Автоматизация выбора средств защиты персональных данных на основе анализа их защищенности

• Автор: Голембиовская, Оксана Михайловна
• Шифр специальности: 05.13.19
• Научная степень: Кандидатская
• Год защиты: 2013
• Место защиты: Брянск
• Количество страниц: 171 с. : ил.

Введение.
ГЛАВА 1 АНАЛИЗ СУЩЕСТВУЮЩИХ ПОДХОДОВ К РЕШЕНИЮ ЗАДАЧИ ОЦЕНКИ ЗАЩИЩЕННОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1.1 Состояние проблемы обеспечения защиты персональных данных, обрабатываемых в информационных системах.

1.2 Обзор методов оценки защищенности информационных систем

1.2.1 Оценка защищенности на основе модели комплекса механизмов защиты.

1.2.2 Семантические показатели защищенности ИС

1.2.3 Нечеткие оценки защищенности информационных систем

1.2.4 Комплексные оценки защищенности ИС

1.2.5 Метод оценки на основе групповых показателей

1.3 Особенности процедуры оценки защищенности информационных ресурсов.

1.4 Анализ возможностей существующих программных продуктов, осуществляющих оценку защищенности информационных ресурсов
1.5 Обзор методов выбора средств защиты информации
1.6 Выбор модели представления знаний в автоматизированной системе выбора средств защиты персональных данных на основе анализа
их защищенности.
1.7 Обоснование необходимости разработки автоматизированной системы выбора средств защиты персональных данных на основе анализа их защищенности.
1.8 Выводы к первой главе.
1.9 Постановка цели и задач исследования
ГЛАВА 2 ФОРМАЛИЗАЦИЯ ПРОЦЕДУРЫ ОЦЕНКИ ЗАЩИЩЕННОСТИ И ВЫБОРА СРЕДСТВ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1 Сетевая модель представления знаний в автоматизированной системе выбора средств защиты персональных данных на основе анализа
их защищенности.
2.2 Разработка методики категорирования персональных данных
2.3 Методика применения групповых показателей для оценки состояния защищенности ИСПДн.
2.4 Методика оценки рисков безопасности персональных данных на основе математического ожидания
2.5 Модель выбора средств защиты персональных данных, обрабатываемых в информационных системах персональных данных в условиях многокритериальной нечеткой оценки альтернатив.
М
2.6 Выводы ко второй главе
ГЛАВА 3 РАЗРАБОТКА СТРУКТУРЫ И СОСТАВА ОСНОВНЫХ КОМПОНЕНТОВ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ ВЫБОРА СРЕДСТВ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ НА ОСНОВЕ АНАЛИЗА ИХ ЗАЩИЩЕННОСТИ.
3.1 Разработка функциональной модели автоматизированной системы выбора средств защиты персональных данных на основе анализа
их защищенности.
3.2 Организация процесса проектирования физической защиты информационных систем.
3.3 Информационное обеспечение системы выбора средств защиты персональных данных на основе анализа их защищенности
3.4 Выводы к третьей главе
ГЛАВА 4 РАЗРАБОТКА АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ ВЫБОРА СРЕДСТВ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ НА ОСНОВЕ АНАЛИЗА ИХ ЗАЩИЩЕННОСТИ
4.1 Общая характеристика программного и технического обеспечения разрабатываемой автоматизированной системы.
4.2 Порядок работы с автоматизированной системой выбора средств защиты персональных данных на основе анализа их защищенности.
4.2.1 Категорирование и классификация информационной системы персональных данных.
4.3 Анализ результатов опытной эксплуатации автоматизированной системы.
4.4 Реализация результатов работы.
4.5 Выводы к четвертой главе
Заключение
Список литературы


В четвертой главе описана работа разработанной автоматизированной системы выбора средств защиты персональных данных, обрабатываемых в информационных системах персональных данных на основе анализа их защищенности, которая представляет собой детальное пошаговое описание этапов и действий, необходимых для получения результата. Также в данной главе рассмотрен анализ опытной эксплуатации автоматизированной системы. Опытная эксплуатация в соответствии с государственным контрактом ФД была проведена во всех органах исполнительной власти Брянской области. Для примера приведены результаты работы по Управлению информационных технологий администрации Брянской области. ИСПДн, а также перечень средств, которые необходимо установить для повышения уровня защищенности ИСПДн. В результате использования даннЬй системы уровень защищенности на выбранном объекте повысился на . Результаты работы использовались при выполнении ПИР по теме Развитие информационного общества и формирование электронного правительства в Брянской области на гг. ИСПДн. Обеспечение защиты персональных данных на территории Российской Федерации, а также во всем мире является актуальной задачей. К примеру, Совет Европы еще в году разработал и принял Европейскую конвенцию о защите физических лиц в вопросах, касающихся автоматической обработки личных данных, а в году Европейский союз утвердил международную конвенцию Об охране личности в отношении автоматизированной обработки персональных данных. В Российской Федерации Федеральный закон 2 О персональных данных был принят в году 5. Однако в соответствии с законодательством операторы ПДн должны были привести свои ИСПДн в соответствии с требованиями законодательства не позднее 1 января года. Такой значительный временной перерыв между принятием закона и приведением информационных систем персональных данных в соответствие требованиям законодательства вызван в первую очередь, неподготовленностью и неточностью нормативноправовой базы в области защиты персональных данных, а также трудоемкостью и высокой стоимостью проведения работ для операторов персональных данных, то есть тех государственных и муниципальных органов, юридических или физических лиц, которые обрабатывают эти персональные данные. На сегодняшний день принципиальные недостатки в законодательстве, регулирующем защищенную обработку персональных данных в информационных системах, устранены. Порядок проведения классификации информационных систем персональных данных. Требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных. Методы и способы защиты информации в информационных системах персональных данных. Построение базовой модели угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Определение актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Порядок определения уровней защищенности ИСПДн. Также Уголовным, Трудовым кодексом и Кодексом об административных правонарушения установлена ответственность за нарушение правил защиты и обработки персональных данных. Однако до сих пор, остро стоит вопрос о выполнении требований законодательства самими операторами ПДн, так как самостоятельная процедура выполнения установленных требований является трудоемкой, долгой по времени и предполагающей наличие специальных знаний у самого оператора. Вместе с этим привлечение сторонних организаций для выполнения данного вида работ является весьма затратным мероприятием, которое требует серьезных денежных вложений. К тому же на территории Российской Федерации существует достаточно много организаций, в которых совершенно отсутствует система защиты ИСПДн, что значительно усложняет приведение ИСПДн в соответствии с требованиями законодательства. На рисунке 1 проиллюстрированы этапы приведения ИСПДн в соответствии требованиям законодательства. К ним относятся
1. Определение перечня персональных данных. Определение класса информационной системы персональных данных. Построение модели угроз ИСПДн. Определение оценки защищенности ИСПДн. Выбор средств защиты ПДн, обрабатываемых в ИСПДн.