Техническая защита в информационных системах персональных данных


Криптографическая защита персональных данных


Различают шесть уровней КС1, КС2, КС3, КВ1, КВ2, КА1 криптографической защиты персональных данных. Уровень криптографической защиты персональных данных, обеспечиваемой криптосредством, определяется оператором путем отнесения нарушителя, действиям которого должно противостоять криптосредство, к конкретному типу.

Три уровня КС, КВ и КА специальной защиты от утечки по каналам побочных излучений и наводок при защите персональных данных с использованием криптосредств.

Шесть уровней АК1, АК2, АК3, АК4, АК5, АК6 защиты от НСД к персональным данным в информационных системах.


СКЗИ класса КС1


Применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа следующих:

СКЗИ класса КС2

Применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных в классе КС1 и не менее одной из следующих дополнительных возможностей:

СКЗИ класса КС3

Это КС1 + КС2 +:

СКЗИ класса КВ:

Это КС1 + КС2 + КС3 +:

СКЗИ класса КА:

Все вышеперечисленное + :


СКЗИ класса КВ применяются для нейтрализации атак, при проведении которых используется не менее одной из следующих дополнительных возможностей:

СКЗИ класса КА применяются для нейтрализации атак, при проведении которых используется не менее одной из следующих дополнительных возможностей:


Прочие технические меры защиты информации


Построение систем защиты ПДн (СЗПДн) ведется в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. (Утверждены приказом ФСТЭК России от 18.02.2013 №21)

В состав мер по обеспечению безопасности ПДн, реализуемых в рамках СЗПДн с учетом актуальных угроз безопасности ПДн, входят:

Задачи, решаемые СЗПДн, следующие:

  1. Защита от вмешательство в процесс функционирования ИСПДн и НСД к ПДн
  2. Разграничение прав доступа зарегистрированных пользователей к аппаратным, программным и информационным ресурсам ИСПДн
  3. Защита от изменений конфигурации ИС
  4. Обеспечение контроля за действиями пользователей
  5. Защита от несанкционированной модификации программ и информационных ресурсов
  6. Защиты ПДн при их передаче по каналам связи
  7. Управление системой защиты

В системах защиты ПДн используются следующие защитные механизмы:


Требования к уровням защищенности


Требования к обеспечению 4 уровня защищенности:

  1. Организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения (ПП от 01.11.2012 №1119).
  2. оснащения помещений входными дверьми с замками, обеспечения постоянного закрытия дверей помещений на замок и их открытия только для санкционированного прохода, а такжеопечатывания помещений по окончании рабочего дня или оборудование помещений соответствующими техническими устройствами, сигнализирующими о несанкционированном вскрытии помещений;

    утверждения правил доступа в помещения в рабочее и нерабочее время, а также в нештатных ситуациях;

    утверждения перечня лиц, имеющих право доступа в помещения. (Приказ №378 ФСБ России).

  3. Обеспечение сохранности носителей персональных данных (ПП от 01.11.2012 №1119).
  4. осуществлять хранение съемных машинных носителей персональных данных в сейфах (металлических шкафах), оборудованных внутренними замками с двумя или более дубликатами ключей и приспособлениями для опечатывания замочных скважин или кодовыми замками. В случае если на съемном машинном носителе персональных данных хранятся только персональные данные в зашифрованном с использованием СКЗИ виде, допускается хранение таких носителей вне сейфов (металлических шкафов);

    осуществлять поэкземплярный учет машинных носителей персональных данных, который достигается путем ведения журнала учета носителей персональных данных с использованием регистрационных (заводских) номеров (Приказ № 378 ФСБ России).

  5. Утверждение руководителем оператора документа, определяющего перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей; (ПП от 01.11.2012 № 1119).
  6. разработать и утвердить документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей;

    поддерживать в актуальном состоянии документ, определяющий перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими служебных (трудовых) обязанностей (Приказ №378 ФСБ России).

  7. использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз. (ПП от 01.11.2012 № 1119)
  8. получения исходных данных для формирования совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак;

    формирования и утверждения руководителем оператора совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак, и определение на этой основе и с учетом типа актуальных угроз требуемого класса СКЗИ;

    использования для обеспечения требуемого уровня защищенности персональных данных при их обработке в информационной системе СКЗИ класса КС1 и выше (Приказ № 378 ФСБ России).


Требования к обеспечению 3 уровня защищенности:

  1. …назначено должностное лицо (работник), ответственный за обеспечение безопасности персональных данных в информационной системе (ПП от 01.11.2012 № 1119).
  2. …необходимо назначение обладающего достаточными навыками должностного лица (работника) оператора ответственным за обеспечение безопасности персональных данных в информационной системе (Приказ № 378 ФСБ России).

Требования к обеспечению 2 уровня защищенности:

  1. Доступ к содержанию электронного журнала сообщений был возможен исключительно для должностных лиц (работников) оператора или уполномоченного лица, которым сведения, содержащиеся в указанном журнале, необходимы для выполнения служебных (трудовых) обязанностей (ПП от 01.11.2012 № 1119):
  2. утверждение руководителем оператора списка лиц, допущенных к содержанию электронного журнала сообщений, и поддержание указанного списка в актуальном состоянии;

    обеспечение информационной системы автоматизированными средствами, регистрирующими запросы пользователей информационной системы на получение персональных данных, а также факты предоставления персональных данных по этим запросам в электронном журнале сообщений;

    обеспечение информационной системы автоматизированными средствами, исключающими доступ к содержанию электронного журнала сообщений лиц, не указанных в утвержденном руководителем оператора списке лиц, допущенных к содержанию электронного журнала сообщений;

  3. обеспечение периодического контроля работоспособности автоматизированных средств (не реже 1 раза в полгода) (Приказ №378 ФСБ России).

Требования к обеспечению 1 уровня защищенности:

  1. Автоматическая регистрация в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным, содержащимся в информационной системе (ПП от 01.11.2012 № 1119):
  2. обеспечение информационной системы автоматизированными средствами, позволяющими автоматически регистрировать в электронном журнале безопасности изменения полномочий сотрудника оператора по доступу к персональным данным, содержащимся в информационной системе;

    отражение в электронном журнале безопасности полномочий сотрудников оператора персональных данных по доступу к персональным данным, содержащимся в информационной системе. Указанные полномочия должны соответствовать должностным обязанностям сотрудников оператора;

    назначение оператором лица, ответственного за периодический контроль ведения электронного журнала безопасности и соответствия отраженных в нем полномочий сотрудников оператора их должностным обязанностям (не реже 1 раза в месяц) (Приказ №378 ФСБ России).

  3. Создание структурного подразделения, ответственного за обеспечение безопасности персональных данных в информационной системе, либо возложение на одно из структурных подразделений функций по обеспечению такой безопасности (ПП от 01.11.2012 № 1119):
  4. провести анализ целесообразности создания отдельного структурного подразделения, ответственного за обеспечение безопасности персональных данных в информационной системе;

    создать отдельное структурное подразделение, ответственное за обеспечение безопасности персональных данных в информационной системе, либо возложить его функции на одно из существующих структурных подразделений (Приказ № 378 ФСБ России).

  5. Оборудовать окна помещений, расположенные на первых и (или) последних этажах зданий, а также окна помещений, находящиеся около пожарных лестниц и других мест, откуда возможно проникновение в помещения посторонних лиц, металлическими решетками или ставнями, охранной сигнализацией или другими средствами, препятствующими неконтролируемому проникновению посторонних лиц в помещения
  6. Оборудовать окна и двери помещений, в которых размещены серверы информационной системы, металлическими решетками, охранной сигнализацией или другими средствами, препятствующими неконтролируемому проникновению посторонних лиц в помещения (Приказ №378 ФСБ России).

Выбор мер по защите ПДн


Выбор мер по обеспечению безопасности персональных данных, подлежащих реализации в информационной системе в рамках системы защиты персональных данных, включает:

Требования к СЗИ в зависимости от уровня защищенности:



В случае определения в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных в качестве актуальных угроз безопасности персональных данных 1-го и 2-го типов дополнительно к мерам по обеспечению безопасности персональных данных, могут применяться следующие меры:

Для защиты применяются:


Состав и содержание мер по обеспечению безопасности


Разграничение прав доступа:


Условное обозначение и номер меры Содержание мер по обеспечению безопасности персональных данных Уровни защищенности персональных данных
4 3 2 1
II. Управление доступом субъектов доступа к объектам доступа (УПД)
УПД.1 Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей + + + +
УПД.2 Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа + + + +
УПД.3 Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами + + + +
УПД.4 Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы + + + +
УПД.5 Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы + + + +
УПД.6 Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе) + + + +
УПД.7 Предупреждение пользователя при его входе в информационную систему о том, что в информационной системе реализованы меры по обеспечению безопасности персональных данных, и о необходимости соблюдения установленных оператором правил обработки персональных данных
УПД.8 Оповещение пользователя после успешного входа в информационную систему о его предыдущем входе в информационную систему
УПД.9 Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы
УПД.10 Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу + + +
УПД.11 Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации + + +
УПД.12 Поддержка и сохранение атрибутов безопасности (меток безопасности), связанных с информацией в процессе ее хранения и обработки
УПД.13 Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети + + + +
УПД.14 Регламентация и контроль использования в информационной системе технологий беспроводного доступа + + + +
УПД.15 Регламентация и контроль использования в информационной системе мобильных технических средств + + + +
УПД.16 Управление взаимодействием с информационными системами сторонних организаций (внешние информационные системы) + + + +
УПД.17 Обеспечение доверенной загрузки средств вычислительной техники + +

Разграничение доступа к ресурсам АС – это такой порядок использования ресурсов АС, при котором субъекты получают доступ к объектам в строгом соответствии с установленными правилами

Правила разграничения доступа – совокупность правил, регламентирующих права доступа субъектов к объектам.

Авторизация субъекта – наделение субъекта заданными правами доступа к объектам.


Условное обозначение и номер меры Содержание мер по обеспечению безопасности персональных данных Уровни защищенности персональных данных
4 3 2 1
III. Ограничение программной среды (ОПС)
ОПС.1 Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения
ОПС.2 Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения + +
ОПС.3 Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов +
ОПС.4 Управление временными файлами, в том числе запрет,разрешение, перенаправление записи, удаление временных файлов

Защита от неправомерных изменений конфигурации:

Условное обозначение и номер меры Содержание мер по обеспечению безопасности персональных данных Уровни защищенности персональных данных
4 3 2 1
IV. Защита машинных носителей персональных данных (ЗНИ)
ЗНИ.1 Учет машинных носителей персональных данных + +
ЗНИ.2 Управление доступом к машинным носителям персональных данных + +
ЗНИ.3 Контроль перемещения машинных носителей персональных данных за пределы контролируемой зоны
ЗНИ.4 Исключение возможности несанкционированного ознакомления с содержанием персональных данных, хранящихся на машинных носителях, и (или) использования носителей персональных данных в иных информационных системах
ЗНИ.5 Контроль использования интерфейсов ввода (вывода) информации на машинные носители персональных данных
ЗНИ.6 Контроль ввода (вывода) информации на машинные носители персональных данных
ЗНИ.7 Контроль подключения машинных носителей персональных данных
ЗНИ.8 Уничтожение (стирание) или обезличивание персональных данных на машинных носителях при их передаче между пользователями, в сторонние организации для ремонта или утилизации, а также контроль уничтожения (стирания) или обезличивания + + +

Механизм регистрации и аудита событий:

Регистрация и аудит событий обеспечивает получение и анализ информации о состоянии ресурсов системы, а также регистрацию действий, признанных потенциально опасными для ИС.

Механизм реализуется оперативным контролем за действиями пользователей и администраторов системы, централизованное оповещение о фактах НСД и иных нарушениях.


Условное обозначение и номер меры Содержание мер по обеспечению безопасности персональных данных Уровни защищенности персональных данных
4 3 2 1
V. Регистрация событий безопасности (РСБ)
РСБ.1 Определение событий безопасности, подлежащих регистрации, и сроков их хранения + + + +
РСБ.2 Определение состава и содержания информации о событиях безопасности, подлежащих регистрации + + + +
РСБ.3 Сбор, запись и хранение информации о событиях безопасности в течение установленного времени хранения + + + +
РСБ.4 Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти
РСБ.5 Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них + +
РСБ.6 Генерирование временных меток и (или) синхронизация системного времени в информационной системе
РСБ.7 Защита информации о событиях безопасности + + + +



Нейтрализация угроз. Антивирус и СОВ:

Угроза Возможность нейтрализации
Антивирус СОВ
Угрозы анализа сетевого трафика с перехватом информации - -
Угрозы выявления пароля - +
Угрозы типа «Отказ в обслуживании» - +
Угрозы удаленного запуска приложений + +
Угрозы сканирования, направленные на выявления типа ОС АРМ -/+ +
Угрозы получения НСД путем подмены доверенного объекта - -
Угрозы внедрения по сети вредоносных программ + +
Угрозы внедрения ложного объекта сети - -



Контроль и обеспечение целостности:

Контролируемые информационные ресурсы:

Контролируемые параметры:

Алгоритмы контроля:

Обеспечение доступности ПДн:



Безопасность виртуальной среды:

Проблемы защиты виртуальной среды:

Характерными угрозами виртуальной среды являются: