Техническое задание на систему защиты ПДн (СЗПДн)

1.1. Настоящее техническое задание разработано в целях создания системы защиты персональных данных, обрабатываемых в информационных системах __________.

1.2. Основанием разработки является обязанность оператора принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

1.3. Требования к защите персональных данных при их обработке в информационных системах и уровни защищённости установлены Правительством Российской Федерации ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

1.4. Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных определены федеральным органом исполнительной власти в области обеспечения безопасности информации Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

1.5. Обработка персональных данных без использования средств автоматизации осуществляется с учётом требований, установленных отдельно, и в состав настоящего технического задания не входит ПП РФ 687 —ПП РФ 687 —Обработка ПДн без средств автоматизации.

1.6. Техническое задание вводится в действие приказом оператора и является обязательным для исполнителя работ и для подразделений оператора, участвующих в создании системы защиты.

1.7. Изменения в техническое задание вносятся в том же порядке, в каком оно утверждено; работы, выполненные до внесения изменений, приёмке по новым требованиям не подлежат.

2.1. Целью создания системы защиты персональных данных является обеспечение конфиденциальности, целостности и доступности персональных данных, обрабатываемых в информационных системах оператора.

2.2. Система защиты должна нейтрализовать угрозы безопасности персональных данных, признанные актуальными в модели угроз оператора Метод. документ ФСТЭК от 05.02.2021Метод. документ ФСТЭК от 05.02.2021Методика оценки угроз безопасности информации.

2.3. Система защиты должна обеспечивать выполнение требований, установленных для уровня защищённости __________, и не может быть ниже его по составу мер.

2.4. Система защиты должна обеспечивать возможность документального подтверждения принятых мер: оператор обязан по запросу уполномоченного органа доказать, что меры приняты, а не только предусмотрены.

2.5. Создание системы защиты не должно приводить к невозможности выполнения информационными системами их основных функций и к недопустимому снижению их производительности.

2.6. Меры защиты, реализуемые системой, должны сохранять работоспособность при изменении состава пользователей и при подключении новых рабочих мест в границах, определённых настоящим техническим заданием.

3.1. Объектом защиты являются персональные данные, обрабатываемые в информационных системах оператора, а также технические средства обработки, машинные носители, средства защиты и каналы передачи данных.

3.2. Состав информационных систем персональных данных, входящих в границы работ:

3.3. В границы работ входят серверное оборудование, автоматизированные рабочие места пользователей, сетевое оборудование сегментов обработки персональных данных и каналы связи между ними.

3.4. За границами работ находятся информационные системы, не обрабатывающие персональные данные, а также обработка персональных данных без использования средств автоматизации.

3.5. Изменение состава информационных систем в период выполнения работ оформляется дополнением к настоящему техническому заданию с пересмотром объёма и сроков работ.

3.6. Защите подлежат также резервные копии баз данных и архивные носители: требования к ним применяются в том же объёме, что и к основным информационным системам 149-ФЗ ст. 16149-ФЗ ст. 16Защита информации.

4.1. Категория обрабатываемых персональных данных: __________.

4.2. Отношение субъектов персональных данных к оператору: __________.

4.3. Число субъектов персональных данных, данные которых обрабатываются: __________.

4.4. Тип актуальных угроз безопасности персональных данных: __________.

4.5. Требуемый уровень защищённости персональных данных: __________ ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

4.6. Актуальные угрозы определяются на основании модели угроз оператора с использованием банка данных угроз безопасности информации БДУ ФСТЭК bdu.fstec.ruБДУ ФСТЭК bdu.fstec.ruБанк данных угроз безопасности информации.

4.7. Обработка специальных категорий персональных данных и биометрических персональных данных, если она ведётся оператором, учитывается при определении уровня защищённости и требует усиленных мер защиты 152-ФЗ ст. 10152-ФЗ ст. 10Специальные категории персональных данных.

4.8. Исходные данные подлежат актуализации при изменении состава обрабатываемых данных, целей обработки, числа субъектов и структуры информационных систем.

5.1. Уровень защищённости персональных данных определяется сочетанием категории обрабатываемых данных, отношения субъектов к оператору, числа субъектов и типа актуальных угроз ПП РФ 1119 —ПП РФ 1119 —Требования к защите ПДн в информационных системах.

5.2. Определённый уровень защищённости фиксируется актом оператора; изменение любого из исходных условий влечёт пересмотр уровня и объёма мер защиты.

5.3. Меры, предусмотренные для более высокого уровня защищённости, применяются и на нижестоящих уровнях; обратное не допускается.

6.1. Система защиты персональных данных строится по подсистемам; каждая подсистема реализует свою группу мер и проверяется отдельно Приказ ФСТЭК 21 —Приказ ФСТЭК 21 —Состав и содержание мер защиты ПДн в ИСПДн.

6.2. Сводные требования к подсистемам системы защиты, подлежащие реализации исполнителем:

6.3. Каждое требование настоящего раздела должно быть проверяемым: формулировки, не позволяющие однозначно установить факт выполнения, к приёмке не принимаются.

6.4. Реализация требований одной подсистемы не должна блокировать работу другой; конфликты средств защиты устраняются исполнителем за свой счёт.

6.5. Требования настоящего раздела применяются ко всем информационным системам, включённым в границы работ, если для конкретной системы прямо не установлено иное.

7.1. Подсистема обеспечивает идентификацию и аутентификацию пользователей, процессов и устройств до предоставления доступа к персональным данным.

7.2. Доступ предоставляется по принципу минимально необходимых полномочий: пользователь получает права только к тем данным, которые нужны для выполнения его служебных обязанностей.

7.3. Учётные записи создаются, изменяются и блокируются только на основании документированного распоряжения; блокирование производится в день прекращения трудового договора или изменения обязанностей.

7.4. Обеспечивается парольная политика с минимальной длиной пароля, требованиями к сложности, сроком действия и запретом повторного использования ранее заданных паролей.

7.5. Обеспечивается автоматическое блокирование сеанса после установленного времени бездействия и блокирование учётной записи после заданного числа неудачных попыток входа.

7.6. Удалённый доступ к информационным системам персональных данных допускается только через защищённое соединение с многофакторной аутентификацией.

7.7. Общие и групповые учётные записи, не позволяющие установить конкретного пользователя, не применяются.

8.1. Подсистема обеспечивает регистрацию входа и выхода пользователей, попыток доступа к персональным данным, изменения полномочий и действий с учётными записями.

8.2. Регистрируются факты обращения к персональным данным с указанием даты, времени, идентификатора пользователя, наименования объекта доступа и результата операции.

8.3. Записи журналов защищаются от изменения и удаления пользователями информационной системы, включая пользователей с расширенными правами.

8.4. Устанавливается срок хранения журналов, достаточный для расследования инцидента; журналы не удаляются до истечения этого срока даже при нехватке дискового пространства.

8.5. Обеспечивается регулярный просмотр и анализ записей журналов ответственным работником, а также автоматическое оповещение о критических событиях безопасности.

8.6. Учёт машинных носителей персональных данных ведётся с фиксацией их выдачи, возврата, перемещения и уничтожения.

9.1. Подсистема обеспечивает защиту от вредоносных компьютерных программ на серверах, автоматизированных рабочих местах и на средствах межсетевого взаимодействия.

9.2. Обеспечивается автоматическое обновление баз данных признаков вредоносных программ с периодичностью не реже одного раза в сутки.

9.3. Обеспечивается проверка объектов в режиме реального времени при их создании, открытии, изменении и передаче, а также периодическая полная проверка носителей.

9.4. Обеспечивается контроль подключаемых съёмных машинных носителей и запрет автозапуска с них.

9.5. Пользователи лишены возможности отключать или изменять настройки средств антивирусной защиты.

9.6. События обнаружения вредоносных программ регистрируются и передаются администратору безопасности, а заражённые объекты помещаются в карантин.

10.1. Подсистема обеспечивает обнаружение компьютерных атак на информационные системы персональных данных и оповещение администратора безопасности.

10.2. Обеспечивается обновление базы решающих правил обнаружения вторжений с периодичностью, установленной изготовителем средства защиты.

10.3. Обеспечивается периодический анализ защищённости: поиск уязвимостей операционных систем, прикладного программного обеспечения и сетевых сервисов не реже одного раза в квартал.

10.4. Выявленные уязвимости устраняются в срок, зависящий от их критичности; критические уязвимости устраняются в первоочередном порядке.

10.5. Обеспечивается контроль установки обновлений безопасности программного обеспечения и фиксация факта их установки.

10.6. Результаты анализа защищённости оформляются отчётом с перечнем уязвимостей, оценкой их опасности и планом устранения.

11.1. Подсистема обеспечивает контроль целостности программной среды, средств защиты информации и критичных файлов конфигурации.

11.2. Контроль целостности выполняется при загрузке системы, периодически в процессе работы и по команде администратора безопасности.

11.3. Обеспечивается контроль состава программного обеспечения и запрет установки и запуска программ, не включённых в разрешённый перечень.

11.4. Нарушение целостности фиксируется в журнале и влечёт оповещение администратора безопасности, а при критичном нарушении — блокирование загрузки.

11.5. Обеспечивается восстановление контролируемых объектов из эталонных копий после подтверждённого нарушения целостности.

11.6. Изменения программной среды выполняются только в рамках документированной процедуры управления изменениями с последующей актуализацией эталонных значений.

12.1. Подсистема обеспечивает защиту персональных данных при их передаче по каналам связи, выходящим за пределы контролируемой зоны.

12.2. Передача персональных данных за пределы контролируемой зоны осуществляется только по защищённому каналу с применением средств криптографической защиты информации.

12.3. Обеспечивается сегментирование сети: сегменты обработки персональных данных отделяются от прочих сегментов средствами межсетевого экранирования.

12.4. Обеспечивается фильтрация сетевого трафика по правилам, разрешающим только необходимое взаимодействие, при запрете всего остального по умолчанию.

12.5. Публикация сервисов, обрабатывающих персональные данные, в сети Интернет допускается только через защищённое соединение с проверкой подлинности сервера.

12.6. Беспроводной доступ к сегментам обработки персональных данных допускается только при использовании защищённого протокола и аутентификации устройств.

12.7. Средства криптографической защиты применяются в соответствии с требованиями федерального органа исполнительной власти в области обеспечения безопасности.

13.1. Подсистема обеспечивает резервное копирование баз данных и конфигураций информационных систем персональных данных и восстановление их работоспособности после сбоя.

13.2. Режим резервного копирования: __________.

13.3. Резервные копии, содержащие персональные данные, защищаются в том же объёме, что и основные информационные системы, включая шифрование при хранении вне контролируемой зоны.

13.4. Доступ к резервным копиям предоставляется ограниченному кругу лиц и регистрируется наравне с доступом к основным данным.

13.5. Работоспособность резервных копий проверяется контрольным восстановлением не реже одного раза в квартал с оформлением результата проверки.

13.6. Резервные копии, содержащие данные, подлежащие уничтожению, уничтожаются в те же сроки, что и основные записи: сохранившаяся копия делает уничтожение данных незавершённым.

14.1. К применению допускаются средства защиты информации, прошедшие оценку соответствия требованиям законодательства в области обеспечения безопасности информации 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

14.2. Требования к сертификации и классу средств защиты: __________.

14.3. При актуальности угроз 1-го и 2-го типа применяются средства защиты, прошедшие оценку соответствия в форме обязательной сертификации, — иной способ подтверждения соответствия не принимается.

14.4. Исполнитель представляет заказчику копии сертификатов соответствия на все поставляемые средства защиты с указанием срока их действия.

14.5. Срок действия сертификата на дату приёмки работ должен быть не менее двенадцати месяцев; поставка средств с истекающим сертификатом не допускается.

14.6. Исполнитель передаёт заказчику лицензии на использование средств защиты, оформленные на заказчика, а также эксплуатационную документацию изготовителя.

14.7. Средства защиты настраиваются в соответствии с эксплуатационной документацией изготовителя; отклонения от неё фиксируются письменно с обоснованием.

15.1. По результатам работ исполнитель разрабатывает и передаёт заказчику модель угроз безопасности персональных данных, актуализированную по составу информационных систем Метод. документ ФСТЭК от 05.02.2021Метод. документ ФСТЭК от 05.02.2021Методика оценки угроз безопасности информации.

15.2. Исполнитель разрабатывает акт определения уровня защищённости персональных данных при их обработке в информационных системах оператора.

15.3. Исполнитель разрабатывает технический проект системы защиты с описанием состава средств защиты, схем размещения и порядка их взаимодействия.

15.4. Исполнитель разрабатывает эксплуатационную документацию: инструкцию администратора безопасности, инструкцию пользователя информационной системы и регламент резервного копирования.

15.5. Исполнитель разрабатывает регламент реагирования на инциденты безопасности с указанием порядка действий, сроков уведомления и ответственных лиц.

15.6. Исполнитель разрабатывает программу и методику испытаний, по которой производится проверка выполнения каждого требования настоящего технического задания.

15.7. Документация передаётся заказчику на бумажном носителе и в электронном виде в редактируемом формате; передача только в нередактируемом формате приёмкой не считается.

15.8. Разработанные документы утверждаются приказом оператора и вводятся в действие в срок не позднее тридцати дней со дня приёмки работ 152-ФЗ ст. 18.1152-ФЗ ст. 18.1Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом.

16.1. Работы выполняются последовательно по стадиям; переход к следующей стадии допускается после приёмки результата предыдущей.

16.2. Состав работ по стадиям, результаты и сроки:

16.3. На стадии обследования исполнитель определяет состав информационных систем, потоки персональных данных, состав пользователей и применяемые средства защиты.

16.4. На стадии проектирования исполнитель разрабатывает модель угроз, определяет уровень защищённости и готовит технический проект системы защиты.

16.5. На стадии внедрения исполнитель поставляет, устанавливает и настраивает средства защиты, проводит их первичную проверку и обучает администратора безопасности.

16.6. На стадии испытаний исполнитель проводит проверку выполнения требований по программе и методике испытаний с оформлением протоколов.

16.7. На стадии ввода в эксплуатацию исполнитель передаёт документацию, устраняет замечания и участвует в подтверждении соответствия принятых мер.

16.8. Приостановка работ по вине заказчика продлевает сроки на соответствующий период; исполнитель уведомляет об этом письменно в течение трёх рабочих дней.

17.1. Контроль хода работ осуществляет ответственный за организацию обработки персональных данных совместно с администратором безопасности.

17.2. Приёмка результата каждой стадии оформляется актом; выявленные замечания фиксируются в акте с указанием срока их устранения.

17.3. Приёмка производится по программе и методике испытаний: по каждому требованию настоящего технического задания фиксируется результат проверки — выполнено или не выполнено.

17.4. Работы считаются выполненными после устранения всех замечаний и подписания итогового акта сдачи-приёмки.

17.5. Отказ от подписания акта оформляется мотивированным письменным отказом с перечнем недостатков; немотивированный отказ не приостанавливает течение срока оплаты.

17.6. Форма подтверждения соответствия принятых мер: __________.

17.7. Результаты подтверждения соответствия оформляются документом, который хранится у оператора и предъявляется по запросу уполномоченного органа 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.

19.1. Срок выполнения работ по настоящему техническому заданию составляет __________ месяцев со дня его утверждения, если договором с исполнителем не установлен иной срок.

19.2. Промежуточные сроки по стадиям работ определяются календарным планом, являющимся приложением к договору с исполнителем.

19.3. Отчёт о реализации требований настоящего технического задания представляется руководителю оператора ответственным за организацию обработки персональных данных.

19.4. Ответственный за организацию обработки персональных данных ежеквартально информирует руководителя о ходе работ и о выявленных отклонениях от сроков.

19.5. До завершения работ оператор применяет организационные меры защиты, компенсирующие отсутствие технических мер: ограничение доступа, учёт носителей и режим помещений 152-ФЗ ст. 19152-ФЗ ст. 19Меры по обеспечению безопасности данных.