Цели и принципы построения СЗИ

12. СЗИ является частью общей системы обеспечения информационной безопасности в Росводресурсах.

13. Основными целями создания СЗИ являются организация непрерывного и защищенного процесса обработки персональных данных в Росводресурсах и нейтрализация угроз безопасности персональных данных, возникающих посредством случайного или преднамеренного несанкционированного вмешательства в процесс функционирования ИС или НСД к циркулирующей в ней информации и ее незаконного использования.

14. СЗИ должна обеспечивать:

своевременное выявление источников угроз безопасности персональных данных, причин и условий, способствующих нанесению ущерба субъектам персональных данных;

создание механизма оперативного реагирования на угрозы безопасности персональных данных;

создание условий для минимизации и локализации наносимого ущерба неправомерными действиями физических и юридических лиц в отношении персональных данных, обрабатываемых в ИС, ослабление негативного влияния и ликвидацию последствий нарушения безопасности персональных данных.

15. Построение и функционирование СЗИ должны осуществляться в соответствии со следующими принципами:

законность. Предполагает осуществление защитных мероприятий и разработку СЗИ в соответствии с законодательством Российской Федерации в области персональных данных, стандартами и методическими документами по защите персональных данных;

системность. Системный подход к построению СЗИ предполагает учет всех взаимосвязанных, взаимодействующих и изменяющихся во времени элементов, условий и факторов, существенно значимых для понимания и решения проблемы обеспечения безопасности персональных данных;

комплексность. Комплексное использование методов и СрЗИ предполагает согласованное применение разнородных средств при построении целостной СЗИ, перекрывающей все существенные (значимые) каналы реализации угроз и не содержащей слабых мест на стыках отдельных ее компонентов;

непрерывность. Защита персональных данных должна обеспечиваться на всех технологических этапах обработки персональных данных и во всех режимах функционирования ИС, в том числе при проведении ремонтных и регламентных работ;

своевременность. Предполагает упреждающий характер мер обеспечения безопасности персональных данных, то есть постановку задач по комплексной защите персональных данных и реализацию мер обеспечения безопасности персональных данных на стадии разработки (модернизации) ИС в целом и ее системы защиты в частности;

преемственность и совершенствование. Предполагают постоянное совершенствование мер и СрЗИ па основе преемственности организационных и технических решений, кадрового состава, анализа функционирования ИС и ее системы защиты с учетом изменения методов и средств перехвата информации, нормативных требований по защите, отечественного и зарубежного опыта в этой области;

разумная достаточность (экономическая целесообразность). Предполагает соответствие уровня затрат на обеспечение безопасности персональных данных ценности информационных ресурсов и величине возможного ущерба от реализации угроз безопасности персональных данных;

персональная ответственность. Предполагает возложение ответственности за обеспечение безопасности персональных данных и системы их обработки на каждого сотрудника Росводресурсов в пределах его полномочий. В соответствии с этим принципом распределение прав и обязанностей сотрудников Росводресурсов строится таким образом, чтобы в случае любого нарушения круг виновных в нарушении лиц был четко известен или сведен к минимуму;

минимизация полномочий. Означает предоставление пользователям ИС минимальных прав доступа в соответствии со служебной необходимостью;

гибкость системы защиты. Предполагает возможность варьирования уровня защищенности;

простота применения средств защиты информации. Механизмы защиты должны быть интуитивно понятны и просты в использовании без значительных дополнительных трудозатрат;

научная обоснованность и техническая реализуемость. Информационные технологии, технические и программные средства, средства и меры защиты информации должны быть реализованы на современном уровне развития науки и техники, научно обоснованы с точки зрения достижения заданного уровня безопасности информации и должны соответствовать установленным нормам и требованиям по безопасности персональных данных;

специализация и профессионализм. Предполагает привлечение к разработке средств и реализации мер защиты информации специализированных организаций, наиболее подготовленных к конкретному виду деятельности по обеспечению безопасности персональных данных, имеющих опыт практической работы и лицензии на право оказания услуг в этой области. Реализация административных мер и эксплуатация СрЗИ должны осуществляться профессионально подготовленными сотрудниками Росводресурсов;

обязательность контроля. Предполагает обязательность и своевременность выявления и пресечения попыток нарушения установленных правил обеспечения безопасности персональных данных на основе используемых систем и СрЗИ при совершенствовании критериев и методов оценки эффективности этих систем и средств.