Файл: Разработка концепции и структуры построения системы управления инцидентами информационной безопасности в организации (База персональных данных).pdf

Иерархическая модель связи данных представляет собой упорядоченный граф (дерево). Данный тип является составным и включает в себя подтипы того же типа. Все элементарные составляющие типы графа являются типом «запись», которые могут быть как простыми, состоящими из единственного типа, или составными, иметь некоторое объединение типов. Пример данного типа, как совокупность иных показан ниже на рисунке 2.1.

Рисунок 2.1-Пример типа «дерево».

Более обобщенным вариантом иерархической системы является сетевая модель, поскольку отображает связь между элементами в виде абсолютно произвольного графа. Сетевая база состоит исключительно из набора записей и соответствующих им связей с произвольным числом предков. Пример изображения такой БД представлен на рисунке 2.2.

Рисунок 2.2- Изображение сетевой БД.

Реляционная модель данных основывается на отношении, что в более простом понимании представляется в виде двумерной таблицы со строками и столбцами, которая может иметь связанные с ней таблицы, если необходимо описать структуры данных, являющиеся более сложными.

Постреляционная модель - более усовершенствованная реляционной модель, которая позволяет не создавать связных таблиц, а встраивать их напрямую в поля имеющейся таблицы.

Многомерные модели, в отличие от реляционных, являются более информативными и наглядными, что продемонстрировано в таблице 2.1 и 2.2.

Таблица 2.1- Реляционная модель данных

Таблица 2.2- Многомерная модель данных

Многомерность также подразумевает, что мерность может быть и больше двух. Информация в такой модели предстает в виде многомерных гиперкубов, а для удобства использования предлагаются срезы данных кубов в виде двухмерных таблиц (рисунок 2.3).

Рисунок 2.3- Изображение многомерной БД

Объектно-ориентированная модель представляет собой структурно дерево, узлами которого являются объекты. Поиск по такой базе состоит в сопоставлении и обнаружении сходств между тем объектом, который предлагает пользователь и теми, что хранятся в базе.

Объектно-реляционные модели являются совмещением объектно-ориентированной модели и реляционной, вобрав в себя достоинства первой и простоту структуры второй. Ввиду того, что она применяет стратегию реляционной модели, ее чаще используют для бизнес-приложений.

Семантические модели данных чаще являются базовыми моделями для того, чтобы в дальнейшем их с легкостью можно было трансформировать в реляционную.

2.2 База персональных данных

После того, как было детально рассмотрено разнообразие возможных представлений данных, необходимо перейти к описанию строения самой базы персональных данных и ее характеристик.

В данной организации имеется две базы персональных данных: персональные данные контрагентов и сотрудников.

При трудоустройстве, работники предоставляют компании различные данные о себе. Наиболее важными для защиты из тех, что хранятся в компании, являются:

Ф.И.О;

Данные о месте и дате рождения;

Информация о прописке, указанная в паспорте;

Паспортные данные;

Вся информация об образовании и трудовой деятельности;

Адрес проживания;

Контактные данные;

Информация о семье;

Информация о специализированных навыках;

Ограниченность допуска;

Оклад и данные о трудовом договоре;

Возможные сведения о воинском учете;

ИНН;

Данные об аттестациях, повышении квалификации, наградах;

Информация о приеме на работу, увольнении, изменении должности, командировках, отпусках, болезнях;

Информация о негос. пенсионном обеспечении.

Сведения о контрагентах компании:

Ф.И.О;

Данные о месте и дате рождения;

Адреса (юридический, фактический);

Паспортные данные или регистрационный номер предприятия;

ИНН;

Телефон контактного лица;

Номер банковского счета.

Эти данные хранятся в программе бухгалтерия «1С Предприятие» и размещаются в одном файле, что не позволяет изменить имеющийся формат баз данных.

2.3 Устройство и возможные угрозы ЛВС

Строительная компания «Строй-Данс-Ю» имеет 6 отделов:

Дирекция;

Плановый;

Бухгалтерия;

Инженерный;

Кадровый;

Рабочие.

Каждый из этих отделов, за исключением рабочих, является частью локальной сети данной организации. Локальная сеть данной организации представляет собой «звезду». Данная односегментная сеть представлена на рисунке 2.4.

Рисунок 2.4 - ЛВС строительной компании (1-угрозы утечки информации, 2- угрозы НСД).

Сервер в данной компании используется как файловое хранилище и интернет шлюз, отсутствует полное разграничение прав доступа на АРМ. При необходимости связи с другими организациями используемся съемный носитель, что влечет за собой возникновение других угроз и является неэффективным.

Помимо всего прочего, в организации используются не сертифицированные средства защиты, а именно антивирус Avira, являющийся бесплатным, и встроенный в Windows межсетевой экран, который оповещает только о входящем трафике, являющимся подозрительным. Данные средства защиты способны предупредить и защитить только от небольшого спектра угроз.

Проанализировав устройство данной системы ЛВС, выделяются основные угрозы, такие как:

- утечки информации по техническим каналам;

- угрозы НСД к ПДн, которые обрабатываются на АРМ.

2.4 Основные средства защиты информации

К основным инженерно- техническим средствам защиты можно отнести:

Аппаратные средства защиты;

К ним относят технические устройства, обеспечивающие защиту от неразглашения и утечки, а именно: сетевые фильтры, генераторы шума, сканирующие радиоприемники. Имеется также классификация по методам использования: обнаружение, поиск, противодействие. Данные средства защиты являются наиболее надежными, однако, наиболее дорогостоящими и объемными.

Программные средства защиты информации;

К ним относятся программы защиты доступа (идентификация, разграничение доступа, контроль регистрации), копирования (защищает авторское право), разрушения информации, обнаружения вторжения. Наиболее известными являются: встроенные средства защиты в операционной системе, криптографические средства (криптопровайдеры Microsoft, Shipka, КриптоПро, VipNet), антивирусные программы (Avira, Avast, Panda, ESET NOD32, Dr. Web), межсетевой экран, VPN, системы обнаружения вторжений.

2.5 Организационные меры защиты информации

Организационные меры носят процедурный и административный характер. Они регулируют процессы использования ресурсов различных систем, действия персонала и информационной системы данных. Таким образом, организационные меры делятся на административные и процедурные меры.

Для того чтобы система защиты информации функционировала наиболее эффективно, можно создать службу компьютерной безопасности. Она обладает определенными функциями и имеет свой организационно-правовой статус. Чаще всего службу составляет несколько человек: сотрудник группы безопасности, администратор безопасности систем, администратор безопасности данных и руководитель группы.

Сотрудник группы безопасности помогает пользователям, контролирует набор программ и данных, обеспечивает управление группы защиты. Администратор может изменять, вводить в реализацию имеющиеся средства защиты, контролирует состояние данных, общается с другими администраторами. Руководитель контролирует работу всех групп, следит за состоянием оборудования, программного обеспечения, организует меры по созданию эффективных мер защиты.

Существует также классификация организационно-технических мер по созданию и дальнейшему поддержанию работы системы защиты информации:

- разовые;

- по необходимости;

- периодические;

- постоянные.

Помимо регулярного мониторинга работы системы безопасности, следует разработать некоторые организационные документы.

2.6 Цикл обработки персональных данных

На каждом этапе существования данных должны быть четко определены условия и порядок их обработки и существования. Все это говорит о том, что должны быть разработаны особые процедуры, позволяющие правильно работать с данными (сбор, учет, хранение, регистрация, уничтожение, использование).

Если говорить о персональных данных, то под жизненным циклом понимают период от их возникновения в информационной системе до полного уничтожения.

Применительно к строительной компании, жизненный цикл персональных данных при трудоустройстве будет описан далее. Человек, желающий начать работу в строительной компании, приходит в саму организацию, где его направляют в отдел кадров. В соответствии со статьей 24 Конституции РФ, человек подписывает соглашение на обработку персональных данных.[2]

Далее сотрудник отдает все необходимые для трудоустройства документы:

Документ, удостоверяющий личность;

Трудовую книжку (заводят в организации, если ранее не заводилась);

Страховое свидетельство государственного пенсионного страхования;

Свидетельство о постановке на учет в налоговом органе;

Документ об образовании;

Документы воинского учета.

Также им сообщается иные данные, представленные в Разделе 2 Главы 2, что позволяет в конечном итоге заключить трудовой договор и внести сотрудника в базу данных сотрудников компании. Данные, которые были получены от сотрудника, отправляются в налоговою, военкомат, банк (для оформления счета). В случае изменений каких-либо данных работника, утверждается приказ об изменении в документах, содержащих персональные данные работника. Происходит смена личной карточки, составляется дополнительное соглашение к трудовому договору.

На основе положений действующего закона работодателем определяются сроки хранения персональных данных. Чаще всего они являются либо постоянными, либо 75 лет (утверждено Росархивом). В течение данного срока персональные данные нельзя уничтожить или обезличить. После истечения срока, данные можно обезличить в ИС и уничтожить на бумажных носителях. Возможно обезличивание персональных данных по письменному заявлению субъекта этих данных при условии, что все договорные отношения завершены уже более пяти лет.

В данной главе было рассмотрено устройство информационных систем персональных данных. Это помогло наилучшим образом представить, какие существуют модели представления данных, что такое база персональных данных, каково устройство локальных вычислительных сетей и каковы их угрозы, какие существуют основные технические и организационные средства защиты и как наладить цикл обработки персональных данных, чтобы система оказалась защищенной.