Документ обсуждает требования и меры по обеспечению безопасности персональных данных в информационных системах в соответствии с российским законодательством. Он охватывает организационные и технические меры, а также требования к защите, идентификации и аутентификации доступов. Включены рекомендации по подготовке документации и обеспечению контроля за доступом и защитой информации.

1. Начальник отдела ИБ ГБУЗ СО «МИАЦ»
О.Б. Гранов
2015

2.  Kaspersky Business Space Security 6788
 Secret Net 6 6015
 Смарт-карта eToken 6991
 DallasLock 7.7 220
 Подготовлен комплект типовых ОРД по ИБ
для ЛПУ

3. o Изменения в N152-ФЗ от 27.07.2006
o Постановление Правительства РФ
от 1 ноября 2012 г. N 1119
«Об утверждении требований к защите
персональных данных при их обработке в
информационных системах персональных
данных»
o Приказ ФСТЭК РФ от 11 февраля 2013 г. № 17
«Об утверждении требований по защите
информации, не составляющей государственную
тайну, содержащейся в государственных
информационных системах»

4. Приказ ФСБ РФ
от 10 июля 2014 г. № 378
«Об утверждении состава и содержания
организационных и технических мер по
обеспечению безопасности персональных
данных при их обработке в информационных
системах персональных данных с
использованием средств криптографической
защиты информации, необходимых для
выполнения установленных правительством
российской федерации требований к защите
персональных данных для каждого из уровней
защищенности»

5. 1) определением угроз безопасности персональных
данных при их обработке в информационных
системах персональных данных;
2) применением организационных и технических мер
по обеспечению безопасности персональных данных
при их обработке в информационных системах
персональных данных, необходимых для выполнения
требований к защите персональных данных,
исполнение которых обеспечивает установленные
Правительством Российской Федерации уровни
защищенности персональных данных;
3) применением прошедших в установленном
порядке процедуру оценки соответствия средств
защиты информации;

6. 4) оценкой эффективности принимаемых мер по
обеспечению безопасности персональных
данных до ввода в эксплуатацию
информационной системы персональных
данных;
5) учетом машинных носителей персональных
данных;
6) обнаружением фактов несанкционированного
доступа к персональным данным и принятием
мер;
7) восстановлением персональных данных,
модифицированных или уничтоженных
вследствие несанкционированного доступа к
ним;

7. 8) установлением правил доступа к
персональным данным, обрабатываемым в
информационной системе персональных
данных, а также обеспечением регистрации
и учета всех действий, совершаемых с
персональными данными в информационной
системе персональных данных;
9) контролем за принимаемыми мерами по
обеспечению безопасности персональных
данных и уровня защищенности
информационных систем персональных
данных.

8. Организационные и технические меры должны обеспечивать
o идентификацию и аутентификацию субъектов доступа и
объектов доступа;
o управление доступом субъектов доступа к объектам доступа;
o ограничение программной среды;
o защиту машинных носителей информации;
o регистрацию событий безопасности;
o антивирусную защиту;
o обнаружение (предотвращение) вторжений;
o контроль (анализ) защищенности информации;
o целостность информационной системы и информации;
o доступность информации;
o защиту среды виртуализации;
o защиту технических средств;
o защиту информационной системы, ее средств, систем связи и
передачи данных.

9. Необходимо выполнение следующих требований
o организация режима обеспечения безопасности помещений, в
которых размещена информационная система, препятствующего
возможности неконтролируемого проникновения или пребывания
в этих помещениях лиц, не имеющих права доступа в эти
помещения;
o утверждение руководителем оператора документа,
определяющего перечень лиц, доступ которых к персональным
данным, обрабатываемым в информационной системе, необходим
для выполнения ими служебных (трудовых) обязанностей;
o утверждения правил доступа в помещения в рабочее и нерабочее
время, а также в нештатных ситуациях;
o утверждения перечня лиц, имеющих право доступа в помещения.
o разработать и утвердить документ, определяющий перечень лиц,
доступ которых к персональным данным, обрабатываемым в
информационной системе, необходим для выполнения ими
служебных (трудовых) обязанностей;
o поддерживать в актуальном состоянии документ, определяющий
перечень лиц, доступ которых к персональным данным,
обрабатываемым в информационной системе, необходим для
выполнения ими служебных (трудовых) обязанностей.

10. Гранов Олег Борисович
gob.miacso.ru
204-76-26, доб. 503