Разработка требований по обеспечению безопасности персональных данных в информационных системах

Введение

Список используемых понятий

1. Анализ систем защиты персональных данных

1.1 Правовое регулирование защиты персональных данных

1.1.1 Практика правового регулирования защиты персональных данных в зарубежных странах

1.1.2 Обзор нормативно-правовых актов регламентирующих защиту ПД

1.2 Общий принцип построения систем защиты персональных данных

1.3 Правовые основы обеспечения безопасности ПДн в ИСПДн Выводы

2. Разработка требований по защите персональных данных циркулирующих в информационной сети предприятия

2.1 Разработка основных положений по защите персональных данных

2.2 Требования к информационной системе персональных данных

2.2.1 Классификация и понятие информационных систем персональных данных

2.2.2 Разработка порядка организации обеспечения безопасности персональных данных в информационных системах персональных данных Выводы

3. Разработка требований по обеспечению безопасности персональных данных в информационных системах персональных данных

3.1 Разработка требований по разграничению доступа к ресурсам ИСПДн

3.2 Разработка требований по защите персональных данных циркулирующих в сети предприятия от вторжений

3.3 Разработка требований для защиты ПДн от утечки по техническим каналам

3.3.1 Разработка требований технических мероприятий

3.3.2 Разработка требований организационных мероприятий Выводы

4. Безопасность и экологичность проекта

4.1 Общая оценка условий труда оператора ПЭВМ

4.2 Анализ опасных и вредных производственных факторов труда оператора ПЭВМ

4.3 Анализ возможных чрезвычайных ситуаций и мер по их предотвращению и устранению Выводы

5. Расчет технико-экономической эффективности проекта

5.1 Краткая характеристика проекта

5.2 Трудоемкость выполняемых работ

5.3 Суммарные затраты на создание программного продукта

5.4 Расчет коэффициента повышения оперативности принятия решений

5.5 Оценка технико-экономической эффективности по комплексному коэффициенту эффективности управления до и после автоматизации

5.6 Экономия от замены ручной обработки информации на автоматизированную

5.7 Расчет рентабельности

5.8 Расчет времени окупаемости проекта

5.9 Основные технико-экономические показатели проекта Выводы Заключение Список использованных источников Приложения

Современный этап развития общества характеризуется возрастающей ролью информационной сферы, представляющей собой совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации. Информация позволяет организации или гражданину узнавать необходимые ему сведения, которые могут принести определенную прибыль, только нужно правильно уметь оперировать полученными сведениями. Порой незначительные сведения спустя короткий промежуток времени становятся дорогим товаром. Как было сказано выше, просто необходимо правильно использовать информацию и ее анализировать. Раз информация может приносить прибыль организации, следовательно, ее необходимо правильно хранить и защищать.

Информация, непосредственно связанная с конкретным человеком (факты его биографии, номинативные (назывные) данные, национальность, место жительства, сведения о заболеваниях, о профессиональных знаниях и навыках, о семейной жизни, привычках, увлечениях, нравственные, политические, сексуальные и религиозные пристрастия и многое другое), составляет большую или даже большую часть циркулирующей в обществе информации. Человек оставляет соответствующие «информационные следы» в отделах кадров, в социальных службах, органах исполнительной власти, в сфере услуг, различных организациях. Очень часто сообщение подобной информации находится в рамках интересов самого индивида или является необходимым условием получения конкретного социального статуса либо определенных услуг. Распространение такой информации без согласия самого человека может способствовать формированию его положительного имиджа, а может нанести непоправимый урон, моральный или материальный вред.

Сегодня с уверенностью можно утверждать, что информация персонального характера признана одним из приоритетных объектов защиты, так как желание индивида сохранить «информационную приватность» становится все более ощутимой. И именно поэтому обращение с информацией персонального характера (персональными данными) требует особой защиты, что, в свою очередь, объясняет актуальность разрабатываемой темы.

Предметом исследования являются требования к защите персональных данных циркулирующих в информационной сети предприятия.

Цель работы: разработка требований к защите персональных данных предприятия на основе методических рекомендаций и организационной документации для защиты персональных данных.

Исходя из поставленной цели, в работе необходимо решить следующие задачи:

Провести анализ систем защиты персональных данных.

Разработать методические рекомендации для защиты персональных данных на основе руководящих и других документов нормативной базы РФ.

Разработать требования к системе защиты персональных данных.

Применить разработанные методические рекомендации и организационную документацию для защиты персональных.

Список используемых понятий

Блокирование персональных данных — временное прекращение сбора, систематизации, накопления, использования, распространения персональных данных, в том числе их передачи.

Вирус (компьютерный, программный) — исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению.

Вредоносная программа — программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных.

Вспомогательные технические средства и системы — технические средства и системы, не предназначенные для передачи, обработки и хранения персональных данных, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки персональных данных, или в помещениях, в которых установлены информационные системы персональных данных.

Доступ к информации — возможность получения информации и ее использования.

Защищаемая информация — информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.

Зона 1 — пространство вокруг аппаратных средств информационных систем персональных данных, на границе и за пределами которого уровень наведенного от аппаратных средств информационных систем персональных данных информативного сигнала в технических средствах, а также в посторонних проводах и линиях передачи информации, имеющих выход за пределы контролируемой зоны, не превышает нормированного значения.

Зона 2 — пространство вокруг аппаратных средств информационных систем персональных данных, на границе и за пределами которого напряженность электромагнитного поля информативного сигнала не превышает нормированного значения.

Идентификация — присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.

Информационная система персональных данных — информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществлять обработку таких персональных данных с использованием средств автоматизации или без использования таких средств.

Информационные технологии — процессы, методы поиска, сбора, хранения, обработки, представления, распространения информации и способы осуществления таких процессов и методов.

Контролируемая зона — пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств.

Конфиденциальность персональных данных — обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

Межсетевой экран — локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и (или) выходящей из информационной системы.

Недекларированные возможности — функциональные возможности средств вычислительной техники и (или) программного обеспечения, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.

Несанкционированный доступ (несанкционированные действия) — доступ к информации или действия с информацией, осуществляемые с нарушением установленных прав и (или) правил доступа к информации или действий с ней с применением штатных средств информационной системы или средств, аналогичных им по своим функциональному предназначению и техническим характеристикам.

Обработка персональных данных — действия (операции) с персональными данными, включая сбор, систематизацию, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передачу), обезличивание, блокирование, уничтожение персональных данных.

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных.

Перехват (информации) — неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов.

Персональные данные — любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.

Побочные электромагнитные излучения и наводки — электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания.

Правила разграничения доступа — совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа.

Программная закладка — скрытно внесенный в программное обеспечение функциональный объект, который при определенных условиях способен обеспечить несанкционированное программное воздействие. Программная закладка может быть реализована в виде вредоносной программы или программного кода.

Программное (программно-математическое) воздействие — несанкционированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ.

Ресурс информационной системы — именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы.

Средства вычислительной техники — совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем.

Субъект доступа (субъект) — лицо или процесс, действия которого регламентируются правилами разграничения доступа.

Технические средства информационной системы персональных данных — средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки персональных данных (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видеои буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т. п.), средства защиты информации.

Технический канал утечки информации — совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация.

Угрозы безопасности персональных данных — совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.

Уничтожение персональных данных — действия, в результате которых невозможно восстановить содержание персональных данных в информационной системе персональных данных или в результате которых уничтожаются материальные носители персональных данных.

Утечка (защищаемой) информации по техническим каналам — неконтролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации.

Уполномоченное оператором лицо — лицо, которому на основании договора оператор поручает обработку персональных данных.

Целостность информации — состояние информации, при котором отсутствует любое ее изменение либо изменение осуществляется только преднамеренно субъектами, имеющими на него право.

1. Анализ систем защиты персональных данных

1.1 Правовое регулирование защиты персональных данных

При рассмотрении персональных данных как объекта информационных отношений можно утверждать, что не все персональные данные являются конфиденциальными. Многочисленные энциклопедии персоналий, профессиональные персональные справочники, адресные книги — это персональные данные, которые обнародуются по согласию субъекта, так же персональные данные могут охраняться различными режимами ограниченного доступа. Например, в режиме государственной тайны охраняются персональные данные ряда лиц, имеющих доступ к государственным секретам. В режиме коммерческой тайны могут охраняться персональные данные авторов ноу-хау, используемых в производстве. В режиме профессиональной тайны охраняется информация персонального характера, характеризующая пользователей предоставляемых услуг (врачебная тайна, нотариальная, адвокатская, банковская, тайна усыновления). В режиме личной тайны — сведения об особенностях личности, ее пристрастиях, привычках, интересах. В режиме семейной тайны — сведения о взаимоотношениях членов семьи, в том числе родственных.

Таким образом, персональные данные — это вид сведений, непосредственно связанных с личностью, а не режим конфиденциальности этих сведений. Законодательное регулирование сбора и использования персональных данных обусловлено защитой неприкосновенности частной жизни как базового конституционного принципа, однако особый механизм правового регулирования сбора, использования, распространения персональных данных возник, как указывалось выше, в связи с повсеместным созданием в органах власти и организациях автоматизированных баз персональных данных.

Законодательства многих стран, прежде всего, конституции, содержат принципы защиты неприкосновенности частной жизни, защиты личной тайны, «privecy», запрет на сбор информации о человеке без его согласия.

Первоначально к проблеме защиты персональных данных на международном уровне обратилась Организация по экономическому сотрудничеству и развитию (ОЭСР), принявшая в 1980 г. основные положения о защите неприкосновенности частной жизни и международных обменов персональными данными, в которых были зафиксированы основные принципы работы с персональными данными. Эти принципы получили развитие и конкретизацию в Конвенции Совета Европы «О защите физических лиц при автоматизированной обработке персональных данных» [6], которая стала объединяющим началом для соответствующего национального законодательства. Затем система защиты персональных данных развивалась в Директиве Европейского Союза и Парламента 95/46/ЕС от 24 октября 1995 г. и Директиве 97/66/ЕС от 15.12.97.

В 2001 г. Советом Европы был принят Дополнительный протокол к Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных [22], определяющий статус наблюдательного органа, обеспечивающего защиту прав и фундаментальных свобод человека в отношении его персональных данных.

В развитых индустриальных странах за последние двадцать лет было разработано законодательство по вопросам защиты персональных данных — приняты национальные нормативные специализированные акты, причем некоторые из них доработаны и изменены в связи с развитием телекоммуникаций. Рассмотрим наиболее разработанные.

1.1.1 Практика правового регулирования защиты персональных данных в зарубежных странах

В Европе лидером в сфере правового регулирования персональных данных является Германия. Первый в Германии закон о защите персональных данных был принят в земле Гессен в 1970 году. До этого подобных законов нигде в мире не было. За ним последовало принятие в 1977 году Федерального закона о защите персональных данных, который в 1990 году был пересмотрен. Главная цель этого закона — «защищать индивидуума от посягательств на неприкосновенность его частной жизни (PersЪnlichkeitsrecht) путем манипулирования его персональными данными». Действие закона распространяется на сбор, обработку и использование персональных данных, собираемых государственными федеральными органами (в отсутствие механизмов государственного регулирования) и негосударственными учреждениями, если они обрабатывают и используют персональные данные в коммерческих или профессиональных целях. В 2006 году Берлинский комиссар по защите персональных данных достиг соглашения с Citibank об использовании RailwayCards в том же качестве, в котором используются кредитные карты Visa.

Сравнительно недавно был принят ряд законов, касающихся неприкосновенности коммуникационных обменов. Принятое в 1996 году Постановление о защите персональных данных, передаваемых по телекоммуникационным каналам [29], охраняет неприкосновенность соответствующей информации. Закон об информационных и коммуникационных (мультимедиа) услугах устанавливает механизмы защиты информации, передаваемой по компьютерным сетям. Этим же законом определяются требования, предъявляемые к цифровым подписям.

Соединенное Королевство не имеет собственного текста конституции. В 1998 году британский парламент утвердил Акт о правах человека, который вступил в силу в октябре 2000 года.

В июле 1998 года парламент принял Закон о защите информации [29], приводящий аналогичный закон 1984 года в соответствие с требованиями Директивы о защите информации, принятой Европейским Союзом. Положения о защите персональных данных содержатся и в ряде других законодательных актов.

Как и Германия, Соединенное Королевство является членом Совета Европы, подписавшим и ратифицировавшим Кроме того, Великобритания входит в Организацию по экономическому сотрудничеству и развитию; она приняла Директиву ОЭСР о защите неприкосновенности частной жизни и международных обменов персональными данными.

Развитие законодательства о неприкосновенности частной жизни в США было в основном сосредоточено на информации, которую хранили государственные органы, а также некоторой информации, используемой частными компаниями. Суд также признал право на анонимность и право политических организаций не раскрывать имена своих членов государственным органам.

Рассматривая проблему защиты персональных данных в США, интерес вызывает Code of Fair Information Practice [25], выпущенный в 1973 году Государственным Департаментом Здоровья и Образования США, принципы которого были распространены на все системы обработки персональных данных:

не должно существовать секретных баз с персональными данными;

должны быть определены механизмы, которые позволили бы отдельным гражданам проверить, какая информация личного характера находится в соответствующих базах данных и как она используется;

должны быть определены методы, позволяющие отдельным гражданам предотвратить использование информации, собранной в базах персональных данных для одних целей в других целях без их согласия;

должны быть разработаны процедуры, позволяющие индивидуумам скорректировать или отменить информацию о себе в базах с персональными данными;

организации, создающие, хранящие или передающие третьей стороне идентифицируемые персональные данные, должны обеспечить и быть уверенными в том, что эти данные используются только для определенных целей и должны принять меры предосторожности для предотвращения злоумышленного их использования.

Впоследствии данные принципы легли в основу Акта о защите личной жизни США 1974 года [25], который предусматривает обязанность каждого учреждения, занимающегося ведением системы данных, по любому запросу любого физического лица предоставлять ему доступ к данным о нем, содержащимся в системе, разрешать ему, и по его просьбе, выбранному им самим сопровождающему лиц изучать данные и получать копии всех данных или любой их части в доступной его пониманию форме, а также разрешать физическому лицу обращаться с просьбами об изменении данных о нем. Более того, согласно принятому в США Electronic Communications Privacy Act за незаконный перехват или доступ к электронной почте предусмотрена уголовная ответственность в виде тюремного заключения до одного года или штрафа до 10 000 долларов.

США не имеют закона, обеспечивающего всестороннюю защиту неприкосновенности частной жизни. Закон о неприкосновенности частной жизни, принятый в 1974 году, охраняет учетные записи американских государственных ведомств и обязывает эти ведомства придерживаться практики обменов правдивой и объективной информацией. В США нет ведомства, осуществляющего надзор за неприкосновенностью частной жизни.

В Японии Закон «О защите хранящихся в административных органах и обрабатываемых компьютером персональных данных» регулирует использование персональной информации в компьютеризированных архивах государственных структур. Сфера действия закона охватывает все данные, находящиеся в распоряжении в общественном секторе. Кроме того, некоторые местные администрации имеют аналогичные законы. Например, в префектуре Канагава есть закон о защите приватности как в государственном, так и в частном секторах. Федеральный закон основан на Руководящих принципах Организации по экономическому сотрудничеству и развитию и предписывает обеспечение безопасности, доступа и исправления данных. В Японии сравнительно недавно был принят Закон «О защите персональных данных» [27], который призван регулировать использование персональной информации, как в государственном, так и в частном секторе. Закон предписывает, чтобы как частные, так и государственные структуры соблюдали пять принципов:

ясно указывать цель сбора данных и не выходить за рамки этой цели;

собирать персональную информацию законными средствами;

обеспечивать точность и свежесть информации;

защищать безопасность персональных данных;

обеспечивать прозрачность сбора и использования информации.

Кроме того, закон однозначно предписывает частным коммерческим структурам сообщать о сборе персональных данных лицам, о которых эти данные собираются, а также о целях такого сбора. Он также запрещает компаниям передавать персональную информацию третьим лицам.

Прослушивание коммуникаций традиционно считается нарушением конституционного права на неприкосновенность частной жизни. В августе 1999 года парламент принял вызвавший много споров Закон о перехвате коммуникаций, который разрешает прослушивание телефонов и перехват факсовых сообщений и электронной почты при проведении расследований по делам о наркотиках, о нарушении законов об огнестрельном оружии, об убийствах, совершенных преступными группировками, а также о ввозе в страну нелегальных иммигрантов в крупных размерах. По новому Закону, который вступил в силу в августе 2000 года, прослушивание могут осуществлять только следователи прокуратуры и старшие офицеры полиции, и для этого требуется ордер судьи районного суда. Ордер выдается сроком на 10 дней и может быть продлен на общий срок не более 30 дней. Япония принимала участие в качестве наблюдателя в переговорах по Конвенции Совета Европы о киберпреступности и подписала Конвенцию в 2001 году.

Во Франции, Швеции, Венгрии, действуют законы, обеспечивающие защиту основных прав и свобод гражданина, в частности его чести и достоинства и права на неприкосновенность частной жизни при обработке персональных данных.

Лицензия содержит обязательство, что обработка данных будет соответствовать требованиям закона. Немедленно по получении уведомления Комиссии о выдачи лицензии держатель массива может начать обработку данных, не освобождаясь при этом от ответственности.

Во Франции предусмотрены штрафы за разглашение персональных данных. Так, например, при использовании данных Национального реестра идентификации физических лиц без лицензии грозит наказание пятью годами тюремного заключения и штрафом в размере 2 000 000 франков.

В Швеции действует Комиссия по проверке данных, которая выдает лицензию на создание и ведение файлов персональных данных. Комиссия осуществляет надзорные функции для того, чтобы автоматическая обработка персональных данных не влекла за собой вмешательство в частную жизнь человека. Разрешения не требуется в тех случаях, когда персональные данные предназначены для целей автоматической обработки в государствах, которые присоединились к Конвенции Совета Европы о защите частных лиц в связи с автоматической обработкой персональных данных.

В Швеции, как и во Франции, предусмотрены наказания и штрафы за разглашение персональных данных. Так, например, наказание в виде штрафа или тюремного заключения на срок до одного года назначается за следующие правонарушения, совершенные умышленно или по халатности:

создание или ведение файлов персональных данных без лицензии или разрешения, если оно требуется в соответствии с законодательством Швеции;

несоблюдение какого-либо правила или запрета, установленного в соответствии законодательством Швеции;

раскрытие персональных при использовании для целей автоматической обработки данных;

если персональные данные изымаются из файла в то время, когда они нужны для целей файла;

предоставление ложной информации по запросу того или иного субъекта персональных данных;

предоставление ложной информации об автоматической обработке данных, запрашиваемой Комиссией в рамках ее надзорных;

несоблюдение регламента принятия детальных положений, касающихся файлов персональных данных, часто используемых в той или иной области с какой-либо конкретной целью.

Лицо, которое без разрешения получает доступ к данным, подвергающимся автоматической обработке, изменяет, изымает или включает такие данные в тот или иной файл, подлежит наказанию в виде штрафа или тюремного заключения на срок до двух лет за несанкционированный доступ к данным.

В Венгрии в целях обеспечения конституционного права на защиту персональных данных и доступа к данным, представляющим общественный интерес, парламент избирает Комиссара по защите персональных данных. Кандидатами являются граждане Венгрии, имеющие университетское образование, не привлекавшиеся к уголовной ответственности, обладающие глубокими знаниями, теоретической подготовкой или не менее чем 10-летним опытом профессиональной практики, солидным опытом ведения судебных дел по вопросам защиты, надзора или теоретических исследований.

Как и в Швеции, в Венгрии предоставлением информации о целях, юридических основаниях и периоде использования персональных данных по требованию заинтересованного лица занимается распорядитель данных. Он обязан предоставить указанную информацию в как можно более сжатые сроки, но не позднее 30 дней с момента получения соответствующей заявки.

Подводя итог анализа защиты персональных данных за рубежом, можно сделать вывод о том, что в настоящее время в мире существуют две традиции защиты персональных данных: так называемые американская и европейская модели.

Национального «всеобъемлющего» закона о защите персональных данных в Соединенных Штатах нет. Европейская модель предусматривает наличие национального законодательства о защите частной жизни и/или персональных данных («общего» закона о приватности) и специального государственного надзорного органа.

Рост числа сборщиков персональных данных является ответом на требования современного общества, где потребность в этих данных со стороны самых разных субъектов растет изо дня в день. Причем это обстоятельство актуально сегодня для многих стран, не только для России. В частности, в США не так давно поднимался вопрос о возможностях для ФБР перехватывать и отслеживать электронную почту частных лиц, а в Великобритании — о фиксировании компаниями, ведущими бизнес с использованием Интернет, деятельности их клиентов с тем, чтобы при необходимости эти данные могли быть предоставлены госорганам.

Самые громкие «информационные» дела, история которых началась в середине 1990;х, связаны с базами данных телефонных систем. Начало им положило появление на рынке первых компакт-дисков с телефонными базами МГТС и списков абонентов сети «Билайн» в 95−96 годах.

Абонентская сеть МТС, абонентами которой являются более 5 миллионов человек, в 2002;2003 гг. пережила два «черных» издания. При этом появление информации о продаже данных в течение нескольких недель сопровождалось дублированием через Интернет. База данных, содержащая ФИО, дату рождения, паспортные данные, место жительства ИНН, юридический адрес, контактный телефон, прошедшие платежи абонентов, стоила 450 рублей. Начав собственное расследование, МТС опровергли сообщения о том, что утечка данных произошла в силовых структурах, которым предоставлялись данные об абонентах. О результатах расследования не сообщалось.

Тогда же, в 2003 г. произошла самая масштабная, по оценкам экспертов, утечка конфиденциальной информации об абонентах всех крупнейших телефонных компаний Санкт-Петербурга. За 1650 рублей можно было приобрести личные данные миллионов петербуржцев — адреса, номера паспортов, сотовых и домашних телефонов. От утечки информации пострадали Северо-Западный филиал ОАО «МегаФон», «Телеком XXI», «Дельта Телеком», FORA Communications, «Северо-Западный Телеком», «Петерстар». Компании заявили, что информация была украдена централизовано через правоохранительную структуру.

Год спустя в Интернет была обнаружена информация об абонентах «Билайна», «МегаФона» и МТС в Москве и Санкт-Петербурге. Организаторы этого Интернет-«проекта», в том числе сотрудники «Вымпелкома», были задержаны, о приговоре не сообщалось.

Попадают на рынок и базы данных государственных органов, в отношении которых можно было бы ожидать повышенных мер защиты. Так, в 2002 г. в продаже появились диски с данными переписи населения. Госкомстат опроверг сведения об утечке информации, и расследования проведено не было. Однако косвенным подтверждением факта утечки, судя по сообщениям в СМИ, были рассылки персональных предвыборных сообщений, которые приходили гражданам на те адреса, по которым они случайно находились в момент переписи.

В 2004 г. появилось сообщение о продаже части базы данных Пенсионного фонда РФ, содержащей информацию о месте жительстве и доходах 3 миллионов жителей Москвы. Результаты проведенного внутреннего расследования не были сообщены.

В 2005 г. на «черный» рынок вышла база данных о банковских операциях Банка России, в том числе продаже с аукциона «Юганскнефтегаза». Представители Банка по результатам расследования заявили о перекрытии канала утечки информации, однако источник утечки назван не был.

Последний громкий скандал в информационной сфере связан с появлением в продаже базы данных «НИКойла», содержащей реестры акционеров нескольких сотен российский компаний, а том числе паспортные данные акционеров и число принадлежащих им акций. Крупнейшими клиентами регистратора «НИКойл» являются ОАО НК ЛУКОЙЛ, ОСО «Новороссийский морской торговый порт», ОАО «Мобильные телесистемы», ЗАО «Скайлинк», ОАО «Домостроительный комбинат № 1».

Кроме того, проблема защиты персональных данных связана со степенью развитости институтов гражданского общества. К сожалению, в России низкий уровень развития подобных институтов, низкая правовая культура граждан, даже в определенной степени правовой нигилизм, а также недостаточный уровень активности граждан и большая степень закрытости власти. Именно поэтому вопросы защиты персональных данных, как впрочем, и многие другие, обсуждаются и прорабатываются сравнительно небольшой группой специалистов и правозащитных организаций, при этом сами граждане либо не считают эти вопросы значимыми, либо, чаще всего, просто не знают о наличии своих прав, их нарушениях и о том, как можно их защитить. При этом ущерб при неправомерном доступе и распространении информации о персональных данных наносится, в первую очередь, интересам самих граждан. Таким образом, наряду с правовыми и организационно-техническими мероприятиями, необходимо повышать степень открытости власти и уровень информированности граждан о своих правах, законных интересах и о методах их защиты.

1.1.2 Обзор нормативно-правовых актов регламентирующих защиту ПД

На сегодняшний день в России существует ряд нормативных актов регламентирующих вопросы защиты персональных данных не только в области личных и семейных взаимоотношений, но и в сфере отношений, касающихся персональных данных работника [9, 12, 13,]. В отличие от США и Евросоюза, в России долгое время не было законодательных актов, которые бы защищали приватные сведения граждан и накладывали бы хоть какую-нибудь ответственность на организации и физических лиц за то, что те скомпрометировали чужую информацию. Однако 27 июля 2006 года Президент РФ подписал Федеральных закон «О персональных данных» [13], который фактически меняет правовой ландшафт в области защиты персональных сведений и значительно приближает Россию к странам запада.

В Федеральном законе под персональными данными понимается «любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных)». В качестве примера таких данных закон приводит ФИО, дату и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессию, доходы и другую информацию. Одним из наиболее важных понятий в законе является понятие «оператор персональных данных» [13], под которым понимается государственный орган, муниципальный орган, юридическое или физическое лицо, организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели и содержание обработки персональных данных. Понятие оператора приватных сведений включает любую реально существующую российскую организацию, так как в каждой структуре есть служащие и/или клиенты, чья личная информация находится на попечении организации. Немаловажным является и понятие «обработка персональных данных» — это практически любые действия (операции) с приватными записями. Прежде всего, следует обратить внимание на ст. 5 ч.2.: «хранение [приватных сведений] должно осуществляться не дольше, чем этого требуют цели их обработки», а «по достижении целей обработки или утраты необходимости в их достижении» персональная информация «подлежит уничтожению». Срок, в течение которого уже ставшие ненужными персональные данные должны быть уничтожены, устанавливается ст. 21 ч.4 длиной в три рабочих дня.

Закон устанавливает требование: операторами и третьими лицами, получающими доступ к персональным данным, должна обеспечиваться конфиденциальность таких данных. Исключений из этого требования всего два: если сведения являются обезличенными или общедоступными, то защищать их не обязательно. Правда, особое внимание представители бизнеса должны уделить требованиям — «Меры по обеспечению безопасности персональных данных при их обработке». Согласно ст. 19 ч.1, оператор «обязан принимать необходимые организационные и технические меры, в том числе использовать шифровальные (криптографические) средства, для защиты персональных данных» целого ряда угроз. Среди них закон выделяет «неправомерный или случайный доступ, уничтожение, изменение, блокирование, копирование, распространение, а также иные неправомерные действия». Более того, согласно ст. 19 ч.2, Правительство РФ должно установить требования «к обеспечению безопасности [персональных данных] при их обработке в информационных системах персональных данных, требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных». Контроль над выполнением этих требований, согласно ст. 19 ч.3, возложен на «федеральный орган исполнительный власти, уполномоченной в области противодействия техническим разведкам и технической защите информации».

Наконец, ст. 19 ч.4 разрешает «использовать и хранить биометрические персональные данные вне информационных систем персональных данных … только на таких материальных носителях информации и с применением такой технологии хранения, которые обеспечивают защиту этих данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения».

Трудности у организаций, осуществляющих обработку персональных данных своих клиентов, могут вызвать требования ч.3 ст. 22, согласно которым компания должна направить в уполномоченный орган уведомление об этом факте. Напомним, что закон вступил в силу с февраля 2007 года, но уведомление организация должна направить до 1 января 2008 года. В этом уведомлении помимо всего прочего следует указать меры, принимаемые для обеспечения безопасности приватных данных. Ряд исключений предусмотрен ч.2 ст. 22 (например, если компания имеет только приватные данные своих сотрудников, то уведомление направлять не следует).

Ответственность за нарушение правил работы с персональными данными. Статья 90 ТК РФ предусматривает ответственность за нарушение норм, регулирующих получение, обработку и защиту персональных данных работника. Нарушитель может нести дисциплинарную, административную, гражданско-правовую и уголовную ответственность.

Уголовная ответственность. Статья 137 УК РФ предусматривает наказание за незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную и семейную тайну. Уголовная ответственность грозит в том случае, если эти действия совершены намеренно, из корыстной или иной личной заинтересованности и повлекли за собой нарушение законных прав и свобод граждан. Причем наказание ужесточается, если виновный использовал свое служебное положение.

Личную или семейную тайну составляют сведения, не подлежащие, по мнению лица, которого они касаются, оглашению. Личную и семейную тайну не могут составлять сведения, которые были ранее опубликованы либо оглашены иным способом.

Нарушение неприкосновенности частной жизни может выражаться в:

незаконном собирании сведений о частной жизни;

незаконном их распространении;

незаконном их распространении в публичном выступлении, публично демонстрирующемся произведении или средствах массовой информации.

Закон не связывает ответственность за незаконное распространение сведений о частной жизни лица с конкретным способом распространения. Под распространением имеется в виду любая незаконная передача указанных сведений третьим лицам. Незаконным распространением является разглашение личной или семейной тайны лицом, обязанным ее хранить в силу своей профессии.

Обязательным элементом объективной стороны преступления является причинение вреда правам и законным интересам граждан. Характер вреда закон не ограничивает. Он может быть:

материальным (имущественным), например, потеря хорошо оплачиваемой работы, срыв выгодной сделки, иные убытки в предпринимательской деятельности;

физическим (телесным), например, заболевание от пережитого;

моральным, например, распад семьи, подрыв репутации.

Нарушение неприкосновенности частной жизни считается оконченным преступлением только с момента причинения соответствующего вреда (материальный состав).

Субъективная сторона данного преступления характеризуется прямым умыслом. Обязательным элементом субъективной стороны является мотив: корыстная или иная личная заинтересованность. Корыстная заинтересованность выражается в стремлении приобрести материальную (имущественную) выгоду за счет потерпевшего или в виде вознаграждения от третьей стороны. Иная личная заинтересованность может заключаться в стремлении дискредитировать конкурента, сделать карьеру, отомстить за что-либо, продемонстрировать свое превосходство либо привлечь внимание к себе.

Ответственность по ч. 1 ст. 137 УК несет любое физическое вменяемое лицо, достигшее 16 лет (общий субъект), а по ч. 2 ст. 137 УК — должностное лицо либо служащий государственного или муниципального учреждения, использующий для совершения преступления свое служебное положение (специальный субъект).

Административная ответственность. Нарушение правил работы с персональными данными может повлечь административную ответственность работодателя или его представителей. Кодекс РФ об административных правонарушениях содержит на этот счет две статьи.

Статья 13.11 предусматривает ответственность в виде предупреждения или наложения штрафа на работодателя в размере от 5 до 10 МРОТ за нарушение установленного порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных). Этот порядок установлен главой 14 Трудового кодекса РФ и локальными нормативными актами предприятия.

Защита персональных данных предусмотрена также статьей 13.14 КоАП РФ. Если лицо, получившее доступ к информации персонального характера в связи с исполнением служебных или профессиональных обязанностей, разгласило сведения, составляющие персональные данные, то административный штраф для него будет составлять от 40 до 50 МРОТ.

Объектом правонарушения, предусмотренного данной статьей, является порядок получения информации с ограниченным доступом.

К административной ответственности работодателя или его представителей может привлечь Рострудинспекция или суд.

Дисциплинарная ответственность. В отношении сотрудника отдела кадров работодатель вправе применить одно из дисциплинарных взысканий, предусмотренных статьей 192 Трудового кодекса РФ: замечание, выговор, увольнение. Более того, кодекс предусматривает специальное основание для расторжения трудового договора по инициативе работодателя, в случае разглашения охраняемой законом тайны, ставшей известной работнику в связи с исполнением им трудовых обязанностей (п.п. «в» п. 6 ст.81).

Разглашение может быть совершено среди коллег, знакомых, родственников и других лиц, не имеющих законного доступа к ним. Кроме разглашения основными видами нарушений правил работы с персональными данными являются незаконное получение или использование сведений, составляющих персональные данные, и утрата материальных носителей, содержащих данную информацию.

Факт нарушения правил работы с персональными данными может быть установлен представителем работодателя (например, начальником отдела кадров), самим работником или специалистом Рострудинспекции.

Работники и их представители имеют право осуществлять контроль над выполнением требований по защите конфиденциальности этой категории информации, запрещать или приостанавливать обработку персональных данных в случае их невыполнения. Любые неправомерные действия (бездействие) работодателя при обработке и защите персональных данных работник вправе обжаловать в судебном порядке.

Рассмотренный незаконный оборот персональных данных в современной России, а также законодательство в области защиты персональных данных, позволяет сделать вывод о том, что в сравнении с зарубежными странами Россия немного отстает по вопросам защиты приватных сведений. Это связано не только отсутствовавшим долгое время законом о защите персональных данных, но и с отсутствием эффективного надзорного органа за соблюдением требований законодательства по вопросам защиты персональных данных.

1.2 Общий принцип построения систем защиты персональных данных

При разработке требований к защите персональных данных необходимо учитывать общие принципы построения систем их защиты, т.к. требования должны составляться с учетом информационной системы, для которой они разрабатываются.

1. Подсистема защиты данных (ПЗ).

ПЗ реализует следующие функции.

1.1. Санкционирование доступа.

на этапе старта рабочей станции производится запрос имени и пароля пользователя. В случае ввода корректного имени и пароля загрузка системы продолжится. Если же имя или пароль будут введены некорректно, процесс загрузки рабочей станции прекратится;

при наличии аппаратного модуля выполненного в виде ISA платы расширения, встроенной внутрь рабочей станции, процесс аутентификации пользователя произойдет до этапа загрузки операционной системы. Более того, загрузка с любого типа носителя будет невозможной до успешной аутентификации пользователя.

При построении систем защиты персональных данных принято, что такие системы должны обеспечивать функционирование следующих подсистем как показано на рисунке 1.1.

Рисунок 1.1 — Подсистемы систем защиты персональных данных В случае использования системы без платы расширения, процесс аутентификации произойдет сразу после начала загрузки операционной системы. При этом полностью исключить возможность загрузки операционной системы с типов носителей, отличных от жесткого диска, невозможно.

при наличии устройства считывания Smart Card, пользователь будет идентифицироваться путем предъявления личной карты;

при использовании подключаемого к параллельному порту аппаратного ключа, его уникальный код будет использован при идентификации пользователя. Без этого ключа загрузка системы будет невозможна;

допустимо также санкционирование доступа по времени: для каждого дня недели Администратор может задать интервалы времени, в течение которого доступ в систему будет разрешен. Вне указанных интервалов доступ в систему будет запрещен.

1.2. Разграничение доступа.

к локальным файлам. Файлам на локальной машине присваивается набор атрибутов, определяющий режимы доступа пользователей к этим файлам;

к сетевым ресурсам. Для каждого пользователя определяется перечень сетевых ресурсов и атрибуты доступа к ним. При этом атрибуты доступа не должны превышать полномочий доступа к ресурсам, указанных на файловом сервере. Разграничение доступа производится для любого типа сетевых ресурсов, размещенных на серверах произвольного типа;

к принтерам. Каждому пользователю можно разграничить доступ к сетевым и локальным принтерам;

к ресурсам Internet. Для каждого пользователя можно вести список узлов и страниц Internet, доступ к которым запрещен. При задании таких узлов можно использовать символы шаблона, например, *kiev.ua;

к системным настройкам. Допускается запрещать пользователю изменение конфигурации операционной системы и оборудования, в частности: настроек сети, аппаратного обеспечения, рабочего стола, установленных приложений.

1.3 Контроль целостности объектов.

Наряду с атрибутами доступа, с объектами связан уровень контроля целостности этих объектов:

контроль выключен: целостность объекта не контролируется;

контроль по требованию: целостность объекта контролируется только при выполнении операции контроля пользователем или Администратором;

контроль автоматический: целостность объекта, контролируется при каждом старте системы.

Более того, допускается указание любой совокупности реакций системы безопасности при обнаружении нарушения целостности объекта:

занесение события в журнал;

предупреждение пользователя;

немедленное предупреждение администратора;

блокировка работы;

2. Электронный документооборот.

Для реализаций механизма защищенного электронного документооборота реализованы следующие возможности:

ведение защищенной базы данных пользователей, рабочих станций, групп пользователей и компьютеров, категорий пользователей.

для каждого пользователя и категории пользователе хранится пара ключей: секретный и открытый; секретный ключ защищается ключевой фразой пользователя;

при посылке файла требуется открытые ключи пользователей получателей документа.

для подписи документа используется электронная цифровая подпись. Для подписи документа пользователь вводит свою ключевую фразу и расшифровывает этим свой секретный ключ.

пользовательский интерфейс оформлен как расширение Windows Explorer, позволяющий выполнять шифрование и расшифрование файлов из контекстного меню, а проверку ЭЦП в виде дополнительные листа свойств для зашифрованных файлов.

проверка подписи осуществляется непосредственно из дополнительного листа свойств и при расшифровке документа.

3. Статическое шифрование данных.

Подсистема реализует следующие функции:

шифрование и расшифрование файлов пользователей с помощью алгоритма ГОСТ 28 147–89 имеющего ключ размером 256 бит. Одноразовый ключ алгоритма генерируется с помощью датчика псевдослучайных чисел для каждого шифруемого файла отдельно;

таблица замен алгоритма едина для всей организации и хранится в подсистеме централизованного хранения и репликации данных (ПЦ);

реализацию криптографически стойкого алгоритма разделения доступа к файлу различных пользователей с помощью алгоритма RSA;

для каждого пользователя системы генерируется пара ключей алгоритма RSA размером в 1024 бита, которые в дальнейшем будут называться открытым и секретным ключом пользователя;

открытый ключ пользователя хранится в подсистеме ПЦ;

Секретный ключ пользователя в зависимости от конфигурации системы может храниться:

в подсистеме централизованного хранения данных;

в смарт карте, iButton или другом физическом идентификаторе пользователя, позволяющем хранение ключевой информации;

файл пользователя шифруется алгоритмом ГОСТ с помощью одноразового ключа;

для каждого пользователя, которому должен быть доступен файл, одноразовый ключ шифруется с помощью алгоритма RSA с помощью открытого ключа пользователя-получателя;

для каждой категории пользователей, которой должен быть доступен файл, одноразовый ключ шифруется с помощью алгоритма RSA с помощью открытого ключа категории;