Регламент ограничения программной среды ИСПДн

Неучтённая программа — источник как минимум двух рисков. Во-первых, она может содержать вредоносный код или уязвимость, через которую данные утекут наружу без ведома компании. Во-вторых, даже безобидная утилита способна конфликтовать с уже настроенными средствами защиты или создавать дополнительный канал передачи данных, например бесплатный облачный синхронизатор файлов, установленный «для удобства».

Мера ОПС не запрещает сотрудникам работать с нужными программами — она переводит установку и запуск программного обеспечения из режима «каждый решает сам» в режим согласованного и контролируемого процесса. Это часть общего состава мер, необходимых и достаточных для защиты ПДн по статье 19 закона 152-ФЗ.

Белый список — это перечень программ, разрешённых к использованию на рабочих местах, которые взаимодействуют с ИСПДн. Всё, что не входит в список, по умолчанию запрещено.

Такой подход технически реализуется по-разному — от организационного запрета, закреплённого в регламенте и подтверждённого подписью сотрудника, до технических ограничений на уровне операционной системы, если это оправдано уровнем защищённости системы.

Регламент должен отвечать на практический вопрос сотрудника: что делать, если для работы понадобилась программа, которой нет в списке.

1. Сотрудник подаёт заявку с указанием цели использования и источника получения программы.
2. Заявка попадает ответственному за информационную безопасность или ИТ-специалисту.
3. Программа проверяется на предмет репутации разработчика и минимально необходимых прав доступа.
4. При положительном решении программа добавляется в белый список с указанием версии.

Отдельно стоит прописать упрощённый порядок для срочных случаев, чтобы регламент не тормозил реальную работу, но и такой порядок должен заканчиваться формальным включением программы в список задним числом, а не молчаливым допуском.

Стоит заранее решить, кто именно вправе давать такое разрешение в срочном порядке — обычно это тот же сотрудник, что согласовывает заявки в обычном режиме, а не любой руководитель отдела. Иначе срочный порядок быстро превращается в лазейку, через которую проходит любое ПО без реальной проверки.

Пиратское и нелицензионное ПО. Помимо юридических рисков, такие программы чаще содержат встроенные уязвимости и реже получают обновления безопасности.

Портативные программы с флешки. Запускаются в обход установки и потому легко остаются незамеченными при инвентаризации, если она построена только на списке установленных программ.

Облачные сервисы синхронизации файлов личного назначения. Сотрудник копирует туда рабочие документы с персональными данными «чтобы было под рукой», и данные оказываются вне контролируемого периметра компании.

Расширения браузера. Часто устанавливаются в один клик и получают широкие права на просматриваемые страницы, включая формы с персональными данными.

Полный технический контроль программной среды — с автоматическим запретом запуска несогласованных исполняемых файлов — оправдан для систем с высоким уровнем защищённости, который определяется по Постановлению Правительства РФ № 1119 от 01.11.2012. Небольшой компании, где обрабатываются данные ограниченного круга сотрудников или клиентов, обычно достаточно организационной версии меры: письменного перечня разрешённого ПО, приложенного к регламенту, и правила «новую программу — сначала согласовать».

Практический минимум: составить актуальный список того, что реально установлено на рабочих местах с доступом к ИСПДн, сверить его с фактическими задачами сотрудников и закрепить приказом, что установка нового программного обеспечения без согласования запрещена. Дальше список поддерживается по факту согласованных заявок, а не переписывается заново при каждой проверке.

Такой минимальный подход не требует специального программного обеспечения для контроля и подходит компании, где ответственным за ИТ и информационную безопасность выступает один и тот же человек. Со временем, если система усложняется, к организационным мерам добавляются технические — например, ограничение прав на установку программ на уровне операционной системы для рядовых пользователей.