В приведении бизнеса в соответствие с каким-либо новым законом есть два аспекта. С одной стороны, необходимо точно выполнить требования закона и избежать штрафных санкций. С другой стороны, выполнение этих требований должно быть эффективно вписано в бизнес-процессы и не оказывать негативного влияния на бизнес. Идеями о том, как обеспечить выполнение требований Федерального закона №152 и органично вписать этот процесс в систему управления ИБ, делится Константин КОРОТНЕВ, начальник отдела аудита и консалтинга компании АМТ-ГРУП.

Как известно, в построении современных СУИБ (систем управления информационной безопасностью) широкое распространение получил процессный
подход. Смысл его заключается в непрерывном улучшении системы защиты через переоценку рисков, анализ, постоянное совершенствование моделей защиты. Именно на таком подходе основаны системы управления информационной безопасностью крупных российских банков. Поэтому и выполнение требований Федерального закона №152 («О персональных данных») логично рассматривать в контексте процессно-ориентированного управления ИБ.

Вписать выполнение требований закона №152 в корпоративную процессно-ориентированную СУИБ следует минимум по трем причинам. Во-первых, процессный подход, зарекомендовавший себя в других областях ИБ, обеспечит успешное решение задачи по выполнению требований закона №152. Во-вторых, необходимость приведения ИС в соответствие с требованиями закона «О защите персональных данных» меняет условия соответствия отраслевым стандартам, таким как СТО БР ИББС (Стандарты Банка России в области информационной безопасности) и PCI DSS (Payment Card Industry Data Security Standard). Сохранить соответствие стандартам удастся с помощью корректировки бизнес-процессов - т.е. внесения дополнений в СУИБ. Наконец, начиная с января 2011 года непременным условием корректной работы СУИБ станет учет рисков и факторов, связанных с Федеральным законом «О защите персональных данных».

ЗАКОН И ЕГО ПРОЦЕСС

Прежде всего, в СУИБ предлагается добавить процесс «Управление защитой ИСПДн» (информационных систем персональных данных). В частности, специалисты АМТ-ГРУП предлагают применять к менеджменту процесса «Управление защитой ИСПДн» модель Деминга, реализующую цикл «Plan-Do-Check-Act». Схема использования цикла Деминга для организации управления защитой персональных данных приведена на рисунке 1.

Применение цикла Деминга позволит поддерживать актуальность принимаемых мер по защите ИСПДн и в случае изменения структуры ИС, и в случае изменения требований регуляторов.

ЗАКОН №152 И ОТРАСЛЕВЫЕ СТАНДАРТЫ

Отраслевые стандарты СТО БР ИББС и PCI DSS предписывают учитывать требования законодательства в области защиты ПД в ходе выполнения ряда процессов управления ИБ.
Например, СТО БР ИББС требует:
• учитывать требования по защите ПД при разработке моделей угроз для ИС, обрабатывающих персональные данные;
• создавать частную политику защиты ПД в рамках документации СМИБ организации БС РФ;
• учитывать требования по защите ПД при инвентаризации и классификации активов.
А PCI DSS предписывает учитывать требования законодательства в области защиты ПД при выборе технических решений, реализующих защиту систем, обрабатывающих ПД.

МОДЕРНИЗАЦИЯ ПРОЦЕССОВ МЕНЕДЖМЕНТА ИБ

Увязать процесс «Управление защитой ИСПДн» с другими процессами менеджмента ИБ можно с помощью разработки схемы взаимодействия процессов. Пример фрагмента такой схемы приведен на рисунке 2. Красным цветом выделены связи, которые необходимо установить между процессами.

Из схемы видно, что для встраивания процесса «Управление защитой ИСПДн» необходимо модернизировать остальные процессы менеджмента ИБ. В частности, нужно изменить структуру обрабатываемых в процессах данных: добавить информацию, которая обеспечит связь с процессом «Управление защитой ИСПДн».

Рассмотрим примеры возможных модификаций процессов менеджмента.

При проведении инвентаризации и категорирования активов необходимо определить, относится ли актив к информационной системе, обрабатывающей персональные данные, и в случае положительного решения произвести классификацию этой информационной системы, т.е. запустить процесс «Классификация ИСПДн».

В дальнейшем, в процессе анализа рисков, при выполнении оценки риска для ИСПДн необходимо помимо рисков ИБ оценить риски, связанные с последствиями несоблюдения законодательных требований в области защиты ПДн.

В процессе разработки моделей угроз необходимо предусмотреть передачу разработанных моделей угроз в процесс «Управление защитой ИСПДн» для хранения и предоставления в случае необходимости проверяющим органам, а также для дальнейшего формирования частных технических заданий на реализацию мер по защите ИСПДн.

Процесс «Разграничение и контроль доступа к активам» подвергается модернизации для обеспечения возможности предоставления доступа к ИСПДн в соответствии с требованиями законодательства и передачи информации о доступе в процесс «Управление защитой ИСПДн».

Процесс «Внутренний аудит» получает от процесса «Управление защитой ИСПДн» информацию о дополнительных критериях, на соответствие которым необходимо проверять деятельность сотрудников организации, связанных с доступом к ПДн.

Специалисты АМТ-ГРУП, обладающие многолетним опытом построения процессно-ориентированных СУИБ, готовы применять этот подход к процессу «Управление защитой ИСПДн» и органично вписывать его в СУИБ. В результате банк достигнет соответствия требованиям регуляторов в области защиты ПДн. А СУИБ банка сможет эффективно решать свою основную бизнес-задачу по экономически оправданному и риск-ориентированному обеспечению ИБ.