Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, утверждены ФСБ России 31.03.2015 № 149/7/2/6-432.
Кому адресованы
Федеральным органам исполнительной власти, органам власти субъектов, органам государственных внебюджетных фондов и иным государственным органам, которые определяют угрозы безопасности персональных данных в своей сфере. Рекомендации содержат только положения в компетенции ФСБ России — то есть о применении средств криптографической защиты информации (СКЗИ).
Во введении сказано, что рекомендациями целесообразно руководствоваться и операторам, которые решили защищать персональные данные с помощью СКЗИ, при разработке частных моделей угроз. Сами рекомендации не требуют согласовывать с ФСБ России частные модели угроз, подготовленные на их основе (заключение). Это не отменяет согласования по другим актам: для государственных систем техническое задание и (или) модель угроз согласуют с ФСБ России и ФСТЭК России по пункту 3 Требований, утверждённых постановлением Правительства Российской Федерации от 06.07.2015 № 676.
Что в них
- описание информационных систем: однотипные, разноплановые и смешанный случай; назначение, объём персональных данных, характеристики безопасности, контролируемая зона, каналы связи и носители (раздел 1);
- когда СКЗИ нужны: персональные данные подлежат криптографической защите по закону либо есть угрозы, которые нейтрализуются только СКЗИ, — передача по незащищённым каналам и хранение на носителях, доступ к которым не исключён другими мерами. Оператор может решить применять СКЗИ и сам (раздел 2);
- объекты защиты помимо персональных данных: СКЗИ, среда их функционирования, ключевая информация, документация, носители, каналы связи и помещения (пункт 3.1);
- источники атак: категории лиц с доступом в контролируемую зону, привилегированные пользователи; таблица обобщённых возможностей источников атак — Таблица № 1 (пункт 3.2);
- правила перехода к таблице уточнённых возможностей нарушителей и направлений атак (Таблица № 2) с обоснованием неактуальности угроз (пункт 3.3), примеры заполнения — в приложениях № 1 и № 2.
Как применяются
От того, какие возможности нарушителя признаны актуальными, зависит класс СКЗИ по приказу ФСБ России от 10.07.2014 № 378. Угрозы, которые нейтрализуются некриптографическими мерами, оценивают по Методике оценки угроз безопасности информации ФСТЭК России от 05.02.2021.
Где рекомендации нужны при защите государственной системы, разобрано в статье «Положение о ГИС по постановлению № 712: что в нём должно быть о защите информации».