В заключении даны рекомендации по мерам защиты для уменьшения опасности актуальных угроз.
Работы по созданию модели угроз безопасности персональных данных, при их обработке в информационных системах персональных данных с использованием средств автоматизации (далее – ИСПДн) проводятся в соответствии со следующими основными документами:
- Федеральный закон от 01.01.01 года «Об информации, информационных технологиях и о защите информации»;
- Федеральный закон от 01.01.01 года «О персональных данных»;
- постановление Правительства РФ от 01.01.2001 г. № 000 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами»;
- постановление Правительства РФ от 01.01.2001 г. № 000 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- приказ Федеральной службы по техническому и экспортному контролю от 01.01.2001 г. № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»;
- приказ Федеральной службы по техническому и экспортному контролю от 01.01.2001 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К), утвержденные приказом Гостехкомиссии России (ДСП);
- ГОСТ Р 51583-2000 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения»;
- ГОСТ Р 51624-2000 «Защита информации. Автоматизированные системы в защищенном исполнении. Общие положения»;
- ГОСТ 34.201-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем»;
- ГОСТ 34.601-90 «Информационная технология. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания»;
- ГОСТ 34.602-89 «Информационная технология. Комплекс стандартов на автоматизированные системы. Техническое задание на создание автоматизированной системы»;
- ГОСТ 34.603-92 «Информационная технология. Виды испытаний автоматизированных систем»;
- ГОСТ Р ИСО/МЭК 27001-2006 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования»;
другие законодательными актами Российской Федерации и Республики Саха (Якутия).
Настоящий документ может быть пересмотрен:
- по решению председателя комитета или Комиссии по информационной безопасности государственного комитета Республики Саха (Якутия) по инновационной политике и науке на основе периодически проводимого анализа и оценки угроз безопасности персональных данных с учетом особенностей и/или вносимых изменений в программное обеспечение ИСПДн;
- по результатам мероприятий по контролю за выполнением требований к обеспечению безопасности персональных данных при их обработке в ИСПДн.
1. ИС «1С: Бухгалтерия и 1С: Зарплата и кадры»
1.1. Общие сведения об ИС «1С: Бухгалтерия и 1С: Зарплата и кадры»
Основной задачей ИС 1С:Бухгалтерия) является автоматизация бухгалтерского учета, страховой и хозяйственной деятельности.
ИС «1С: Бухгалтерия и 1С: Зарплата и кадры» представляет типовую конфигурацию 1С:Предприятие, программное обеспечение позволяет автоматизировать ведение всех разделов бухгалтерского учета.
Основными целями функционирования ИСПДн и обработки ПДн в частности являются:
ведение бухгалтерского учета;
осуществление банковских проводок и платежей;
передача налоговой, статистической и иной, установленной законодательством, отчетности;
ведение базы данных контрагентов;
учет платежей и расчетов с контрагентами за предоставленные услуги;
проведение статистического анализа;
операции печати, контроля готовности и выдачи выходных документов.
Заданные характеристики безопасности персональных данных | Типовая информационная система |
Структура информационной системы | Локальная информационная система, вся обработка ПДн производится на автономном персональном компьютере |
Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена | Подключение к локальной сети и сети интернет отсутствует |
Режим обработки персональных данных | Многопользовательская система |
Режим разграничения прав доступа пользователей | Система с разграничением доступа |
Местонахождение технических средств информационной системы | Все технические средства находятся в пределах Российской Федерации |
Дополнительная информация | К персональным данным предъявляется требование конфиденциальности, целостности и доступности ПДн |
1.2. Состав персональных данных, обрабатываемых в ИСПДн
В ИС «1С: Бухгалтерия и 1С: Зарплата и кадры» обрабатываются персональные данные сотрудников государственного комитета Республики Саха (Якутия) по инновационной политике и науке.
Объем записей в базе данных соответствуем штатной численности наименование ОГВ за период с _____ по ______ года, но не превышает 100 000 записей.
Информационная система ИС «1С: Бухгалтерия и 1С: Зарплата и кадры в соответствии с Постановлением Правительства № 000 является информационной системой, обрабатывающей иные категории персональных данных (ИСПДн-И).
В ИСПДн обрабатываются следующие ПДн:
Фамилия, имя, отчество;
Место, год и дата рождения;
Адрес по прописке;
Паспортные данные (серия, номер паспорта, кем и когда выдан);
Информация об образовании (наименование образовательного учреждения, сведения о документах, подтверждающие образование: наименование, номер, дата выдачи, специальность);
Адрес проживания (реальный);
Телефонный номер (домашний, рабочий, мобильный);
Семейное положение и состав семьи (муж/жена, дети);
Занимаемая должность;
Оклад;
ИНН;
Информация об отпусках;
Информация о командировках;
Информация о негосударственном пенсионном обеспечении;
Декларации, подаваемой в налоговую инспекцию;
Код страхового свидетельства пенсионного фонда.
Персональные данные, отнесенные ФЗ «О персональных данных» к категории биометрических или специальных, в том числе данные о состоянии здоровья, в ИСПДн не обрабатываются.
1.3. Структура обработки персональных данных
В ИС «1С: Бухгалтерия и 1С: Зарплата и кадры обработка ПДн осуществляется в однопользовательском / многопользовательском режиме с разграничением прав доступа на автономном персональном компьютере, не имеющем подключения к локальной сети и сети интернет.
Режим обработки предусматривает следующие действия с ПДн:
сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение ПДн.
Пользователи допускаются к работе с ИСПДн по приказу председателя комитета согласно Перечня должностей, регламентом которых предусмотрена работа с ИС «1С: Бухгалтерия и 1С: Зарплата и кадры.
Прекращение доступа пользователя к работе с ИСПДн осуществляется администратором безопасности ИСПДн при увольнении, по инициативе или требованию председателя комитета.
Все пользователи ИСПДн имеют собственные роли.
Список типовых ролей представлен в виде матрицы доступа:
Группа | Уровень доступа к ПДн | Разрешенные действия | Работники отдела |
Администраторы ИСПДн | Обладает полной информацией о системном и прикладном программном обеспечении ИСПДн. Обладает полной информацией о технических средствах и конфигурации ИСПДн. Имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн. Обладает всеми необходимыми атрибутами и правами, обеспечивающими доступ ко всем ПДн. | - сбор - систематизация - накопление - хранение - уточнение - использование - уничтожение | привлеченными по договору работниками компаний, выигравших конкурс |
Администратор безопасности ИСПДн | Обладает правами Администратора ИСПДн. Обладает полной информацией об ИСПДн. Имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн. Обладает всеми необходимыми атрибутами и правами, обеспечивающими доступ ко всем ПДн. | - сбор - систематизация - накопление - хранение - уточнение - использование - уничтожение | Главный специалист ОФСНИД |
Операторы ИСПДн | Обладает всеми необходимыми атрибутами и правами, обеспечивающими доступ ко всем ПДн. | - сбор - систематизация - накопление - хранение - уточнение - использование - уничтожение | Работники отдела ресурсного обеспечения |
В ИСПДн осуществляют работу следующие сотрудники:
№ | Роль | Должность | Подразделение |
1 | Администратор ИСПДн | внешний работник | сторонняя организация |
2 | Администратор безопасности ИСПДн | Главный специалист | ОФСНИД |
3 | Оператор | Руководитель отдела | ОСС |
5 | Оператор | Главный специалист | ОСС |
1.4. Состав и конфигурация ИС «1С: Бухгалтерия и 1С: Зарплата и кадры
ИС «1С: Бухгалтерия и 1С: Зарплата и кадры является типовой и находится в промышленной эксплуатации.
|
Из за большого объема этот материал размещен на нескольких страницах:
1 2 3 4 5 6 7 8 9 10 11 |
