Блог Сергея Борисова про ИБ

В одной из предыдущих заметок я приводил демонстрацию анализа и выбора мер защиты по новому комплекту документов (ПП 1119, Приказ ФСТЭК №21) на примере ИСПДн с общедоступными ПДн. В комментариях к заметке было интересное обсуждение с читателями, в результате которого было высказано мнение, что исключать лишние меры можно на этапе адаптации базового набора мер, исходя из особенностей функционирования ИС в которой не актуальны угрозы для нейтрализации которых применяется данная мера. Я решил рассмотреть ещё раз ту же задачу с теми же исходными данными и с приведенным выше подходом. В варианте, когда модель угроз делается по собственной корпоративной методике и приводит к тому что все угрозы будут неактуальны – нам не интересен (перечень мер будет нулевым) и я далее его не рассматриваю. Будем делать МУ по методическому документу ФСТЭК. Для данного примера я использую базовый перечень угроз + дополняю его парой угроз связанных с НДВ. Для примера их будет достаточно. А в ...

Уже достаточно давно обновился комплект подзаконных актов по защите ПДн (ПП 1119 и приказ ФСТЭК №21) а примеров выбора необходимых мер никто не решился опубликовать. Исправим этот недочет. Возьмем  для примера ИС “корпоративный справочник сотрудников” в котором обрабатываются общедоступные контактные ПДн сотрудников.   О проблеме защиты таких ИСПДн с учетом новых требований я уже писал ранее . Такие ИС есть в каждой организации – внутренние web порталы, справочники сотрудников в O utlook, справочники сотрудников систем электронного документооборота, Microsoft AD и других корпоративных ИС, да просто справочник в Excel на общем сетевом диске. Раньше мы защищали такие ИС используя стандартные меры ИБ, применяющиеся в Организации в целом, не связанные требованиями регулятора. Посмотрим как обстоит дело сейчас. Первым делом мы определили и зафиксировали основные (не считая УЗ) и дополнительные характеристики ИС.   Данные характеристики мы ...

Подписано ПП №1119, о проекте которого я уже писал в предыдущей заметке .  К замечаниям, которые я  приводил в ней, добавляется следующее. В данный момент в большей части информационных систем или технологических процессов обрабатываются общедоступные персональные данные или малоценные обезличенные персональные данные. Примерами таких систем или технологических процессов являются: ·         Корпоративные справочники сотрудников ·         Перечни учетных записей пользователей в любом приложении (например, имя, должность, логин, контактный телефон) ·         Перечни учетных записей пользователей в любом корпоративном сервисе, таком как AD , телефония ·         Клиентские кабинеты на web портале (имя, логин, емейл) ·         Любые онлайн формы для обращений клиентов (имя, емейл, контактн...