Методика комплексной оценки уровня защищенности ИСПДн

ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ 4 ВВЕДЕНИЕ 6 1 Анализ современного состояния информационной безопасности информационных систем персональных данных 9 1.1 Состояние проблемы обеспечения защиты персональных данных, обрабатываемых в информационных системах 9 1.2 Специфика персональных данных как объекта защиты. 13 1.3 Жизненный цикл системы защиты персональных данных 16 1.4 Методика категорирования персональных данных 19 Выводы по 1 разделу. 25 2 Обзор методов оценки защищенности информационных систем 26 2.1 Особенности процедуры оценки защищенности информационных ресурсов 26 2.2 Оценка защищенности на основе модели комплекса механизмов защиты 30 2.3 Семантические показатели защищенности ИС 32 2.4 Оценки защищенности информационных систем на основе теории нечетких множеств 34 2.5 Комплексные оценки защищенности ИС 37 2.6 Метод оценки на основе групповых показателей 39 2.7 Методика применения групповых показателей для оценки состояния защищенности информационной системы персональных данных 41 Выводы по 2 разделу: 54 3 Методика комплексной оценки уровня защищенности ИСПДн 55 3.1 Методика комплексной оценки уровня защищенности ИСПДн на основании ПП-1119 55 3.2 Разработка комплексной оценки уровня защищенности ИСПДн 57 3.2.2 Аудит ИБ ИСПДн на основе IDEF-технологий 61 3.2.3 Модель ИСПДн как объекта аудита ИБ на основе системного моделирования 68 3.2.4 Модель ИСПДн как объекта аудита ИБ на основе построения профиля защиты 76 3.3 Методика комплексной оценки уровня защищенности ИСПДн 86 Выводы по 3 разделу 91 ЗАКЛЮЧЕНИЕ 92 СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ 93

1. Осовецкий Л., Шевченко В. Оценка защищенности сетей и систем // Экспресс электроника. 2002. № 2 2. Карпычев В. Ю., Минаев В. А. Цена информационной безопасности // Системы безопасности. 2003, № 5. 3. И.Корнеев В. В., Гареев А. Ф., Васютин С. В., Райх В. В. Базы данных. Интеллектуальная обработка информации. - М.: Нолидж, 2001. 4. Корченко, А.Г. Построение систем защиты информации на нечетких множествах. Теория и практические решения. - К.: «МК-Пресс», 2006.. 5. Основные проблемы внедрения Федерального закона № 152 «О персональных данных» [Текст/ О.М.Голембиовская, В.И.Аверченков, М.Ю.Рытов //Материалы III Региональной научнопрактической конференции «Региональные проблемы исполнения ФЗ № 152 «О персональных данных».-Брянск: БГТУ, 2011. 6. Лихоносов А., Денисов Д. Основы аудита информационной безопасности : Учеб. пособие. – М. : МФПА, 2010. 7. СТО БР ИББС-1.0-2014. Обеспечение информационной безопасности организаций банковской системы Российской Федерации. – М.: Издательство стандартов, 2014. 8. Голембиовская О. М. Автоматизация выбора средств защиты персональных данных на основе анализа их защищенности / Дисс. канд. техн. наук, спец. 05.13.19. – СПб, 2013. 9. Гуцыкова С. В. Метод экспертных оценок. Теория и практика. – М.: Институт психологии РАН, 2015. 10. Конвенция Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» от 28.01.1981 г. 11. Королёв О. Л., Круликовский А. П. Моделирование бизнес-процессов : Учеб. пособие. - Симферополь: ТНУ, 2011. 12. Методика определения актуальных угроз безопасности персональных данных. ФСТЭК России / Утв. зам. дир-ра ФСТЭК России 14.02.2008 г. 13. Разработка методики защиты информационных систем персональных данных в органах исполнительной власти [Текст] // Сборник материалов VI Международной научно-практической конференции «МихаилоАрхангельские чтения».-Рыбница: Рыбницкий филиал ПГУ им. Т.Г.Шевченко,2011 14. Лившиц И. И. Методы оценки защищённости систем менеджмента информационной безопасности, разработанных в соответствии с требованиями международного стандарта ИСО/МЭК 27001:2005 / Дисс. канд. танх. Наук, спец. 05.13.19. – СПб, 2012. 15. Сенцова, А. Ю., Машкина И. В. Методология экспертного аудита в системе облачных вычислений // Безопасность информационных технологий. – М.: Национальный исследовательский ядерный университет «МИФИ» ВНИИПВТИ, № 4, 2013. 16. Сенцова, А. Ю., Машкина И. В. Автоматизация экспертного аудита информационной безопасности на основе использования искусственной нейронной сети // Безопасность информационных технологий. – М.: Национальный исследовательский ядерный университет «МИФИ» ВНИИПВТИ, №2, 2014. 17. Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации / Утв. ФСБ России 21.02.2008 г., № 149/5-144. 18. Жижелев А. В., Панфилов А. П., Язов Ю. К., Батищев Р. В. К оценке эффективности защиты информации в телекоммуникационных системах посредством нечетких множеств // Изв. вузов. Приборостроение. 2003. т. 46, № 7. [Электронный ресурс].- Режим доступа: http://old.izv-tn.tti.sfedu.ru/wp-content/uploads/2011/2/40.pdf (Дата обращения 26.06.2020) 19. Кофман А. Введение в теорию нечетких множеств. - М.: Радио и связь, 1982. [Электронный ресурс].- Режим доступа: https://search.rsl.ru/ru/record/01001115478 (Дата обращения 26.06.2020) 20. Асаи К., Ватада Д., Иван С. И др. Прикладные нечеткие системы / Под ред. Т. Тэрано, К. Асаи, М. Сугэно. - М.: Мир, 1993. [Электронный ресурс].- Режим доступа: http://bookre.org/reader?file=437586 (Дата обращения 26.06.2020) 21. Круглов В. В., Борисов В. В. Искусственные нейронные сети. Теория и практика.- 2-е изд., стереотип. -М.: Горячая линия - Телеком, 2002. [Электронный ресурс].- Режим доступа: https://studizba.com/files/show/djvu/1761-1-kruglov-v-v-borisov-v-v--iskusstvennye.html (Дата обращения 26.06.2020) 22. Нестерук Г. Ф., Осовецкий Л. Г., Нестерук Ф. Г. Фахрутдинов Р. Ш.К. разработке модели адаптивной защиты информации // Специальная техника. 2005, № 2. https://www.studmed.ru/view/nesteruk-fg-nesteruk-gf-osoveckiy-lg-osnovy-organizacii-adaptivnyh-sistem-zaschity-informacii_19758811155.html?page=11 (Дата обращения 26.06.2020) 23. Аудит информационной безопасности / А.П. Курило, С.Л. Зефиров, В.Б. Голованов. - М.: БДЦ-Пресс, 2006.. [Электронный ресурс].- Режим доступа: http://padabum.com/d.php?id=15183 (Дата обращения 26.06.2020) 24. Н.Андрианов В.В., Зефиров С.Л., Голованов В.Б., Голдуев Н.А. Обеспечение информационной безопасности бизнеса / Под ред. Курило А.П. - М.: Альпина Паблишерз, 2011. [Электронный ресурс].- Режим доступа:https://proklondike.net/books/defence/andrianov_infobez_biz_2011.html (Дата обращения 26.06.2020) 25. Грушо, А.А., Тимонина, Е.Е. Теоретические основы защиты информации. -М.:Яхтсмен, 1996. [Электронный ресурс].- Режим доступа: https://gendocs.ru/v35234/грушо_а.а.,_тимонина_е.е._теоретические_основы_защиты_информации (Дата обращения 26.06.2020) 26. Орлов А. И. Организационно-экономическое моделирование. Экспертные оценки: учебник. – М.: Изд-во МГТУ им. Н. Э. Баумана, 2011. [Электронный ресурс].- Режим доступа: https://www.studmed.ru/orlov-ai-organizacionno-ekonomicheskoe-modelirovanie-ekspertnye-ocenki_cfc6b1eddd8.html (Дата обращения 26.06.2020) 27. ГОСТ Р 50922-2006. Защита информации. Основные термины и определения// 28. ГОСТ 19.701 - 90 (ИСО 5807-85) ЕСПД Схемы алгоритмов, программ, данных и систем. Условные обозначения и правила выполнения.-М.: Издательство стандартов, 1991. 29. Приказ ФСТЭК России от 5 февраля 2010 г. № 58 «Об утверждении положения о методах и способах защиты информации в информационных системах персональных данных»// 30. Приказ Федеральной службы по техническому и экспортному контролю, Федеральной службы безопасности Российской Федерации, Министерства информационных технологий и связи Российской Федерации от 13 февраля 2008 г. № 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных»// 31. ГОСТ Р ИСО/МЭК 27002-2012. Информационная безопасность. Методы и средства обеспечения безопасности. Практические правила управления информационной безопасностью. – М.: Стандартинформ, 2014. 32. ГОСТ Р ИСО 19011-2012. Руководящие указания по аудиту систем менеджмента. – М.: Стандартинформ, 2013. 33. ГОСТ Р ИСО/МЭК 15408-2008. Информационная технология. Методы и средства обеспечения информационной безопасности. Критерии оценки безопасности информационных технологий. – М.: Стандартинформ, 2009. 34. ГОСТ Р ИСО/МЭК 15408-3-2008. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. – Часть 3. Требования доверия к безопасности. – М.: Стандартинформ, 2009. 35. ГОСТ Р ИСО/МЭК 18045-2008. Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий. – М.: Стандартинформ, 2009. 36. ГОСТ Р ИСО/МЭК 27001-2006. Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования. – М. : Стандартинформ, 2008. 37. ГОСТ Р ИСО/МЭК 31010-2011. Менеджмент риска. Методы оценки риска. – М.: Стандартинформ, 2012. 38. ГОСТ Р ИСО/МЭК ТО 15446-2008. Информационная технология (ИТ). Методы и средства обеспечения безопасности. Руководство по разработке профилей защиты и заданий по безопасности. – М.: Стандартинформ, 2010. 39. ГОСТ Р ИСО/МЭК 18044-2007. Информационная технология. Методы и средства обеспечения безопасности. Менеджмент инцидентов информационной безопасности. – М.: Стандартинформ, 2009. 40. ГОСТ Р ИСО 19011-2012. Руководящие указания по аудиту систем менеджмента. – М.: Стандартинформ, 2013. 41. ГОСТ Р ИСО/МЭК 27007-2014. Информационная безопасность. Методы и средства обеспечения безопасности. Руководства по аудиту систем менеджмента ИБ. – М.: Стандартинформ, 2015. 42. Постановление Правительства от 01.11.2012 г. №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» // Утв. постановлением Правительства РФ 01.11.2012 г. 43. Постановление Правительства РФ от 15.09.2008 г. № 687 ""Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации"" // Утв. постановлением Правительства РФ 15.09.2008 г. " 44. Приказ ФСТЭК №21 от 18.02.2013 г. «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» // Утв. дир-ром ФСТЭК России 18.02.2013 г. 45. Федеральный Закон № 152. О персональных данных. // Принят Гос. Думой 8.07.2006 г. 46. Указ Президента РФ от 6 марта 1997 г. № 188 «Об утверждении перечня сведений конфиденциального характера» // [Собрание законодательства Российской Федерации от 10 марта 1997 г. № 10, ст. 1127]. 47. Официальный сайт Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) Методика определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных [Электронный ресурс].- Режим достуna:http://www.rsoc.ru/chamber-of-commerce/personal-data/p501/doc7 22.htm. (Дата обращения 26.06.2020) 48. Официальный сайт Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных (выписка) [Электронный ресурс].- Режим доступа: http://www.rsoc.ru. (Дата обращения 26.06.2020)

1 Анализ современного состояния информационной безопасности информационных систем персональных данных 1.1 Состояние проблемы обеспечения защиты персональных данных, обрабатываемых в информационных системах Обеспечение защиты персональных данных на территории Российской Федерации, а также во всем мире является актуальной задачей. К примеру, Совет Европы еще в 1980 году разработал и принял Европейскую конвенцию о защите физических лиц в вопросах, касающихся автоматической обработки личных данных, а в 1981 году Европейский союз утвердил международную конвенцию «Об охране личности в отношении автоматизированной обработ¬ки персональных данных». В Российской Федерации Федеральный закон № 152 «О персональных данных» был принят в 2006 году. Однако в соот¬ветствии с законодательством операторы ПДн должны были привести свои ИСПДн в соответствии с требованиями законодательства не позднее 1 января 2011 года. Такой значительный временной перерыв между принятием закона и приведением информационных систем персональных данных в соответст¬вие требованиям законодательства вызван в первую очередь, неподготовлен¬ностью и неточностью нормативно-правовой базы в области защиты персо¬нальных данных, а также трудоемкостью и высокой стоимостью проведения работ для операторов персональных данных, то есть тех государственных и муниципальных органов, юридических или физических лиц, которые обраба-тывают эти персональные данные. На сегодняшний день принципиальные недостатки в законодательстве, регулирующем защищенную обработку персональных данных в информаци-онных системах, устранены. Приняты дополнительные приказы, постановле¬ния, положения, методические рекомендации, которые регулируют и регла-ментируют такие вопросы, как: Порядок проведения классификации информационных систем пер-сональных данных. Требования к материальным носителям биометрических персональ¬ных данных и технологиям хранения таких данных вне информационных систем персональных данных. Методы и способы защиты информации в информационных систе¬мах персональных данных. Построение базовой модели угроз безопасности персональных дан¬ных при их обработке в информационных системах персональных данных. Определение актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Порядок определения уровней защищенности ИСПДн. Также Уголовным, Трудовым кодексом и Кодексом об административ¬ных правонарушения установлена ответственность за нарушение правил за¬щиты и обработки персональных данных.