Алексей Иванович ПереваловЗаместитель директора по телекоммуникациям и информационной безопасности. РМИАЦ - 2012

ПОСТРОЕНИЕ СИСТЕМ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ

ДАННЫХ

Ломаем стереотипы•Там все непонятно и сложно•Много противоречий•У нас нет специалиста•У нас нет денег

Шаги к преодолению стереотипов и страховШаг 1:

Собрать всю необходимую нормативную базу .

1. 152-ФЗ

2. Методические рекомендации МЗ СР РФ

3. Краткий список необходимых мероприятий для построения СЗПДн от МЗ СР РФ.

Шаги к преодолению стереотипов и страховШаг 1:

Собрать всю необходимую нормативную базу .

1. 152-ФЗ со всеми дополнениями и исправлениями.

2. Методические рекомендации МЗ СР РФ:1. Методические рекомендации по проведению в 2011 – 2012

годах работ по информационной безопасности для регионального уровня единой государственной информационной системы в сфере здравоохранения.

2. Методические рекомендации для защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости.

Шаги к преодолению стереотипов и страховШаг 2:

• Не полениться и прочитать нормативную документацию начиная с закона.

Шаги к преодолению стереотипов и страховШаг 3:

Определить что же мы защищаем

1. Какие системы обработки и базы ПДн мы используем?

2. К какому классу они относятся?

3. Сколько у нас систем? Все ли системы мы учли? (Автоматизированные и неавтоматизированные – списки и т.п.)

Шаги к преодолению стереотипов и страховШаг 4:

Создать модель угроз для каждой системы ПДн в отдельности.

1. Где обрабатывается?

2. Где хранится?

3. Через что передается?

4. Кто имеет доступ?

5. Какие методы защиты уже применяются?

СЗПДн в рамках Информатизации• ВЦ МЗ РБ• АРМ в ЛПУ• ЛВС в ЛПУ• Коммутационный узел в ЛПУ• Внешний канал связи с ВЦ МЗ РБ• Документы и подписи

СЗПДн в рамках Информатизации• ВЦ МЗ РБ• Физическая защита от несанкционированного доступа к

оборудованию• Политики паролей доступа и регламент доступа• Ответственные лица и документы• Противопожарная система• Отказоустойчивость электропитания• Резервные каналы связи

СЗПДн в рамках Информатизации• АРМ в ЛПУ• Физическая защита от НСД к рабочему месту• Аппаратная защита рабочего места от

несанкционированного доступа к локальной системе• Защита от доступа к удаленному рабочему месту в ВЦ МЗ

РБ – политики безопасности на уровне Логина и Пароля• Документация: приказы, ответственные лица, регламенты

и т.п.

СЗПДн в рамках Информатизации• ЛВС в ЛПУ• Отказоустойчивость систем• Резервирование• Избыточность портов на местах

• Избыточность портов оборудования

• Резервное электроснабжение (не только ИБП)

• Защита каналов ЛВС от перехвата информации• Шифрование на основе VipNet-Клиентов и VipNet-

Координаторов

• Анализ поведения ЛВС (SpiderNet и подобные системы)

• Физические проверки (обходы) мест проведения ЛВС с целью обнаружения нарушения целостности коробов и других узлов и частей ЛВС.

СЗПДн в рамках Информатизации• Коммутационный узел в ЛПУ• Физическая защищенность – замыкающийся шкаф• Месторасположения• Разделение медицинской и административной сетей• Защита каналов ЛВС VipNet-Координатор сервера доступа

СЗПДн в рамках Информатизации• Внешний канал связи• VipNet-Координатор сервера доступа настраивается на

работу с аппаратным отказоустойчивым стеком VipNet-Координаторов ВЦ МЗ РБ.

СЗПДн в рамках Информатизации•Документы и подписи• Приказы о внедрении систем обработки ПДн• Приказы об ответственных лицах и регламентах.• Информирование работников и сбор подписей об

ответственности за нарушение законодательства.• Организация мероприятий по поддержанию СЗПДн и

документации в актуальном состоянии.

Принципиальная схема защиты РМИС

АРМВЦ МЗ РБ

InternetЛВС

VipNet Координатор в

коммутационном узле

VipNet Координато

р

VipNet Клиент

Принципиальная схема защиты РМИС

АРМ

ВЦ МЗ РБ

InternetЛВС

VipNet Координатор в

коммутационном узле

VipNet Координато

р

VipNet Клиент

АРМ

АРМ