Какие именно средства защиты информации использовать? - Форум по вопросам информационной безопасности

Занимаемся разработкой аппаратно-программного комплекса, в котором будет осуществляться передача персональных данных от клиента к серверу. Подскажите, пожалуйста, где можно прочитать конкретный перечень требуемых средств защиты информации и поводы для их использования, а то всё, что удаётся найти, сводится к общим формулировкам.

ПАК, да и АПК - это средство достижения конкретных целей или решения конкретных задач, а никак не сама (информационная) система (персональных данных) в целом...
Хороший пример ПАК - NGFW от CheckPoint (хотя сейчас это, пожалуй, звучит неимпортозаместительно, ага)...
Хороший пример АПК - IBM-совместимый компьютер...
Так что вы разрабатываете, где там передача ПДн, что понимается под "требуемыми средствами защиты информации", куда их там внедрять и, главное, кем требуемыми?

Аппаратная часть - некое устройство, которое снимает показатели текущего состояния здоровья пациента (пульс, давление и т.д.) и по сотовой связи передаёт эти данные на сервер, где они сохраняются в базу данных, с сервера их берёт приложение на рабочем месте лечащего врача, который эти жизненные показатели отслеживает.

Насколько получилось разобраться, показатели состояния здоровья являются ПД, следовательно, попадают под необходимость их защиты. Регламентирует порядок защиты ПД, в свою очередь, ФСТЭК. Если всё правильно, то как раз таки с поиском чёткого регламента и имеются проблемы.

to Siberian:

> Насколько получилось разобраться, показатели состояния здоровья являются ПД...
Только когда связаны с определённым человеком. Если снятие показателей пульса, давления и т.д. осуществляется без привязки к фамилии, имени, ИНН и другой персонифицированной информации, то откуда им (персональным данным) взяться?! Это обезличенные показания. Просто набор каких-то цифр и букв определенного формата.

Фитнесс-браслеты тоже снимают показатели пульса, давления и передают их куда скажешь. Но сбор идет с "привязкой к устройству", а уже устройство (фитнес-браслет) передает собранные показатели от своего "нечеловеческого" лица. Только в момент связи этих показателей с конкретной персоной они станут его частью, т.е. персональными данными.
Другой яркий пример: любое медицинское оборудование для инструментального обследования. Например, суточное мониторирование артериального давления (СМАД). Человек около суток ходит с устройством, которым с заданной периодичностью измеряются показания артериального давления. Накопленные данные переносятся с устройства и обрабатываются. А "привязка" собранных данным и результатов обработки с пациентом осуществляется в СУБД ЛПУ (протоколам обследования, медкартам), куда они переносятся после обработки и становятся часть персональных данных пациента.
Но может у вас уникальный случай, когда персональные данные человека необходимо вносить на устройство и без обезличенности никак не обойтись?

to Siberian
Нет регламентов для ПАК. Нет регламентов для ПК. Есть требования той же ФСТЭК к информационными системам. И ваша связка "устройство сбора показателей состояния пациента + удаленный сервер + его СУБД + раб.станция врача" (на логическом уровне) как раз = ИСПДн...
Регламентирует вопросы обработки (и защиты) ПДн в целом 152-ФЗ, ПП РФ 1119 за 2012 г., доп.регламенты Роскомнадзора и уже на уровне технической защиты 21 Приказ ФСТЭК. Но, с учетом передачи данных сетям связи общего пользования, сюда же подключается 378 Приказ ФСБ по защите передаваемой информации. При этом большинство требований предъявляется к необезличенным ПДн...
В сухом остатке, да, лучше гнать от устройства сбора обезличку на сервер. Лучше даже на сервере хранить обезличку. И лучше всего обезличку же предоставлять на раб.станцию врача. Где уже врач плюсует к этой обезличке конкретные идентифицирующие данные пациента и, при необходимости, по защищенному каналу передает их на защищенный же сервер (или в защищенную БД первого и единственного сервера). А вот уровень и итоговые меры защиты для раб.станции и оконечного сервера следует выбирать, исходя из приведенных выше нормативных документов. Такой способ обеспечит наименьший геморрой...
И, в определенном смысле, раз уж вы как проектировщик/разработчик реализуете всю эту цепочку самостоятельно, то вам следует также ознакомиться с понятием "автоматизированная система в защищенном исполнении". В том смысле, что на выходе получится защищенная система "под ключ" с явно определенными показателями, требованиями, характеристиками угроз, нарушителей и мер защиты. Которую достаточно будет тупо разместить в нужных мед.учреждениях, выполнив при этом ряд дополнительных мер защиты, которые также предусматриваются вами как проектировщиком/разработчиком...

Да, получается, что на этапе передачи данных от устройства на сервер они обезличены, ибо имеется только идентификатор устройства и набор самих данных, а уже на сервере по идентификатору данные связываются с пациентом.

Получается, заморачиваться с защитой на этапе передачи смысла нет, можно просто запаковывать данные как удобно, а уже где-то в связке сервер-АРМ превращать обезличенные показания в ПД и организовывать защиту.

Если я вас правильно понял, то благодарю за ответы :)

Да, получается, что на этапе передачи данных от устройства на сервер они обезличены, ибо имеется только идентификатор устройства и набор самих данных, а уже на сервере по идентификатору данные связываются с пациентом.

Получается, заморачиваться с защитой на этапе передачи смысла нет, можно просто запаковывать данные как удобно, а уже где-то в связке сервер-АРМ превращать обезличенные показания в ПД и организовывать защиту.

Если я вас правильно понял, то благодарю за ответы :)

1. Не наблюдаю здесь необходимости чего либо защищать в части персональных данных. Потому что аппаратные данные не имеет смысла привязывать к чему либо, кроме как к обезличенному коду, определяющему набор оборудования, задание и номер сессии, то есть измерения. Частный случай холтеровского мониторирования. Дойдите до стационара кардиологического отделения, узнайте кто делает мониторинг по холтеру и попросите объяснить, как они всё это проводят-записывают в журналы. 2. Проблему защиты ПДн надо вывести за рамки проекта. Это дело эксплуатанта ИСПДн. При нормальном подходе в базе хранится только набор неких данных, привязанных к задаче номер такой то. И фсё. Нач.отд.ТЗИ.