Обеспечение безопасности персональных данных при их обработке в информационных системах персональных данных

Профиль аудитории:

• Специалисты по информационной безопасности.

Предварительные требования:

• Курсы специалиста по информационной безопасности.

По окончании курса слушатели смогут:

• Ориентироваться в иерархии и классах информационной системы персональных данных.
• Выявлять угрозы безопасности на объектах информатизации, применять организационные меры, технические и программные средства защиты информации от несанкционированного доступа.
• Анализировать технические каналы утечки информации и противодействовать им.
• Приводить в соответствие с правовыми и организационно-распорядительными документами в области технической защиты информации системы обработки персональных данных в организации.

Модуль 1. Безопасность персональных данных. Актуальность тематики.

• Термины и определения
• Определение информационной безопасности
• Правовые и организационно-распорядительные документы в области защиты информации в хронологии.
• Специальные нормативные документы по технической защите информации.
• Обзор 152 ФЗ.
• Разъяснения по вопросам получения согласия на обработку ПДн
• ОБЯЗАННОСТИ ОПЕРАТОРА (статья 18)
• Разработка политики оператора персональных данных
• Статья 19 – обеспечение безопасности ПДн
• Процедура работы с уведомлением об обработке ПДн
• Постановление Правительства РФ №1119 от 01.11.2012 г. "Об утверждении требований к защите ПДн при их обработке в ИСПДн"
• Постановление Правительства РФ №512 от 07.2008 г.
• Постановление Правительства РФ №687 от 09.2008 г.
• Система контроля (РКН, ФСТЭК, ФСБ) и ответственность.
• Обзор и сравнение международных и национальных стандартов в области защиты ПДн

Модуль 2. Выявление угроз и уязвимостей безопасности персональных данных.

• Общие положения и классификация угроз безопасности персональных данных
• Уязвимости информационных систем. Содержание и порядок выполнения работ по выявлению и оценке уязвимостей информационных систем
• Информационные системы и объекты информатизации. Угрозы безопасности информации
• Классификация угроз безопасности информации
• Угрозы утечки информации по техническим каналам
• Угрозы несанкционированного доступа к информации
• Формализованное представление угроз ИБ от персонала
• Характеристика угроз непосредственного доступа в операционную среду
• Характеристика угроз, реализуемых с использованием протоколов межсетевого взаимодействия
• Сетевые угрозы, уязвимости и атаки, связанные с эксплуатацией межсетевых экранов
• Характеристика угроз программно-математических воздействий и нетрадиционных информационных каналов
• Характеристика угроз связанных с использованием технологий виртуализации
• Характеристика угроз связанных с использованием облачных вычислений

Модуль 3. Организационные и технические меры по обеспечению безопасности персональных данных при их обработке в ИСПДн.

• Общий порядок организации обеспечения безопасности персональных данных в ИСПДн
• Постановление правительства РФ № 211 от 21 марта 2012
• Требования по защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (Приказ ФСТЭК России от 11 февраля 2013 г. № 17)
• Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн (Приказ ФСТЭК России от 18 февраля 2013 г. № 21)
• Методы и способы защиты информации от утечки по техническим каналам
• Особенности и условия использования специальных программных и технических средств
• Способы и методы обезличивания персональных данных
• Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации

Модуль 4. Процедура приведения ИС в соответствие с требованиями законных и подзаконных актов. Формирование организационно-распорядительной документации.

• Системный подход к информационной безопасности на основе мировых стандартов
• Цикл PDCA в процессах обработки персональных данных
• Идентификация АКТИВОВ
• Генерация «карты» процессов обработки ПДн
• Выделение ИСПДн, классификация по классам и уровням защищенности
• Создание модели угроз безопаности ПДн
• Выполнение работ по СЗПДн: организационные меры. Подготовка ОРД по ПДн.
• Выполнение работ по СЗПДн: программно-техническая защита
• Создание и реализация программы повышения осведомлённости
• Проведение работ по получению комплекта лицензий ФСТЭК и ФСБ (опционально)