Анализ состояния защищенности персональных данных при их обработке в учреждениях системы образования Челябинской области в 2016 году

ПОТЕНЦИАЛ ИНФОРМАЦИОННЫХ СИСТЕМ И ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В ОБРАЗОВАНИИ

УДК 004.056; 373

АНАЛИЗ СОСТОЯНИЯ ЗАЩИЩЕННОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ В УЧРЕЖДЕНИЯХ СИСТЕМЫ ОБРАЗОВАНИЯ ЧЕЛЯБИНСКОЙ ОБЛАСТИ В 2016 ГОДУ

А.С. Ильин, Д.С. Ильина

Статья посвящена анализу данных, полученных в ходе проведения плановых ведомственных выездных проверок организации защиты персональных данных при их обработке с использованием средств криптографической защиты информации в учреждениях системы образования Челябинской области в 2016 году.

Ключевые слова: персональные данные, средства криптографической защиты информации, анализ защищенности, типичные нарушения

Анализ состояния защищённости персональных данных в современных условиях является не столько потребностью, сколько необходимостью. Это связано с принятием Федерального закона от 27.07.2006 №152 «О персональных данных», а именно его статьёй 18.1 «Меры, направленные на обеспечение выполнения оператором обязанностей, предусмотренных настоящим Федеральным законом». В статье 18.1 говорится о мерах, которые обязан принимать оператор для обеспечения безопасности персональных данных, где одним из пунктов является «осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных настоящему Федеральному закону и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике оператора в отношении обработки персональных данных, локальным актам оператора»

[4].

Для выполнения требований Федерального закона от 27.07.2006 №152 «О персональных данных» в государственное задание Государственного бюджетного учреждения дополнительного профессионального обра-

зования «Региональный центр оценки качества и информатизации образования» (далее - ГБУ ДПО РЦОКИО) была включена процедура проведения плановых ведомственных выездных проверок организации защиты персональных данных в учреждениях системы образования Челябинской области.

В предыдущем выпуске журнала в статье «Обеспечение безопасности информации в образовательной организации в современных условиях», отмечалось, что «выбор средств защиты информации для системы защиты персональных данных осуществляется образовательной организацией в соответствии с нормативными правовыми актами, принятыми Федеральной службой безопасности Российской Федерации и Федеральной службой по техническому и экспортному контролю во исполнение части 4 статьи 19 Федерального закона "О персональных данных"» [1, с.50]. Продолжая мысль о выборе средств защиты информации, следует отметить, что данные средства должны нейтрализовать актуальные угрозы информационной безопасности. Помимо сбора, систематизации, накопления, обработки информации, в том числе персональных данных, образовательные организации осуществляют передачу этих данных, в том числе по публичным каналам связи, то есть сети Интернет. Передача информации осуществляется в информационную систему «Образование Челябинской области» и региональный сегмент межведомственной системы учета контингента обучающихся по основным образовательным программам и дополнительным общеобразовательным программам. В этом случае для образовательных организаций становится актуальной угроза перехвата передаваемой по публичным каналам связи информа-

ции.

Для нейтрализации данной угрозы и используются средства криптографической защиты информации (далее - СКЗИ).

План проверки организации защиты персональных данных включает в себя выполнение требований, связанных с СКЗИ при обработке персональных данных. План проверки опирается на требования, закрепленные в приказе ФАПСИ от 13 июня 2001 г. N 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» и приказе Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. N 378 г. Москва «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности».

Выбор в качестве объекта проверки требований, связанных с использованием СКЗИ, обусловлен повсеместным использованием СКЗИ в учреждениях системы образования Челябинской области и наличием права у ГБУ ДПО РЦОКИО осуществлять лицензированную ФСБ России деятельность по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техни-

ческое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (кр иптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя).

Проверки состояния защищенности персональных данных при их обработке с использованием СКЗИ в 2016 году проводилась в органах управления образованием Челябинской области. Сотрудниками отдела обеспечения информационной безопасности ГБУ ДПО РЦОКИО было произведено 1 внеплановая и 16 плановых ведомственных выездных проверок. Типовыми ошибками обеспечения безопасности информации с использованием СКЗИ являются:

1. Журнал учёта СКЗИ не утвержден или ведется с нарушениями;

2. Формуляры на СКЗИ ведутся с нарушениями;

3. Журнал учета ключей от сейфов и помещений отсутствует или разработан с нарушениями;

4. Приказ об утверждении перечня пользователей СКЗИ отсутствует или разработан с нарушениями;

5. Отсутствует приказ о выделении режимных (специализированных) помещений;

6. Журнал учета пользователей СКЗИ отсутствует или разработан с нарушениями;

7. Журнал инструктажа пользователей СКЗИ отсутствует или разработано с ошибками;

8. Заключение об уровне подготовки пользователя СКЗИ отсутствует;

9. Инструкция пользователя СКЗИ отсутствует или разработана с ошибками;

10. Нарушение хранения эксплуатационной и технической документации на СКЗИ;

11. Отсутствие антивирусной защиты или использование нелицензионного ПО;

12. Приказ об утверждении границ контролируемой зоны отсутствует или разработан с нарушениями;

13. Отсутствует приказ о назначении ответственного пользователя СКЗИ;

14. Нарушение хранения парольно-клю-

чевой информации;

15. Двери спецпомещений не гарантирует надежное закрытие в нерабочее время;

16. Приказ об утверждении журнала учета СКЗИ;

17. Отсутствует приказ организационно-распорядительной документации;

18. Заключение о возможности эксплуатации СКЗИ отсутствует;

Таблица 1

Типовые нарушения при обработке персональных данных с применением средств _криптографической защиты информации_

№ Нарушение Количество образовательных организаций в которых встречается данное нарушение Процент образовательных организаций, в которых встречается нарушение от общего числа проверенных учреждений

1. Журнал учёта СКЗИ не ведется или разработан с нарушениями. 13 72,2%

2. Формуляры на СКЗИ ведутся с нарушениями. 11 61,1%

3. Журнал учета ключей от сейфов и помещений отсутствует или разработан с нарушениями. 7 38,8%

4. Отсутствует приказ о выделении режимных (специализированных) помещений. 6 33,3%

5. Приказ об утверждении перечня пользователей СКЗИ отсутствует или разработан с нарушениями. 5 27,7%

6. Журнал учета пользователей СКЗИ отсутствует или разработан с нарушениями. 4 22,2%

7. Журнал инструктажа пользователей СКЗИ отсутствует или разработано с ошибками. 4 22,2%

8. Заключение об уровне подготовки пользователя СКЗИ отсутствует 4 22,2%

9. Инструкция пользователя СКЗИ отсутствует или разработана с ошибками. 3 16,6%

19. Отсутствуют документы подтверждающие функциональные обязанности сотрудников.

В таблице 1 приведены подсчеты количества организаций, в которых выявлено то или иное нарушение, выраженное так же в процентном отношении от общего числа проверенных учреждений.

№ Нарушение Количество образовательных организаций в которых встречается данное нарушение Процент образовательных организаций, в которых встречается нарушение от общего числа проверенных учреждений

10. Нарушение хранения эксплуатационной и технической документации на СКЗИ. 3 16,6%

11. Отсутствие антивирусной защиты или использование нелицензионного ПО. 2 11,1%

12. Приказ об утверждении границ контролируемой зоны отсутствует или разработан с нарушениями. 2 11,1%

13. Отсутствует приказ о назначении ответственного пользователя СКЗИ 2 11,1%

14. Нарушение хранения парольно-ключевой информации. 1 5,5%

15. Двери спецпомещений не гарантируют надежное закрытие в нерабочее время. 1 5,5%

16. Приказ об утверждении журнала учета СКЗИ. 1 5,5%

17. Отсутствует приказ организационно-распорядительной документации. 1 5,5%

18. Заключение о возможности эксплуатации СКЗИ отсутствует. 1 5,5%

19. Отсутствуют документы подтверждающие функциональные обязанности сотрудников. 1 5,5%

Рассмотрев данные, приведенные в Таблице 1, видно, что из 19 выявленных нарушений, 13 встречаются больше, чем в одной организации, из которых: два нарушения встречались более чем в 50% организаций; три нарушения закрепились в диапазоне от 25% до 50%; восемь нарушений набрали от 10% до 25%.

Проанализировав процент организаций системы образования, в которых встречалось то или иное нарушение, и, учитывая тот факт, что во всех проверяемых организациях присутствовали нарушения, делаем вывод, что не соблюдение требований Федерального закона «О персональных данных» от 27.07.2006 N 152-ФЗ, приказа ФАПСИ от 13 июня 2001 г. N 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» и приказа Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. N 378 г. Москва «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности» носят систематический характер и требуют особого внимания со стороны образовательных организаций Челябинской области.

Список литературы

1. Ильин, А.С. Обеспечение безопасности информации в образовательной организации в современных условиях / А. С. Ильин, Д. С. Ильина. // Научно-методическое обеспечение оценки качества образования - 2016 -№ 1 - 48-51.

2. Приказ ФАПСИ от 13 июня 2001 г. N 1 52 «Об утверждении Инструкции об организации и обеспечении безопасности хране-

ния, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» // ГАРАНТ. Дата обращения к ресурсу: 3.05.2017.

3. Приказ Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. N 378 г. Москва «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»: // Российская газета - 2014 - 17 сентября.

4. Федеральный закон «О персональных данных» от 27.07.2006 N 152-ФЗ (ред. от 22.02.2017) - Режим доступа: http://www.consultant.ru/document/cons_ doc_LAW_213190/

References

1. Il'in A.S. Obespecheniye bezopasnosti in-formatsii v obrazovatel'noy organizatsii v sov-remennykh usloviyakh. Nauchno-metodicheskiy zhurnal «Nauchno-metodicheskoye obespecheniye otsenki kachestva obrazovaniya», 2016, № 1, 48-51.

2. Prikaz FAPSI ot 13 iyunya 2001 g. N 152 «Ob utverzhdenii Instruktsii ob organizatsii i obespechenii bezopasnosti khraneniya, obrabotki i peredachi po kanalam svyazi s ispol'zovaniyem sredstv kriptograficheskoy zashchity informatsii s ogranichennym dostu-pom, ne soderzhashchey svedeniy, sostavlyay-ushchikh gosudarstvennuyu taynu»: Sobraniye zakonodatel'stva Rossiyskoy Federatsii, 1995, N 8, st. 609;

3. Prikaz Federal'noy sluzhby bezopasnosti Rossiyskoy Federatsii ot 10 iyulya 2014 g. N 378 g. Moskva «Ob utverzhdenii Sostava i soderzhaniya organizatsionnykh i tekhnich-eskikh mer po obespecheniyu bezopasnosti per-sonal'nykh dannykh pri ikh obrabotke v infor-matsionnykh sistemakh personal'nykh dannykh

s ispol'zovaniyem sredstv kriptograficheskoy zashchity informatsii, neobkhodimykh dlya vy-polneniya ustanovlennykh Pravitel'stvom Ros-siyskoy Federatsii trebovaniy k zashchite per-sonal'nykh dannykh dlya kazhdogo iz urovney zashchishchennosti»: Rossiyskaya gazeta - Fed-eral'nyy vypusk №6483 (211);

4. Federal'nyj zakon «О personal'nyh dannyh» ot 27.07.2006 N 152^: Rossijskaya gazeta - Federal'nyj vypusk №4131 ot 26 iyulya 2006g.

Сведения об авторах

Ильин Андрей Сергеевич - начальник отдела обеспечения информационной безопасности ГБУ ДПО «Региональный центр оценки качества и информатизации образо-

вания», г. Челябинск

Ильина Диана Сергеевна - методист отдела обеспечения информационной безопасности ГБУ ДПО «Региональный центр оценки качества и информатизации образования», г. Челябинск

Information about authors

Ilyin A.S. - Head of the Department «Ensuring information security», Regional center to assessment quality and informatization in education, Chelyabinsk

Ilyin D.S. - Methodist of the Department «Ensuring information security», Regional center to assessment quality and informatization in education, Chelyabinsk