Актуальные угрозы безопасности - гражданское законодательство и судебные прецеденты

утвержденного Приказом Федеральной службы по техническому и экспортному контролю, Федеральной службы безопасности Российской Федерации и Министерства информационных технологий и связи Российской Федерации от 13 февраля 2008 г. N 55/86/20 "Об утверждении Порядка проведения классификации информационных систем персональных данных", для специальных информационных систем персональных данных должна быть разработана модель угроз безопасности персональных данных. В качестве модели угроз безопасности персональных данных при их обработке в ИСПДн организация БС РФ может использовать Отраслевую модель угроз, содержащую актуальные угрозы безопасности персональных данных при обработке в ИСПДн организаций БС РФ (применительно к большинству организаций БС РФ) и согласованную с Регуляторами. В случае необходимости, в организации БС РФ может быть составлена частная модель угроз безопасности персональных данных при их обработке в ИСПДн организации БС РФ (далее - частная модель угроз), учитывающая особенности обработки персональных данных в конкретной организации БС РФ. В качестве методики выбора актуальных для организации БС РФ угроз и последующего составления частной модели

в соответствии с ним нормативным правовым актам, требованиям к защите ПДн, Политике и внутренним регулятивным документам Агентства; 4) проводится оценка вреда, который может быть причинен субъектам ПДн в случае нарушения Закона о ПДн, определяется соотношение указанного вреда и принимаемых Агентством мер, направленных на обеспечение исполнения обязанностей, предусмотренных Законом о ПДн. 5.7. Обеспечение безопасности ПДн в Агентстве при их обработке в ИСПДн достигается в Агентстве, в частности, путем: 1) определения угроз безопасности ПДн. Тип актуальных угроз безопасности ПДн и необходимый уровень защищенности ПДн определяются в соответствии с требованиями законодательства и с учетом проведения оценки возможного вреда; 2) определения в установленном порядке состава и содержания мер по обеспечению безопасности ПДн, выбора средств защиты информации. При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности ПДн, а также с учетом экономической целесообразности Агентством могут разрабатываться компенсирующие меры, направленные на нейтрализацию актуальных угроз безопасности ПДн. В этом случае в ходе разработки СЗПДн проводится

данной информационной системы. При отсутствии необходимых средств защиты информации, сертифицированных на соответствие требованиям по безопасности информации, организуется разработка (доработка) средств защиты информации и их сертификация в соответствии с законодательством Российской Федерации или производится корректировка проектных решений по информационной системе и (или) ее системе защиты информации с учетом функциональных возможностей имеющихся сертифицированных средств защиты информации. При проектировании системы защиты информации информационной системы, функционирование которой предполагается на базе информационно-телекоммуникационной инфраструктуры центра обработки данных, для блокирования актуальных угроз безопасности информации могут быть применены меры защиты информации, реализуемые в информационно-телекоммуникационной инфраструктуре центра обработки данных. (абзац введен Приказом ФСТЭК России от 28.05.2019 N 106) 15.2. Разработка эксплуатационной документации на систему защиты информации информационной системы осуществляется в соответствии с техническим заданием на создание информационной системы и (или) техническим заданием (частным техническим заданием) на создание системы защиты информации информационной системы. Эксплуатационная документация на систему защиты информации информационной системы разрабатывается с учетом ГОСТ 34.601, ГОСТ 34.201 и

связи с исполнением государственной функции, обязан разъяснить указанным субъектам персональных данных юридические последствия отказа предоставить персональные данные. 6.8. Передача (распространение, предоставление) и использование персональных данных заявителей (субъектов персональных данных) Роспотребнадзором осуществляется лишь в случаях и в порядке, предусмотренных федеральными законами. VII. Порядок обработки персональных данных субъектов персональных данных в информационных системах 7.1. Обработка персональных данных в информационных системах осуществляется после реализации организационных и технических мер по обеспечению безопасности персональных данных, определенных с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах. Обеспечение безопасности при обработке персональных данных, содержащихся в информационных системах органов и подведомственных организаций осуществляется в соответствии с постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных" <1>, Требованиями о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах, утвержденными приказом ФСТЭК России от 11

организации защищенного информационного взаимодействия ГИС ТОР КНД с внешними типовыми ОИ Для обеспечения защищенного информационного взаимодействия вышеперечисленных внешних ОИ с ГИС ТОР КНД на стороне ОИ требуется реализовать комплекс мероприятий с учетом требований действующего законодательства Российской Федерации и подзаконных нормативных правовых актов в области защиты информации, предъявляемых к конкретному ОИ в зависимости от класса защищенности ОИ и (или) уровней защищенности обрабатываемых на ОИ персональных данных (в случае осуществления обработки персональных данных на ОИ), актуальных угроз безопасности информации и возможностей потенциальных нарушителей, а также с учетом требований, приведенных в настоящих ЕФТТ. Организация работ по защите информации на стороне вышеперечисленных ОИ осуществляется собственниками ОИ (операторами, владельцами). При реализации КНО комплекса мероприятий по защите информации на ОИ рекомендуется: - провести классификацию ОИ в соответствии с требованиями действующего законодательства Российской Федерации и подзаконных нормативных правовых актов в области защиты информации, с учетом обрабатываемой на ОИ информации, установить класс (категорию) защищенности ОИ и (или)

в целях соблюдения конфиденциальности информации и информационной безопасности заказчика. При этом, поскольку модель угроз, типовая модель угроз, требования разработаны ФГУП «НПП «Гамма» в рамках договора №10-ЕП/09-2016, только данная организация располагала указанными документами, в соответствии с которыми необходимо произвести оказание всего объема услуг в рамках контракта №569563. Однако, модель угроз, типовая модель угроз, требования влияют на стоимость услуги и трудозатраты, так как с учетом технологии обработки информации и на основании определенных в ходе моделирования актуальных угроз безопасности информации определяются меры и средства защиты, которые исполнитель по контракту должен будет реализовывать и/или поставить. Отсутствие при проведении аукциона информации об искомых документах влечет создание преимущественных условий для хозяйствующего субъекта, располагающего такой информацией. Между тем, учитывая предмет аукциона, одной из целей которого является недопущение угроз безопасности, для возможности формирования предложения и участия в аукционе является необходимым предоставление неопределенному кругу (потенциальному исполнителю) лиц выдержки (выписки) из спорных документов (модель угроз, типовая модель угроз, требования).

законодательства РФ о персональных данных, в том числе требований к защите персональных данных. Согласно п. 2 «Требований к защите персональных данных при их обработке в информационных системах персональных данных», утвержденных постановлением Правительства РФ от 01.11.2012 № 1119 (далее - Требования № 1119), безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с ч. 5 ст. 19 ФЗ «О персональных данных». Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах. Приказом ДВФУ от дата № утвержден «Регламент осуществления внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных ДВФУ» (далее -Регламент). Регламентом установлено, что в Университете проводятся контрольные мероприятия за соответствием обработки персональных данных требованиям к защите персональных данных в различных целях, одной из которых согласно п. 4.2.4 Регламента

службы по техническому и экспортному контролю от 18.02.2013 № 21 утвержден Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных. В соответствии с п. 8 Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, в состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входит, в том числе антивирусная защита (п. АВ3.1 и п. АВ3.2 Приложения к Составу) и содержанию организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных). Пунктом 8.6 Состава и содержания установлено, что меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации

модифицированной или уничтоженной вследствие несанкционированного доступа к ней; 6) постоянный контроль за обеспечением уровня защищенности информации. В соответствии с п.2 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства РФ от ДД.ММ.ГГГГ N 1119, безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью системы защиты персональных данных, нейтрализующей актуальные угрозы, определенные в соответствии с частью 5 статьи 19 Федерального закона "О персональных данных". Система защиты персональных данных включает в себя организационные и (или) технические меры, определенные с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационных системах. Согласно приказу ФСБ РФ от ДД.ММ.ГГГГ N66"Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)": п.3 - необходимо руководствоваться данным положением при разработке, производстве, реализации и эксплуатации средств криптографической защиты информации конфиденциального характера в следующих случаях: если информация конфиденциального характера подлежит защите