До 1 января 2010 года все операторы персональных данных обязаны привести свои системы в соответствие с Федеральным законом № 152-ФЗ. Срок жёсткий, и переноса ждать не стоит. Банки, операторы связи, страховые компании, медицинские учреждения, кадровые службы любого предприятия и органы власти попадают под действие закона без исключений. За неготовность ФСТЭК, ФСБ и Роскомнадзор вправе приостановить обработку данных и наложить санкции вплоть до отзыва лицензий. Подготовка – это не разовая закупка средства защиты, а выстроенный процесс, и начинать его в декабре уже поздно.

С чего начинается соответствие: классификация ИСПДн

Первый шаг – инвентаризация. Нужно честно ответить, где и какие персональные данные обрабатываются: в учётных системах, базах клиентов, кадровых программах, на файловых серверах, в резервных копиях. На практике данные обнаруживаются там, где их никто не ждал, – в выгрузках, временных таблицах и теневых копиях. Чем точнее вы знаете состав данных, тем дешевле обходится защита: классификация по руководящим документам ФСТЭК (от К4 до К1) напрямую определяет требования к мерам.

Здесь помогает наведение порядка в самих данных. Проект по очистке и контролю качества данных даёт побочный, но важный результат – вы получаете полную карту того, где живут персональные данные, и устраняете дубли, которые иначе пришлось бы защищать наравне с боевыми системами. Чем меньше точек хранения, тем уже периметр и ниже затраты на аттестацию.

Модель угроз и технические меры

После классификации разрабатывается частная модель угроз и модель нарушителя, согласуемая с регулятором. Из модели вытекает конкретный набор мер: разграничение доступа, межсетевое экранирование, защита от несанкционированного доступа, средства антивирусной защиты, контроль съёмных носителей и – для отдельных классов – сертифицированные средства криптографической защиты по линии ФСБ. Важно применять средства, имеющие действующие сертификаты ФСТЭК и ФСБ; самописные или несертифицированные решения регулятор не примет.

Отдельный вопрос – инфраструктура. Виртуализация серверов помогает разнести системы обработки персональных данных и изолировать их от прочих сервисов. Платформы вроде VMware vSphere 4 позволяют выделить ИСПДн в отдельный сегмент, упростить контроль и сократить число физических машин, подлежащих аттестации. При выносе обработки за пределы организации помните: трансграничная передача и размещение данных у внешнего провайдера накладывают дополнительные ограничения, поэтому к моделям изолированного приватного облака подходите с оглядкой на требования закона к локализации и защищённости каналов.

Документы и аттестация

Регулятор проверяет не только технику, но и бумаги. Нужны положение об обработке персональных данных, перечень обрабатываемых данных, приказы о допуске сотрудников, согласия субъектов, акты классификации и журналы учёта. Информационные системы первого и второго классов проходят аттестацию по требованиям безопасности, для третьего и четвёртого достаточно декларирования соответствия. Этот пакет документов часто требует больше времени, чем установка средств защиты, поэтому готовить его нужно параллельно.

Вывод

Времени до дедлайна меньше, чем кажется: классификация, модель угроз, закупка и внедрение сертифицированных средств, оформление документов и аттестация – это месяцы работы. Начните с инвентаризации данных и классификации, а дальше двигайтесь по плану. Аудит, построение модели угроз и внедрение сертифицированных мер защиты информации и персональных данных лучше планировать заранее, чтобы довести системы до соответствия 152-ФЗ к установленному сроку.