Классификация ИСПДН - Форум по вопросам информационной безопасности

По объему обрабатываемых ПДн (Xпдн) ИСПДн подходит под 3-й класс, однако сходя из требований пункта 7.2 документа ОБ УТВЕРЖДЕНИИ ПОРЯДКА
ПРОВЕДЕНИЯ КЛАССИФИКАЦИИ ИНФОРМАЦИОННЫХ СИСТЕМ
ПЕРСОНАЛЬНЫХ ДАННЫХ
"... или персональные субъектов ПДн, работающих в отрасли экономики РФ, в органе государственной власти..." ИСПДн должна быть классифицирована по 2-му классу
Вопрос: Возможно ли классифицировать ИСПДн по по 3 классу, если количество субъектов ПДн менее 1000, ПДн используются в пределах одного органа государственной власти и связаны с трудовыми отношениями субъектов.

В процитированном фрагменте идет речь о случаях, когда ИСПД обрабатывает данные всех субъектов одной большой области.

Например, в каком-нибудь Гиагинском р-не Адыгеи проживает 33 тыс. человек. Это меньше 100 тыс, но, несмотря на это, любая система, обрабатывающая ПД всех этих 33 тыс. человек, живущих в этом муниципальном оборазовании, должны быть отнесена ко второму классу. При этом какая-нибудь ИСПД системы образования, охватывающая только подкласс субъеков этого мунициапального образования, уже будет относиться к классу 3.

То же самое касается систем, обрабатывающих ПД всех сотрудников ОГВ (включая его центральный аппарат, территориальные органы и районные отделы).

Тогда возникает следующий вопрос. В ИСПДн обрабатываются ПДн 5000 работников одной организации в данном случае Хнпд 3 или 2? (данный пример описан тут http://www.leta.ru/press-center/publications/article_486.html) легитимно ли так делать?

Можно усугубить ситуацию. Предположим есть организация Гринпис или сообщество любителей ОС Linux, то количество записей может перевалить за 100 тыс, но будет в пределах одной организации то какой показатель Хнпд брать в данном случае? Подскажите пожалуйста для лучшего понимания законодательства.

Если читать внимательнее совместный Приказ № 55/86/20, то становится ясно, что объём обрабатываемых персональных данных (Хнпд) не зависит от числа записей о субъектах. Данный показатель зависит от числа ОДНОВРЕМЕННО обрабатываемых данных субъектов. Официального толкования сего феномена от государственных органов я не встречал, а с технической точки зрения процесс обработки в любой СУБД осуществляется последовательными во времени транзакциями. Так отделив хранение данных от остальных видов обработки, защита на объекте намного упрощается...

При обработке ясно, хотя трудно представить систему в которой ни разу не происходит составление списка ПДн, к примеру сортировка может легко составить список в памяти, не говоря уже об отчетах (опасно так играться с ПДн). Но хранение от этого ни куда не уходит и вопрос остается открытым.

При обработке ясно, хотя трудно представить систему в которой ни разу не происходит составление списка ПДн, к примеру сортировка может легко составить список в памяти, не говоря уже об отчетах (опасно так играться с ПДн). Но хранение от этого ни куда не уходит и вопрос остается открытым.

Ну, смотря в чьей памяти составляется список? Кроме того, составление списка ПДн или сортировка разве не являются ли отдельными видами обработки данных?
Я повторю свою позицию. С технической точки зрения все алгоритмы обработки БД есть последовательное обращение к записям этой базы и применение к ним того или иного алгоритмического преобразования, поэтому нормативное требование ОДНОВРЕМЕННОЙ обработки данных толкуема относительно – одновременно чего или с чем? Если обособить хранения от всех других стадий обработки данных, то основные «силы» защиты целесообразно направить в места хранения этих данных, в то время как, защита мест обработки ПДн (без хранения) не потребует минимальных затрат. На практике такой вариант можно реализовать просто: обособив сервер БД и ввести порядок учёта и хранения съёмных носителей информации, куда пользователи будут «скидывать» выборки из БД, а вся остальная обработка будет последовательна и ограничена во времени. Эта схема есть только вариант решения проблемы и совершенно не претендует на нобелевскую премию – где-то она сработает, а где-то и нет…

> Если обособить хранения от всех других стадий обработки данных, то...

Что же вы так законы не любите :)

В ФЗ-149 ясно сказано. что информационная система является совокупностью содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств. И если информацию и технические средства вы худо-будно можете разделить на относительно автономные куски, то разделить на такие куски информационную технологию, мягко говоря, проблематично.

Т.е., если, скажем, запрос на построение отчета обрабатывается сервером приложений, который получает необходимые для отчета данные из СУБД, то вы не можете разделить эту систему на СУБД и сервер приложений. Т.е. разделить вы можете - бумага все стерпит - но при проверке рискуете получить вполне обоснованные заменчания о недопустимости такого произвола.

Все мы любим наши законы, такие простые и ясные для любого человека…
Никакого произвола я не предлагаю, а просто выразил свои наблюдения и вариант решения для его обсуждения «опытными защитниками» форума (мне было интересно просто поделиться и пообсуждать такой вариант, а не учить кого-то жизни).
В конкретном случае я просто постарался обратить внимание на буквальное прочтение нормативного требования. Показатель объёма обрабатываемых персональных данных (Хнпд), согласно совместному Приказу № 55/86/20, есть величина не абсолютная, а относительная (за счёт слова «одновременно»), при этом показателя этой относительности нет ни в документах, ни в комментариях, ни в рекомендациях государственных органов. Значит дальше наше право: можем ли мы это обернуть в свою пользу или нет. Поскольку с технической точки зрения программная обработка записей ведётся во времени не одновременно, а последовательно, вот я и предложил вариант обособить (изолировать) место хранения данных, тогда все другие виды обработки будут (опять же с технической точки зрения) только последовательны, а операции обработки ПДн будут осуществляться по одной друг за другом (т.е. показатель Хнпд всегда будет равен 3). В некоторых случаях такой вариант может сильно повлиять на схему защиты по стоимости и организации орг.-тех. мер… Что является произволом в предложенном варианте?!
Кроме того, я не предлагал «делить на куски информационную технологию», я говорил о варианте отделения одной стадии техпроцесса (хранение) от всех остальных стадий обработки (тем самым найти на извечный вопрос: «А что будет, если…»). Не уж то поиск и рассмотрение нестандартных вариантов или другой точки зрения для защиты информации и аттестации произвол? Я думал, что на этом форуме «опытным» людям будет интересно…
И, тем не менее, я отвечу на второе замечание. В моём понимании информационная технология – это прежде всего «инструмент» обработки информации. Я не против определения информационной технологии в законе № 149-ФЗ и я не спорю о её сущности! Если по отношению к информации ИТ является инструментом, то зачем мне его делить? (Хотя тут тоже есть варианты над чем подумать: аттестовываем в итоге АС, являются ли ИТ и АС одним и тем же? Или есть разница?). Если я рассматривал вариант отделения (обособления) не инструмента, а одной стадии (в частности хранение данных), то, на мой взгляд, разница существенна между разделением инструмента обработки и разделением процесса обработки данных. При этом я подчёркивал, что вариант не является абсолютным решением, а всего лишь вариантом, который где-то сработает, а где-то и нет.

> я говорил о варианте отделения одной стадии техпроцесса (хранение) от всех остальных стадий обработки (тем самым найти на извечный вопрос: «А что будет, если…»).

Дык, и я о том же :) Попробуйте взглянуть на ваше предложение глазами критически настроенного наблюдателя (например, проверяющего). Давайте рассмотрим информационнцю технологию поиска в адресной книге одного абонента МГТС.
1. На АРМ пользователя вводится поисковый критерий
2. В СУБД осуществляется поиск среди 5000000 абонентов
3. Результаты поиска возвращаются АРМ

Вы согласились, что это - единая информационная технология обработки запроса пользователя. Расскажите, пожалуйста, как вы, не нарушая единства технологии, отделите:
а) поиск абонента, соответствующего заданному критерию, среди 5000000 абонентов, от формирования результатов поиска?
б) хранение 5000000 абонентов от поиска в этом массиве?

Или приведите пример информационной технологии, в которой подобное отделение возможно. А то сейчас коллеги вас послушают и побегут выделять СУБД в отдельную BС :)

> являются ли ИТ и АС одним и тем же?

ИС и АС вы имели в виду? Так мы только об ИС говорим. А ИТ является составной частью ИС - по определению.

> Если я рассматривал вариант отделения (обособления) не инструмента, а одной стадии (в частности хранение данных)...

То это не дает вам права говорить, что совокупность информации и технических средств ее обработки на этой стадии суть отдельная ИС - опять-таки, по определению ИС.

> При этом я подчёркивал, что вариант не является абсолютным решением, а всего лишь вариантом, который где-то сработает, а где-то и нет.

Вот и хотелось бы увидеть пример ИС, в которой этот вариант сработал бы. Несмотря на богатую фантазию, я его придумать не могу.