении действия сертификата на соответствующую новую версию с указанием ее контрольной суммы.
|
Деятельность по обслуживанию программных продуктов, не являющихся средствами защиты информации (в том числе конфигурации, разработанные на платформе «1С:Предприятие»), не относятся к деятельности по технической защите конфиденциальной информации.
Для осуществления работ по настройке управления ЗПК «1С:Предприятие, 8.2z», а также проведения комплекса работ по технической защите информации, рекомендуется привлекать организации, имеющие лицензии ФСТЭК России.
|
Для оказания услуг по защите ПДн, включающих мероприятия по технической защите, необходимо наличие соответствующей лицензии ФСТЭК России.
Если организация ограничивается организационно-распрорядительными документами, то лицензии на техническую защиту конфиденциальной информации не нужна.
Также необходимо помнить, что каких-либо специальных лицензий на осуществление деятельности по защите персональных данных действующим законодательством не предусмотрены.
|
Действующие нормативные правовые акты в области защиты ПДн не содержат каких либо ограничений в части разработки необходимой внутренней документации собственными силами оператора ПДн. Исключения составляют лишь работы по формированию модели угроз. В соответствии с руководящими документами ФСТЭК России модель угроз должна быть составлена экспертами. Вместе с тем в настоящее время имеется неопределенность в признании того или иного специалиста - экспертом.
|
Доступ представителей третьих организаций (аудиторов, программистов, обслуживающих ПО и т. п.) к ПДн должен быть жестко регламентирован внутренними документами оператора ПДн. Порядок обеспечения безопасности ПДн определяется организационными мерами, в том числе условиями договоров. В случае, если имеется необходимость в рамках выполнения договора между двумя юридическими лицами предоставлять доступ к персональным данным оператора или их передавать, то, обговаривая условия такого договора, следует определять условия соблюдения конфиденциальности при организации работы с ПДн и предусматривать мероприятия по защите персональных данных (например, определять условия хранения, допуск лиц и т.п.) Может быть рекомендовано заключение договора о конфиденциальности с заказчиками, а также соглашения о неразглашении сведений персонального характера с работниками исполнителя. Кроме того порядок предоставления данных и передачи ПДн и доступа третьих лиц в необходимых случаях должен быть определен в Положении о защите ПДн.
