Требования к системам, содержащим персональные данные.

Законодательство определяет различные категории персональных данных:

· общедоступные – данные, доступ к которым предоставлен неограниченному кругу лиц с согласия субъекта персональных данных и на которые не распространяются требования о соблюдении конфиденциальности (ФИО, место рождения, год рождения, сведения о профессии)

· специальные – относят данные о расовой, философской, политической, религиозной принадлежности, данные о здоровье. Обработка возможна в случаях, предусмотренных ФЗ о защите персональных данных.

· категории персональных данных обрабатываемых в информационных системах (ИСПД)

· биометрические

Выделяют следующие категории персональных данных обрабатываемых информационной системой:

· категория 1 – персональные данные, касающиеся о расовой, философской, политической, религиозной принадлежности, данные о здоровье.

· категория2 – персональные данные, позволяющие идентифицировать субъекта и получить о нем дополнительную информацию

· категория3 – персональные данные, позволяющие идентифицировать субъекта

· категория4 – общедоступные

Второй параметр, по которому происходит разделение информационных систем – это количество субъектов, данные о которых обрабатываются в информационной системе:

· более 100 000

· от 1000 до 100 000

· менее 1000

Такое разделение необходимо для определения класса информационной системы, а соответственно и определение мер обеспечения их безопасности. Выделяют следующие классы:

· К1 – информационные системы, нарушения безопасности которых может привести к значительным негативным последствиям для субъекта.

· К2 – информационные системы, нарушения безопасности которых может привести к негативным последствиям для субъекта.

· К3 – информационные системы, нарушения безопасности которых может привести к незначительным негативным последствиям для субъекта.

· К4 – информационные системы, нарушения безопасности которых не приводит к значительным негативным последствиям для субъекта.

Категория персональных данных	<1000	1000 – 100 000	>100 000
	К4	К4	К4
	К3	К3	К2
	К3	К2	К1
	К1	К1	К1

От класса информационной системы персональных данных зависят требования по обеспечению безопасности персональных данных, которые должны выполняться в этой системе. Наиболее распространен К3.

Рассмотрим основные требования, предъявляемые к этим системам:

· управление доступом. включает в себя идентификацию и проверку пользователя при входе в систему

· регистрация и учет включает в себя регистрацию входа/выхода пользователя, либо загрузки останова ОС. При этом должны учитываться такие параметры как дата, время, успешно/неуспешно, ID пользователя.

· учет защищаемых носителей информации путем их маркировки и ведения специальных журналов

· обеспечение целостности программных средств, неизменности самой программной среды (использование контрольных сумм для компонентов защиты, использование специальных трансляторов, не позволяющих изменять объектный код программы и т.д.)

· физическая охрана информационной системы (контроль доступа на территорию)

· периодическое тестирование функций системы защиты, например с использованием специального ПО сканеров безопасности

· наличие средств восстановления системы путем ведения копий программных компонентов, их периодическое обновление

Для обеспечение безопасного межсетевого взаимодействия следует использовать средства межсетевого экранирования, которые позволяют:

· организовать фильтрацию пакетов на сетевом уровне, регламентировать и установить правила фильтрации

помимо эти функций ИСПД 3класса должна включать в себя средства антивирусной защиты, в случае передачи информации по открытым каналам связи криптографической защиты, средства обнаружения вторжений.

Т.о. обработка персональных данных требует создания специального режима, включающего четко определенную технологию обработки, порядок и условия существования персональных данных на каждом этапе жизненного цикла. Это предполагает разработку и внедрение процедур сбора, приема, учета, хранения, использования, уничтожения данных. Большое внимание в законе уделяется условиям обработки персональных данных. Так обработка должна осуществляться только с письменного согласия субъекта. Отметим, что согласие не требуется в следующих случаях:

· необходимости защиты жизни, здоровья и других жизненно важных интересов.

· в случае почтовых отправлений

· в случае оперативной розыскной и т.п. деятельности