Рекомендации по инвентаризации и категорированию персональных данных, обрабатываемых в ИСПДн Учреждений




Основные обязанности учреждений здравоохранения, эксплуатирующих ИСПДн

 

Все учреждения и организации системы здравоохранения, социальной сферы, труда и занятости (далее – Учреждения) обязаны обеспечивать защиту персональных данных во внедряемых информационных системах с момента их ввода в эксплуатацию.

В отношении действующих информационных систем, обрабатывающих персональные данные, Учреждения обязаны осуществить ряд мероприятий:

- провести их классификацию с оформлением соответствующего акта;

- до 01.01.2010 реализовать комплекс мер по защите персональных данных в соответствии с перечисленными правовыми актами и методическими документами;

- провести оценку соответствия ИСПДн требованиям безопасности в форме сертификации (аттестации) или декларирования соответствия.

Основные мероприятия по приведению ИСПДн Учреждений в соответствие с ФЗ-152 «О персональных данных»

Каждое Учреждение, эксплуатирующее ИСПДн, должно выполнить до 1 января 2010 года следующие действия:

 

1) Разработать и утвердить внутри учреждения приказ о защите персональных данных (см. Приложение 1).

2) Разработать и утвердить внутри учреждения приказ о подразделении по защите персональных данных (см. Приложение 2).

3) Разработать и утвердить внутри учреждения приказ о назначении ответственных лиц за обработку персональных данных (см. Приложение 3).

4) Разработать и утвердить внутри учреждения Концепцию информационной безопасности и Политику информационной безопасности.

5) Разработать и утвердить внутри учреждения приказ о проведении внутренней проверки (см. Приложение 7). Результат оформить в виде отчета (см. Приложение 8).

6) Определить состав и категории обрабатываемых персональных данных (см. раздел 3 на стр. 20 настоящих рекомендаций). Результат оформить в виде перечня ПДн (см. Приложение).

7) Осуществить классификацию действующих информационных систем, обрабатывающих персональные данные (см. раздел 4 настоящих рекомендаций). Результат оформить в виде акта классификации (см. Приложение 9).

8) Разработать и утвердить внутри учреждения положение о разграничении прав доступа к обрабатываемым персональным данным (см. Приложение 10).

9) Адаптировать модель угроз к конкретной ИСПДн учреждения (см. Методику составления частной модели угроз). Результат оформить в виде Модели угроз (см. Приложение 11).

10) Разработать и утвердить план мероприятий по защите ПДн (см. Приложение 12). Необходимо учесть, что план мероприятий может быть пересмотрен через 6 месяцев ввиду опубликования новых пояснений по ФЗ-152 со стороны регуляторов.

11) Зарегистрироваться в качестве оператора персональных данных – подготовить и направить уведомление в территориальный орган Россвязькомнадзора – уполномоченный орган по защите прав субъектов персональных данных (см. Приложение 25).

12) Назначить ответственных за обеспечение безопасности персональных данных и подготовить должностные инструкции сотрудников, обрабатывающих ПДн, в составе:

- Инструкция администратора ИСПДн;

- Инструкция администратора безопасности;

- Инструкция пользователя при работе с ИСПДн;

- Инструкция пользователя по обеспечению безопасности обработки персональных данных, при возникновении внештатных ситуаций.

13) Разработать и утвердить порядок резервирования и восстановления работоспособности ТС и ПО, баз данных и СЗИ (см. Приложение 13).

14) Разработать и утвердить план внутренних проверок состояния защиты ПДн (см. Приложение 14).

15) Разработать и утвердить журнал учета обращений субъектов ПДн о выполнении их законных прав (см. Приложение 16).

16) Разработать и утвердить перечень по учету применяемых средств защиты информации, эксплуатационной и технической документации к ним (см. Приложение 21).

17) Разработать и утвердить электронный журнал обращений пользователей информационной системы к ПДн (см. Приложение 24)

18) Провести необходимые технические мероприятия для обеспечения защиты ПДн при их обработке в ИСПДн (см. раздел 6 на стр. 70). В их состав входят:

а) Обязательные технические мероприятия.

б) Технические мероприятия, выполняемые, при выделении дополнительного финансирования.

19) Декларировать соответствие или провести аттестационные (сертификационные) испытания ИСПДн (см. раздел 8 на стр. 86).

 

В следующих главах настоящих методических рекомендаций будут даны конкретные рекомендации по выполнению каждого пункта.

Рекомендации по инвентаризации и категорированию персональных данных, обрабатываемых в ИСПДн Учреждений

 

Для проведения классификации информационных систем Учреждений необходимо провести мероприятия по сбору и анализу исходных данных по информационной системе и обрабатываемых в ней ПДн, а также провести их инвентаризацию.

ПДн – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных). Применительно к информационным системам Минздравсоцразвития это могут быть следующие сведения:

- ФИО пациента;

- паспортные данные;

- год месяц, дата и место рождения;

- адрес;

- семейное, социальное, имущественное положение;

- образование;

- диагноз, сведения и заключения о состоянии здоровья;

- полис ОМС;

- оказанные медицинские услуги и другие.

Перечень персональных данных можно найти в Приложении «Перечень персональных данных, подлежащих защите».

При проведении обследования информационных систем учреждения по критериям наличия указанной информации руководством принимается решение об обработке в данной информационной системе персональных данных. Решение принимается на основании Отчета о результатах проведения внутренней проверки.

Для правильной классификации информационной системы учреждения важно правильно определить категорию обрабатываемых в информационной системе персональных данных – Хпд. Определяются следующие категории обрабатываемых в информационной системе персональных данных (Хпд):

- категория 1 – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных и философских убеждений, состояния здоровья, интимной жизни;

- категория 2 – персональные данные, позволяющие идентифицировать субъекта персональных данных и получить о нем дополнительную информацию, за исключением персональных данных, относящихся к категории 1;

- категория 3 – персональные данные, позволяющие идентифицировать субъекта персональных данных;

- категория 4 – обезличенные и / или общедоступные персональные данные.

К персональным данным позволяющим идентифицировать человека относятся такие данные, которые позволяют установить личность человека. Например, на основании только фамилии, имени и отчества нельзя точно установить личность, т.к. существуют полные однофамильцы. Но если в ИСПДн помимо ФИО обрабатываются также данные об адресе проживания, паспортные данные, биометрические данные (фотографическое изображение), данные о месте работы и т.д., то уже на основании их можно выделить конкретного человека.

Обезличенными данными в этом случае, являются данные, на основании которых нельзя идентифицировать субъекта персональных данных.

В категорию дополнительной информации входит любая другая информация, которую можно получить, обратившись к записи персональных данных: информация о доходах, должность, материальном положении и др.

Помимо данных категорий персональных данных, существуют также:

- специальные категории персональных данных – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизнисубъекта персональных данных;

- биометрические персональные данные – сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность, включая фотографии, отпечатки пальцев, образ сетчатки глаза, особенности строения тела и другую подобную информацию;

В ИСПДн Учреждений обрабатываются преимущественно специальные категории ПД – данные о состоянии здоровья субъектов.

В процессе классификации для снижения затрат на создание СЗПДн и оптимизации класса ИСПДн необходимо рассмотреть и по возможности использовать следующие инструменты:

1) Сегментация. Физическая или логическая сегментация ИСПДн по классам обрабатываемой информации, выделение сегментов сети, в которых происходит автоматизированная обработка персональных данных. Данные работы можно провести с помощью соответствующей настройки существующих в учреждении сертифицированных межсетевых экранов (МСЭ).

2) Обезличивание. Введение в процесс обработки персональных данных процедуры обезличивания существенно упростит задачи по защите персональных данных. Обезличивание можно провести путем нормализации баз данных. После выполнения обезличивания защите будет подлежать (по требованиям регулирующих документов) лишь справочник, позволяющий выполнить обратное преобразование.

3) Разделение ПД на части. В этом случае возможно уменьшение количества субъектов ПДн, обрабатываемых в системе. Это может быть достигнуто, например, за счет использования таблиц перекрестных ссылок в базах данных.

4) Абстрагирование ПДн. Зачастую на некоторых участках обработки или сегментах сети персональные данные можно сделать менее точными, например, путем группирования общих характеристик. При грамотном использовании такой прием позволит без ущерба для основной деятельности снизить класс ИСПДн.

5) Постановка требований поставщикам и разработчикам типовых систем обработки персональных данных, используемых в учреждениях. Включение требований наличия в составе закупаемых информационных систем средств, обеспечивающих защиту персональных данных в соответствии с Законом, позволит снизить затраты на приобретение дополнительных средств защиты.

Для реализации этих методов необходимо обратиться к поставщикам и разработчикам вашей информационной системы и ее элементов. Особое внимание следует уделить специальному ПО и штатному ПО, дорабатываемому под ваши нужды штатными программистами-разработчиками или сторонними организациями. Правильно спроектированное программное обеспечение и базы данных могут существенно помочь в обеспечении безопасности персональных данных.



Поделиться:




Поиск по сайту

©2015-2024 poisk-ru.ru
Все права принадлежать их авторам. Данный сайт не претендует на авторства, а предоставляет бесплатное использование.
Дата создания страницы: 2017-06-11 Нарушение авторских прав и Нарушение персональных данных


Поиск по сайту: