База знаний

Что в сфере ФСТЭК

• государственные информационные системы;
• иные информационные системы государственных органов и учреждений;
• ИСПДн — в части технических мер защиты;
• значимые объекты критической информационной инфраструктуры;
• автоматизированные системы управления производственными и технологическими процессами (АСУ ТП) на критически важных и потенциально опасных объектах;
• системы защиты информации;
• некриптографические СЗИ: от НСД, межсетевые экраны, СОИБ, контроля защищённости;
• аттестация информационных систем и объектов информатизации;
• лицензируемая деятельность по ТЗКИ.

Что обычно требует ФСТЭК

• определение применимых требований и класса защищённости;
• моделирование угроз безопасности информации;
• проектирование системы защиты;
• идентификацию и аутентификацию;
• разграничение доступа;
• регистрацию событий безопасности;
• антивирусную защиту;
• управление уязвимостями и обновлениями;
• контроль конфигураций;
• защиту сетевого взаимодействия;
• резервирование и восстановление;
• контроль эффективности реализованных мер;
• ведение организационной и технической документации.

Как ФСТЭК проводит проверки

• плановые и внеплановые контрольные мероприятия, особенно по значимым объектам КИИ;
• документы по категорированию КИИ и сведения, направленные во ФСТЭК;
• модель угроз и документы по системе безопасности;
• фактически реализованные меры защиты;
• состав, версии и настройки СЗИ;
• управление учётными записями и доступом;
• ведение журналов событий;
• управление уязвимостями и обновлениями;
• результаты контроля защищённости;
• соответствие реальной инфраструктуры проектной и эксплуатационной документации.

Что интересует Роскомнадзор

• на каком основании организация собирает и обрабатывает ПДн;
• какие данные собираются и соответствуют ли они заявленной цели;
• наличие необходимых согласий и иных правовых оснований;
• политику обработки персональных данных;
• назначение ответственного за организацию обработки ПДн;
• уведомление о намерении осуществлять обработку и актуальность сведений в реестре операторов;
• исполнение обращений субъектов персональных данных;
• сроки хранения и порядок уничтожения ПДн;
• локализацию баз данных;
• трансграничную передачу;
• реагирование на неправомерную или случайную передачу ПДн.

Локализация персональных данных

• при сборе ПДн граждан РФ запись, систематизация, накопление, хранение, уточнение и извлечение данных в общем случае должны осуществляться с использованием баз данных, расположенных на территории РФ;
• требования к локализации периодически уточняются — актуальную редакцию закона проверяйте в официальных источниках, мы отслеживаем изменения и учитываем их в проектах.

Утечки персональных данных

При неправомерной или случайной передаче ПДн, повлёкшей нарушение прав субъектов, оператор обязан уведомить Роскомнадзор:

• в течение 24 часов — о самом инциденте, предполагаемой причине, последствиях и принятых мерах;
• в течение 72 часов — о результатах внутреннего расследования.

Как Роскомнадзор проводит проверки

• риск-ориентированный подход;
• инспекционные визиты, документарные и выездные проверки;
• часть контрольных мероприятий проводится дистанционно;
• проверяют политику обработки, локальные акты, формы согласий, сведения о целях и категориях, перечень ИС, меры защиты, ответственных, документы по уничтожению ПДн, договоры с третьими лицами, трансграничную передачу, материалы по инцидентам.