ЖКХ, ТСЖ и прочие компании обязаны защищать собранные сведения от модификации и разглашения. За соблюдением нормативных требований следит "Роскомнадзор" - Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций, ведущая реестр операторов персональных данных. Подзаконные акты ФСТЭК и ФСБ требуют от операторов построения современной системы защиты с использованием антивирусных решений, межсетевых экранов, систем предотвращения вторжений, управления идентификацией пользователей и контроля доступа, шифрования, защиты от утечек, системы управления событиями безопасности и других защитных механизмов, перечисленных в руководящем документе ФСТЭК "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных" от 18 февраля 2013 г. N 21. На предприятиях ЖКХ используются информационные системы для работы с населением, предприятиями, различными учреждениями и службами. Так же ведется бухгалтерский, управленческий, налоговый учет, как и на других предприятиях, они практически не отличаются от аналогичных задач на других типах предприятий.

Анализируя построение баз данных, используемых для хранения и обработки информации в системах ЖКХ, выделяются два момента: основа построения и территориальное расположение. Наиболее старая и наиболее широко используемая основа для базы данных - это dbf-файлы. Но для сегодняшних комплексных автоматизированных систем они не подходят по двум основным причинам: ограниченное количество записей в одной таблице и недостаточная надежность.

Современные базы данных построены на основе клиент - серверных технологий. Существуют различные системы управления базами данных, обладающими своими достоинствами и недостатками. Каждая из них используется хотя бы в одной системе, предназначенной для автоматизации ЖКХ. Наиболее распространенной является MS SQL 2000. Так как она предназначена для популярной операционной системы персональных компьютеров - Windows. Далее по популярности идет Interbase. Имеются также реализации базы данных ЖКХ под управлением Oracle, одной из наиболее развитых, но дорогих и громоздких систем управления базами данных.

Следует отметить также тенденцию поставщиков систем управления базами данных, направленную на распространение их программных продуктов - предложение бесплатных версий с определенными ограничениями, в которые вписываются не крупные и не богатые пользователи, к которым относятся ЖЭКи и пункты приема платежей. Примером таких систем являются MSDE 2000, MSDE 2005 корпорации Microsoft.

Наиболее простая топология базы данных - это расположение всей информации на одном сервере. Клиенты подключаются по удаленным линиям и решают свои текущие задачи.

Другой вариант реализации - распределенная база данных по всем или по части участников ЖКХ. Недостаток - необходимость синхронизации данных.

Синхронизация данных ведется различными способами. Наиболее распространенный - экспорт / импорт. Данные на носителе или по электронной почте перемещаются между участниками ЖКХ. В этом существенное влияние на работоспособность системы имеет человеческий фактор - все надо делать вовремя и очень аккуратно.

Второй уровень синхронизации - обмен данных между модулями системы путем связи с удаленными серверами. Этот обмен вызывается либо по команде пользователя, либо по заданному расписанию. Он состоит в том, что некоторая процедура на одном из связанных серверов "считывает к себе" или "записывает к нему" необходимые для синхронизации данные.

И, наконец, наиболее высокий уровень - синхронизация базы данных путем репликаций. Эти средства позволяют менять данные как на одной стороне линии связи, так и на другой. По заданному расписанию или по команде пользователя сервера соединяются и выполняют синхронизацию баз данных.

Защиту персональных данных можно обеспечить только в той информационной системе, где злоумышленник не может вмешаться в работу ее базовых элементов - сетевых устройств, операционных систем, приложений и СУБД.

Основные угрозы безопасности персональных данных, а именно уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе. Утечка информации может быть из-за вирусов, вредоносных программ, сетевых атак. Для защиты используют антивирусы, межсетевые экраны, системы предотвращения вторжений (Intrusion Prevention System, IPS) (Они служат для выявления в проходящем трафике признаков нападения и для блокировки обнаруженной наиболее популярной атаки. В отличие от шлюзовых антивирусов, IPS анализируют не только содержимое IP-пакетов, но и используемые протоколы и корректность их использования.), сканеры уязвимостей (Они проверяют информационную систему на наличие различных "брешей" в операционных системах и программном обеспечении. Как правило, это отдельные программы или устройства, тестирующие систему путем посылки специальных запросов, имитирующих атаку на протокол или приложение.). Набор средств для защиты конфиденциальных данных от утечек состоит из трех продуктов: системы контроля над периферийными устройствами, системы защиты от утечек (Data Leak Prevention, DLP) и средства шифрования для полной безопасности имеет смысл сочетать все три типа продуктов. С помощью этих средств ЖКХ и другие управляющие компании могут удовлетворить требования ФСТЭК по защите персональных данных.

Контроль над устройствами. Нередко утечка данных происходит через съемные носители информации и несанкционированные каналы связи: флэш-память, USB-диски, Bluetooth или Wi-Fi, поэтому контроль за использованием USB-портов и другого периферийного оборудования также является одним из способов контроля утечек.

DLP. Системы защиты от утечек позволяют с помощью специальных алгоритмов выделить из потока данных конфиденциальные и заблокировать их несанкционированную передачу. В DLP-системах предусмотрены механизмы контроля разнообразных каналов передачи информации: электронной почты, мгновенных сообщений, Web-почты, печати на принтере, сохранения на съемном диске и др. Причем модули DLP блокируют утечку только конфиденциальных данных, поскольку имеют встроенные механизмы для определения того, насколько та или иная информация является секретной.

Шифрование. Защита данных от утечек так или иначе использует механизмы шифрования, а эта отрасль всегда контролировалась ФСБ, и все требования по сертификации систем шифрования публикуются и проверяются этим ведомством. Следует отметить, что шифровать нужно не только сами базы персональных данных, но и их передачу по сети, а также резервные копии баз данных. Шифрование используется и при передаче персональных данных по сети в распределенной системе. С этой целью можно применять предлагаемые различными разработчиками продукты класса VPN, которые, как правило, базируются на шифровании, однако подобные системы должны быть сертифицированы и тесно интегрированы с базами данных, в которых хранятся персональные данные.

Следует отметить, что в подзаконных актах ФСТЭК имеется разделение на небольшие, средние и распределенные базы данных, требования к защите которых сильно различаются. Так, для защиты распределенных баз, как правило, нужны дополнительные инструменты защиты, что и понятно - распределенная база должна иметь каналы связи между своими частями, которые также необходимо защищать

В информационной системе ЖКХ главной проблемой для руководителя является правильная организация доступа сотрудников к различным ресурсам - от корректной настройки прав доступа часто зависит сохранность конфиденциальных данных, поэтому система управления правами доступа должна быть включена в систему защиты крупной информационной системы. Система блокирует попытки изменить права доступа без разрешения оператора безопасности, что обеспечивает защиту от локальных операторов.

Крупная система защиты может генерировать множество сообщений о потенциальных нападениях, которые лишь потенциально способны привести к реализации той или иной угрозы. Часто такие сообщения являются лишь предупреждениями, однако у операторов безопасности большой системы должен быть инструмент, который позволил бы им разобраться в сущности происходящего. Таким инструментом анализа может стать система корреляции событий, позволяющая связать несколько сообщений от устройств защиты в единую цепь событий и комплексно оценить опасность всей цепочки. Это позволяет привлечь внимание операторов безопасности к наиболее опасным событиям.

Системы централизованного управления защитными механизмами позволяют полностью контролировать все события, связанные с безопасностью информационной системы. Продукты этого уровня могут обнаруживать защитные механизмы, установленные на предприятии, управлять ими и получать от них отчеты о происходящих событиях. Эти же продукты могут автоматизировать решение наиболее простых проблем или помогать администраторам быстро разобраться в сложных атаках.

Все три выше перечисленных продукта не являются обязательными для защиты крупных информационных систем, однако они позволяют автоматизировать большинство задач, решаемых операторами безопасности, и минимизировать количество сотрудников, необходимых для защиты большой системы, как информационная система ЖКХ.

1.4 Ответственность за нарушение требований по защите персональных данных

Лица, виновные в нарушении требований Закона о персональных данных, несут предусмотренную законодательством Российской Федерации ответственность (например, гражданскую, уголовную, административную, дисциплинарную). На это указывает пункт 1 статьи 24 Закона о персональных данных.

На настоящий момент административная ответственность для операторов (за исключением лиц, для которых обработка персональных данных является профессиональной деятельностью и подлежит лицензированию) предусмотрена:

· за неправомерный отказ в предоставлении гражданину и (или) организации информации, предоставление которой предусмотрено федеральными законами, несвоевременное ее предоставление либо предоставление заведомо недостоверной информации (статья 5.39 КоАП РФ). Исключением из данной нормы являются случаи, предусмотренные статьей 7.23.1 КоАП РФ;

· за нарушение требований законодательства о раскрытии информации организациями, осуществляющими деятельность в сфере управления многоквартирными домами (статья 7.23.1 КоАП РФ);

· за нарушение установленного законом порядка сбора, хранения, использования или распространения персональных данных (статья 13.11 КоАП РФ);

· за разглашение информации, доступ к которой ограничен федеральным законом (за исключением случаев, когда ее разглашение влечет за собой уголовную ответственность), лицом, получившим к ней доступ в связи с исполнением служебных или профессиональных обязанностей (статья 13.14 КоАП РФ).

Преступлениями, влекущими за собой уголовную ответственность, являются:

· незаконные сбор или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия либо распространение этих сведений в публичном выступлении, публично демонстрирующийся произведении или средствах массовой информации (статья 137 УК РФ);

· неправомерный отказ должностного лица в предоставлении собранных в установленном порядке документов и материалов, непосредственно затрагивающих права и свободы гражданина, либо предоставление гражданину неполной или заведомо ложной информации, если эти деяния причинили вред правам и законным интересам граждан (статья 140 УК РФ);

· неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло уничтожение, блокирование, модификацию либо копирование информации (статья 272 УКРФ)

2. Практические аспекты по созданию средств защиты персональных данных на примере ООО "УК "Жилищная коммунальная инициатива""

2.1 Краткая характеристика предприятия и система контроля управления доступом на ООО "УК "Жилищная коммунальная инициатива""

Общество с ограниченной ответственностью "Жилищная коммунальная инициатива" является управляющей компанией г. Барнаула в управлении, которой находятся семь ТСЖ и одиннадцать домов, где договора заключены с каждым собственником.

Главный офис организации находится по адресу Россия, Алтайский край, г. Барнаул, ул. Лазурная, 15а.

Во главе организации находится директор Гифнедер Владимир Юрьевич. Численность персонала управляющей компании составляет 21 сотрудник.

Для защиты информационных систем в главном офисе установлены контрольно-пропускные пункты, оборудованные системой контроля и управления доступом (СКУД), в которой сосредоточены и циркулируют персональные данные работников предприятия и посетителей. На входе установлены автоматические турникеты. Каждый сотрудник имеет электронный пропуск, а посетителей записывают в журнал посещения.

Система контроля и управления доступом ООО "УК "Жилищная коммунальная инициатива"" построена на основе программно-аппаратного комплекса "Интеллект" российской компании ITV. Эта программа объединяет контрольно-пропускную систему, систему СКУД и видеонаблюдение. Так же она содержит программное обеспечение, ведущее базу данных сотрудников и производящее обработку поступающей информации.

Так же в организации установлен программно-аппаратный комплекс "Диспетчер ЖКХ", главными особенностями которой являются:

· Определение номера. (при поступлении звонка, диспетчеру автоматически выводится вся информация о звонящем.)

· Запись и прослушивание разговоров.

· Ведение журналов заявок в отдельности по каждому участку службы ЖКХ.

· Обработка информации по заявкам.

· Печать маршрутных листов по заявкам на основе выборки из записей журнала заявок.

· Отчетная документация.

· Коммуникация пользователей системы. (передача сообщений всем ТСЖ, подключенных к программе.)

2.2 Анализ обрабатываемой информации в информационных системах персональных данных

В ИСПДн СКУД ООО "УК "Жилищная коммунальная инициатива"" обрабатываются ПДн двух категорий:

1. Персональные данные сотрудников ООО "УК "Жилищная коммунальная инициатива"", такие как:

- Ф.И. О.;

- паспортные данные;

- занимаемая должность;

- сведения о составе семьи;

- домашний или мобильный телефон;

- фотография.

2. Персональные данные жильцов, пользующихся услугами ООО "УК "Жилищная коммунальная инициатива"" и входящих в состав ТСЖ:

- сведения о составе семьи;

- паспортные данные;

- сведения о воинском учете;

- сведения о социальных льготах;

- наличие судимостей;

- адрес места жительства;

- домашний или мобильный телефон;

- сведения о начислениях и поступлениях денежных средств на л. счета собственников и нанимателей за ЖКУ и прочие услуги (номера л. счетов для расчета за ЖКУ, сумма начисления, поступления денежных средств, дата поступления, наименование контрагента, принимающего денежные средства.)

- сведения о нанимателе жилого помещения, ордере, решении жилищной комиссии, решении суда (номер, дата выдачи, кем выдан).

- сведения о собственнике жилого помещения, доли собственности (серия, номер, дата выдачи, кем выдан).

Обработка персональных данных жильцов осуществляется для организации учета начисления, поступления денежных средств за ЖКУ и другие услуги, регистрации и снятия с регистрационного учета граждан на основании договорных отношений.

В ИСПДн ООО "УК "Жилищная коммунальная инициатива"" одновременно обрабатываются персональные данные около 4500 субъектов, персональных данных, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию. ИСПДн представляет собой комплекс автоматизированных рабочих мест, объединенных в единую информационную систему средствами связи без использования технологии удаленного доступа. В ИСПДн используется многопользовательский режим обработки персональных данных с разграничением прав доступа.

ООО "УК "Жилищная коммунальная инициатива"" сотрудничает с системой "Город" и банками партнерами.

В ООО "УК "Жилищная коммунальная инициатива"" разработано положения об обработке и защите персональных данных в соответствии с постановлением правительства РФ от 1 ноября 2012 г. N 1119 " Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных", а также в соответствие с требованиями методических документов Федеральной службы по техническому и экспортному контролю Российской Федерации и Федеральной службы безопасности Российской Федерации.

(ПРИЛОЖЕНИЕ 1)

С каждым субъектом ПДн заключается согласие субъекта персональных данных на обработку своих персональных данных. (ПРИЛОЖЕНИЕ 2)

2.3 Возможные угрозы в ИСПДн и их анализ

Согласно "Методике определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных" (утв. ФСТЭК РФ 14.02.2008) для определения актуальности угрозы необходимо учитывать следующие параметры:

уровень исходной защищенности ИСПДн (Y1) - обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн;

частота (вероятность) реализации угрозы (Y2);

коэффициент реализуемости угрозы (Y);

опасность реализации угрозы.

При составлении перечня актуальных угроз безопасности ПДн каждой степени исходной защищенности ставится в соответствие числовой коэффициент Y 1, а именно: 0 - для высокой степени исходной защищенности; 5 - для средней степени исходной защищенности; 10 - для низкой степени исходной защищенности.

Частота (вероятность) реализации угрозы (Y) - это определяемый экспертным путем показатель, который характеризует, насколько вероятна реализация конкретной угрозы безопасности ПДн для ИСПДн конкретным нарушителем или программой, причем учитываются условия эксплуатации технических средств и систем, организационные и технические мероприятия, ранее установленные в организации.

Вероятность возникновения угрозы Y2 относительно каждого нарушителя определяется экспертным путем и содержит четыре возможных значения Y2: 0 - для маловероятной угрозы; 2 - для низкой вероятности угрозы; 5 - для средней вероятности угрозы; 10 - для высокой вероятности угрозы. Уязвимым моментом при определении частоты (вероятности) реализации угрозы - зависимость от компетенции эксперта, его квалификации.

Согласно "Методике определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных", для оценки возможности реализации угрозы применяются два показателя: уровень исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы. С учетом вероятности возникновения угрозы и степени исходной защищенности коэффициент реализуемости угрозы Y будет определяться соотношением:

Y = (Y1+Y2) /20

По значению коэффициента реализуемости угрозы Y формируется интерпретация реализуемости

угрозы следующим образом:

если 0 меньше или равен Y меньше или равен 0,3, то возможность реализации угрозы признается низкой;

если 0,3 меньше Y меньше или равен 0,6, то возможность реализации угрозы признается средней;

если 0,6 меньше Y меньше или равен 0,8, то возможность реализации угрозы признается высокой;

если Y больше 0,8, то возможность реализации угрозы признается очень высокой.

Канал ПЭМИН (Побочные Электромагнитные Излучения и Наводки), канал утечки информации через излучение элементов компьютера. Принимая и декодируя эти излучения, можно получить сведения обо всей информации, обрабатываемой в компьютере.

Проведем анализ актуальных угроз, то есть тех, которые могут быть реализованы в информационной системе и представляет опасность для защищаемых сведений ООО "УК "Жилищная коммунальная инициатива"". Для этого, составим модель угроз, которые относятся к нашей информационной системе и являются актуальными.

Таблица - 1. Угрозы безопасности ИСПДн в ООО "УК "Жилищная коммунальная инициатива"".

№	Наименование угрозы	Y1	Y2	Y	коэффициента реализуемости угрозы	Опасность реализации угрозы	Актуальность угрозы
1	Угроза утечки видовой информации	5	5	0.5	средний	средняя	неактуальная
2	Угрозы, реализуемые после загрузки ОС и направленные на выполнение НСД с применением стандартных функций ОС или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.)	10	5	0.75	высокий	высокая	актуальная
3	Внедрение вредоносных программ	5	10	0,75	высокий	высокая	актуальная
4	Угроза выявления паролей	0	5	0,25	низкая	низкий	неактуальная
5	Угроза внедрения по сети вредоносных программ	5	5	0,5	средний	средняя	неактуальная
6	Угрозы, реализуемые в ходе загрузки ОС и направленные на перехват паролей и идентификаторов, модификацию базовой системы ввода / вывода (BIOS), перехват управления загрузкой;	10	5	0,75	высокий	высокая	актуальная
7	Перехват информации с использованием специальных электронных устройств съема информации, внедренных в помещения;	0	2	0,1	низкая	низкий	неактуальная
8	Перехват информации с использованием специальных электронных устройств съема информации, внедренных в ВТСС	5	0	0,25	низкая	низкий	неактуальный
9	Утечка информации по каналу ПЭМИН - наводки на ВТСС.	10	5	0,75	высокая	высокий	актуальная
10	НСД к информации, обрабатываемой в АРМ - действия нарушителей при непосредственном доступе к автоматизированной системе	5	5	0,5	средняя	средняя	неактуальная
11	НСД к информации, обрабатываемой в АРМ, по средствам внедрения аппаратных закладок	5	2	0,35	средняя	средняя	неактуальная

Аппаратные закладки - недокументированные возможности составляющих автоматизированных рабочих станций, серверов, сетевого оборудования или периферии, которые позволяют превратить аппаратный продукт в канал утечки информации.

Для того чтобы произвести анализ рисков, необходимо проанализировать виды угроз, описанные в таблице 1.

Расчет риска происходит по следующей схеме:

Риск = Величина потерь * Вероятность реализации угрозы

Таблица - 2. Шкала для определения возможного ущерба.

Величина потерь	Описание ущерба от реализации угрозы
0	Реализации угрозы приведет к ничтожному ущербу
1	Основная деятельность не будет затронута.
2	Деятельность организации прервется на некоторое время.
3	Будут затронуты внешние функции организации.
4	Деятельность прерывается на длительный срок, возможна смена руководства.
5	Деятельность прекращается, невосполнимый ущерб

Таблица - 3. Вероятность угроз.

Вероятность реализации угрозы	Средняя частота появления
0	Данный вид атаки отсутствует вообще
1	Реже, чем 1 раз в год
2	Около 1 раза в год
3	Около 1 раза в месяц
4	Около 1 раза в неделю
5	Ежедневно

Таблица-4. Анализ рисков на ООО "УК "Жилищная коммунальная инициатива"".

№	Наименование угрозы	Ущерб	Вероятность	Риск
1	Угроза утечки видовой информации	2	0	0
2	Угрозы, реализуемые после загрузки ОС и направленные на выполнение НСД с применением стандартных функций ОС или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.)	2	0	0
3	Внедрение вредоносных программ	2	3	6
4	Угроза выявления паролей	3	2	6
5	Угроза внедрения по сети вредоносных программ	2	4	8
6	Угрозы, реализуемые в ходе загрузки ОС и направленные на перехват паролей и идентификаторов, модификацию базовой системы ввода / вывода (BIOS), перехват управления загрузкой;	2	2	4
7	Перехват информации с использованием специальных электронных устройств съема информации, внедренных в помещения;	2	1	1
8	Перехват информации с использованием специальных электронных устройств съема информации, внедренных в ВТСС	2	3	6
9	Утечка информации по каналу ПЭМИН - наводки на ВТСС.	1	2	2
10	НСД к информации, обрабатываемой в АРМ - действия нарушителей при непосредственном доступе к автоматизированной системе	1	3	3
11	НСД к информации, обрабатываемой в АРМ, по средствам внедрения аппаратных закладок	1	0	0
Итого	31

Для снижения рисков, во-первых, предлагается введение организационно-правовых мер. Однако одних организационно-правовых мер для обеспечения защиты информации недостаточно, необходимо также использовать и программно-аппаратные средства защиты.

Понизить вероятность риска, а, следовательно, и уменьшить предполагаемый ущерб, можно приобретая какую-либо системы защиты.

Комплексная система защиты должна уменьшать вероятность риска таким образом, чтобы затраты на её внедрение и эксплуатацию, не превышали возможного ущерба от угроз на информацию, которую она защищает.

2.4 Комплекс организационно-технических мероприятий по повышению уровня защиты персональных данных в ИСПДн СКУД в ООО "УК "Жилищная коммунальная инициатива""

Для повышения защиты ПДн, организационные мероприятия должны быть направлены на обеспечение правильности функционирования механизмов защиты, и выполняться администратором безопасности системы. А руководство организации, эксплуатирующей средства автоматизации, должно регламентировать правила автоматизированной обработки информации, включая и правила ее защиты, а также установить меру ответственности за нарушение этих правил.

К организационным мерам можно отнести такие, как:

идентификация пользователей ИС по паролю;

регистрация входа \ выхода пользователей в ИС;

физическая охрана ИСПДн, контроль доступа в помещение;

очистка освобождаемых областей оперативной памяти компьютера и внешних накопителей;

регистрация фактов распечатки документов с указанием даты, времени и имени пользователя;

наличие администратора (службы) безопасности, ответственных за ведение, нормальное функционирование и контроль работы средств защиты информации.

Также, к организационным мерам можно отнести отдельные мероприятия на стадии проектирования ИСПДн:

разработка и реализация разрешительной системы доступа пользователей к обрабатываемой на ИСПДн информации;

определение подразделений и назначение лиц, ответственных за эксплуатацию средств защиты информации с их обучением по направлению обеспечения безопасности ПДн;

разработка эксплуатационной документации на ИСПДн и средства защиты информации, а также организационно распорядительной документации по защите информации (приказов, инструкций и других документов).

В организации должны быть разработаны такие документы, как:

положение о работе с персональными данными;

инструкция администратора безопасности;

инструкция пользователя ИСПДн;

положение о парольной защите;

положение об антивирусной защите;

регламент проведения проверок безопасности ИСПДн;

Так же важна физическая безопасность серверов. Для этого нужно подготовить помещение, где будут стоять серверы. Всё оборудование в серверной должно быть размещено в закрытых шкафах или на открытых стойках, число которых определяется исходя из имеющегося оборудования, его типоразмеров и способов монтажа. Закрытые шкафы позволяют организовать дополнительные ограничения доступа к оборудованию с использованием подсистемы контроля доступа. Защита помещений, в котором находится оборудование, способное помочь проникнуть в сеть должна осуществляться стандартными методами защиты имущества. А именно, установление соответствующей системы безопасности, включающей в себя замки, сигнализацию, квалифицированную охрану, имеющую доступ только до внешнего периметра комнат.

Методом защиты целостности информации, на случай взлома, является создание архивной копии. Частота создания архивной копии определяется важностью и объемами поступления новой информации. Но в любом случае, методы защиты архивной копии должны не уступать методам защиты основного источника информации. Резервные копии нельзя хранить в одном помещении с сервером.

Другим методом защиты может являться размещение камер в помещениях, в которых хранятся базы данных, документы и другие ценные ресурсы предприятия.

Обеспечение безопасности от угроз считывания побочных электромагнитных излучений.

Установка программно-аппаратных средств защиты от НСД представляет собой программное средство защиты в персональном компьютере с возможностью подключения аппаратных идентификаторов. Система предназначена для защиты компьютера, подключенного к локальной вычислительной сети, от несанкционированного доступа в среде Windows ХР/Server 2003/Vista/Server 2008/7/8/Server 2012. Такие программы осуществляют:

· запрет загрузки компьютера посторонними лицам;

· двухфакторная авторизация по паролю и аппаратным идентификаторам (USB eToken, смарт-карты eToken, Rutoken, Touch Memory);

· разграничение прав пользователей на доступ к локальным и сетевым ресурсам;

· контроль работы пользователей со сменными накопителями;

· мандатный и дискреционный принципы разграничения прав;

· организация замкнутой программной среды;

· аудит действий пользователей;

· контроль целостности ресурсов компьютера;

· очистка остаточной информации;

· возможность автоматической печати штампов (меток конфиденциальности) на всех распечатываемых документах;

· защита содержимого дисков путем прозрачного преобразования;

· удаленное администрирование

· выделенный центр управления, работа в составе домена безопасности (v7.5/7.7);

· возможность установки на портативные компьютеры (Notebook);

· отсутствие обязательной аппаратной части;

· работа на сервере терминального доступа;

СЗИ блокируют доступ посторонних лиц к ресурсам ПК и позволяет разграничить права пользователей и администраторов при работе на компьютере. Контролируются права локальных, сетевых и терминальных пользователей. Разграничения касаются прав доступа к объектам файловой системы, доступа к сети, к сменным накопителям и к аппаратным ресурсам.

Для идентификации пользователей служат индивидуальные пароли и аппаратные идентификаторы Touch Memory, eToken, ruToken (двухфакторная аутентификация). Аппаратная идентификация не является обязательной - система может работать в полностью программном режиме.

Запрос пароля и аппаратных идентификаторов происходит до начала загрузки ОС. Загрузка ОС возможна только после проверки идентификационных данных пользователя в СЗИ. Таким образом обеспечивается доверенная загрузка системы.

Разграничение прав доступа к ресурсам файловой системы реализуется следующими методами:

Дискреционный - предоставляет доступ к защищаемым объектам файловой системы на основании списков контроля доступа. В соответствии с содержимым списков определяются права доступа для каждого пользователя.

Мандатный - каждому пользователю присваивается максимальный уровень мандатного доступа. Пользователь получает доступ к объектам, мандатный уровень которых не превышает его текущий уровень.

СЗИ позволяет контролировать целостность файлов, папок и параметров аппаратно-программной среды компьютера. Для контроля целостности используются контрольные суммы, вычисленные по одному из алгоритмов на выбор: CRC32, MD5, ГОСТ Р 34.11-2012.

Подсистема перехвата событий печати позволяет на каждом распечатанном с ПК документе добавлять штамп. Формат и поля штампа могут гибко настраиваться.

Для защиты от загрузки компьютера и доступа к информации в обход СЗИ предусмотрена возможность преобразования содержимого диска в "прозрачном" режиме. Информация преобразуется при записи и декодируется при чтении с носителя. При работе процесс преобразования незаметен для пользователя. После преобразования диска получить доступ к хранящейся на нем информации невозможно без пароля для входа в СЗИ. Режим "прозрачного" преобразования диска защищает информацию, даже если жесткий диск будет подключен к другому компьютеру. Данные могут быть преобразованы по алгоритмам XOR32 или ГОСТ 28147-89.

СЗИ предоставляет возможность преобразования отдельных файлов и / или папок. В качестве ключа преобразования используется пароль и, по желанию пользователя, аппаратный идентификатор. Преобразованные данные хранятся в файле-контейнере, который может использоваться для безопасной передачи данных или хранения информации на отчуждаемом носителе. Доступ к преобразованным данным можно получить с любого компьютера с СЗИ при совпадении пароля и аппаратного идентификатора.

Возможно использование встроенного алгоритма преобразования ГОСТ 28147-89, либо подключение внешнего сертифицированного криптопровайдера.

Для предотвращения утечки информации через сменные накопители, предусмотрена возможность гибкого разграничения доступа к оптическим дискам, USB-Flash - возможно разграничения доступа по типу накопителя, либо к конкретным экземплярам.

Возможна установка СЗИ на портативные компьютеры (ноутбуки).

Возможна установка СЗИ на компьютеры, работающие в составе домена (как на клиентские машины, так и на контроллер домена) таким образом можно защитить всю сеть. Возможна установка на сервер терминального доступа.

Шифрование данных.

Шифрование данных нужно для надежной защиты данных, которые хранятся и обрабатываются на серверах и записываются на носители для резервного копирования. Система осуществляет шифрование информации, размещенной на жестких дисках, на дисковых массивах (RAID-массивы любых конфигураций) и в SAN-хранилищах, методом прозрачного шифрования. Для защиты резервных копий может осуществляется шифрование данных на магнитных лентах и оптических дисках.

Шифрование информации на жестких дисках и магнитных лентах применяется для предотвращения утечек информации, связанных с физическим доступом злоумышленника к носителю с конфиденциальной информацией.

Установка антивирусных программ. Постоянное обновление и ежедневная проверка серверов на наличие вирусов.

3. Эффективность совершенствования защиты персональных данных в ООО "УК "Жилищная коммунальная инициатива""

3.1 Анализ эффективности совершенствования системы на примере ООО "УК "Жилищная коммунальная инициатива""

Рассчитаем эффективность совершенствования системы, путем повторного анализа уровня угрозы безопасности ИСПДн в ООО "УК "Жилищная коммунальная инициатива"", которые могут создаться после совершенствования системы угрозы безопасности.

Таблица - 5. Угрозы безопасности ИСПДн в ООО "УК "Жилищная коммунальная инициатива"" после совершенствования системы безопасности.

№	Наименование угрозы	Y1	Y2	Y	коэффициента реализуемости угрозы	Опасность реализации угрозы	Актуальность угрозы
1	Угроза утечки видовой информации	0	5	0,25	низкий	низкая	неактуальная
2	Угрозы, реализуемые после загрузки ОС и направленные на выполнение НСД с применением стандартных функций ОС или какой-либо прикладной программы (например, системы управления базами данных), с применением специально созданных для выполнения НСД программ (программ просмотра и модификации реестра, поиска текстов в текстовых файлах и т.п.)

Страница:

•  1 
•  2 

курсовая работа "Организация защиты персональных данных в системе ЖКХ" скачать

Подобные документы

• Проблемы правового регулирования института персональных данных в Российской Федерации

  Понятие и особенности персональных данных. Обеспечение безопасности персональных данных при их обработке. Особенности ответственности за нарушение законодательства о защите персональных данных. Правовое регулирование и субъект защиты персональных данных.
  
  курсовая работа [40,0 K], добавлен 05.04.2016
  

• Анализ трудовых отношений в сфере защиты персональных данных работника

  Обработка, хранение и использование персональных данных работника. Права работников в области защиты персональных данных. Дисциплинарная и административная ответственность за нарушение норм, регулирующих обработку и защиту персональных данных работника.
  
  курсовая работа [34,5 K], добавлен 19.03.2015
  

• Требования законодательства РФ в области обработки и защиты персональных данных

  Анализ основных нормативно-правовых актов о защите личности в связи с автоматической обработкой персональных данных. Характеристика рисков неисполнения требований законодательства. Обзор классификации типовых информационных систем персональных данных.
  
  презентация [371,3 K], добавлен 21.03.2013
  

• Закон Российской Федерации о защите персональных данных

  Оператор и субъект персональных данных. Категории персональных данных, обрабатываемые в ИСПДн, ответственность за нарушения по обработке. Жизненный цикл персональных данных, срок обработки. Классы типовой информационной системы, аттестация и сертификация.
  
  реферат [1,1 M], добавлен 05.04.2012
  

• Правовое регулирование оборота персональных данных работника

  Становление законодательства о защите персональных данных работников. Основные виды персональных данных работников. Порядок деятельности работодателя по обработке персональных данных работников. Особенности ответственности за нарушение законодательства.
  
  курсовая работа [90,2 K], добавлен 19.03.2015
  

• Защита персональных данных работника

  Понятие персональных данных и их отграничение от другой информации. Работа кадровой службы с персональными данными. Дисциплинарная, административная и уголовная ответственность за нарушение правил работы с информацией. Контроль защиты персональных данных.
  
  курсовая работа [48,1 K], добавлен 21.09.2014
  

• Законодательство о защите персональных данных работника

  Понятие правового регулирования персональных данных работников согласно Трудовому кодексу России. Исследование трудовых отношений в сфере защиты персональных данных работника. Особенности работы с конфиденциальными сведениями, соблюдение ответственности.
  
  дипломная работа [111,8 K], добавлен 07.12.2010
  

• Основные положения Федерального закона "О персональных данных"

  Рассмотрение проблемы государственной защиты персональных данных. Выделение особых категорий персональных данных, принципов и условий их обработки. Особенности контроля и надзора за исполнением данной процедуры согласно Федеральному закону России.
  
  реферат [27,1 K], добавлен 02.12.2010
  

• Персональные данные как объект правовой охраны

  Понятие, сущность и правовая природа персональных данных. Права и обязанности обладателя информации. Базовые нормативные документы по защите конфиденциальной информации. Федеральные нормативные акты по обеспечению защиты информации и персональных данных.
  
  дипломная работа [3,4 M], добавлен 27.08.2016
  

• Персональные данные работника

  Понятие, обработка, хранение и использование персональных данных работника. Изучение действующего законодательства по данному вопросу. Виды ответственности работодателя за нарушение норм, регулирующих обработку и защиту персональных данных работника.
  
  контрольная работа [28,9 K], добавлен 10.04.2016
  

Другие документы, подобные "Организация защиты персональных данных в системе ЖКХ"

• главная
• рубрики
• по алфавиту
• вернуться в начало страницы
• вернуться к началу текста
• вернуться к подобным работам