Axborot xavfsizligining ajralmas tarkibiy qismlari

Banklarda shaxsiy ma'lumotlarni himoya qilish

STO BR IBBS-2014 ning 5-nashri chiqarilishidan oldin banklarda shaxsiy ma'lumotlarni himoya qilish ikki hujjatga asoslangan edi: BR IBBS-2.3-2010. "Tashkilotlarning shaxsiy ma'lumotlari axborot tizimlarida shaxsiy ma'lumotlar xavfsizligini ta'minlashga qo'yiladigan talablar bank tizimi Rossiya Federatsiyasi "va RS BR IBBS-2.4-2010. "Rossiya Federatsiyasi bank tizimi tashkilotlarining shaxsiy ma'lumotlarini axborot tizimlarida qayta ishlash paytida shaxsiy ma'lumotlar xavfsizligiga tahdidlarning tarmoq xususiy modeli".
Amalda, bu shunday ko'rinishga ega edi: ular Markaziy bank tomonidan taklif qilingan tahdidlarning xususiy sanoat modelini o'zgarmagan shaklda qabul qildilar, har bir ISPDni himoya qilish talablarini uslubiy tavsiyalar asosida, qayta ishlangan ma'lumotlar miqdori va ro'yxati asosida aniqladilar , so'ngra ular asosida zarur chora-tadbirlar ro'yxatini tuzdi.
Bugungi kunga qadar mutaxassislarning asosiy bosh og'rig'i bu talablar STO BR IBBS - 2014 ning keyingi nashrigacha amal qilganligi edi, ammo o'sha paytda PD himoyasi PP-1119 va FSTEC 21-son buyrug'iga binoan qurilgan edi. Banklar qabul qilingan STO BR IBBS paketiga rioya qilishlari kerakligi sababli, ularning ko'plari zamonaviy usullardan foydalanmagan va natijada xavfsizlikning yangi haqiqatlariga mos kelmagan.
Yuqorida aytib o'tilgan ushbu ikkita me'yoriy hujjatning chiqarilishi bilan vaziyat ijobiy tomonga o'zgardi - litsenziyalashning ba'zi qat'iy talablari bekor qilindi, Internet-provayderlar uchun tasniflash tartiblari soddalashtirildi va PD operatoriga himoya choralarini tanlash uchun ko'proq huquqlar berildi. Internet-provayderni himoya qilish bo'yicha talablar "xavfsizlik darajasi" ning yozishmalar jadvali va ularga tegishli xavfsizlik protseduralari bilan belgilanadi, ularning tafsilotlari FSTEC 21-sonli buyrug'i bilan taqdim etildi. Bu farqlarni tenglashtirishga imkon berdi. Markaziy bankning sanoat standartida va umumiy Rossiya qonunchiligida PDni himoya qilish usuli.
Yangilangan standartda "PD Resource" yangi atamasi paydo bo'ldi, unga shaxsiy ma'lumotlarni qayta ishlash bilan bog'liq ba'zi protseduralarni hujjatlashtirish uchun talablar shakllantirildi (7.10-bo'lim). Shaxsiy ma'lumotlarni yo'q qilish bilan bog'liq masalalar alohida ko'rib chiqildi: tashkilotlarga PDni zudlik bilan emas, balki davriy ravishda, lekin kamida olti oyda bir marta yo'q qilish imkoniyati berildi.
Roskomnadzor biometrik PDga oid tushuntirishlarni alohida-alohida kiritdi, masalan, xodimlarning fotosuratlari, agar ular kirishni boshqarish maqsadida ishlatilsa yoki kompaniya veb-saytida menejment to'g'risida ochiq ma'lumot sifatida joylashtirilsa, maxsus himoya talablari rejimiga kirmaydi.
Oldingi standartga muvofiq PDni himoya qilish talablarini ilgari bajargan banklar, yangi talablarga rioya qilish uchun o'zlarining ichki me'yoriy hujjatlarini moslashtirishlari, ISPD-ni qayta tasniflashlari va yo'naltirishlari va xavfsizlik darajasiga muvofiq belgilashlari kerak. o'zlari uchun himoya choralarining yangi ro'yxati. Shuni ta'kidlashni istardimki, endi banklarda himoya vositalari va usullarini tanlashda ko'proq erkinlik mavjud, ammo FSTEC tomonidan tartiblangan axborot xavfsizligi vositalaridan foydalanish hali ham majburiydir.