Информационная защита персональных данных

Персональные данные – это важнейшая и неотъемлемая часть функционирования любой организации. И очень важно, чтобы и сотрудники, и руководители компании могли обрабатывать и защищать персональные данные в соответствии с законодательством Российской Федерации.

Компания ЭВМ сервис имеет большой опыт создания систем защиты информации, обеспечивающих решение актуальных для заказчика и клиента задач обеспечения информационной безопасности, защиты персональных данных в информационных сетях.

Главная / Информационная защита персональных данных

Наши преимущества

Опыт более 11 лет

Приходилось администрировать Windows Server 2003, ADSL модемы и общаться в ICQ.

Все включено

Выполняем ВСЕ задачи системного администратора в штате за скромную «зарплату».

Забота о клиенте

Персональный инженер и менеджер обеспечит уровень сервиса, поможет с закупками, проконтролирует доставку техники и ПО.

Сначала решим срочное

Первым делом 1С у бухгалтера и телефония у менеджера. Максимальное время простоя зафиксируем в договоре.

Какие законы регулируют защиту персональных данных?

Требования к оператору по обработке и защите персональных данных, отражены в нормативно-правовых актах, регламентирующих создание организационно-распорядительной документации (ОРД) организации:

  • Федеральный закон «О персональных данных» от 27.07.2006 N 152-ФЗ.
  • Постановление Правительства РФ от 15.09.2008 N 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».
  • Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
  • Приказ ФСТЭК России от 18 февраля 2013 г. № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
  • Приказ Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. N 378 г. Москва «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».

Неотъемлемой частью защиты информации является комплекс организационных мероприятий, задокументированный в локальных нормативных актах. Комплекс ОРД должен в полном объеме учитывать положения нормативно-правовых актов в области защиты персональных данных.

Категории персональных данных

Общедоступными являются данные, доступ к которым предоставлен неограниченному кругу лиц с согласия субъекта ПДн или на которые в соответствии с федеральными законами не распространяются требования соблюдения конфиденциальности. Такие данные могут включать фамилию, имя, отчество, год и место рождения, адрес, абонентский номер, сведения о профессии и иные ПДн.
К специальным категориям относятся персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Биометрические персональные данные – это сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность. Биометрические персональные данные обрабатываются в соответствии со статьей 11 Федерального закона Российской Федерации от 27 июля 2006 г. N 152-ФЗ «О персональных данных». Они могут обрабатываться только при наличии согласия в письменной форме субъекта ПДн. Обработка биометрических персональных данных без согласия субъекта ПДн может осуществляться в связи с осуществлением правосудия, а также в случаях, предусмотренных законодательством Российской Федерации о безопасности, об оперативно-розыскной деятельности, о государственной службе, о порядке выезда из РФ и въезда в Российскую Федерацию, уголовно-исполнительным законодательством.

Что требуется от оператора персональных данных?

В первую очередь, выполнить ряд организационных, правовых и технических мер, описанных в Федеральном законе и соответствующих подзаконных актах (в том числе статьи 8.1, 19):

  • Назначить ответственное лицо для организации обработки персональных данных. Издать документы, определяющие политику оператора в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений.
  • Осуществлять внутренний контроль и (или) аудит соответствия обработки персональных данных требованиям Федерального закона и принятым в соответствии с ним нормативно-правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора.
  • Производить оценку вреда, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом.
  • Ознакомить работников оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и (или) обучить указанных работников.
  • Опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных.
  • Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.

Обеспечение безопасности достигается:

  • Определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных.
  • Применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных.
  • Применением прошедших в установленном порядке процедур по оценке соответствия средств защиты информации.
  • Оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных.
  • Учетом машинных носителей персональных данных.
  • Обнаружением фактов несанкционированного доступа к персональным данным и принятием мер; восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
  • Установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных.
  • Контролем принимаемых мер по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

Обеспечим бесперебойную работу ИТ-сервисов и защищенность данных компании уже в первый месяц обслуживания.
Сократим расходы на связь и ИТ услуг в полтора раза, поможем автоматизировать и оптимизировать бизнес-процессы.

Уровни угроз ПДн

Угрозы, связанные с наличием недокументированных возможностей в используемом системном программном обеспечении.
Угрозы, связанные с наличием недокументированных возможностей в используемом прикладном программном обеспечении.
Угрозы, не связанные с наличием недокументированных возможностей в используемом системном и прикладном программном обеспечении.

Что такое ИСПДн?

Информационные системы персональных данных представляют собой совокупность информационных и программно-аппаратных элементов, основными из которых являются:

  • ПДн, содержащиеся в базах данных, как совокупность информации и ее источников, используемых в информационных системах.
  • Информационные технологии как совокупность приемов, способов и методов применения средств вычислительной техники при обработке ПДн.
  • Технические средства, осуществляющие обработку ПДн, под которыми понимаются средства вычислительной техники, информационно-вычислительные комплексы и сети, средства передачи, приема и обработки ПДн (средства звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео и буквенно-цифровой информации).
  • Программные средства (ОС, системы управления базами данных, прикладное программное обеспечение).
  • Средства защиты информации.
  • Вспомогательные технические средства, к которым относятся средства и системы коммуникации, не предназначенные для обработки ПДн, но размещенные в помещениях, в которых расположены ИСПДн (телефонные средства, средства вычислительной техники, средства передачи данных в системе радиосвязи, средства охранной и пожарной сигнализации, оповещения и сигнализации, контрольно-измерительная аппаратура, средства и системы кондиционирования, проводной радиотрансляционной сети и приема программ радиовещания и телевидения, электрочасофикации, средства электронной оргтехники).

Какие ИСПДн существуют?

Данные о клиентах – физических лицах и представителях клиентов – юридических лиц.
Данные о клиентах, которые осуществляют оплату услуг.
Данные о сотрудниках банка, о клиентах, партнерах.
Информация о клиентах и сотрудниках в зависимости от предназначения call-центра.
Данные о сотрудниках организации.
Данные о сотрудниках и клиентах организации.
Данные о сотрудниках организации, клиентах, партнерах.
Данные о сотрудниках организации, клиентах, партнерах, заполненные карточки в адресных книгах почтовых систем.

Типы защиты от несанкционированного доступа

Модуль доверенной загрузки (МДЗ) представляет собой комплекс аппаратно-программных средств (плата, аппаратные средства идентификации и аутентификации, программное обеспечение для поддерживаемых операционных систем), устанавливаемый на рабочее место вычислительной системы (персональный компьютер, сервер, ноутбук, специализированный компьютер и др.) и выполняет следующие функции:
1. Идентификация и аутентификация пользователей до загрузки операционной системы с помощью персональных электронных идентификаторов (USB-ключи, смарт-карты, идентификаторы iButton и др.).
2. Контроль целостности программного и аппаратного обеспечения компьютера до загрузки операционной системы.
3. Блокировка несанкционированной загрузки операционной системы с внешних съемных носителей.
4. Функционирование сторожевого таймера, позволяющего блокировать работу компьютера при условии, что после его включения и по истечении определенного времени управление не было передано плате МДЗ.
5. Контроль работоспособности основных компонентов МДЗ (энергонезависимой памяти, идентификаторов, датчика случайных чисел и др.).
6. Регистрация действий пользователей и совместная работа с внешними приложениями (датчики случайных чисел, средства идентификации и аутентификации, программные средства защиты информации и др.).
Межсетевой экран (файрвол, МЭ) — это локальное (однокомпонентное) или функционально — распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему и/или выходящей из информационной системы.
Среди задач, которые решают межсетевые экраны, основной является защита сегментов сети или отдельных хостов от несанкционированного доступа с использованием уязвимых мест в протоколах сетевой модели OSI или в программном обеспечении, установленном на компьютерах сети.
Межсетевые экраны пропускают или запрещают трафик, сравнивая его характеристики с заданными шаблонами.
Наиболее распространённое место для установки межсетевых экранов — граница периметра локальной сети для защиты внутренних хостов от атак извне.
Однако атаки могут начинаться и с внутренних узлов — в этом случае, если атакуемый хостинг расположен в той сети, трафик не пересечёт границу сетевого периметра, и межсетевой экран не будет задействован. Поэтому межсетевые экраны размещают не только на границе, но и между различными сегментами сети, что обеспечивает дополнительный уровень безопасности.
Выделяют следующие виды межсетевых экранов:
1. Межсетевой экран уровня сети.
2. Межсетевой экран уровня логических границ.
3. Межсетевой экран уровня узла.
4. Межсетевой экран уровня веб-сервера колу передачи гипертекста, проходящих к веб-серверу и от веб-сервера.
5. Межсетевой экран уровня промышленной сети.
Системы обнаружения и предотвращения вторжений (IPS/IDS) — это комплекс программных или аппаратных средств, которые выявляют факты и предотвращают попытки несанкционированного доступа в корпоративную систему. Их обычно разделяют на два основных компонента: системы обнаружения IDS и IPS — системы предотвращения вторжений.
К основным функциям систем IDS относятся:
1. Обнаружение вторжений и выявление сетевых атак.
2. Прогнозирование и поиск уязвимостей.
3. Распознавание источника атаки (взломщики или инсайдеры).
4. Обеспечение контроля качества системного администрирования.
Концептуальная схема систем обнаружения вторжений включает в себя:
1. Подсистему сбора событий или сенсорную.
2. Подсистему анализа данных, полученных от сенсорной подсистемы.
3. Подсистему хранения событий, консоль администрирования.
Выделяют следующие виды систем обнаружения вторжений:
1. СОВ уровня сети.
2. СОВ уровня узла.
Сканеры уязвимостей — это программные или аппаратные средства, служащие для осуществления диагностики и мониторинга сетевых компьютеров, позволяющее сканировать сети, компьютеры и приложения на предмет обнаружения возможных проблем в системе безопасности, оценивать и устранять уязвимости.
Сканеры уязвимостей позволяют проверить различные приложения в системе на предмет наличия «дыр», которыми могут воспользоваться злоумышленники. Также могут быть использованы низкоуровневые средства, такие как сканер портов, для выявления и анализа возможных приложений и протоколов, выполняющихся в системе.
В нормативных требованиях сканеры уязвимости периодически называются средствами анализа и контроля защищенности информации.
Основные функции сканеров уязвимости:
1. Получение информации о системе.
2. Проверка сетевых устройств.
3. Проверка возможности осуществления атак типа «отказ в обслуживании» («Denial of Service»), «подмена» («Spoofing»).
4. Проверка паролей.
5. Проверка межсетевых экранов.
6. Проверка удаленных сервисов.
7. Проверка DNS.
8. Проверка учетных записей ОС.
9. Проверка сервисов ОС.
Системы мониторинга и управления событиями безопасности строятся на базе SIEM-систем.
SIEM обеспечивает анализ в реальном времени событий, происходящих в ИТ-инфраструктуре. Подобный анализ необходим для обнаружения и определения среди всех событий событий информационной безопасности и реагирования на них.
SIEM системы обладают следующим функционалом:
1. Агрегация данных — сбор, обработка и хранение логов с различных устройств и приложений.
2. Корреляция событий — поиск общих атрибутов события. Подобная технология обеспечивает применение различных технических приёмов для интеграции данных из различных источников для превращения исходных данных в информацию, с которой можно работать дальше.
3. Оповещение — SIEM системы поддерживают возможность оповещения о событиях по различным каналам связи.
4. Анализ и управление рисками безопасности.
5. Проведение расследования инцидентов.
6. Формирование отчётов.
7. Реакция на атаки.
Источниками данных для SIEM систем являются:
1. IDS/IPS системы.
2. Антивирусные программы.
3. Журналы событий операционных систем и программного обеспечения.
4. Межсетевые экраны.
5. Сканеры уязвимостей.
6. Системы инвентаризации.
7. Прокси-сервера.
8. Системы аутентификации.
9. Средства защиты от несанкционированного доступа.
10. Сетевое оборудование.
Антивирусная программа — специализированная программа для обнаружения компьютерных вирусов, а также нежелательных (считающихся вредоносными) программ и восстановления заражённых (модифицированных) такими программами файлов, а также для профилактики — предотвращение заражения (модификации) файлов или операционной системы вредоносным кодом.
Выделяют следующие виды средств антивирусной защиты:
1. Предназначенные для централизованного администрирования средствами антивирусной защиты, установленными на компонентах информационных систем (серверах, автоматизированных рабочих местах).
2. Предназначенные для применения на серверах информационных систем.
3. Предназначенные для применения на автоматизированных рабочих местах информационных систем.
4. Предназначенные для применения на автономных автоматизированных рабочих местах.
Системы предотвращения утечек информации (Data Leak Prevention, DLP) — технические устройства (программные или программно-аппаратные), которые строятся на анализе потоков данных, пересекающих периметр защищаемой информационной системы. При детектировании в этом потоке конфиденциальной информации срабатывает активный компонент системы, и передача сообщения (пакета, потока, сессии) блокируется.
Функции DLP-систем:
1. Архивирование пересылаемых сообщений на случай возможных в будущем расследований инцидентов.
2. Предотвращение передачи не только конфиденциальной, но и другой нежелательной информации (обидных выражений, спама, эротики, излишних объёмов данных и т. п.).
3. Предотвращение передачи нежелательной информации не только изнутри наружу, но и снаружи внутрь информационной системы.
4. Предотвращение использования работниками информационных ресурсов в личных целях.
5. Оптимизация загрузки каналов, экономия трафика.
6. Контроль присутствия работников на рабочем месте.
7. Контроль активности работника на рабочем месте.
8. Контроль записи информации в различные источники.
9. Контроль содержимого текстов.
Средства криптографической защиты информации (СКЗИ) – аппаратные, программные и аппаратно–программные средства, системы и комплексы, реализующие алгоритмы криптографического преобразования информации и предназначенные для защиты информации при передаче по каналам связи и (или) для защиты информации от несанкционированного доступа при ее обработке и хранении.
Выделяют следующие виды СКЗИ:
1. СКЗИ для локального шифрования информации (для доверенного хранения на рабочем месте).
2. СКЗИ для обеспечения юридической значимости электронных документов, подтверждения подлинности адресата и целостности информации.
3. СКЗИ для организации частных виртуальных сетей (криптомаршрутизаторы, крипто-клиенты, удостоверяющие ключевые центры и центры управления сетями).
4. СКЗИ для организации защищенных сессий на основе отечественных алгоритмов шифрования протокола защиты транспортного уровня (TLS-сервера, TLS-клиенты).
Средства унифицированного управления угрозами (Unified threat management — UTM) — универсальное устройство, решение в сфере компьютерной безопасности, обеспечивающее мощную комплексную защиту от сетевых угроз.
UTM — модификация файрволла, который объединяет в себе множество функций, связанных с обеспечением сетевой связанной и безопасности.
Система обнаружения и предотвращения вторжений, межсетевой экран, VPN, антивирус, средства анализа и инспектирования сетевого трафика.

Автоматизация и
полный контроль

helpdesk2
Система заявок

Для учета и обработки обращении, мы используем автоматизированную систему регистрации заявок. Вы всегда будете в курсе статуса и срока решения проблемы. Предоставим доступ в ваш личный кабинет, где вы сможете отслеживать все заявки компании.

monitoring
Мониторинг

24/7 наша автоматизированная система мониторинга «присматривает» за вашей инфраструктурой.
Мы узнаем о проблеме раньше, чем вы успеете о ней сообщить. Система контролирует все ключевые показатели и позволяет спрогнозировать инцидент.

teamviewer
Удаленный доступ

Для оперативного решения проблем, мы организуем удаленный доступ к каждому устройству. Не беспокойтесь, трафик шифруется, а доступ к компьютеру может получить только наш специалист с согласия вашего сотрудника.

SLA

Соглашение об
уровне сервиса

В рамках договора обслуживания, заключаем Соглашение об уровне сервиса (SLA). Данный документ определяет критерии оценки качества услуг, а также санкции за нарушение оговоренных сроков.
В документе определены уровни критичности ИТ-сервисов*, сроки реакции на обращения и устранения инцидентов в зависимости от приоритетов. Мы несем финансовую ответственность за качество оказанных услуг.

Клиенты о нас

Начать работать с нами просто

one

Оставьте заявку
на сайте

  • Менеджер компании свяжется с Вами в течение 15 мин.
  • Составим коммерческое предложение
  • Проведем бесплатный экспресс ИТ-аудит
two

Подпишем
договор

  • Установим на все компьютеры компании и сотрудников
    программу для удаленного доступа
  • Предоставим короткую, понятную
    инструкцию по взаимодействию
three

Обеспечим
бесперебойную работу

  • Ваши сотрудники могут
    формировать заявки на
    обслуживание ИТ-систем удобным для них
    способом
  • После поступления заявки в нашу
    систему, наши специалисты ИТ-компании в течение 15
    минут приступят к решению
    проблемы
manager

Здравствуйте, меня зовут Даниэль, я руководитель компании и системный администратор с 11-летним опытом.

С 2001 года, с момента появление домашнего компьютера, я начал осваивать программное, аппаратное обеспечения и интернет. Самостоятельно устанавливал программы, изучал компоненты материнской платы. Спустя несколько лет, ко мне стали обращаться за компьютерной помощью родственники и друзья. Мне нравилось решать подобного рода задачи. В более осознанном возрасте, я пришел к мысли о призвании помогать людям в решении проблем с компьютерной техникой и развиваться как профессионал в этой области.

Пройдя путь от компьютерного мастера до системного администратора, проработав в нескольких компаниях, желание приносить больше пользы и организовать безупречный сервис для людей не покидало меня. Это стало причиной создания и идеологической основой компании «ЭВМ Сервис».

В нашей команде работают преданные своему делу профессионалы, для которых увлечение стало профессией. Сочетание увлеченности, профильного образования, постоянного повышения квалификации и опыта, позволяют нам решать задачи быстро и качественно. Наши ценности — профессионализм, надежность и доверие.

Отправьте свой номер и я лично свяжусь с Вами в течение 15 минут и отвечу на все вопросы.

    Нам доверяют

    Schmitz_Cargobull_Logo servier Alimak_Group gk-miel-bb14d8df375ccf0c9225b03e45deed36
    Защитите ценную коммерческую информацию от киберугроз
    Получите бесплатную, подробную инструкцию "Информационная безопасность для руководителя, или как избежать риска потери информации"
    в формате PDF на почту.

      Остались вопросы?

      Оставьте заявку и наш менеджер свяжется с Вами в течение 15 минут

        г. Москва, м. Менделеевская,
        ул. Новослободская д. 55с.1

        +7 (495) 266-07-27

        Оказываем услуги в Москве и Московской области

        EVM.Ai - ваш нейро помощник
        прямо в телеграмм