Версія для людей з обмеженими можливостями
ПОЛОЖЕННЯ ПРО ЗАХИСТ ПЕРСОНАЛЬНИХ ДАНИХ
в інформаційній системі персональних даних
«Республіканська медична інформаційна система»
в медичному закладі
загальні положення
Справжнє «Положення про захист персональних даних в інформаційній системі персональних даних« Республіканська медична інформаційна система »в медичному закладі» (далі - Положення) розроблено відповідно до Закону Російської Федерації від 27 липня 2006 року №152-ФЗ «Про персональних даних», Постановою уряду Російської Федерації від 17 листопада 2007 року № 781 «про затвердження Положення про забезпечення безпеки персональних даних при їх обробці в інформаційних системах персональних даних», методичними реком ндаціямі ФСТЕК Росії і ФСБ Росії. Положення розроблено з метою забезпечення безпеки персональних даних (далі - ПДН) при їх обробці в інформаційній системі персональних даних «Республіканська медична інформаційна система» (далі - ІСПДн).
Положення визначає порядок роботи персоналу ІСПДн в частині забезпечення безпеки ПДО при їх обробці, порядок використання засобів захисту інформації, розробку і вживання заходів щодо запобігання можливих небезпечних наслідків таких порушень, порядок припинення надання ПДН в разі виявлення порушень при їх обробці, порядок навчання персоналу практиці роботи в ІСПДн, порядок контролю за дотриманням умов використання засобів захисту інформації, передбачені експлуатаційної та технічної документації, правила поновлення загальносистемного і прикладного програмного забезпечення, правила організації антивірусного захисту і парольного захисту ІСПДн, порядок охорони і допуску сторонніх осіб в захищаються приміщення.
Порядок надання допуску користувачів до роботи в ІСПДн
Справжній порядок визначає дії персоналу ІСПДн в частині забезпечення безпеки ПДО при їх обробці в ІСПДн.
Початковий допуск користувачів до роботи в ІСПДн здійснюється на підставі наказу, який видається керівником медичного закладу (далі Керівник). У наказі визначається список співробітників, допущених до роботи в ІСПДн;
З метою забезпечення відповідальності за ведення, нормальне функціонування і контроль роботи засобів захисту інформації та виконання необхідних заходів щодо забезпечення безпеки в ІСПДн керівником призначається адміністратор безпеки;
З метою дотримання принципу персональної відповідальності за свої дії кожного співробітника, допущеному до роботи в ІСПДн, має бути
порівнювати персональне унікальне ім'я (обліковий запис користувача), під яким він буде реєструватися і працювати в ІСПДн.
Використання декількома співробітниками при роботі в ІСПДн одного і
того ж імені користувача заборонено.
Надалі, процедура реєстрації (створення облікового запису) користувача і надання йому (або зміни його) прав доступу до ресурсів ІСПДн ініціюється заявкою (Додаток 1).
У заявці вказується:
- зміст запитуваних змін (реєстрація нового користувача ІСПДн, видалення облікового запису користувача, розширення або звуження повноважень і прав доступу до ресурсів ІСПДн раніше зареєстрованого користувача);
- посаду (з повним найменуванням відділу), прізвище, ім'я та по батькові співробітника;
- ім'я користувача (облікового запису) даного співробітника;
- повноваження, яких необхідно позбавити користувача або які необхідно додати користувачеві (шляхом зазначення розв'язуваних користувачем завдань в ІСПДн).
Заявку розглядає і візує керівник, стверджуючи тим самим виробничу необхідність допуску (зміни прав доступу) даного співробітника до необхідних для вирішення ним зазначених в заявці завдань ресурсів ІСПДн. Потім заявка передається адміністратору безпеки для внесення необхідних змін до списків користувачів ІСПДн.
На підставі заявки адміністратор безпеки проводить необхідні операції по створенню (видалення) облікового запису користувача, присвоєння йому початкового значення пароля, а також реєстрацію персонального ідентифікатора і інші необхідні дії, зазначені в заявці.
Після внесення змін до списків користувачів адміністратор безпеки повинен забезпечити налаштування засобів захисту відповідають вимогам безпеки зазначеної ІСПДн.
Співробітникові, зареєстрованому в якості нового користувача ІСПДн, повідомляється ім'я відповідного йому користувача і може видаватися персональний ідентифікатор (для роботи в режимі посиленої аутентифікації) і початкове значення пароля, яке він зобов'язаний змінити при першому ж вході в систему.
Виконана заявка зберігається у адміністратора безпеки.
Вона може згодом використовуватися:
- для відновлення повноважень користувачів після виникнення позаштатних ситу ацій;
- для контролю правомірності наявності у конкретного користувача прав доступу до тих чи інших ресурсів ІСПДн при розборі конфліктних ситуацій;
- для перевірки співробітниками контролюючих органів правильності настройки коштів розмежування доступу до ресурсів ІСПДн
Порядок роботи користувачів ІСПДн в частині забезпечення безпеки ПДО при їх обробці в ІСПДн
Користувач має право в відведений йому час вирішувати поставлені завдання відповідно до повноважень доступу до ресурсів ІСПДн.
Користувач несе відповідальність за правильність включення і виключення засобів обчислювальної техніки (СВТ), входу в систему і всі дії при роботі в ІСПДн;
Перед початком роботи в ІСПДн, співробітники установи, допущені до роботи з ПДН, приймають під розпис зобов'язання про нерозголошення персональних даних (Додаток 2);
Вхід користувача в систему повинен здійснюватися по видається йому електронного ідентифікатора і по персональному паролю;
Запис інформації, що містить ПДН, повинна здійснюватися тільки на машинні носії інформації, відповідним чином враховані в Журналі обліку захищаються носіїв інформації (Додаток 3). Відповідальним за ведення Журналу обліку є адміністратор безпеки;
При роботі зі знімними машинними носіями інформації користувач кожен раз перед початком роботи зобов'язаний перевірити їх на відсутність вірусів з використанням штатних антивірусних програм, встановлених на комп'ютерах ІСПДн. У разі виявлення вірусів користувач зобов'язаний негайно припинити їх використання і діяти відповідно до вимог даного Положення;
Кожен співробітник, який бере участь в рамках своїх функціональних обов'язків в процесах автоматизованої обробки ПДН і має доступ до апаратних засобів, програмного забезпечення і даними ІСПДн, несе персональну відповідальність за свої дії і зобов'язаний:
- строго дотримуватися встановлених правил забезпечення безпеки інформації при роботі з програмними і технічними засобами ІСПДн;
- знати і строго виконувати правила роботи із засобами захисту інформації, встановлених на комп'ютерах ІСПДн;
- зберігати в таємниці свій пароль (паролі). Відповідно до п. 7.5. даного Положення та з встановленою періодичністю міняти свій пароль (паролі);
- зберігати встановленим порядком своє індивідуальне пристрій ідентифікації (ключ) та інші реквізити в недоступному для сторонніх місці;
- виконувати вимоги Положення по організації антивірусного захисту в повному обсязі.
Негайно сповістити адміністратора інформаційної безпеки в разі втрати індивідуального пристрої ідентифікації (ключа) або при підозрі компрометації особистих ключів і паролів, а також при виявленні:
- фактів вчинення спроб несанкціонованого доступу (далі - НСД) до ІСПДн;
- несанкціонованих змін в конфігурації програмних або апаратних засобів ІСПДн;
- відхилень в нормальній роботі системних і прикладних програмних засобів, що утруднюють експлуатацію СВТ, виходу з ладу або нестійкого функціонування вузлів СВТ або периферійних пристроїв (сканера, принтера і т.п.), а також перебоїв в системі електропостачання;
- некоректного функціонування встановлених на комп'ютери технічних засобів захисту;
- непередбачених відводів кабелів і підключених пристроїв.
Користувачеві категорично забороняється:
- використовувати компоненти програмного і апаратного забезпечення ПЕОМ в неслужбових цілях;
- самовільно вносити будь-які зміни в конфігурацію апаратно програмних засобів ІСПДн або встановлювати додатково будь-які програмні та апаратні засоби, не передбачені архівом дистрибутивів встановленого програмного забезпечення;
- здійснювати обробку ПДН в присутності сторонніх (що не допущені до цієї інформації) осіб;
- записувати і зберігати ПДН на неврахованих машинних носіях інформації;
- залишати без нагляду комп'ютер, не активізувавши засоби захисту від несанкціонованого доступу (тимчасову блокування клавіатури та клавіатури);
- залишати без особистого нагляду на робочому місці або де б то не було своє персональне пристрій ідентифікації, машинні носії і роздруківки, що містять ПДН;
- навмисне використовувати недокументовані властивості і помилки в програмному забезпеченні або в налаштуваннях засобів захисту, які можуть привести до порушення конфіденційності ПДН;
- розміщувати кошти відображення інформації (монітор, принтер і т.п.) таким чином, щоб з них існувала можливість візуального зчитування інформації сторонніми особами.
Адміністратор безпеки повинен:
- знати склад основних і допоміжних технічних систем і засобів (далі - ОТСС і ВТСС) встановлених і змонтованих в ІСПДн, перелік використовуваного програмного забезпечення (далі - ПЗ) в ІСПДн;
- контролювати цілісність печаток (пломб, захисних наклейок) на периферійному обладнанні, захищених СВТ і інших пристроях;
- виробляти необхідні настройки підсистеми управління доступом встановлених в ІСПДн СЗІ від НСД і супроводжувати їх в процесі експлуатації, при цьому:
- реалізовувати повноваження доступу (читання, запис) для кожного користувача до елементів, що захищаються інформаційних ресурсів (файлів, каталогів, принтеру і т.д.);
- вводити опису користувачів ІСПДн в інформаційну базу системи розмежування доступу в ІСПДн;
- своєчасно видаляти опису користувачів з бази даних СЗІ при зміні списку допущених до роботи осіб;
- проводити інструктаж співробітників - користувачів комп'ютерів по правилам роботи з використовуваними технічними засобами і системами захисту інформації;
- контролювати своєчасне (не рідше ніж один раз протягом 360 днів) проведення зміни паролів для доступу користувачів до комп'ютерів і ресурсів ІСПДн;
- забезпечувати постійний контроль виконання співробітниками встановленого комплексу заходів щодо забезпечення безпеки інформації в ІСПДн;
- здійснювати контроль порядку створення, обліку, зберігання і використання резервних та архівних копій масивів даних;
- налаштовувати і супроводжувати підсистеми реєстрації та обліку дій користувачів при роботі в ІСПДн;
- організовувати друк файлів користувачів на принтері і здійснювати контроль за дотриманням встановлених правил і параметрів реєстрації та обліку паперових носіїв інформації;
- періодично тестувати функції СЗІ від НСД з використанням спеціальних засобів аналізу захищеності, особливо при зміні програмного середовища і повноважень виконавців;
- відновлювати програмне середовище, програмні засоби та настройки СЗІ при збоях;
- вести дві копії програмних засобів СЗІ від НСД і контролювати їх працездатність;
- періодично оновлювати антивірусні засоби (бази даних), контролювати дотримання користувачами порядок і правила проведення антивірусного тестування;
- проводити роботу з виявлення можливих каналів втручання в процес функціонування ІСПДн і здійснення несанкціонованого доступу до інформації та технічних засобів обчислювальної техніки;
- забезпечувати суворе виконання вимог щодо забезпечення безпеки інформації при організації технічного обслуговування ІСПДн і відправці його в ремонт (контролювати затирання персональних даних на носіях інформації);
- бути присутнім (брати участь) у роботах по внесенню змін до апаратно програмну конфігурацію ІСПДн;
- вести документацію на ІСПДн відповідно до вимог нормативних документів.
Порядок резервування та відновлення працездатності технічних засобів, програмного забезпечення, баз даних, що захищається і засобів захисту інформації
Справжній порядок визначає організацію резервування та відновлення працездатності технічних засобів і програмного забезпечення, баз даних і засобів захисту інформації.
До використання, для створення резервної копії в ІСПДн, допускаються тільки зареєстровані в Журналі обліку носії.
Адміністратор безпеки повинен здійснювати періодичне резервне копіювання персональних даних.
Носії інформації, призначені для створення резервної копії та зберігання персональних даних, видаються встановленим порядком адміністратором безпеки. Після закінчення процедури резервного копіювання електронні носії здаються на зберігання адміністратору безпеки, або керівнику.
При відновленні працездатності програмного забезпечення спочатку здійснюється резервне копіювання інформації, що захищається, потім проводиться повна деінсталяція некоректно працюючого програмного забезпечення.
Відновлення програмного забезпечення проводиться шляхом його інсталяції з використанням еталонних дистрибутивів, зберігання яких здійснюється адміністратором безпеки в спеціальному сховищі.
При роботі на комп'ютерах ІСПДн рекомендується використовувати джерела безперебійного живлення, з метою запобігання пошкодження технічних засобів і (або) інформації, що захищається в результаті збоїв в електромережі.
При відновленні працездатності засобів захисту інформації слід виконати їх налаштування відповідно до вимог безпеки інформації, викладеними в технічному завданні на створення системи захисту персональних даних.
Відновлення засобів захисту інформації проводиться з використанням еталонних сертифікованих дистрибутивів, які зберігаються у адміністратора безпеки. Після успішної настройки засобів захисту інформації необхідно виконати резервне копіювання налаштувань даних коштів за допомогою вбудованих в них функцій на зареєстрований носій.
Відповідальність за проведення резервного копіювання, заходів з відновлення працездатності технічних засобів, заходів з відновлення засобів захисту інформації покладається на адміністратора безпеки.
Порядок навчання персоналу практиці роботи в ІСПДн в частині забезпечення безпеки персональних даних
Перед початком роботи в ІСПДн користувачі повинні ознайомитися з вимогами цього Положення під розпис;
Користувачі повинні продемонструвати адміністратору безпеки наявність необхідних знань і умінь для виконання вимог цього Положення;
Відповідальним за організацію навчання і надання методичної допомоги в установі є адміністратор безпеки;
Справжні правила визначають вимоги до організації захисту об'єкта ІСПДн від руйнівного впливу шкідливого програмного забезпечення, комп'ютерних вірусів і встановлює відповідальність керівника і співробітників, які експлуатують і супроводжуючих комп'ютери в складі ІСПДн, за їх виконання.
До використання на комп'ютерах допускаються тільки ліцензійні антивірусні засоби;
Установка і початкова настройка засобів антивірусного контролю на комп'ютерах здійснюється адміністратором безпеки;
Адміністратор безпеки здійснює періодичне оновлення антивірусних засобів і контроль їх працездатності;
Ярлик (посилання) для запуску антивірусної програми повинен бути доступний всім користувачам інформаційної системи;
Щотижня на початку роботи, після завантаження комп'ютера в автоматичному режимі повинен проводитися антивірусний контроль всіх дисків і файлів комп'ютерів;
Обов'язковому антивірусного контролю підлягає будь-яка інформація (текстові файли будь-яких форматів, файли даних, виконувані файли), інформація на знімних носіях (магнітних дисках, стрічках, CD - ROM і т.п.). Контроль вихідної інформації необхідно проводити безпосередньо перед архівуванням і відправкою (записом на знімний носій);
Файли, що поміщаються в електронний архів на магнітних носіях, повинні в обов'язковому порядку проходити антивірусний контроль;
Встановлюється (змінюване) програмне забезпечення повинне бути попередньо перевірено на відсутність вірусів. Безпосередньо після установки (зміни) програмного забезпечення комп'ютера, адміністратором безпеки повинна бути виконана антивірусна перевірка ІСПДн;
На комп'ютери користувачів забороняється установка програмного забезпечення, не пов'язаного з виконанням функцій, передбачених технологічним процесом обробки інформації;
При виникненні підозри на наявність комп'ютерного вірусу (нетипова робота програм, поява графічних і звукових ефектів, спотворень даних, пропажа файлів, часта поява повідомлень про системні помилки і т.п.) користувач самостійно (або разом з адміністратором безпеки) повинен провести позачерговий антивірусний контроль комп'ютера.
У разі виявлення під час проведення антивірусної перевірки заражених
комп'ютерними вірусами файлів користувач зобов'язаний:
- призупинити обробку даних в ІСПДн;
- негайно повідомити про факт виявлення заражених вірусом файлів адміністратора безпеки, а також суміжні підрозділи, які використовують ці файли в роботі;
- спільно з власником заражених вірусом файлів провести аналіз можливості, подальшого їх використання;
- провести лікування або знищення заражених файлів.
Відповідальність за організацію антивірусного контролю в ІСПДн відповідно до вимог цього Положення покладається на адміністратора безпеки;
Відповідальність за проведення заходів антивірусного захисту в конкретній ІСПДн і дотримання вимог цього Положення покладається на адміністратора безпеки і всіх користувачів даної ІСПДн.
Дані правила регламентують організаційно-технічні заходи щодо забезпечення процесів генерації, зміни та припинення дії паролів в ІСПДн, а також контроль дій користувачів при роботі з паролями.
Організаційне та технічне забезпечення процесів генерації, використання, зміни та припинення дії паролів у всіх підсистемах ІСПДн і контроль дій користувачів при роботі з паролями покладається на адміністратора безпеки.
При доступі користувача в систему повинна здійснюватися ідентифікація і перевірка справжності за ідентифікатором і паролем, а також з використанням електронних ідентифікаторів.
Особисті паролі повинні генеруватися і розподілятися централізовано або вибиратися користувачами самостійно з урахуванням таких вимог:
- пароль повинен бути довжиною не менше шести букв і цифр;
- символи паролів для робочих станцій, на яких встановлено засіб захисту інформації від несанкціонованого доступу, повинні вводитися в режимі латинської розкладки клавіатури;
- пароль не повинен включати в себе легко обчислювані поєднання символів (імена, прізвища, найменування АРМ і т.д.), а також загальноприйняті скорочення (ЕОМ, ЛВС, USER і т.п.);
- при зміні пароля нове значення має відрізнятися від попередніх;
- користувач не має права повідомляти особистий пароль іншим особам.
Повна планова зміна паролів користувачів повинна проводитися регулярно, не рідше одного разу протягом 360 днів.
Щоб видалити обліковий запис користувача ІСПДн в разі припинення його повноважень (звільнення, перехід на іншу роботу всередині установи і т.п.) повинна проводитися адміністратором безпеки негайно після закінчення останнього сеансу роботи даного користувача з системою, на підставі вказівки керівника або начальника відділу кадрів.
Позапланова повна зміна паролів всіх користувачів повинна проводитися в разі припинення повноважень (звільнення, перехід на іншу роботу всередині установи та інші обставини) адміністратора безпеки.
У разі компрометації особистого пароля користувача ІСПДн повинні бути негайно вжиті заходи для зміни його пароля.
Контроль дій користувачів при роботі з паролями, дотримання порядку їх зміни, зберігання і використання покладається на адміністратора безпеки.
Правила поновлення загальносистемного і прикладного програмного забезпечення, технічного обслуговування ІСПДн
Справжні правила регламентують забезпечення безпеки інформації при проведенні оновлення, модифікації загальносистемного і прикладного програмного забезпечення, технічного обслуговування і при виникненні позаштатних ситуацій в роботі ІСПДн.
Право на встановлення, оновлення та модифікацію загальносистемного і прикладного програмного забезпечення комп'ютерів ІСПДн надається адміністратору безпеки.
Право внесення змін в конфігурацію апаратно-програмних засобів захисту інформації надається адміністратору безпеки, за погодженням з адміністратором безпеки ВЦ МОЗ РБ.
Зміна конфігурації апаратно-програмних засобів ІСПДн будь-ким, крім адміністратора безпеки заборонено.
Заявку на внесення змін в конфігурацію апаратно-програмних засобів захищених робочих місць ІСПДн, розглядає керівник, візує її, стверджуючи тим самим виробничу необхідність проведення зазначених в заявці змін.
Після чого заявка передається адміністратору безпеки для безпосереднього виконання робіт по внесенню змін в конфігурацію комп'ютера, зазначеного в заявці.
Установка або оновлення підсистем ІСПДн повинні проводитися в суворій відповідності з технологією проведення модифікацій програмних комплексів даних підсистем.
Установка і оновлення ПЗ (системного, прикладного, тестового і т.п.) на комп'ютерах проводиться тільки з оригінальних ліцензійних дистрибутивних носіїв (дискет, компакт-дисків і т.п.).
Все додаються програмні і апаратні компоненти повинні бути попередньо перевірені на працездатність, а також відсутність небезпечних функцій.
Після установки (поновлення) ПО, адміністратор безпеки повинен зробити необхідні настройки засобів управління доступом до компонентів комп'ютера і перевірити працездатність ПО і правильність їх налаштування.
При виникненні ситуацій, що вимагають передачі технічних засобів в сервісний центр з метою ремонту, адміністратор безпеки зобов'язаний вжити необхідних заходів для затирання захищається, яка зберігалася на дисках комп'ютера.
Контроль захисту інформації в ІСПДн - комплекс організаційних і технічних заходів, які організовуються і здійснюються з метою попередження і припинення можливості отримання сторонніми особами охоронюваних відомостей, виявлення і запобігання витоку інформації технічними каналами, виключення або суттєвого ускладнення несанкціонованого доступу до інформації, розкрадання технічних засобів і носіїв інформації, запобігання спеціальних програмно-технічних дій, що викликають порушення характеристик бе небезпеки інформації або працездатності систем інформатизації.
Основними завданнями контролю є:
- перевірка організації виконання заходів щодо захисту інформації в установі, врахування вимог щодо захисту інформації в розроблюваних планових і розпорядчих документах;
- виявлення демаскирующих ознак об'єктів ІСПДн;
- уточнення зон перехоплення оброблюваної на об'єктах інформації, можливих каналів витоку інформації, несанкціонованого доступу до неї і программнотехніческіх впливів на інформацію;
- перевірка виконання встановлених норм і вимог щодо захисту інформації від витоку технічними каналами, оцінка достатності та ефективності заходів щодо захисту інформації;
- перевірка виконання вимог щодо захисту ІСПДн від несанкціонованого доступу;
- перевірка виконання вимог з антивірусного захисту автоматизованих систем та автоматизованих робочих місць;
- перевірка знань працівників з питань захисту інформації та їх відповідності вимогам рівня підготовки для конкретного робочого місця;
- оперативне вжиття заходів щодо припинення порушень вимог (норм) захисту інформації в ІСПДн;
- розробка пропозицій щодо усунення (послаблення) демаскирующих ознак і технічних каналів витоку інформації.
Порядок охорони та допуску сторонніх осіб в приміщення ІСПДн
В установі повинна бути передбачена фізична охорона технічних засобів ІСПДн (пристроїв і носіїв інформації), що передбачає контроль доступу в приміщення сторонніх осіб, наявність надійних перешкод для несанкціонованого проникнення в приміщення і сховища носіїв інформації.
У приміщеннях повинна бути встановлена охоронна і пожежна сигналізація.
Серверне та комутаційне обладнання ІСПДн має перебувати під надійним замком, в окремому приміщенні або замикається шафі, ключ повинен зберігатися у адміністратора безпеки.
Розтин і закриття приміщень здійснюється співробітниками, що працюють в тих приміщеннях.
Список співробітників, що мають право розкривати (здавати під охорону) і опечатувати приміщення затверджується керівником і передається на пост охорони.
При закритті приміщень і здачею їх під охорону співробітники, відповідальні за приміщення перевіряють закриття вікон, вимикають освітлення, побутові прилади, оргтехніку і перевіряють протипожежний стан приміщення, а документи і носії інформації на яких містяться персональні дані, прибираються для зберігання в замикається ящик столу або сейф .
При виявленні пошкодження замків, дверей або наявності інших ознак, що вказують на можливе проникнення в приміщення сторонніх осіб, приміщення не розкривається, а складається акт, в присутності охоронця. Про подію негайно повідомляється керівнику і (або) відповідальному за захист інформації.
При спрацьовуванні охоронної сигналізації в службових приміщеннях в неробочий час охоронець повідомляє про те, що трапилося відповідального за приміщення, або відповідального за захист інформації, або керівнику, або адміністратору безпеки.
Вимоги цього Положення є обов'язковими для всіх співробітників, що обробляють персональні дані.
Порушення вимог цього Положення тягне за собою дисциплінарну, цивільно-правову, адміністративну або кримінальну відповідальність відповідно до законодавства Російської Федерації.
