Проектирование системы для работы с персональными данными?

Question

[u_story]

Здравствуйте. Столкнулся в своей работе с новой задачей по организации защиты персональных данных.

Подскажите, пожалуйста, как это должно быть на практике.


Есть сервер с данными, которые попадают под закон о защите персональных данных (данные о доходах сотрудников).

Планируется сделать веб-приложение (красивую веб морду с автокомплитами и подсказками), чтобы пользователи могли данные о себе вводить через веб-морду.


Требования к системе:

1. Люди могут получить доступ из любой точки мира

2. Люди могут как добавляться в список так и убираться из него.

3. В системе будет 2 типа аккаунтов: пользователи — им доступны только свой данные и администраторы — им доступны все данные + доп. функции по выгрузке данных.


Как правильно хранить данные в базе, как защитить веб- сервер, как организовать доступ?

Как правильно аутентифицировать людей?


Софт будет разработан скорее всего на технологиях MS, но можно докупить доп. софт, если нужно.

Comments

[Loreweil]

Вам нужна реальная защита или для галочки (чтобы регулятор не докопался)?

[u_story]

Именно реальная защита.
Для галочки мы всегда сможем сделать и так, но вот если данные утекут в сеть, то может быть большой скандал, и мы будем выглядеть бледно. :(

Answer 1

[Loreweil]

Если делать все по фен-шую, то должна быть разработана куча регламентирующих документов.
В целом ваша последовательность действий в плане тех защиты такая:
— разрабатываете модель угроз, в которой определяете актуальные угрозы;
— исходя из типа угроз (я считаю, что в 99% случаев он третий) по постановлению правительства № 1119 устанавливаете уровень защищенности ИСПДн;
— берете приказ ФСТЭК № 21 и выбираете меры согласно УЗ, который Вы определили, там большое поле для действия, есть базовые меры, есть компенсирующие, можете вообще придумать свои меры, доказав «экономическую нецелесообразность» применения мер из приказа ФСТЭК. Главное чтобы меры (технические и организационные) нейтрализовывали актуальные угрозы;
— обратите внимание, что если ваша организация коммерческая, то вам не обязательно использовать сертифицированные средства защиты (в приказе ФСТЭК написано что-то типа «сертифицированные СЗИ применяются в случае, если это необходимо для нейтрализации актуальных угроз»). Для гос контор просто использование СЗИ определено дополнительно некоторыми другими нормативными актами, поэтому им никуда не деться, но если вы — коммерсы и можете нейтрализовать свои угрозы штатным средствами ОС (идентификация и аутентификация пользователей средствами AD например) или с помощью свободного ПО (squid и тд), то и флаг вам в руки!

Что касается «бумажной» защиты ПДн, то тут все целиком в 152-ФЗ написано. У вас должны быть назначены ответственные лица, определен перечень лиц, допущенных к работе с перс данными, разработано положение о работе с перс данными, ряд инструкций (парольная, антивирусная защита и тд), ряд журналов…

Answer 2

[Александр Борисович]

смс вход по одноразовым паролям более чем достаточно против угона пароля да и удобно в некоторой степени. Остальное вам сказать невозможно) Вы просите «Сделайте меня профи») Ничего сложного вы не просите)

Answer 3

[Tel]

По ПД проекты не защищал, но немного слышал.
Во-первых все пользователи должны поставить галочку с обработкой своих ПД согласен, причем по моему должен быть список какие именно ПД он согласен обрабатывать.
Во-вторых, по духу закона у пользователя должна быть возможность отозвать разрешение на обработку своих ПД и быть точно уверенными что их удалят (ну последнее ложится на плечи эксплуатирующей админку организации, но кнопочку хорошо бы предусмотреть, которая хотя бы емейл шлёт)
В-третьих по хорошему каждое место сотрудника работающего с чужими ПД должно быть защищено по ПД (это оф. процедура, достаточно много компаний её проводят — они расскажут какие технологии следуют применять получше меня).
В-четверых, я уже не уверен, но здорово было бы, что бы опять же вся система была сертифицирована по ПД в РФ (http://goo.gl/AvkNWn — вот тут кто-нидь со списками поможет)

Comments

[Tel]

Спросите конечно ещё, но по моему по нашему законодательству построить защищённую по всему миру бесконечную сеть терминалов нельзя. Опять же, если эксплуатируют другие люди, об этом можете не беспокоится, просто описав им рекомендации.

[Loreweil]

Что должно быть в согласии написано недвусмысленно в 152-ФЗ, поэтому если делать согласие, то согласно закону, а вообще встает вопрос — нужно ли оно вообще. Для этого в вопросе не хватает входных данных.

Answer 4

[Loreweil]

Если нужна реальная защита, то тоже начните с модели угроз и модели нарушителя. И начинайте нейтрализовывать актуальные угрозы.
Актуальна угроза перехвата информации в сетях общего пользования? Шифруем трафик.
Актуальна угроза слива БД инсайдерами? Организуйте защиту от несанкционированного доступа.
Актуальна угроза что кто-то через окно в бинокль увидит на мониторе важную информацию? Разверните мониторы в офисе спиной к окнам или используйте жалюзи. Эта угроза не актуальна? Опишите почему.

и т. д.

Comments

[u_story]

думаю должно быть как-то так.
1) vpn, для тех кто не в корпоративной сети.
2) центр сертификации
3) веб по https
4) каждому пользователю по сертификату
5) базу шифруем, мб кладём на шифрованный диск.

бумажки написать это не проблема, а как софтверно всё верно сделать?

[Loreweil]

Чтобы советовать конкретный софт нужно смотреть систему на месте и детально разбираться как она работает, но в целом как-то так, опять же многое зависит от масштабов, важности информации и нюансов работы системы, опять же нужно решить как настроить файрволлы, нужны ли вам системы IDS/IPS… К «бумажкам» я бы не советовал тоже относиться слишком легкомысленно, организационные меры — тоже важный пункт защиты, когда они проводятся не для галочки, ведь даже в самой защищенной системе самое слабое звено это человек.

Answer 5

[Pilat]

Наверно сейчас появятся материалы, разъясняющие практическую сторону приказов ФСТЭК 21 и 17. Пока есть документы типа www.ivanboytsov.ru/2013/07/21-17.html, где всё невнятно, но наводит на размышления.

Comments

[u_story]

Спасибо, большое, довольно интересно.
Ещё бы где-нибудь прочитать пару историй о том, как бы на практике это сделать.))

[Pilat]

Мне тоже интересно. Банальное хранение бэкапов превращается в проблему — как их хранить, чтобы контролирующие органы не придрались? И это не формальный вопрос, ведь контролёры действуют исходя из прецедентов.

Answer 6

[aleksey2000]

Не очевидно требование доступа к этой информации «из любой точки мира». Как быть с трансграничной передачей?

Comments

[u_story]

Давайте, будем считать, что все пользователи разбросаны по России.

[aleksey2000]

Это очень серьезный момент.

В свое вермя ребята из ФСТЭКа очень просили все хорошенько подумать, а надо ли вообще аатестовываться ситемы, особенно по усиленным классам.

Вам тоже советую подумать над вопросом как лучше уйти из-под 152ФЗ (состав полей и пр., очевидно сотрудников можно попросить не вводить весь набор полей удаленно, например… и не хранить все в одном месте), сильно жизнь себе облегчите.

[u_story]

Не очень понял. А как тогда данные вводить?
Через excel?

[aleksey2000]

Варианты ввода вы вольны самостоятельно выбирать, но насколько я себе могу представить то, что вы хотите сделать для пользователей обычно делает отдел HR. Пользователям же можно дать возможность просматривать и реактировать только какую-то часть информации.

Вообще, вы уже продумывали архитектуру приложения? Сколько уровней, какие/ая БД, где и как все это будет расположено? У кого какой доступ будет к системе? И, что не маловажно, какой у вас на это есть бюджет.

[u_story]

архитектура трёхзвенная: extjs + IIS + MS SQL
всё находится в неком защищённом контуре, куда доступ только избранным. Роли две: админ и пользователь.
Бюджет хз как обозначить, но думаю — хватит :)