Построение систем защиты персональных данных

1. Построение систем защитыперсональных данных Алексей Иванович Перевалов Заместитель директора по телекоммуникациям и информационной безопасности. РМИАЦ - 2012

2. Ломаем стереотипы • Там все непонятно и сложно • Много противоречий • У нас нет специалиста • У нас нет денег

3. Шаги к преодолению стереотипов и страхов Шаг 1: Собрать всю необходимую нормативную базу . • 152-ФЗ • Методические рекомендации МЗ СР РФ • Краткий список необходимых мероприятий для построения СЗПДн от МЗ СР РФ.

4. Шаги к преодолению стереотипов и страхов Шаг 1: Собрать всю необходимую нормативную базу . • 152-ФЗ со всеми дополнениями и исправлениями. • Методические рекомендации МЗ СР РФ: • Методические рекомендации по проведению в 2011 – 2012 годах работ по информационной безопасности для регионального уровня единой государственной информационной системы в сфере здравоохранения. • Методические рекомендации для защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости.

5. Шаги к преодолению стереотипов и страхов Шаг 2: • Не полениться и прочитать нормативную документацию начиная с закона.

6. Шаги к преодолению стереотипов и страхов Шаг 3: Определить что же мы защищаем • Какие системы обработки и базы ПДн мы используем? • К какому классу они относятся? • Сколько у нас систем? Все ли системы мы учли? (Автоматизированные и неавтоматизированные – списки и т.п.)

7. Шаги к преодолению стереотипов и страхов Шаг 4: Создать модель угроз для каждой системы ПДн в отдельности. • Где обрабатывается? • Где хранится? • Через что передается? • Кто имеет доступ? • Какие методы защиты уже применяются?

8. СЗПДн в рамках Информатизации • ВЦ МЗ РБ • АРМ в ЛПУ • ЛВС в ЛПУ • Коммутационный узел в ЛПУ • Внешний канал связи с ВЦ МЗ РБ • Документы и подписи

9. СЗПДн в рамках Информатизации • ВЦ МЗ РБ • Физическая защита от несанкционированного доступа к оборудованию • Политики паролей доступа и регламент доступа • Ответственные лица и документы • Противопожарная система • Отказоустойчивость электропитания • Резервные каналы связи

10. СЗПДн в рамках Информатизации • АРМ в ЛПУ • Физическая защита от НСД к рабочему месту • Аппаратная защита рабочего места от несанкционированного доступа к локальной системе • Защита от доступа к удаленному рабочему месту в ВЦ МЗ РБ – политики безопасности на уровне Логина и Пароля • Документация: приказы, ответственные лица, регламенты и т.п.

11. СЗПДн в рамках Информатизации • ЛВС в ЛПУ • Отказоустойчивость систем • Резервирование • Избыточность портов на местах • Избыточность портов оборудования • Резервное электроснабжение (не только ИБП) • Защита каналов ЛВС от перехвата информации • Шифрование на основе VipNet-Клиентов и VipNet-Координаторов • Анализ поведения ЛВС (SpiderNetи подобные системы) • Физические проверки (обходы) мест проведения ЛВС с целью обнаружения нарушения целостности коробов и других узлов и частей ЛВС.

12. СЗПДн в рамках Информатизации • Коммутационный узел в ЛПУ • Физическая защищенность – замыкающийся шкаф • Месторасположения • Разделение медицинской и административной сетей • Защита каналов ЛВС VipNet-Координатор сервера доступа

13. СЗПДн в рамках Информатизации • Внешний канал связи • VipNet-Координатор сервера доступа настраивается на работу с аппаратным отказоустойчивым стеком VipNet-Координаторов ВЦ МЗ РБ.

14. СЗПДн в рамках Информатизации • Документы и подписи • Приказы о внедрении систем обработки ПДн • Приказы об ответственных лицах и регламентах. • Информирование работников и сбор подписей об ответственности за нарушение законодательства. • Организация мероприятий по поддержанию СЗПДн и документации в актуальном состоянии.

15. Принципиальная схема защиты РМИС ЛВС Internet ВЦ МЗ РБ АРМ VipNetКлиент VipNetКоординатор в коммутационном узле VipNetКоординатор

16. Принципиальная схема защиты РМИС ВЦ МЗ РБ АРМ ЛВС Internet АРМ VipNetКлиент АРМ VipNetКоординатор в коммутационном узле VipNetКоординатор