Обеспечение безопасности персональных данных

Обеспечение безопасности персональных данных при их обработке в информационной системе персональных данных осуществляется в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Для информационной системы персональных данных установлен 4-й уровень защищённости персональных данных (УЗ-4) (обрабатываются иные категории персональных данных менее чем 100 000 субъектов, не являющихся сотрудниками оператора; актуальны угрозы 3-го типа).

Оператором реализуются следующие меры по обеспечению безопасности персональных данных:

Организационные меры

1. назначение оператора (самозанятого) лицом, ответственным за организацию обработки и обеспечение безопасности персональных данных;

2. разработка и опубликование на сайте https://rentikacrm.com Политики обработки персональных данных и сведений о реализуемых требованиях к защите персональных данных (ч. 2 ст. 18.1 ФЗ-152);

3. получение согласия субъектов персональных данных на обработку (проставление отметки в регистрационной форме);

4. организация режима обеспечения безопасности помещений, в которых размещена информационная система, препятствующего неконтролируемому проникновению лиц, не имеющих права доступа обеспечивается провайдером ЦОД (ООО «ТАЙМВЭБ.КЛАУД») в рамках договора (п. 13 «а» ПП № 1119);

5. обеспечение сохранности носителей персональных данных обеспечивается провайдером ЦОД (ООО «ТАЙМВЭБ.КЛАУД») в рамках договора (п. 13 «б» ПП № 1119);

6. оценка вреда, который может быть причинён субъектам персональных данных, и соотнесение его с принимаемыми мерами (п. 5 ч. 1 ст. 18.1 ФЗ-152);

7. внутренний контроль соответствия обработки ПДн требованиям ФЗ-152 (п. 4 ч. 1 ст. 18.1 ФЗ-152).

Технические меры (базовый набор для УЗ-4 по приказу ФСТЭК № 21)

1. Идентификация и аутентификация субъектов доступа (ИАФ): вход по логину и паролю; пароли хранятся только в виде хешей; проверка паролей по базам утечек; двухфакторная аутентификация; ограничение числа попыток входа.

2. Управление доступом субъектов доступа к объектам доступа (УПД): разграничение прав пользователей по должностям; изоляция данных разных бизнесов на уровне базы данных.

3. Защита машинных носителей персональных данных (ЗНИ): шифрование номеров документов и сканов документов (AES-256); зашифрованные резервные копии с хранением копии вне основного сервера.

4. Регистрация событий безопасности (РСБ): журналирование входов и действий пользователей.

5. Антивирусная защита (АВЗ): средствами антивирусного программного обеспечения не применяется. Компенсирующие меры: тип загружаемых файлов определяется по их содержимому, а не по заявленному пользователем типу; для просмотра допускаются только изображения (PNG, JPEG, GIF, WEBP) и документы PDF, файлы иных типов браузер может только скачать, но не отобразить; размер файла ограничен 5 МБ; загруженные файлы на сервере не исполняются и не открываются, сканы документов хранятся в зашифрованном виде.

6. Контроль (анализ) защищённости персональных данных (КЗП): проверка настроек и конфигурации.

7. Обеспечение целостности информационной системы и персональных данных (ОЦЛ): контроль целостности ПО и данных.

8. Защита информационной системы, её средств, систем связи и передачи данных (ЗИС): защищённые каналы связи (SSL/TLS), межсетевой экран.

9. Выявление инцидентов и реагирование на них (ИНЦ): регистрация и устранение инцидентов; уведомление Роскомнадзора об инциденте, повлёкшем неправомерную передачу персональных данных, — в течение 24 часов, о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 152-ФЗ).

10. Управление конфигурацией информационной системы и системы защиты персональных данных (УКФ).

Использование средств защиты информации, прошедших процедуру оценки соответствия, осуществляется в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз (п. 13 «г» ПП № 1119).

Трансграничная передача персональных данных не осуществляется. База данных, содержащая персональные данные граждан Российской Федерации, находится на территории Российской Федерации (ст. 18.5 ФЗ-152).