Для выполнения требований по защите ГИС нужно выполнить процедуру приведения процессов обработки и защиты систем в соответствие требованиям приказа, т.е.:
Определить, какие бизнес-процессы и информационные системы нужно приводить в соответствие (например: шлюз интеграции с ЕСИА, ИСПДн с данными, полученными от ГИС и т.п.);
Определить класс защищенности системы: классы бывают от К1 (наивысший класс), до К3 (самый простой класс);
Разработать и описать процессы защиты данных – то, что делаем мы;
Внедрить обязательные средства и меры защиты. Меры защиты описаны в Приказе ФСТЭК №17, и они сравнительно простые, но требуется применение сертифицированных средств защиты.
Перечень средств защиты, необходимых в большинстве случаев:
Межсетевой экран, СОВ (IPS\IDS), антивирус, СЗИ от НСД (настроенная аутентификация), настроенные бэкапы, средство сбора логов. Если используется виртуализация – необходимо средство защиты виртуализации.
Меры защиты ГИС подобны мерам защиты персональных данных, но обязательно применение только сертифицированных средств защиты информации.
Защита ГИС требует обязательного подтверждения в форме аттестации.
Обследуем процессы сбора и обработки данных
На этом этапе очень важно взаимодействие с клиентом. Мы уточняем бизнес процессы обработки данных:
Разработка нормативных документов
Мы разрабатываем обязательные формальные документы, требуемые для соответствия
Реализация требований закона
Мы разрабатываем документы, специфичные для клиента, разрабатываем модель угроз, и вместе с клиентом придумываем, как адаптировать сложные процессы для соответствия законодательству.