Отчет по практике: 6 Разработка аналитического обоснования необходимости создания системы защиты информации на объекте информатизации

Схема ИСПД «Кадры» ЗАО «Солнышко»
Для передачи информации в ИСПДн «Кадры» ЗАО «Солнышко» ис-пользуется ЛВС, расположенная по адресу:

РФ, г. Глухов, ул. Кривая, дом 6, офис 25.
В процессе обработки персональных данных участвуют:
В состав каждого АРМ входят два жёстких диска, на первом уста-новлена операционная система, прикладное программное обеспечение и общедоступная справочная информация, на втором - информация, состав-ляющая персональные данные сотрудников Организации.

1. Комплект АРМ №1-3 (см. схему): Системный блок № XXXXXXX01-03, Монитор Samsung N710 – серийный номер YYYYYYY01-03, клавиатура Genius серийный номер ZZZZZZZZ01-03, графический манипулятор (мышь) Genius серийный номер WWWW01-03.

2. В состав сервера входят три жестких диска, на первом установлена операционная система, прикладное программное обеспечение, второй и третий объединены в RAID массив, в котором хранится информация, со-ставляющая персональные данные сотрудников Организации.

Комплект сервера: Системный блок № XXXXXXX04, Монитор Sam-sung N710 – серийный номер YYYYYYY04, клавиатура Genius серийный номер ZZZZZZZZ04, графический манипулятор Genius серийный номер WWWW04.

Сервер и коммуникационное оборудование установлены в типовой стойке.

Сетевой принтер HP LaserJet P2015 серийный номер SSSSSSSSS.

Коммутатор: Коммутатор Cisco WS-C2960CX-8TC-L.

Маршрутизатор: Маршрутизатор Cisco Small Business RV340-K8-RU.
4.2 Описание процессов передачи информации
Обработка персональных данных в ИСПДн «Кадры» ЗАО «Солнышко» ведётся:

К работе на АРМ допущены сотрудники отдела кадров и заместитель директора.

Полный доступ ко всей информации на АРМ и сервере имеют заместитель директора и начальник отдела кадров.

Сотрудники отдела кадров имеют полный доступ только к каталогу «Личные дела», размещённой на диске №2 своего АРМ, и только на чтение информации из каталога «Личные дела» на сервере.

Системный администратор сегмента сети не имеет доступа к информации, составляющей персональные данные. Имеет права на инсталляцию, настройку программного обеспечения, программных (программно-аппаратных) средств защиты сервера и АРМ № 1-3.

Режим работы - одновременный.

4.3 Перечень программных средств, используемых для обработки персональных данных в ИСПДн «Кадры» ЗАО «Солнышко»

Обработка персональных данных в ИСПДн «Кадры» ЗАО «Солнышко» ведётся в специализированном программном обеспечении:
Состав ПО для обработки ПД:

1. Клиентская часть ПО «1С:Зарплата и кадры государственного учреждения 8» хранит информацию о сотрудниках, кандидатах и соискателях (в версии КОРП) в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (https://v8.1c.ru/statehrm/dlya-kadrovoy-sluzhby/). 

2. Диспетчер печати.

Состав ПО для обработки ПД:

1. Серверная часть ПО «1С:Зарплата и кадры государственного учреждения 8» хранит информацию о сотрудниках, кандидатах и соискателях (в версии КОРП) в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (https://v8.1c.ru/statehrm/dlya-kadrovoy-sluzhby/). 

2. Диспетчер печати.

Перечень имеющихся программных средств, используемых для обработки персональных данных приведены в таблице 1.
Таблица 1 – Перечень имеющихся программных средств (ПС), используемых для обработки персональных данных ИСПДн «Кадры» ЗАО «Солнышко».

№ п/п	Наименование ПС (ее составной части)	Расположение объекта	Технология обработки (АРМ, ЛВС, Распр)	Субъекты ПДн	Объем обрабатываемых Пдн (количество записей субъектов Пдн в базе данных ИСПДн)	Описание режима работы с базой данных
1	«1С:Зарплата и кадры государственного учреждения 8»	Клиентская часть	АРМ	сотрудники отдела кадров и заместитель директора	777	Одновременно
2	«1С:Зарплата и кадры государственного учреждения 8»	Серверная часть	АРМ	сотрудники отдела кадров и заместитель директора	777	Одновременно

4.4 Перечень структурных подразделений работающих с БД ИСПДн «Кадры» ЗАО «Солнышко»

Перечень структурных подразделений работающих с БД ИСПДн «Кадры» ЗАО «Солнышко» отображен в таблице 2.

Таблица 2 - Перечень структурных подразделений, работающих с БД ПДн «Кадры» ЗАО «Солнышко»

№ п/п	Наименование БД (ее составной части)	Расположение объекта	Структурное подразделение
1	«Личные дела»	Сервер	Отдел кадров
2	«Личные дела»	диске №2 своего АРМ	Отдел кадров

4.5 Анализ организационных мер защиты ИСПДн
В ходе проведения проверки наличия и полноты методической и организационно-распорядительной документации прямо или косвенно относящейся к защите персональных данных было установлено, что документы по данной тематике не разрабатывались.

В зданиях, где находятся помещения ИСПДн «Кадры» ЗАО «Солнышко», все двери помещений оборудованы врезными замками. Доступ в помещения, где расположены рабочие станции, ограничен, войти могут только сотрудники.

Пожарная и охранная сигнализация установлена во всех помещениях, где обрабатываются персональные данные. Охрана объекта осуществляется частным охранным предприятием на договорной основе.
4.6 Анализ технологического процесса обработки информации, реализованного в информационной системе
Согласно представленному «Технологическому процессу обработки ин-формации…» ИСПДн предназначена для обработки информации ограни-ченного доступа, формирования электронных документов (ЭД) и вывода их на печать. При этом информация в ИСПДн может поступать из других подразделений и организаций на учтенных бумажных или электронных носителях информации.

Для осуществления технологического процесса обработки информации в ИСПДн используется программное обеспечение (ПО), перечисленное в таблице №2.

ИСПДн «Кадры» ЗАО «Солнышко» предназначена для работы в одно-временном режиме, доступ исполнителей к работе осуществляется по утвержденному списку, пользователи имеют ораничение права доступа к информации, ИСПДн не имеет подключения к сетям связи общего пользо-вания и сетям международного информационного обмена.

Настройку систем защиты для конкретных пользователей и контроль ее работы осуществляет администратор безопасности информации. Функции, права, обязанности и порядок работы в ИСПДн администратора безопас-ности информации и пользователей регламентируются специально разра-ботанными инструкциями администратору безопасности информации и пользователям.

Уровень подготовки администратора безопасности и пользователей позво-ляет выполнять возложенные на них обязанности.

7. 
   Результаты классификации ИСПДн «Кадры» ЗАО «Солнышко»
   

В соответствии с требованиями Постановления Правительства РФ от 01.11.2012 N 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», выявлено, что тип актуальных угроз безопасности персональных данным ЗАО «Солнышко» относится к угрозам _3_ типа – угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.
В соответствии с требованиями Приказа ФСТЭК России от 18.02.2013 г. № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» проведена классификация по уровням защищенности персональных данных при их обработке в ИСПДн «Кадры» ЗАО «Солнышко», таблица 3.

Таблица 3

№ п\п	Характеристика	Значение
1	Категория персональных данных	3
2	Субъекты ПДн	работники
3	Объем обрабатываемых ПДн	Менее 100 тыс.
4	Количество рабочих станций, входящих в состав ИСПДн	3
5	Структура ИСПДн	АРМ
6	Количество пользователей, допущенных к работе в ИСПДн	3
7	Режим обработки ПДн в ИСПДн	Многопользовательская ИСПДн с разными правами доступа
8	Разграничению прав доступа пользователей7	С разграничением
9	Подключение ИСПДн к локальным (распределенным) сетям общего пользования	Имеется
10	Тип ИСПДн	Типовая
11	Местонахождение технических средств ИСПДн	Внутри КЗ
12	Тип актуальных угроз (на основании разработанной модели угроз и анализа актуальных угроз в ИСПДн)	3

По результатам анализа исходных данных информационной системы персональных данных, анализа актуальности угроз безопасности в разработанной модели угроз ИСПДн «Кадры» ЗАО «Солнышко» присвоен 3 уровень защищенности.

5. Возможные негативные последствия от реализации (возникновения) угроз безопасности информации

К основным негативным последствиям от реализации угроз безопасности ПД в ИСПДн «Кадры» ЗАО «Солнышко» определены в таблице 4.


Таблица 4

№ п/п	Виды риска (ущерба)	Актуальность	Возможные типовые негативные последствия
У1	Ущерб физическому лицу	Возможны	Угроза жизни или здоровью.
			Унижение достоинства личности.
			Нарушение свободы, личной неприкосновенности.
			Нарушение неприкосновенности частной жизни.
			Нарушение личной, семейной тайны, утрата чести и доброго имени.
			Нарушение тайны переписки, телефонных переговоров, иных сообщений.
			Нарушение иных прав и свобод гражданина, закрепленных в Конституции Российской Федерации и федеральных законах.
			Финансовый, иной материальный ущерб физическому лицу.
			Нарушение конфиденциальности (утечка) персональных данных.
			Нарушение конфиденциальности (утечка) персональных данных.
			"Травля" гражданина в сети "Интернет".
			Разглашение персональных данных граждан
У2	Риски юридическому лицу, индивидуальному предпринимателю, связанные с хозяйственной деятельностью	Возможны	Нарушение законодательства Российской Федерации.
			Потеря (хищение) денежных средств.
			Недополучение ожидаемой (прогнозируемой) прибыли.
			Необходимость дополнительных (незапланированных) затрат на выплаты штрафов (неустоек) или компенсаций.
			Необходимость дополнительных (незапланированных) затрат на закупку товаров, работ или услуг (в том числе закупка программного обеспечения, технических средств, вышедших из строя, замена, настройка, ремонт указанных средств).
			Нарушение штатного режима функционирования автоматизированной системы управления и управляемого объекта и/или процесса.
			Срыв запланированной сделки с партнером.
			Необходимость дополнительных (незапланированных) затрат на восстановление деятельности.