2.3.1. Описание объекта защиты

На основании основных предварительных характеристик СКПП определены предварительные исходные данные, которые должны быть учтены при построении системы защиты информации.

В рамках эксперимента к СКПП не предъявляются требования в части обеспечения безопасности для государственных информационных систем и критической информационной инфраструктуры.

СКПП является информационной системой персональных данных (далее - ИСПДн).

СКПП не является информационной системой общего пользования. Требования приказа ФСБ России N 416, ФСТЭК России N 489 от 31.08.2010 "Об утверждении Требований о защите информации, содержащейся в информационных системах общего пользования" не применимы.

Для СКПП необходимо обеспечение третьего уровня защищенности персональных данных (УЗ3), при их обработке в ИСПДн, в соответствии с Требованиями к защите персональных данных при их обработке в информационных системах персональных данных, утвержденными постановлением Правительства Российской Федерации от 01.11.2012 N 1119.

Реализация требований по защите информации и обеспечению безопасности должна соответствовать нормативным требованиям ФСТЭК России и ФСБ России в части защиты ИСПДн.

Объектами защиты в СКПП являются:

- информационные ресурсы в виде информационных массивов и баз данных, содержащих защищаемую информацию и представленных на магнитных, оптических и других носителях;

- информация, содержащаяся в СКПП, остаточная информация на носителях информации, а также передаваемая по внутренним каналам связи, не выходящим за пределы контролируемой зоны СКПП:

- служебная информация (сведения ограниченного распространения);

- персональные данные;

- сведения, составляющие коммерческую тайну;

- технологическая информация;

- ключевая, аутентифицирующая и парольная информация;

- конфигурационная информация;

- управляющая информация;

- информация о структуре системы защиты информации СКПП;

- резервные копии файлов с конфиденциальной информацией;

- технические средства СКПП;

- телекоммуникационное оборудование;

- АРМ администраторов;

- серверное оборудование;

- система хранения данных;

- ПО;

- общесистемное ПО;

- прикладное ПО;

- специальное ПО;

- средства защиты информации;

- документация (техническая, эксплуатационная) на средства защиты информации и политики информационной безопасности СКПП.

Иная информация субъектов, обрабатываемых СКПП:

1) Обрабатываемые данные оператора СКПП:

- наименование организации;

- бухгалтерские данные (начисление и платежи по всем перевозчикам);

- статистические данные по перевозкам (количество УИР, УИПП, рейсов за период).

2) Обрабатываемые данные перевозчика:

- данные налогового учета (ОГРН, ИНН, наименование организации);

- данные по транспортному средству (ГРН, модель, наличие лицензии);

- данные о рейсах (маршрут, расписание, ТС, УИР);

- данные о перевозочных документах (номера перевозочных документов, количество УИПП).

3) Обрабатываемые данные владельца ОТИ:

- данные налогового учета (ОГРН, ИНН, наименование организации);

- данные об остановочных пунктах (наименование, координаты, др.).

Обрабатываемые данные ФОИВ, РОИВ, ФБУ "Росавтотранс": наименование органа (организации).

СКПП актуальны угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и (или) прикладном ПО, используемом в информационной среде, - угрозы 3-го типа.

К служебной технологической информации ограниченного распространения, обрабатываемой СКПП, относятся:

- данные, содержащиеся в эксплуатационной документации на компоненты и систему защиты СКПП;

- содержимое конфигурационных файлов сетевого оборудования, технических и программных средств СКПП, СрЗИ;

- содержимое регистрационных записей системного, специального и прикладного ПО СКПП;

- содержание регистрационных записей сетевого оборудования, технических и программных средств СКПП, СрЗИ.

Обработка информации в СКПП осуществляется в соответствии с требованиями:

- Федерального закона от 27.06.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации";

- Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных";

- постановления Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных";

- постановления Правительства Российской Федерации от 01.12.2021 N 2152 "Об утверждении Правил создания и использования сертификата ключа проверки усиленной неквалифицированной электронной подписи в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме";

- приказа ФСТЭК России от 18.02.2013 N 21 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных";

- приказа ФСБ России от 10.07.2014 N 378 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности";

- приказа ФСБ России от 27.12.2011 N 796 "Об утверждении требований к средствам электронной подписи и требований к средствам удостоверяющего центра".

СКПП не предназначена для обработки информации, содержащей сведения, составляющие государственную тайну, и информации с пометкой "ДСП" ("Для служебного пользования").

Программные и программно-аппаратные СрЗИ, входящие в состав СКПП, должны быть сертифицированы в системе сертификации ФСТЭК России. Применяемые СрЗИ должны соответствовать следующим требованиям:

- 5 или более высокому уровню доверия;

- средствам защиты информации не ниже 5 класса;

- средствам вычислительной техники не ниже 5 класса.

Программные и программно-аппаратные средства криптографической защиты информации, входящие в состав СКПП, должны быть сертифицированы в системе сертификации ФСБ России класса не ниже КС2.

Для подписания документов пользователями СКПП с использованием технологии мобильной электронной подписи "Госключ" используются средства электронной подписи класса КС1.