Классификация ИСПДн Учреждений должна осуществляться непосредственно самими Учреждениями в соответствии с Приказом ФСТЭК России, ФСБ России, Мининформсвязи России от 13.02.2008 N 55/86/20 «Об утверждении Порядка проведения классификации информационных систем персональных данных» в зависимости от категории и количества обрабатываемых данных.
Классификация ИСПДн производится на основании Отчета о результатах проведения внутренней проверки и оформляется соответствующим Актом классификации информационной системы персональных данных.
Чтобы правильно классифицировать ИС, Учреждения должны следующие действия:
1) Провести сбор и анализ исходных данных по ИС, а именно:
— выделить категорию обрабатываемых в информационной системе персональных данных – Хпд;
— определить объем обрабатываемых персональных данных (количество субъектов персональных данных, чьи персональные данные обрабатываются в информационной системе) – Хнпд;
— выявить характеристики безопасности персональных данных, обрабатываемых в информационной системе;
— определить структуру информационной системы;
— выявить наличие подключений информационной системы к сетям связи общего пользования и / или сетям международного информационного обмена;
— определить режим обработки персональных данных;
— определить режим разграничения прав доступа пользователей информационной системы;
— определить местонахождение технических средств информационной системы.
Далее, на основе исходных данных необходимо вычислить следующие категории (Хпд):
| Xнпд Xпд | |||
| категория 4 | К4 | К4 | К4 |
| категория 3 | КЗ | КЗ | К2 |
| категория 2 | КЗ | К2 | К1 |
| категория 1 | К1 | К1 | К1 |
Все ИСПДн подразделяются на типовые и специальные. К типовым системам относятся системы, в которых требуется обеспечить только свойство конфиденциальности персональных данных. Все остальные системы относятся к специальным. Например, если в ИСПДн нужно обеспечить целостность ПДн, то такая ИСПДн будет специальной.
Типовым ИСПДн могут быть присвоены следующие классы:
— класс 1 (К1) – информационные системы, для которых нарушения могут привести к значительным негативным последствиям для субъектов персональных данных;
— класс 2 (К2) – информационные системы, для которых нарушения могут привести к негативным последствиям для субъектов персональных данных;
— класс 3 (К3) – информационные системы, для которых нарушения могут привести к незначительным негативным последствиям для субъектов персональных данных;
— класс 4 (К4) – информационные системы, для которых нарушения не приводят к негативным последствиям для субъектов персональных данных.
Однако в Учреждениях все ИСПДн будут отнесены к специальным, поскольку обрабатываются персональные данные, касающиеся состояния здоровья субъектов персональных данных, а также потому, что, как правило, помимо конфиденциальности требуется обеспечить свойство целостности ПДн. Класс специальной информационной системы определяется на основе модели угроз безопасности персональных данных по результатам анализа исходных данных.
Вместе с тем, для специальных систем, тем не менее, необходимо вычислять класс К1-К4 так, как если бы эта система была типовая. Классификация специальных систем по аналогии с типовыми нужна для того, чтобы в дальнейшем можно было спроектировать систему защиты ИСПДн учреждения, поскольку в документах ФСТЭК России защита для любых систем строится с учетом их класса и модели угроз.
Модель угроз ИСПДн Учреждения зависит от используемых в учреждении технологических решений (однопользовательский / многопользовательский режим работы, подключение к ЛВС, подключение к сети Интернет, использование технологии удаленного доступа) и от функционального назначения конкретной ИСПДн.
Модель угроз строится на основании Методики составления частной модели угроз. Для каждой ИСПДн нужно составить свою модель угроз.
2) Присвоить информационной системе соответствующий класс и его документально оформить. Результаты классификации информационных систем оформляются соответствующим актом (см. Приложение 9). Для каждой ИСПДн нужно составить свой акт классификации.
3) Для дальнейшего проектирования системы защиты ПДн (далее – СЗПД) необходимо документально оформить частную модель угроз, на основе которой была произведена классификация ИСПДн. Частная модель угроз для специальной ИСПДн не должна содержать угрозы, реализация которых для данной ИСПДн маловероятна. Исключение из модели маловероятных угроз существенно снизит затраты на реализацию механизмов защиты на дальнейших этапах работ.
