5.8. Проектирование системы защиты персональных данных
Проектирование системы защиты персональных данных должно включать в себя следующий комплекс работ:
формирование перечня контрмер, нейтрализующих актуальные угрозы;
определение состава работ по внедрению системы защиты;
формирование перечня основных технических решений, в том числе средств защиты информации;
формирование перечня необходимых организационных решений.
5.9. Разработка комплекта организационно-распорядительной документации на систему защиты персональных данных
Разработка комплекта организационно-распорядительной документации на систему защиты информации включает в себя:
уточнение перечня необходимых документов по результатам собранной информации об организационной структуре Заказчика и проведенного анализа;
разработку и согласование документов верхнего уровня (положений, политик и т.п.);
разработку и согласование регламентов и инструкций, с учетом особенностей процессов обработки персональных данных и структуры подчиненности подразделений Заказчика;
разработку форм эксплуатационной документации, необходимых для обеспечения функционирования системы защиты персональных данных – приказов, актов, журналов, перечней и пр.
5.10. Установка и настройка средств защиты информации
На этапе установки и настройки средств защиты информации Исполнитель должен установить технические, программные и программно-технические средства защиты информации Исполнителя, предназначенные для создания системы защиты информации Заказчика, в соответствии с проектной документацией и эксплуатационной документацией на соответствующие средства защиты информации.
Средства защиты информации (СЗИ), предназначенные для создания системы защиты персональных данных, должны удовлетворять требованиям, изложенным в п.4. настоящего Технического задания, а так же следующим:
1. Качество СЗИ должно соответствовать государственным стандартам (ГОСТ), техническим регламентам, техническим условиям (ТУ), требованиям завода-изготовителя, подтверждаться сертификатами соответствия и иной необходимой документацией на данный вид товара в соответствии с действующим законодательством Российской Федерации.
2. СЗИ должно быть новым (который не был в употреблении, в ремонте, в том числе который не был восстановлен, у которого не была осуществлена замена составных частей, не были восстановлены потребительские свойства) не переделанным, не поврежденным и свободно поставляться в Российскую Федерацию.
СЗИ должно быть оригинальным, то есть собранным производителем.
СЗИ должно быть свободно от любых прав и притязаний третьих лиц, не находиться под запретом (арестом), в залоге, не должен быть обремененными каким-либо иным образом.
3. Гарантия на СЗИ –1 (Один) год с момента подписания акта выполненных работ.
5.11. Предварительные испытания и опытная эксплуатация системы защиты персональных данных
После завершения установки средств защиты информации и внедрения организационных мер защиты информации проводятся:
- Предварительные испытания системы защиты персональных данных
Предварительные испытания системы защиты персональных данных проводятся с учетом ГОСТ 34.603 «Информационная технология. Виды испытаний автоматизированных систем» (далее – ГОСТ 34.603) и включают проверку работоспособности системы защиты информации, а также принятие решения о возможности опытной эксплуатации системы защиты персональных данных.
- Опытная эксплуатация системы защиты персональных данных.
Опытная эксплуатация системы защиты персональных данных проводится с учетом ГОСТ 34.603 и включает проверку функционирования системы защиты персональных данных, в том числе реализованных мер защиты информации, а также готовность пользователей и администраторов к эксплуатации системы защиты персональных данных.
- Анализ уязвимостей информационной системы и принятие мер защиты информации по их устранению.
Анализ уязвимостей информационной системы проводится в целях оценки возможности преодоления нарушителем системы защиты персональных данных информационной системы и предотвращения реализации угроз безопасности информации. Анализ уязвимостей информационной системы включает анализ уязвимостей средств защиты информации, технических средств и программного обеспечения информационной системы. При анализе уязвимостей информационной системы проверяется отсутствие известных уязвимостей средств защиты информации, технических средств и программного обеспечения, в том числе с учетом информации, имеющейся у разработчиков и полученной из других общедоступных источников, правильность установки и настройки средств защиты информации, технических средств и программного обеспечения, а также корректность работы средств защиты информации при их взаимодействии с техническими средствами и программным обеспечением.
В случае выявления уязвимостей информационной системы, приводящих к возникновению дополнительных угроз безопасности информации, проводится уточнение модели угроз безопасности информации и при необходимости принимаются дополнительные меры защиты информации, направленные на устранение выявленных уязвимостей или исключающие возможность использования нарушителем выявленных уязвимостей.
|
