Техническая и криптографическая защита персональных данных

Материал подготовлен с использованием правовых актов по состоянию на 12 января 2022 г.

Описывается порядок обеспечения технической и криптографической защиты персональных данных (с примерами необходимых документов).

ПРАВОВОЕ РЕГУЛИРОВАНИЕ

● Трудовой кодекс (далее – ТК)

● Закон от 07.05.2021 № 99-З «О защите персональных данных» (далее – Закон № 99-З)

● Закон от 21.07.2008 № 418-З «О регистре населения» (далее – Закон № 418-З)

● Закон от 10.11.2008 № 455-З «Об информации, информатизации и защите информации» (далее – Закон № 455-З)

● Положение о лицензировании отдельных видов деятельности, утв. Указом Президента от 01.09.2010 № 450 (далее – Положение № 450)

● Положение о порядке технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утв. приказом Оперативно-аналитического центра при Президенте от 20.02.2020 № 66 (далее – Положение о порядке технической и криптографической защиты информации)

● Положение о порядке аттестации систем защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, утв. приказом Оперативно-аналитического центра при Президенте от 20.02.2020 № 66 (далее – Положение о порядке аттестации систем защиты информации)

● приказ директора Национального центра защиты персональных данных от 15.11.2021 № 12 «О классификации информационных ресурсов (систем)» (далее – Приказ № 12)

● приказ Оперативно-аналитического центра при Президенте от 12.03.2020 № 77 «О подтверждении соответствия средств защиты информации»

Общие положения

Одной из обязательных мер по обеспечению защиты персональных данных является осуществление технической и криптографической защиты персональных данных в порядке, установленном Оперативно-аналитическим центром при Президенте, в соответствии с классификацией информационных ресурсов (систем), содержащих персональные данные (абз. 6 п. 3 ст. 17 Закона № 99-З).

Порядок технической и криптографической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к госсекретам, определяется Положением о порядке технической и криптографической защиты информации.

Физлица, в т.ч. ИП, являющиеся собственниками (владельцами) информационных систем, в которых обрабатываются персональные данные, вправе выполнять работы по технической и криптографической защите этих данных самостоятельно (без создания (назначения) подразделения защиты информации или иного подразделения (должностного лица), ответственного за обеспечение защиты информации) либо с привлечением специализированной организации (ч. 2 п. 4 Положения о порядке технической и криптографической защиты информации).

Алгоритм необходимых действий по обеспечению технической и криптографической защиты персональных данных

Шаг 1. Категорирование информации, которая будет обрабатываться в информационной сфере, и отнесение информационной системы к классу типовых информационных систем.

Согласно ч. 1 п. 7 Положения о порядке технической и криптографической защиты информации до проведения работ по проектированию системы защиты информации собственник (владелец) информационной системы осуществляет:

● категорирование информации, которая будет обрабатываться в информационной системе, в соответствии с законодательством об информации, информатизации и защите информации. Виды персональных данных в зависимости от информации, которая их характеризует, приведены в таблицах 1 и 2;

● отнесение информационной системы к классу типовых информационных систем согласно приложению к Положению о порядке технической и криптографической защиты информации.

Таблица 1

Виды персональных данных в зависимости от информации, которая их характеризует

В соответствии с п. 1 ст. 7 Закона № 418-З персональные данные разделяются на 2 категории:

● 1 категория – основные персональные данные;

● 2 категория – дополнительные персональные данные.

Таблица 2

Категории персональных данных

К информации, распространение и (или) предоставление которой ограничено, относятся (ч. 1 ст. 17 Закона № 455-З):

● информация о частной жизни физлица и персональные данные;

● сведения, составляющие госсекреты;

● служебная информация ограниченного распространения;

● информация, составляющая коммерческую, профессиональную, банковскую и иную охраняемую законом тайну;

● информация, содержащаяся в делах об административных правонарушениях, материалах и уголовных делах органов уголовного преследования и суда до завершения производства по делу;

● иная информация, доступ к которой ограничен законодательными актами Республики Беларусь.

При этом никто не вправе требовать от физлица предоставления информации о его частной жизни и персональных данных, включая сведения, составляющие личную и семейную тайну, тайну телефонных переговоров, почтовых и иных сообщений, касающиеся состояния его здоровья, либо получать такую информацию иным образом помимо воли данного физлица, кроме случаев, установленных законодательными актами (ч. 1 ст. 18 Закона № 455-З).

Информационные ресурсы (системы), содержащие персональные данные, в целях определения предъявляемых к ним требований технической и криптографической защиты персональных данных подразделяются на информационные ресурсы (системы), содержащие (Приказ № 12):

● общедоступные персональные данные;

● специальные персональные данные (кроме биометрических и генетических персональных данных);

● биометрические и генетические персональные данные;

● персональные данные, не являющиеся общедоступными или специальными.

Отнесение информационной системы к классу типовых информационных систем оформляется актом по форме согласно приложению 2 к Положению о порядке технической и криптографической защиты информации.

Пример 1.

Образец акта отнесения информационной системы к классу типовых информационных систем

Физлица, в т.ч. ИП, являющиеся собственниками (владельцами) информационных систем, в которых обрабатываются персональные данные, составляют акт отнесения информационной системы к классу типовых информационных систем в произвольной форме (ч. 2 п. 7 Положения о порядке технической и криптографической защиты информации).

Шаг 2. Проектирование системы защиты информации.

На этапе проектирования системы защиты информации осуществляются (п. 8 Положения о порядке технической и криптографической защиты информации):

1) анализ структуры информационной системы и информационных потоков (внутренних и внешних) в целях определения состава (количества) и мест размещения элементов информационной системы (аппаратных и программных), ее физических и логических границ;

2) издание политики информационной безопасности (за исключением физического лица, являющегося собственником (владельцем) информационной системы, в которой обрабатываются персональные данные, который вправе не издавать политику информационной безопасности);

Пример 2.

Образец политики информационной безопасности

3) определение требований к системе защиты информации в техническом задании на создание системы защиты информации;

4) выбор средств технической и криптографической защиты информации;

5) разработка (корректировка) общей схемы системы защиты информации.

Пример 3.

Образец общей схемы системы защиты информации

Анализ структуры информационной системы может быть выполнен на базе исследования информационной системы организации, которая характеризуется наличием существующей схемы документооборота, системы экономических показателей деятельности организации, структурным составом подразделений, участвующих в процессе управления, и интенсивностью потоков данных, циркулирующих между ними.

Анализ потоков информации позволяет выявить:

1) структуру и функции структурных подразделений организации;

2) наименование различных структурных подразделений и внешних организаций, с которыми взаимодействует данное структурное подразделение;

3) перечень документов, поступающих в подразделения;

4) перечень документов, разрабатываемых в каждом структурном подразделении;

5) перечень всех сообщений, поступающих в данное подразделение, с указанием, откуда поступило каждое из них;

6) перечень всех выходящих из данного структурного подразделения документов (сообщений) с указанием их адреса;

7) перечень справочных данных и законодательных положений, используемых в работе структурных подразделений;

8) четкое определение процессов формирования и маршрутов движения документов;

9) назначение форм документов;

10) количество разрабатываемых экземпляров форм документов;

11) периодичность составления документов;

12) основания и процессы принятия решений;

13) список показателей, содержащихся в каждом конкретном документе (сообщении), поступающем в структурное подразделение;

14) список показателей, содержащихся в каждом конкретном документе, разрабатываемом в данном структурном подразделении;

15) список показателей, содержащихся в каждом конкретном документе (сообщении), выходящем из данного структурного подразделения;

16) повторение одинаковых или одноименных показателей в данном структурном подразделении;

17) применяемость показателей;

18) оседаемость показателей в подразделении;

19) значность показателей.

Анализ информационных потоков (внутренних и внешних) является связующим звеном между изучением существующей системы управления организацией и ее совершенствованием.

При анализе информационных потоков уточняют схему организации управления в исследуемой системе, что позволяет выявить эффективность существующей структуры, узкие места в системе обработки данных и наметить пути к улучшению существующей организации управления организацией.

Можно сказать, что целью анализа информационных потоков является выработка предложений по совершенствованию системы управления организацией, которая проводится на основе исследования и обобщения всех материалов, полученных в ходе изучения системы и ее совершенствования.

Анализ информационных потоков позволяет уточнить схему существующей структуры организации. Для этого необходимо рассмотреть все цепочки в системе обработки данных, начиная с получения исходных сведений; их постепенное преобразование и формирование конечных данных, которые направляются управляемой системе в качестве команд и внешним организациям в качестве отчетной и другой информации. При этом определяется роль каждого структурного подразделения в комплексе работ, выполняемых системой управления организации и зафиксированных в схеме обработки данных; строится схема информационных связей между структурными подразделениями организации.

Политика информационной безопасности должна содержать сведения, указанные в п. 9 Положения о порядке технической и криптографической защиты информации.

Техническое задание разрабатывается:

● собственником (владельцем) информационной системы;

● специализированной организацией и утверждается собственником (владельцем) информационной системы.

Техническое задание должно содержать сведения, указанные в ч. 2 п. 10 Положения о порядке технической и криптографической защиты информации.

Техническим средством защиты информации является техническое устройство, специально изготовленное и (или) используемое для устранения или ослабления характерных признаков или физического проявления объекта защиты, которые определяются при помощи средств технической разведки и используются для получения информации, содержащей сведения, подлежащие защите, а также для создания помех техническим средствам разведки или специальным техническим средствам.

К техническим средствам защиты информации относятся:

● помехоподавляющие электрические фильтры;

● генераторы шума, излучающие сигналы различной физической природы (например, электрические, виброакустические).

Техническим средством контроля защищенности информации является техническое устройство, специально изготовленное и (или) используемое для измерения количественных параметров, позволяющих оценить степень защищенности информации от ее утечки по техническим каналам.

К техническим средствам контроля защищенности информации относятся:

● анализаторы спектра;

● шумомеры;

● иная электронная измерительная аппаратура.

К средствам криптографической защиты информации относятся программные, программно-аппаратные средства, реализующие один или несколько криптографических алгоритмов (шифрование, выработка и проверка ЭЦП, хэширование, имитозащита) и криптографические протоколы, а также функции управления криптографическими ключами и функциональные возможности безопасности.

Общая схема системы защиты информации должна содержать сведения, указанные в п. 11 Положения о порядке технической и криптографической защиты информации.

Допускается создание единой системы защиты информации для:

● нескольких информационных систем, функционирующих в общей программно-технической среде и принадлежащих одному собственнику (владельцу);

● нескольких типовых информационных систем, принадлежащих одному собственнику (владельцу).

Шаг 3. Создание системы защиты информации.

На этапе создания системы защиты информации осуществляются (п. 15 Положения о порядке технической и криптографической защиты информации):

● внедрение средств технической и криптографической защиты информации, проверка их работоспособности и совместимости с другими объектами информационной системы;

● разработка (корректировка) документации на систему защиты информации по перечню, определенному в техническом задании;

● реализация организационных мер по защите информации.

Согласно п. 17 Положения о порядке технической и криптографической защиты информации документация на систему защиты информации должна содержать:

● описание способов разграничения доступа пользователей к объектам информационной системы;

● порядок резервирования и уничтожения информации;

● порядок защиты от вредоносного программного обеспечения;

● порядок использования съемных носителей информации;

● порядок использования электронной почты;

● порядок обновления средств защиты информации;

● порядок осуществления контроля (мониторинга) за функционирование информационной системы и системы защиты информации;

● порядок реагирования на события информационной безопасности и ликвидации их последствий;

● порядок управления криптографическими ключами, в т.ч. требования по их генерации, распределению, хранению, доступу к ним и их уничтожению.

Организационные меры по криптографической защите информации должны включать в себя меры по обеспечению особого режима допуска на территорию (в помещения), на которой может быть осуществлен доступ к средствам криптографической защиты информации и криптографическим ключам (носителям), а также по разграничению доступа к ним по кругу лиц.

При получении собственником (владельцем) информационной системы от физлица его персональных данных, предоставленных этим физлицом без использования средств криптографической защиты информации, предоставление в последующем этих данных тем же собственником (владельцем) информационной системы названному физлицу может осуществляться без использования средств криптографической защиты информации (п. 19¹ Положения о порядке технической и криптографической защиты информации).

Шаг 4. Аттестация системы защиты информации информационных систем.

Аттестация системы защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к госсекретам (далее – информационная система), осуществляется в соответствии с Положением о порядке аттестации систем защиты информации.

Требования Положения о порядке аттестации систем защиты информации могут не применяться собственниками (владельцами) информационных систем, в которых обрабатываются только общедоступные персональные данные.

Аттестация проводится как организациями, имеющими специальные разрешения (лицензии) на деятельность по технической и (или) криптографической защите информации в части соответствующих составляющих данный вид деятельности работ (далее – специализированные организации), так собственниками (владельцами) информационных систем, которые вправе самостоятельно проводить аттестацию.

При проведении аттестации собственником (владельцем) информационной системы самостоятельно работы по аттестации выполняются аттестационной комиссией, назначенной решением (приказом, иным документом) руководителя собственника (владельца) информационной системы. Физлица, в т.ч. ИП, являющиеся собственниками (владельцами) информационных систем, в которых обрабатываются персональные данные, вправе выполнять работы по аттестации единолично.

Согласно п. 5 Положения о порядке аттестации систем защиты информации информационных систем аттестация проводится в случаях:

● создания системы защиты информации;

● истечения срока действия аттестата соответствия;

● изменения технологии обработки защищаемой информации;

● изменения технических мер, реализованных при создании системы защиты информации.

Наличие аттестата соответствия является обязательным условием для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к госсекретам, в течение установленного в нем срока.

Аттестация предусматривает комплексную оценку системы защиты информации в реальных условиях эксплуатации информационной системы и включает (п. 8 Положения о порядке аттестации систем защиты информации информационных систем):

● разработку программы и методики аттестации;

● установление соответствия реального состава и структуры объектов информационной системы общей схеме системы защиты информации;

● проверку правильности отнесения информационной системы к классу типовых информационных систем, выбора и применения средств защиты информации;

● анализ разработанной документации на систему защиты информации собственника (владельца) информационной системы на предмет ее соответствия требованиям законодательства об информации, информатизации и защите информации;

● ознакомление с документацией о распределении функций персонала по организации и обеспечению защиты информации;

● проведение испытаний системы защиты информации на предмет выполнения установленных законодательством требований по защите информации;

● внешнюю и внутреннюю проверку отсутствия либо невозможности использования нарушителем свойств программных, программно-аппаратных и аппаратных средств, которые могут быть случайно инициированы (активированы) или умышленно использованы для нарушения информационной безопасности системы и сведения о которых подтверждены изготовителями (разработчиками) этих объектов информационной системы;

● оформление технического отчета и протокола испытаний;

● оформление аттестата соответствия.

Программа и методика аттестации разрабатываются на основании исходных данных и должны содержать:

● перечень выполняемых работ с указанием ответственных лиц;

● сроки выполнения этих работ;

● информацию о методах проверки требований безопасности, реализованных в системе защиты информации;

● перечень используемой контрольной аппаратуры и тестовых средств.

Программа и методика аттестации разрабатываются:

● аттестационной комиссией, назначенной решением (приказом, иным документом) руководителя собственника (владельца) информационной системы, – при проведении аттестации собственником (владельцем) информационной системы самостоятельно. Физлица, в т.ч. ИП, являющиеся собственниками (владельцами) информационных систем, в которых обрабатываются персональные данные, вправе разработать программу и методику аттестации единолично;

● специализированной организацией – при проведении аттестации такой организацией. В данном случае специализированная организация согласовывает разработанные программу и методику аттестации с заявителем.

Срок проведения аттестации:

● определяется руководителем собственника (владельца) информационной системы, физлицом, в т.ч. ИП, являющимся собственником (владельцем) информационной системы, в которой обрабатываются персональные данные, – при проведении аттестации собственником (владельцем) информационной системы самостоятельно;

● не может превышать 180 к.д. при проведении аттестации специализированной организацией.

В случае выявления в процессе проведения аттестации недостатков специализированная организация не позднее чем за 35 к.д. до истечения срока проведения аттестации направляет заявителю соответствующее уведомление.

Заявитель должен устранить недостатки, выявленные указанной организацией, в течение 35 к.д. со дня получения уведомления.

При невозможности устранения заявителем выявленных недостатков в указанный срок специализированная организация отказывает в выдаче аттестата соответствия. После устранения недостатков заявитель вправе повторно обратиться за проведением аттестации.

При подтверждении соответствия системы защиты информации требованиям законодательства об информации, информатизации и защите информации оформляется аттестат соответствия по форме согласно приложению к Положению о порядке аттестации систем защиты информации информационных систем сроком на 5 лет, который подписывается:

● руководителем собственника (владельца) информационной системы, физлицом, в т.ч. ИП, являющимся собственником (владельцем) информационной системы, в которой обрабатываются персональные данные, – при проведении аттестации собственником (владельцем) информационной системы самостоятельно;

● руководителем специализированной организации – при проведении аттестации специализированной организацией.

Пример 4.

Образец приказа руководителя собственника (владельца) информационной системы о проведении аттестации системы защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено

Шаг 5. Обеспечение функционирования системы защиты информации в процессе эксплуатации информационной системы.

В соответствии с п. 20 Положения о порядке технической и криптографической защиты информации в процессе эксплуатации информационной системы с применением аттестованной в установленном порядке системы защиты информации осуществляются:

● контроль за соблюдением требований, установленных в НПА, документации на систему защиты информации собственника (владельца) информационной системы;

● контроль за порядком использования объектов информационной системы;

● мониторинг функционирования системы защиты информации;

● выявление угроз (анализ журналов аудита), которые могут привести к сбоям, нарушению функционирования информационной системы;

● резервное копирование информации, содержащейся в информационной системе;

● обучение (повышение квалификации) пользователей информационной системы.

Шаг 6. Обеспечение защиты информации в случае прекращения эксплуатации информационной системы.

Согласно п. 24 Положения о порядке технической и криптографической защиты информации в случае прекращения эксплуатации информационной системы собственник (владелец) информационной системы в соответствии с документацией на систему защиты информации принимает меры по:

● защите информации, которая обрабатывалась в информационной системе;

● резервному копированию информации и криптографических ключей (при необходимости), обеспечению их конфиденциальности и целостности;

● уничтожению (удалению) данных и криптографических ключей с машинных носителей информации и (или) уничтожению таких носителей информации.