Регламент защиты информационной системы ПДн

Во многих небольших компаниях все устройства — от бухгалтерского компьютера до принтера и гостевого Wi-Fi для посетителей — находятся в одной общей сети. Проблема в том, что взлом самого слабого звена, например незащищённого умного устройства или гостевой точки доступа, в такой сети открывает путь ко всему остальному, включая систему с персональными данными.

Сегментация — это разделение сети на изолированные части так, чтобы компрометация одного участка не давала автоматического доступа к другому. Мера входит в состав технических мер, применение которых требует статья 19 закона 152-ФЗ, а её конкретная глубина зависит от уровня защищённости ИСПДн.

Практический подход к сегментации для небольшой и средней компании обычно включает как минимум:

• выделение сегмента, в котором работает ИСПДн, в отдельную сеть или подсеть;
• отделение гостевого доступа в интернет от рабочей сети компании;
• ограничение доступа из сегмента ИСПДн к остальной корпоративной сети только теми направлениями, которые реально нужны для работы;
• отдельный, более строгий контроль для устройств, которые физически или удалённо подключаются к сегменту ИСПДн.

Регламент должен описывать не абстрактную схему «в идеале», а фактическую топологию сети компании, чтобы по документу можно было понять, где проходят границы сегментов и кто отвечает за их поддержание.

Межсетевой экран — устройство или программное средство, которое контролирует, какой трафик разрешён между сегментами сети и внешним миром, по заранее заданным правилам. Регламент должен фиксировать, где именно установлены такие средства, какие правила действуют на границе с сегментом ИСПДн и, что не менее важно, кто и в каком порядке вправе менять эти правила.

Бесконтрольное изменение правил межсетевого экрана — частая причина того, что защита, изначально настроенная корректно, со временем «размывается»: для решения сиюминутной задачи открывается лишнее правило, а закрыть его обратно забывают. Порядок согласования изменений правил стоит связать с общим регламентом управления конфигурацией системы.

Полезно периодически, например раз в квартал, проводить ревизию действующих правил межсетевого экрана: сверять их с реальными задачами, которые они должны обслуживать, и удалять то, что было открыто для давно завершённого проекта или уволенного подрядчика, но так и осталось в конфигурации.

Отдельное направление меры ЗИС — защита персональных данных при их передаче по каналам связи, особенно там, где эти каналы проходят через сети общего пользования, включая интернет. Речь идёт о шифровании соединения при удалённом доступе сотрудников к системе, защищённом протоколе для веб-интерфейсов, через которые вводятся или просматриваются персональные данные, и контролируемом порядке организации удалённого доступа для сотрудников, работающих вне офиса.

Особого внимания требует подключение через публичные сети Wi-Fi и личные устройства сотрудников: если регламент не описывает для них отдельные требования, канал связи фактически остаётся незащищённым, сколько бы средств защиты ни было установлено внутри самой системы.

Многие ИСПДн взаимодействуют с внешними системами: сервисом email-рассылок, платёжным шлюзом, системой электронного документооборота. Каждое такое подключение — потенциальная точка, через которую данные покидают контролируемый периметр компании или через которую можно получить доступ внутрь.

Регламент должен вести перечень таких внешних подключений.

Появление нового внешнего подключения — это событие, которое должно проходить через согласование, а не настраиваться техническим специалистом «по факту возникшей задачи» без фиксации в документах.

При смене подрядчика или прекращении договора стоит сразу же отключать техническую возможность взаимодействия с его стороны — учётные записи, ключи доступа, интеграционные токены, — а не полагаться на то, что доступ перестанет использоваться сам собой после окончания договорных отношений. Такая просроченная, но технически рабочая интеграция — источник риска, о котором компания может даже не подозревать.