Виды защищаемой информации: Виды защищаемой информации - Санкт-Петербургское государственное бюджетное учреждение социального обслуживания населения

Содержание

Виды защищаемой информации

Любая информация содержится на материальных носителях в виде значений их признаков, т. е. она отображается на носителях информации на языке признаков. Язык признаков является универсальным языком представления информации в материальном мире. Информация, отображаемая на языке признаков, называется признаковая. Информация признаковая является первичной и описывает конкретный материальный объект на языке его признаков. Описание объекта содержит признаки его внешнего вида, излучаемых им полей и элементарных частиц, состава и структуры веществ, из которых состоит объект. Источниками признаковой информации являются сами объекты. К ним в первую очередь ютносятся интересующие зарубежную разведку или отечественного конкурента люди, новая продукция и материалы, помещения и даже здания, в которых может находиться конфиденциальная информация. В зависимости от вида описания объекта признаковая информация делится на информацию о внешнем виде (видовых признаках), о его полях (признаках сигналов), о структуре и составе его веществ (признаках веществ).

Признаки принадлежат конкретному объекту, но их значения могут отражать как свойства самого объекта, так и результаты взаимодействия рассматриваемого объекта с другими. Например, значения признаков отраженного от объекта света содержат признаки внешнего источника света, поверхности объекта и среды распространения лучей света от его источника до оптического приемника. Изображение объекта на фотографии представляет модель объекта, которая с той или иной степенью приближения может соответствовать реальному объекту. Усилия создателей фототехники направлены на увеличение степени подобия изображения реальному объекту. Однако это подобие достигается усложнением фотообъектива и повышением качества фотопленки, что увеличивает стоимость фотографии.

Семантическая информация по отношению к признаковой является вторичной, синтезируемой второй сигнальной системой человека в результате кодирования признаков символами. Когда человек читает текст книги, его зрительный анализатор сканирует поверхность листа и выделяет видовые признаки текста, а вторая сигнальная система формирует текущие признаковые структуры символов (букв, цифр, слов) и распознает символы в результате идентификации их текущих признаковых структур с эталонными структурами.

Если человек не обучен иностранному языку, то в его памяти отсутствуют эталонные признаковые структуры букв и слов иностранного языка, и он не понимает текст в книге.

Если признак привязан к конкретному объекту, то символьная (семантическая) информация абстрактна. Сущность семантической информации не зависит от характеристик носителя. Содержание текста, например, не зависит от качества бумаги, на которой он написан, или физических параметров другого носителя. Семантическая информация – продукт абстрактного мышления человека и обработки данных рецепторов других живых существ. Семантическая информация, циркулирующая в человеческом обществе, отображает создаваемые ими образы и модели с помощью символов на языках общения людей.

Языки общения включают как естественные языки национального общения, так и искусственные профессиональные языки. Любой язык включает набор символов – алфавит и правила их использования – грамматику.

Языки национального общения формируются в течение длительного времени развития нации. В нем устаревшие слова постепенно отмирают, но появляются новые, вызванные развитием нации, в том числе техническим прогрессом.

Семантическая информация на языке национального общения представляется в виде упорядоченной последовательности символов (букв, цифр, иероглифов) алфавита этого языка и записывается на любом материальном носителе. В области средств регистрации и консервации семантической информации изыскиваются носители, обеспечивающие все более высокую плотность записи и меньшее энергопотребление. ‘

Профессиональные языки создаются специалистами для экономного и компактного отображения информации. Существует множество профессиональных языков: математики, музыки, радиоэлектроники, автодорожного движения, химии и т. д. Любая предметная область содержит характерные для нее понятия и условные обозначения, часто непонятные необученному этому языку человеку. Для однозначного понимания этого языка всеми специалистами областей науки, техники, искусства и др. термины и условные обозначения стандартизируются.

В принципе все то, что описано на профессиональном языке, можно представить на языке общечеловеческого общения, но такая форма записи громоздка и неудобна для восприятия информации человеком. Кроме того, использование носителей различной физической природы позволяет подключать для ввода информации в мозг человека все многообразие его рецепторов (датчиков). При просмотре кинофильмов, например, основной объем информации зритель получает через органы зрения. Музыкальное сопровождение фильма через слуховой канал ввода информации оказывает дополнительное воздействие на эмоциональную сферу зрителя. Известны попытки дополнить эти каналы воздействием на органы обоняния человека путем создания в кинозале соответствующих запахов. В ситуациях, когда нельзя использовать для информирования человека зрительные или акустические сигналы или эти каналы перегружены, воздействуют на его тактильные рецепторы. Например, нательное средство для обнаружения записывающего устройства в кармане собеседника или сотовый телефон информируют о работе с помощью вибрации.

⇐Понятие о защищаемой информации | Инженерно-техническая защита информации | Демаскирующие признаки объектов защиты⇒

Основные виды утечек информации и способы их предотвращения

В п 2.3 ГОСТ Р 50922−2006 упоминается о способах защиты информации от несанкционированного воздействия/доступа, непреднамеренного воздействия/доступа, разглашения и получения разведками. По сути, это и есть виды утечек информации, от которых требуется организовать защиту. Давайте рассмотрим подробнее каждый из них, разберемся с причинами, из-за которых утекают важные данные, и способами, помогающими предотвратить подобные инциденты.

Несанкционированное воздействие и доступ к информации

Несанкционированное воздействие/доступ приводит к уничтожению, разрушению, искажению информации, сбоям в работе информационных систем и носителей, а также к утечкам важных данных путем копирования или незаконного перехвата. Такие виды утечки информации возникают по следующим причинам:

· Действия инсайдеров. В этом случае сотрудник, имеющий доступ к определенным данным, умышленно «выносит» их за пределы компании. Мотивы для этого разные: от недовольства условиями работы, до банального подкупа конкурентами.

· Несанкционированный доступ к защищаемой информации извне. К этому виду утечки информации можно отнести доступ к важным данным из-за хакерских атак, получение информации с помощью вредоносного ПО, перехват электронной почты и сообщений в мессенджерах, прослушивание телефонных переговоров, дистанционный «съем» информации посредствам фото-, видеосъемки, звукозаписи и пр.

· Кража носителей информации (флеш-карт, SSD, HDD дисков).

Защита важных данных от несанкционированного доступа и воздействия

Для защиты от указанных выше видов несанкционированных утечек информации используются технические и организационные меры. Организационные меры защиты включают в себя разработку политик безопасности, должностных инструкций, управление правами доступа сотрудников к определенным данным.

Технических мер защиты от основных видов утечки информации немало. Для этого могут использоваться:

· Антивирусное программное обеспечение. Современные антивирусы защищают от широкого спектра различных угроз, в том числе от некоторых видов вредоносного ПО, при помощи которого злоумышленники получают доступ к уязвимым данным. Благодаря использованию технологий искусственного интеллекта и методов сигнатурного сканирования они обеспечивают эффективную защиту даже от новых угроз, которых еще нет в антивирусных базах.

· Программные и аппаратные файрволы (межсетевые экраны). Отвечают за фильтрацию трафика, обеспечивают защиту от несанкционированного доступа к корпоративной сети извне.

· IDS и IPS-системы. Такие решения отслеживают активность программного обеспечения в сети, анализируют трафик и происходящие в охраняемом информационном периметре события. IDS системы формируют оповещения для администратора (специалиста по информационной безопасности) о возможных угрозах, а IPS, также могут блокировать нежелательные действия.

· DLP-системы. С их помощью вы сможете организовать комплексную внутреннюю защиту информационной системы компании. Такие решения следят за трафиком, анализируют активность пользователей в приложениях, могут использоваться для анализа переписки по email, в мессенджерах и решения других задач. Внедрив DLP в инфраструктуру компании, вы защититесь от основных утечек информации без необходимости использования набора разносортных решений, за которыми нужно следить и организовать централизованное управление ими.

Защитить важные корпоративные данные помогают и физические средства. Это: элементы СКУД, средства блокирования доступа в помещения (замки и пр.), заглушки для портов, постановщики помех для предотвращения перехвата разговоров и иные решения.

Непреднамеренное воздействие на информацию и утечки

Непреднамеренное воздействие ведет практически к тем же последствиям и возникновению таких же видов утечки информации, как и умышленное. Возникает оно по различным причинам. Среди них:

· Непреднамеренные действия пользователей из-за недостаточных знаний в области информационной безопасности (далее — ИБ). Предотвратить такие явления помогут регулярные занятия и контроль знаний персонала.

· Отсутствие эффективной системы разграничения доступа к информации. Сотрудники, которые знают то, что им не положено, могут непреднамеренно допустить утечки информации, т.к. не понимают ее ценности и последствий попадания в третьи руки.

· Экономия на средствах защиты информационной системы, ошибки в настройках систем безопасности.

Опасность непреднамеренных утечек заключается в том, что они могут иметь долговременный характер, особенно если в компании не используются IDS, IPS, DLP-системы или иные решения, способные автоматически выявить «дыры», через которые могут утекать важные данные.

Утечки информации в результате проведения разведки

В случае с конфиденциальными корпоративными данными можно говорить скорее не о разведке, а о промышленном шпионаже. Под этим термином понимается форма недобросовестной конкуренции, при которой осуществляется незаконный доступ к информации, составляющей коммерческую тайну. Для получения таких данных могут использоваться различные виды утечки информации: через инсайдеров, путем совершения хакерских атак, перехвата разговоров, email, сообщений в мессенджерах, хищения носителей, наружное наблюдение и другие способы.

Нечистые на руку компании активно пользуются таким способом получения конфиденциальных сведений. Многие мировые гиганты из различных сфер становились жертвами промышленного шпионажа. Пример — компания Kodak, бывший сотрудник которой Гарольд Уорден похитил важные данные и хотел использовать их для создания собственной консалтинговой фирмы (это громкое событие произошло в 90-х годах прошлого века).

Меры защиты от промышленной разведки/шпионажа аналогичны тем, что используются для предотвращения рассмотренных выше видов утечки информации: организационные и технические. Так что, каких-то специальных сложных мероприятий для этого проводить не придется. Если у вас внедрены эффективные решения защиты конфиденциальной информации, от промышленного шпионажа они тоже помогут защититься.

Стоит отметить, что какой-то общепринятой и утверждённой нормативно-правовыми актами классификации видов утечек информации не существует.

Классификация информации по видам тайн и степеням конфиденциальности

В соответствии со статьей 5 ФЗ РФ от 2006 года № 149-ФЗ «Об информации, ИТ и о ЗИ», информация в зависимости от порядка ее предоставления или распространения подразделяется на:

информацию, свободно распространяемую;
информацию, предоставляемую по соглашению лиц, участвующих в соответствующих отношениях;
информацию, которая в соответствии с ФЗ подлежит предоставлению или распространению;
информацию, распространение которой в Российской Федерации ограничивается или запрещается.

Порядок и особенности определения состава защищаемой информации

По законодательству РФ виды информации в зависимости от ее содержания или обладателя.

Государственная тайна – защищаемые государством сведения в области его военной, внешнеполитической, экономической, разведывательной, контрразведывательной и оперативно-розыскной деятельности, распространения. которых может нанести ущерб безопасности РФ (ст. 2 Закона РФ 1993 г. «О ГТ»).

Коммерческая тайна – КИ, позволяющая ее обладателю при существующих или возможных обстоятельствах увеличить доходы, избежать неоправданных расходов, сохранить положение на рынке товаров, работ, услуг или получить иную коммерческую выгоду. Информация, составляющая КТ, – научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау)), которая имеет действ/потенц. коммерческую ценность в силу неизвестности ее 3–м лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим КТ (ст. 3 ФЗ 2004 г. № 98-ФЗ «О КТ»).

Служебная информация ограниченного распространения (служебная тайна) – служебные сведения, доступ к которым ограничен. органами гос. власти по ГКРФ и ФЗ (п3 Указа Президента РФ от 06.03.1997. N 188)

Персональные данные – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту ПД), в том числе его ФИО, дата и место рождения, адрес, семейное, соц., имущ. положение, образование, проф., доходы, другая инфа (ст. 3 ФЗ 2006 г. № 152-ФЗ «О ПД»).

Классификации информационных ресурсов по категориям доступа:

Методика формирования перечня сведений, составляющих КТ(определение состава):

Определение круга сведений, составляющих коммерческую тайну.
Сведения, составляющие КТ предприятия, отражаются в Перечне сведений.
Подготовка Перечня путем работы экспертной комиссии. Приказом руководителя создается комиссия из наиболее квалифицированных и компетентных специалистов отделов предприятия, допускаемых к КТ.
Эксперты ознакомляются только с теми с конкретными сведениями, к которым они допущены.
Задачи экспертной комиссии:
- выделить виды деятельности предприятия, приносящие прибыль;
- степень прибыльности деятельности;
- определить вероятную перспективу рентабельности.
Работа по формированию перечня может состоять из следующих этапов:
- составление предварительного Перечня, подлежащего рассмотрению экспертной комиссией;
- определение возможного ущерба, наступающего в результате распространения КТ;
- определение преимуществ открытого использования рассматриваемых сведений;
- определение затрат на защиту;
- принятие решения о включении сведений в Перечень;

Организация технической защиты конфиденциальной информации

Программа повышения квалификации

«Организация технической защиты конфиденциальной информации»

Сроки: 15-25 июня 20121 г.

Место обучения: г. Петрозаводск, пр. А.Невского, 8, ауд.310.

Форма обучения: очная (с отрывом от производства) с применением дистанционных образовательных технологий.

О программе

Целью программы повышения квалификации “Организация технической защиты конфиденциальной информации” является формирование у обучающихся знаний и компетенций по основам инженерно-технической защиты информации от утечки по техническим каналам на объектах информатизации и в выделенных помещениях, а также навыков и умения применять специальные знания для решения конкретных научно-практических задач. Кроме того, целью дисциплины является развитие в процессе обучения системного мышления, необходимого для решения задач инженерно-технической защиты информации с учетом требований системного подхода.

Программа курса

Тема 1. Правовые и организационно-распорядительные документы в области технической защиты информации.

Тема 2. Структура, задачи и функции систем технической защиты информации субъектов Российской Федерации.

Тема 3. Порядок проведения инвентаризации и категорирования информационных ресурсов и объектов информатизации.

Тема 4. Порядок проведения специальных исследований технических средств обработки информации и выявления технических каналов утечки информации.

Тема 5. Порядок выявления угроз несанкционированного доступа к информации и специальных воздействий на нее в информационных и телекоммуникационных системах

Тема 6. Организация технической защиты информации на действующих объектах управления.

Тема 7. Организация технической защиты информации при строительстве, реконструкции и техническом переоснащении объектов органов управления.

Тема 8. Специальные требования и рекомендации по технической защите конфиденциальной информации.

Тема 9. Организация контроля состояния технической защиты информации в органах государственной власти и организациях субъектов Российской Федерации.

Тема 10. Оценка состояния технической защиты информации в органах государственной власти и организациях субъектов Российской Федерации.

Тема 11. Порядок организации и осуществления работ по совершенствованию системы технической защиты информации в субъектах Российской Федерации.

Формируемые компетенции

· способность проводить анализ информационной безопасности объектов и систем с использованием отечественных и зарубежных стандартов;

· способность принимать участие в проведении экспериментально-исследовательских работ системы защиты информации с учетом требований нормативных документов по обеспечению информационной безопасности;

· способность различать виды защищаемой информации, идентифицировать её источники и носители, выявлять основные угрозы безопасности информации и оценивать их степень;

· способность проводить контрольные проверки работоспособности применяемых программно-аппаратных, криптографических и технических средств защиты информации;

· способность организовать технологический процесс защиты информации в соответствии с правовыми нормативными актами и нормативными методическими документами Федеральной службы безопасности РФ, Федеральной службы по техническому и экспортному контролю;

· способность принимать участие в эксплуатации подсистем управления информационной безопасностью предприятия.

Целевая аудитория

Специалисты, осуществляющие деятельность в области информационной безопасности органов государственной и муниципальной власти, государственных и коммерческих организаций, прочих структур, индивидуальных предпринимателей, в т.ч.: все категории граждан

(в том числе безработные граждане, лица предпенсионного возраста, граждане 50+ и женщины, находящиеся в отпуске по уходу за ребенком в возрасте до трех лет), желающие повысить свою компьютерную грамотность.

Результаты обучения

Удостоверение о повышении квалификации.

Подать заявку на обучение

Подать заявку на программу можно не позднее, чем за неделю до начала обучения по телефонам: (8142) 734830, 733340 или e-mail: [email protected]

Информационная безопасность – ГУЗ Нерчинская центральная районная больница

УТВЕРЖДАЮ
Приложение № 1 к приказу от 21.01.2014г. № 169
Главный врач ГУЗ «Нерчинская ЦРБ»_________________Ю. Т.Зимина

ПОЛИТИКА ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

ГУЗ «Нерчинская ЦРБ»
СОДЕРЖАНИЕ

1 Общие положения 11
2 Область действия 12
3 Система защиты персональных данных 13
4 Требования к подсистемам СЗПДн 15
4.1 Подсистемы управления доступом, регистрации и учета 15
4.2 Подсистема обеспечения целостности и доступности 16
4.3 Подсистема антивирусной защиты 16
4.4 Подсистема межсетевого экранирования 16
4.5 Подсистема анализа защищенности 17
4.6 Подсистема обнаружения вторжений 17
4.7 Подсистема криптографической защиты 18
5 Пользователи ИСПДн 19
5.1 Администратор ИСПДн 19
5.2 Администратор безопасности 20
5.3 Оператор АРМ 20
5.4 Администратор сети 21
5.5 Технический специалист по обслуживанию периферийного оборудования 21
5.6 Программист-разработчик ИСПДн 21
6 Требования к персоналу по обеспечению защиты ПДн 23
7 Должностные обязанности пользователей ИСПДн 25
8 Ответственность сотрудников ИСПДн Учреждения 26
9 Список использованных источников 27
ОПРЕДЕЛЕНИЯ
В настоящем документе используются следующие термины и их определения.
Автоматизированная система – система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.
Аутентификация отправителя данных – подтверждение того, что отправитель полученных данных соответствует заявленному.
Безопасность персональных данных – состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.
Биометрические персональные данные – сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность, включая фотографии, отпечатки пальцев, образ сетчатки глаза, особенности строения тела и другую подобную информацию.
Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных)
Вирус (компьютерный, программный) – исполняемый программный код или интерпретируемый набор инструкций, обладающий свойствами несанкционированного распространения и самовоспроизведения. Созданные дубликаты компьютерного вируса не всегда совпадают с оригиналом, но сохраняют способность к дальнейшему распространению и самовоспроизведению.
Вредоносная программа – программа, предназначенная для осуществления несанкционированного доступа и (или) воздействия на персональные данные или ресурсы информационной системы персональных данных.
Вспомогательные технические средства и системы – технические средства и системы, не предназначенные для передачи, обработки и хранения персональных данных, устанавливаемые совместно с техническими средствами и системами, предназначенными для обработки персональных данных или в помещениях, в которых установлены информационные системы персональных данных.
Доступ в операционную среду компьютера (информационной системы персональных данных) – получение возможности запуска на выполнение штатных команд, функций, процедур операционной системы (уничтожения, копирования, перемещения и т.п.), исполняемых файлов прикладных программ.
Доступ к информации – возможность получения информации и ее использования.
Закладочное устройство – элемент средства съема информации, скрытно внедряемый (закладываемый или вносимый) в места возможного съема информации (в том числе в ограждение, конструкцию, оборудование, предметы интерьера, транспортные средства, а также в технические средства и системы обработки информации).
Защищаемая информация – информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
Идентификация – присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов.
Информативный сигнал – электрические сигналы, акустические, электромагнитные и другие физические поля, по параметрам которых может быть раскрыта конфиденциальная информация (персональные данные) обрабатываемая в информационной системе персональных данных.
Информационная система персональных данных (ИСПДн) – информационная система, представляющая собой совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Информационные технологии – процессы, методы поиска, сбора, хранения, обработки, предоставления, распространения информации и способы осуществления таких процессов и методов.
Использование персональных данных – действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц.
Источник угрозы безопасности информации – субъект доступа, материальный объект или физическое явление, являющиеся причиной возникновения угрозы безопасности информации.
Контролируемая зона – пространство (территория, здание, часть здания, помещение), в котором исключено неконтролируемое пребывание посторонних лиц, а также транспортных, технических и иных материальных средств.
Конфиденциальность персональных данных – обязательное для соблюдения Оператором и иным лицам, получившие доступ к персональным данным, требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Межсетевой экран – локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в информационную систему персональных данных и (или) выходящей из информационной системы.
Нарушитель безопасности персональных данных – физическое лицо, случайно или преднамеренно совершающее действия, следствием которых является нарушение безопасности персональных данных при их обработке техническими средствами в информационных системах персональных данных.
Неавтоматизированная обработка персональных данных – Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы (далее – персональные данные), считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
Не декларированные возможности – функциональные возможности средств вычислительной техники, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.
Несанкционированный доступ (несанкционированные действия) – доступ к информации или действия с информацией, нарушающие правила разграничения доступа с использованием штатных средств, предоставляемых информационными системами персональных данных.
Носитель информации – физическое лицо или материальный объект, в том числе физическое поле, в котором информация находит свое отражение в виде символов, образов, сигналов, технических решений и процессов, количественных характеристик физических величин.
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Общедоступные персональные данные – персональные данные, доступ неограниченного круга лиц к которым предоставлен с согласия субъекта персональных данных или на которые в соответствии с федеральными законами не распространяется требование соблюдения конфиденциальности.
Оператор (персональных данных) – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Технические средства информационной системы персональных данных – средства вычислительной техники, информационно-вычислительные комплексы и сети, средства и системы передачи, приема и обработки ПДн (средства и системы звукозаписи, звукоусиления, звуковоспроизведения, переговорные и телевизионные устройства, средства изготовления, тиражирования документов и другие технические средства обработки речевой, графической, видео- и буквенно-цифровой информации), программные средства (операционные системы, системы управления базами данных и т.п.), средства защиты информации, применяемые в информационных системах.
Перехват (информации) – неправомерное получение информации с использованием технического средства, осуществляющего обнаружение, прием и обработку информативных сигналов.
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация.
Побочные электромагнитные излучения и наводки – электромагнитные излучения технических средств обработки защищаемой информации, возникающие как побочное явление и вызванные электрическими сигналами, действующими в их электрических и магнитных цепях, а также электромагнитные наводки этих сигналов на токопроводящие линии, конструкции и цепи питания.
Политика «чистого стола» – комплекс организационных мероприятий, контролирующих отсутствие записывания на бумажные носители ключей и атрибутов доступа (паролей) и хранения их вблизи объектов доступа.
Пользователь информационной системы персональных данных – лицо, участвующее в функционировании информационной системы персональных данных или использующее результаты ее функционирования.
Правила разграничения доступа – совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа.
Программная закладка – код программы, преднамеренно внесенный в программу с целью осуществить утечку, изменить, блокировать, уничтожить информацию или уничтожить и модифицировать программное обеспечение информационной системы персональных данных и (или) блокировать аппаратные средства.
Программное (программно-математическое) воздействие – несанкционированное воздействие на ресурсы автоматизированной информационной системы, осуществляемое с использованием вредоносных программ.
Раскрытие персональных данных – умышленное или случайное нарушение конфиденциальности персональных данных.
Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом.
Ресурс информационной системы – именованный элемент системного, прикладного или аппаратного обеспечения функционирования информационной системы.
Специальные категории персональных данных – персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья и интимной жизни субъекта персональных данных.
Средства вычислительной техники – совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем.
Субъект доступа (субъект) – лицо или процесс, действия которого регламентируются правилами разграничения доступа.
Технический канал утечки информации – совокупность носителя информации (средства обработки), физической среды распространения информативного сигнала и средств, которыми добывается защищаемая информация.
Трансграничная передача персональных данных – передача персональных данных оператором через Государственную границу Российской Федерации органу власти иностранного государства, физическому или юридическому лицу иностранного государства.
Угрозы безопасности персональных данных – совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий при их обработке в информационной системе персональных данных.
Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Утечка (защищаемой) информации по техническим каналам – неконтролируемое распространение информации от носителя защищаемой информации через физическую среду до технического средства, осуществляющего перехват информации.
Уязвимость – слабость в средствах защиты, которую можно использовать для нарушения системы или содержащейся в ней информации.
Целостность информации – способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и/или преднамеренного искажения (разрушения).

ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ
АВС – антивирусные средства
АРМ –-автоматизированное рабочее место
ВТСС – вспомогательные технические средства и системы
ИСПДн – информационная система персональных данных
КЗ – контролируемая зона
ЛВС – локальная вычислительная сеть
МЭ – межсетевой экран
НСД – несанкционированный доступ
ОС – операционная система
ПДн – персональные данные
ПМВ – программно-математическое воздействие
ПО – программное обеспечение
ПЭМИН – побочные электромагнитные излучения и наводки
САЗ – система анализа защищенности
СЗИ – средства защиты информации
СЗПДн – система (подсистема) защиты персональных данных
СОВ – система обнаружения вторжений
ТКУ И – технические каналы утечки информации
УБПДн – угрозы безопасности персональных данных
ВВЕДЕНИЕ
Настоящая Политика информационной безопасности ГУЗ «Нерчинская ЦРБ» (далее – Политика) является официальным документом.
Политика разработана в соответствии с целями, задачами и принципами обеспечения безопасности персональных данных изложенных в Концепции информационной безопасности Учреждения.
Политика разработана в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и постановления Правительства Российской Федерации от 11 ноября 2007 г. № 781 «Об утверждении Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных», на основании:
– «Рекомендаций по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденных Заместителем директора ФСТЭК России от 15.02.2008 г.,
– «Типовых требований по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае из использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных», утвержденных руководством 8 Центра ФСБ России 21. 02.2008 г. № 149/6/6-662.
В Политике определены требования к персоналу ИСПДн, степень ответственности персонала, структура и необходимый уровень защищенности, статус и должностные обязанности сотрудников, ответственных за обеспечение безопасности персональных данных в ИСПДн ГУЗ «Нерчинская ЦРБ» (далее — Больница).
1 Общие положения
Целью настоящей Политики является обеспечение безопасности объектов защиты Больницы от всех видов угроз, внешних и внутренних, умышленных и непреднамеренных, минимизация ущерба от возможной реализации угроз безопасности ПДн (УБПДн).
Безопасность персональных данных достигается путем исключения несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий.
Информация и связанные с ней ресурсы должны быть доступны для авторизованных пользователей. Должно осуществляться своевременное обнаружение и реагирование на УБПДн.
Должно осуществляться предотвращение преднамеренных или случайных, частичных или полных несанкционированных модификаций или уничтожения данных.
Состав объектов защиты представлен в Перечне персональных данных, подлежащих защите.
Состав ИСПДн подлежащих защите, представлен в Отчете об обследовании информационной системы персональных данных Больницы.

2 Область действия
Требования настоящей Политики распространяются на всех сотрудников Учреждения (штатных, временных, работающих по контракту и т.п.), а также всех прочих лиц (подрядчики, аудиторы и т.п.).
3 Система защиты персональных данных
Система защиты персональных данных (СЗПДн), строится на основании:
– Отчета об обследовании информационной системы персональных данных Больницы;
– Перечня персональных данных, подлежащих защите;
– Акта установления уровней защищенности персональных данных;
– Модели угроз безопасности персональных данных, описанной в Аналитическом обосновании необходимости создания СЗПДн Учреждения;
– Положения о разграничении прав доступа к обрабатываемым персональным данным;
– Руководящих документов ФСТЭК и ФСБ России.

На основании этих документов определяется необходимый уровень защищенности ПДн каждой ИСПДн Больницы. На основании анализа актуальных угроз безопасности ПДн описанного в Модели угроз и Отчета об обследовании информационной системы персональных данных Больницы, делается заключение о необходимости использования технических средств и организационных мероприятий для обеспечения безопасности ПДн. Выбранные необходимые мероприятия отражаются в Плане мероприятий по обеспечению защиты ПДн.
Для каждой ИСПДн должен быть составлен список используемых технических средств защиты, а так же программного обеспечения участвующего в обработке ПДн, на всех элементах ИСПДн:
– АРМ пользователей;
– Сервера приложений;
– СУБД;
– Граница ЛВС;
– Каналов передачи в сети общего пользования и (или) международного обмена, если по ним передаются ПДн.
В зависимости от уровня защищенности ИСПДн и актуальных угроз, СЗПДн может включать следующие технические средства:
– антивирусные средства для рабочих станций пользователей и серверов;
– средства межсетевого экранирования;
– средства криптографической защиты информации, при передаче защищаемой информации по каналам связи.
Так же в список должны быть включены функции защиты, обеспечиваемые штатными средствами обработки ПДн операционными системами (ОС), прикладным ПО и специальными комплексами, реализующими средства защиты. Список функций защиты может включать:
– управление и разграничение доступа пользователей;
– регистрацию и учет действий с информацией;
– – обеспечивать целостность данных;
– – производить обнаружение вторжений.
Список используемых технических средств отражается в Плане мероприятий по обеспечению защиты ПДн. Список используемых средств должен поддерживаться в актуальном состоянии. При изменении состава технических средств защиты или элементов ИСПДн, соответствующие изменения должны быть внесены в Список и утверждены руководителем Больницы или лицом, ответственным за обеспечение защиты ПДн.
4 Требования к подсистемам СЗПДн
СЗПДн включает в себя следующие подсистемы:
– управления доступом, регистрации и учета;
– обеспечения целостности и доступности;
– антивирусной защиты;
– межсетевого экранирования;
– анализа защищенности;
– обнаружения вторжений;
– криптографической защиты.
Подсистемы СЗПДн имеют различный функционал в зависимости от уровня защищенности ИСПДн, определенного в Акте установления уровней защищенности информационной системы ПДн.

5 Пользователи ИСПДн
В Концепции информационной безопасности определены основные категории пользователей. На основании этих категории должна быть произведена типизация пользователей ИСПДн, определен их уровень доступа и возможности.
В ИСПДн Учреждения можно выделить следующие группы пользователей, участвующих в обработке и хранении ПДн:
– Администратора ИСПДн;
– Администратора безопасности;
– Оператора АРМ;
– Администратора сети;
– Технического специалиста по обслуживанию периферийного оборудования;
– Программист-разработчик ИСПДн.
Данные о группах пользователях, уровне их доступа и информированности должен быть отражен в Положении о разграничении прав доступа к обрабатываемым персональным данным.
5.1 Администратор ИСПДн
Администратор ИСПДн, сотрудник Больницы, ответственный за настройку, внедрение и сопровождение ИСПДн. Обеспечивает функционирование подсистемы управления доступом ИСПДн и уполномочен осуществлять предоставление и разграничение доступа конечного пользователя (Оператора АРМ) к элементам хранящим персональные данные.
Администратор ИСПДн обладает следующим уровнем доступа и знаний:
– обладает полной информацией о системном и прикладном программном обеспечении ИСПДн;
– обладает полной информацией о технических средствах и конфигурации ИСПДн;
– имеет доступ ко всем техническим средствам обработки информации и данным ИСПДн;
– обладает правами конфигурирования и административной настройки технических средств ИСПДн.

5.2 Администратор безопасности
Администратор безопасности, сотрудник Учреждения, ответственный за функционирование СЗПДн, включая обслуживание и настройку административной, серверной и клиентской компонент.
Администратор безопасности обладает следующим уровнем доступа и знаний:
– обладает правами Администратора ИСПДн;
– обладает полной информацией об ИСПДн;
– имеет доступ к средствам защиты информации и протоколирования и к части ключевых элементов ИСПДн;
– не имеет прав доступа к конфигурированию технических средств сети за исключением контрольных (инспекционных).
Администратор безопасности уполномочен:
– реализовывать политики безопасности в части настройки СКЗИ, межсетевых экранов и систем обнаружения атак, в соответствии с которыми пользователь (Оператор АРМ) получает возможность работать с элементами ИСПДн;
– осуществлять аудит средств защиты;
– устанавливать доверительные отношения своей защищенной сети с сетями других Учреждений.

5.3 Оператор АРМ
Оператор АРМ, сотрудник Больницы, осуществляющий обработку ПДн. Обработка ПДн включает: возможность просмотра ПДн, ручной ввод ПДн в систему ИСПДн, формирование справок и отчетов по информации, полученной из ИСПД. Оператор не имеет полномочий для управления подсистемами обработки данных и СЗПДн.
Оператор ИСПДн обладает следующим уровнем доступа и знаний:
– обладает всеми необходимыми атрибутами (например, паролем), обеспечивающими доступ к некоторому подмножеству ПДн;
– располагает конфиденциальными данными, к которым имеет доступ.

5.4 Администратор сети
Администратор сети, сотрудник Больницы, ответственный за функционирование телекоммуникационной подсистемы ИСПДн. Администратор сети не имеет полномочий для управления подсистемами обработки данных и безопасности.
Администратор сети обладает следующим уровнем доступа и знаний:
– обладает частью информации о системном и прикладном программном обеспечении ИСПДн;
– обладает частью информации о технических средствах и конфигурации ИСПДн;
– имеет физический доступ к техническим средствам обработки информации и средствам защиты;
– знает, по меньшей мере, одно легальное имя доступа.

5.5 Технический специалист по обслуживанию периферийного оборудования
Технический специалист по обслуживанию, сотрудник Больницы, осуществляет обслуживание и настройку периферийного оборудования ИСПДн. Технический специалист по обслуживанию не имеет доступа к ПДн, не имеет полномочий для управления подсистемами обработки данных и безопасности.
Технический специалист по обслуживанию обладает следующим уровнем доступа и знаний:
– обладает частью информации о системном и прикладном программном обеспечении ИСПДн;
– обладает частью информации о технических средствах и конфигурации ИСПДн;
– знает, по меньшей мере, одно легальное имя доступа.

5.6 Программист-разработчик ИСПДн
Программисты-разработчики (поставщики) прикладного программного обеспечения, обеспечивающие его сопровождение на защищаемом объекте. К данной группе могут относиться как сотрудники Больницы, так и сотрудники сторонних организаций.
Лицо этой категории:
– обладает информацией об алгоритмах и программах обработки информации на ИСПДн;
– обладает возможностями внесения ошибок, недекларированных возможностей, программных закладок, вредоносных программ в программное обеспечение ИСПДн на стадии ее разработки, внедрения и сопровождения;
– может располагать любыми фрагментами информации о топологии ИСПДн и технических средствах обработки и защиты ПДн, обрабатываемых в ИСПДн.
6. Требования к персоналу по обеспечению защиты ПДн
Все сотрудники Больницы, являющиеся пользователями ИСПДн, должны четко знать и строго выполнять установленные правила и обязанности по доступу к защищаемым объектам и соблюдению принятого режима безопасности ПДн.
При вступлении в должность нового сотрудника непосредственный начальник подразделения, в которое он поступает, обязан организовать его ознакомление с должностной инструкцией и необходимыми документами, регламентирующими требования по защите ПДн, а также обучение навыкам выполнения процедур, необходимых для санкционированного использования ИСПДн.
Сотрудник должен быть ознакомлен со сведениями настоящей Политики, принятых процедур работы с элементами ИСПДн и СЗПДн.
Сотрудники Больницы, использующие технические средства аутентификации, должны обеспечивать сохранность идентификаторов (электронных ключей) и не допускать НСД к ним, а так же возможность их утери или использования третьими лицами. Пользователи несут персональную ответственность за сохранность идентификаторов.
Сотрудники Больницы должны следовать установленным процедурам поддержания режима безопасности ПДн при выборе и использовании паролей (если не используются технические средства аутентификации).
Сотрудники Больницы должны обеспечивать надлежащую защиту оборудования, оставляемого без присмотра, особенно в тех случаях, когда в помещение имеют доступ посторонние лица. Все пользователи должны знать требования по безопасности ПДн и процедуры защиты оборудования, оставленного без присмотра, а также свои обязанности по обеспечению такой защиты.
Сотрудникам запрещается устанавливать постороннее программное обеспечение, подключать личные мобильные устройства и носители информации, а так же записывать на них защищаемую информацию.
Сотрудникам запрещается разглашать защищаемую информацию, которая стала им известна при работе с информационными системами Больницы, третьим лицам.
При работе с ПДн в ИСПДн сотрудники Больницы обязаны обеспечить отсутствие возможности просмотра ПДн третьими лицами с мониторов АРМ или терминалов.
При завершении работы с ИСПДн сотрудники обязаны защитить АРМ или терминалы с помощью блокировки ключом или эквивалентного средства контроля, например, доступом по паролю, если не используются более сильные средства защиты.
Сотрудники Больницы должны быть проинформированы об угрозах нарушения режима безопасности ПДн и ответственности за его нарушение. Они должны быть ознакомлены с утвержденной формальной процедурой наложения дисциплинарных взысканий на сотрудников, которые нарушили принятые политику и процедуры безопасности ПДн.
Сотрудники обязаны без промедления сообщать обо всех наблюдаемых или подозрительных случаях работы ИСПДн, могущих повлечь за собой угрозы безопасности ПДн, а также о выявленных ими событиях, затрагивающих безопасность ПДн, руководству подразделения и лицу, отвечающему за немедленное реагирование на угрозы безопасности ПДн.
6 Должностные обязанности пользователей ИСПДн
Должностные обязанности пользователей ИСПДн описаны в следующих документах:
– Инструкция администратора ИСПДн;
– Инструкция администратора безопасности ИСПДн;
– Инструкция пользователя ИСПДн.
7 Ответственность сотрудников ИСПДн Учреждения
В соответствии с Федеральным законом Российской Федерации от 27 июля 2006 г. № 152-ФЗ «О персональных данных» лица, виновные в нарушении требований данного Федерального закона, несут гражданскую, уголовную, административную, дисциплинарную и иную предусмотренную законодательством Российской Федерации ответственность.
Действующее законодательство РФ позволяет предъявлять требования по обеспечению безопасной работы с защищаемой информацией и предусматривает ответственность за нарушение установленных правил эксплуатации ЭВМ и систем, неправомерный доступ к информации, если эти действия привели к уничтожению, блокированию, модификации информации или нарушению работы ЭВМ или сетей (статьи 272,273 и 274 УК РФ).
Администратор ИСПДн и администратор безопасности несут ответственность за все действия, совершенные от имени их учетных записей или системных учетных записей, если не доказан факт несанкционированного использования учетных записей.
При нарушениях сотрудниками Больницы – пользователей ИСПДн правил, связанных с безопасностью ПДн, они несут ответственность, установленную действующим законодательством Российской Федерации.
Приведенные выше требования нормативных документов по защите информации должны быть отражены в Положениях о подразделениях Больницы, осуществляющих обработку ПДн в ИСПДн и должностных инструкциях сотрудников Больницы.
8 Список использованных источников
Основными нормативно-правовыми и методическими документами, на которых базируется настоящее Положение являются:
Основными нормативно-правовыми и методическими документами, на которых базируется настоящее Положение являются:
1 Федеральный Закон от 27.07.2006 г. № 152-ФЗ «О персональных данных» (далее – ФЗ «О персональных данных»), устанавливающий основные принципы и условия обработки ПДн, права, обязанности и ответственность участников отношений, связанных с обработкой ПДн.
2 «Положение об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации», утвержденное Постановлением Правительства РФ от 15.09.2008 г. № 687.
3 «Требования к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных», утвержденные Постановлением Правительства РФ от 06.07.2008 г. № 512.
4 Нормативно-методические документы Федеральной службы по техническому и экспертному контролю Российской Федерации (далее – ФСТЭК России) по обеспечению безопасности ПДн при их обработке в ИСПДн:
5 Постановление Правительства РФ от 1 ноября 2012 г. N 1119
“Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных”
6 Постановление Правительства РФ от 21 марта 2012 г. N 211
“Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом “О персональных данных” и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами”.
7 Методические рекомендации для организации защиты информации при обработке персональных данных в учреждениях здравоохранения, социальной сферы, труда и занятости (утв. Министерством здравоохранения и социального развития РФ 23 декабря 2009 г.).
Федеральный закон об основах охраны здоровья граждан в Российской федерации № 323-ФЗ от 21.11.2011 г.

Понятие и виды защищаемой информации по законодательству РФ

Право Понятие и виды защищаемой информации по законодательству РФ

Количество просмотров публикации Понятие и виды защищаемой информации по законодательству РФ – 600

Наименование параметра	Значение
Тема статьи:	Понятие и виды защищаемой информации по законодательству РФ
Рубрика (тематическая категория)	Право

Тайна имеет свойство молодого вина, которое постоянно грозит взорвать бутылку Моисей Сафир

Трое способны хранить тайну, в случае если двое из них мертвы. Бенджамин Франклин

С развитием информационного общества все большее значение приобретают проблемы, связанные с защитой конфиденциальной информации. В настоящее время в российском законодательстве данные вопросы полно и системно не решены. Данная статья является попыткой анализа наиболее острых проблем, связанных с определением понятия и видов конфиденциальной информации.

В процессе развития научной мысли в понятие “информация” вкладывалось разное значение. Для целей настоящего исследования будем использовать легальное определение этого понятия, которое дано в ст.2 ФЗ “Об информации, информатизации и защите информации” от 20.02.95г. №24-ФЗ, информация – сведения о лицах, предметах, фактах, событиях, явлениях и процессах независимо от формы их представления. Также необходимо указать и на понятие “документированная информация (документ)” – зафиксированная на материальном носителе информация с реквизитами, позволяющими её идентифицировать (ст.2 ФЗ “Об информации .. .”, ст.2 ФЗ “Об участии в международном информационном обмене” от 4.07.96г. №85-ФЗ)

С точки зрения этимологии, слово “конфиденциальный” происходит от латинского confidentia – доверие и в современном русском языке означает “доверительный, не подлежащий огласке, секретный”. Слово “секрет”, которое также необходимо рассмотреть, заимствовано из французского secret – “тайна”. Интересно, что в знаменитом словаре В. Даля также названы аналогичные значения ˸ “конфиденциальная” – “откровенная, по особой доверенности, неоглашаемая, задушевная”; “тайна” – “кто чего не знает, то для него тайна, все сокрытое, неизвестное, неведомое”. Таким образом, можно сделать вывод о равнозначности понятий конфиденциальная информация, тайна и секрет. Однако, как уже отмечал автор, понятие тайны в правовой науке не совсем совпадает с понятием конфиденциальной информации, так как тайна означает ещё и правовой режим информации. В соответствии со ст.2 ФЗ “Об информации …” и ст.2 ФЗ “Об участии в международном информационном обмене”, конфиденциальная информация – документированная информация, доступ к которой ограничивается в соответствии с законодательством Российской Федерации. В целом данное определение следует признать правильным, за исключением, должна быть, того момента, что не всегда информация с ограниченным доступом является документированной, например сведения, составляющие личную и семейную тайну, не обязательно зафиксированы на материальном носителе, в случае если не понимать под последним человеческий мозг.

Руководство по классификации данных — Управление информационной безопасности — Вычислительные службы

Этот документ содержит следующие разделы:

Просмотрите рабочий процесс классификации данных, чтобы определить, как классифицировать данные. Вы также можете посетить доступную версию рабочего процесса классификации данных.

Назначение

Целью настоящего Руководства является создание основы для классификации институциональных данных на основе их уровня конфиденциальности, ценности и критичности для Университета в соответствии с требованиями Политики информационной безопасности Университета. Классификация данных поможет в определении базовых мер безопасности для защиты данных.

Применяется к

Настоящая Политика применяется ко всем преподавателям, сотрудникам и сторонним агентам Университета, а также к любым другим аффилированным лицам Университета, которым разрешен доступ к Институциональным данным. В частности, это Руководство применяется к тем, кто отвечает за классификацию и защиту Институциональных данных, как это определено ролями и обязанностями в области информационной безопасности.

Определения

Конфиденциальные данные — это обобщенный термин, который обычно представляет данные, классифицируемые как ограниченные, в соответствии со схемой классификации данных, определенной в данном Руководстве.Этот термин часто используется взаимозаменяемо с конфиденциальными данными.

Распорядитель данных — это старший сотрудник Университета, который наблюдает за жизненным циклом одного или нескольких наборов институциональных данных. Дополнительные сведения см. в разделе Роли и обязанности в области информационной безопасности.

Институциональные данные определяется как все данные, принадлежащие Университету или лицензированные им.

Непубличная информация определяется как любая информация, которая классифицируется как конфиденциальная или ограниченная информация в соответствии со схемой классификации данных, определенной в настоящем Руководстве.

Конфиденциальные данные — это обобщенный термин, который обычно представляет данные, классифицируемые как Ограниченные, в соответствии со схемой классификации данных, определенной в данном Руководстве. Этот термин часто используется как синоним конфиденциальных данных.

Классификация данных

Классификация данных в контексте информационной безопасности — это классификация данных на основе уровня их конфиденциальности и воздействия на университет в случае раскрытия, изменения или уничтожения этих данных без разрешения. Классификация данных помогает определить, какие базовые меры безопасности подходят для защиты этих данных. Все институциональные данные должны быть отнесены к одному из трех уровней чувствительности или классификаций:

Классификация	Определение
Ограничено	Данные должны классифицироваться как «Ограниченные», если несанкционированное раскрытие, изменение или уничтожение этих данных может создать значительный уровень риска для Университета или его аффилированных лиц.Примеры данных с ограниченным доступом включают данные, защищенные государственными или федеральными правилами конфиденциальности, а также данные, защищенные соглашениями о конфиденциальности. К данным с ограниченным доступом следует применять самый высокий уровень контроля безопасности.
Частный	Данные должны классифицироваться как частные, если несанкционированное раскрытие, изменение или уничтожение этих данных может привести к умеренному уровню риска для Университета или его аффилированных лиц. По умолчанию все Институциональные данные, которые явно не классифицированы как Ограниченные или Общедоступные данные, должны рассматриваться как Частные данные.К частным данным следует применять разумный уровень контроля безопасности.
Общедоступный	Данные должны классифицироваться как общедоступные, если несанкционированное раскрытие, изменение или уничтожение этих данных приведет к незначительному риску или отсутствию риска для Университета и его аффилированных лиц. Примеры общедоступных данных включают пресс-релизы, информацию о курсах и исследовательские публикации. Несмотря на то, что для защиты конфиденциальности общедоступных данных требуется незначительный контроль или его отсутствие, требуется некоторый уровень контроля для предотвращения несанкционированного изменения или уничтожения общедоступных данных.

Классификация данных должна выполняться соответствующим распорядителем данных. Data Stewards — это сотрудники высшего звена Университета, которые контролируют жизненный цикл одного или нескольких наборов институциональных данных. Дополнительную информацию о роли Data Steward и связанных с ней обязанностях см. в разделе Роли и обязанности в области информационной безопасности.

Посетите рабочий процесс классификации данных, чтобы узнать, как классифицировать данные.

Сбор данных

Data Stewards может захотеть присвоить единую классификацию набору данных, которые являются общими по назначению или функциям.При классификации набора данных следует использовать наиболее ограничительную классификацию любого из отдельных элементов данных. Например, если сбор данных состоит из имени, адреса и номера социального страхования учащегося, этот сбор данных следует классифицировать как ограниченный, даже если имя и адрес учащегося могут считаться общедоступной информацией.

Реклассификация

Периодически важно пересматривать классификацию Институциональных данных, чтобы гарантировать, что присвоенная классификация по-прежнему уместна с учетом изменений юридических и договорных обязательств, а также изменений в использовании данных или их ценности для Университета. Эта оценка должна проводиться соответствующим распорядителем данных. Рекомендуется проводить оценку на ежегодной основе; однако распорядитель данных должен определить, какая частота является наиболее подходящей, исходя из доступных ресурсов. Если распорядитель данных определяет, что классификация определенного набора данных изменилась, следует провести анализ мер безопасности, чтобы определить, соответствуют ли существующие меры безопасности новой классификации. Если обнаружены пробелы в существующих мерах безопасности, их следует своевременно исправить, соразмерно уровню риска, представляемого пробелами.

Расчетная классификация

Целью информационной безопасности, как указано в Политике информационной безопасности Университета, является защита конфиденциальности, целостности и доступности Институциональных данных. Классификация данных отражает уровень воздействия на Университет в случае нарушения конфиденциальности, целостности или доступности.

К сожалению, не существует совершенной количественной системы для расчета классификации того или иного элемента данных. В некоторых ситуациях соответствующая классификация может быть более очевидной, например, когда федеральные законы требуют от Университета защиты определенных типов данных (например,г. личную информацию). Если соответствующая классификация не очевидна, рассмотрите каждую цель безопасности, используя следующую таблицу в качестве руководства. Это выдержка из публикации 199 Федеральных стандартов обработки информации (FIPS), опубликованной Национальным институтом стандартов и технологий, в которой обсуждается классификация информации и информационных систем.

	ПОТЕНЦИАЛЬНОЕ ВОЗДЕЙСТВИЕ
Объект безопасности	НИЗКИЙ	УМЕРЕННЫЙ	ВЫСОКИЙ
Конфиденциальность Сохранение санкционированных ограничений на доступ к информации и ее раскрытие, включая средства защиты частной жизни и конфиденциальной информации.	Можно ожидать, что несанкционированное раскрытие информации окажет ограниченное неблагоприятное воздействие на деятельность организации, активы организации или отдельных лиц.	Можно ожидать, что несанкционированное раскрытие информации окажет серьезное неблагоприятное воздействие на деятельность организации, активы организации или отдельных лиц.	Можно ожидать, что несанкционированное раскрытие информации окажет серьезное или катастрофическое неблагоприятное воздействие на деятельность организации, активы организации или отдельных лиц.
Целостность Защита от неправомерного изменения или уничтожения информации, включая обеспечение неотказуемости и достоверности информации.	Можно ожидать, что несанкционированное изменение или уничтожение информации окажет ограниченное неблагоприятное воздействие на деятельность организации, активы организации или отдельных лиц.	Можно ожидать, что несанкционированная модификация или уничтожение информации окажет серьезное неблагоприятное воздействие на деятельность организации, активы организации или отдельных лиц.	Можно ожидать, что несанкционированная модификация или уничтожение информации окажет серьезное или катастрофическое неблагоприятное воздействие на деятельность организации, активы организации или отдельных лиц.
Доступность Обеспечение своевременного и надежного доступа к информации и ее использования.	Можно ожидать, что нарушение доступа или использования информации или информационной системы окажет ограниченное неблагоприятное воздействие на деятельность организации, активы организации или отдельных лиц.	Можно ожидать, что нарушение доступа или использования информации или информационной системы будет иметь серьезные неблагоприятные последствия для деятельности организации, активов организации или отдельных лиц.	Можно ожидать, что нарушение доступа или использования информации или информационной системы будет иметь серьезные или катастрофические неблагоприятные последствия для деятельности организации, активов организации или отдельных лиц.

По мере увеличения общего потенциального воздействия на Университет с низкого до высокого классификация данных должна стать более строгой, переходя от общедоступных к ограниченным.Если соответствующая классификация по-прежнему остается неясной после рассмотрения этих пунктов, обратитесь за помощью в отдел информационной безопасности.

Приложение A. Предопределенные типы информации ограниченного доступа

Управление информационной безопасности и Управление главного юрисконсульта определили несколько типов данных с ограниченным доступом на основе нормативных требований штата и федерального уровня. Этот список не охватывает все типы данных с ограниченным доступом . Предопределенные типы ограниченной информации определяются следующим образом:

1.	Средство проверки подлинности
	Проверка подлинности – это часть информации, которую человек держит в секрете и которая используется для подтверждения того, что человек является тем, за кого себя выдает. В некоторых случаях верификатор аутентификации может совместно использоваться небольшой группой лиц. Средство проверки подлинности также может использоваться для подтверждения подлинности системы или службы. Примеры включают, но не ограничиваются: Пароли Общие секреты Криптографические закрытые ключи
2.	Покрываемая финансовая информация
	См. Университетскую программу информационной безопасности Грэмма-Лича-Блайли.
3.	Электронная защищенная медицинская информация («EPHI»)
	EPHI определяется как любая защищенная медицинская информация («PHI»), которая хранится или передается с помощью электронных носителей. Для целей данного определения электронные носители включают: Электронные носители данных включают компьютерные жесткие диски и любые съемные и/или переносные цифровые носители памяти, такие как магнитная лента или диск, оптический диск или цифровая карта памяти. Среда передачи, используемая для обмена информацией уже на электронных носителях. Среда передачи включает, например, Интернет, экстранет (с использованием Интернет-технологий для связи бизнеса с информацией, доступной только для сотрудничающих сторон), выделенные линии, коммутируемые линии, частные сети и физическое перемещение съемных и/или переносных электронных медиа хранилище. Некоторые передачи, в том числе бумажные, по факсимильной связи и голосовые, по телефону, не считаются передачами с помощью электронных средств, поскольку информация, которой обмениваются, не существовала в электронной форме до передачи.
4.	Материалы, подлежащие экспортному контролю
	Материалы, подлежащие экспортному контролю, определяются как любая информация или материалы, которые подпадают под действие правил экспортного контроля США, включая, помимо прочего, Правила экспортного контроля (EAR), опубликованные Министерством торговли США, и Правила международной торговли оружием (ITAR). ), опубликованном Государственным департаментом США.Дополнительную информацию см. в часто задаваемых вопросах об экспортном контроле Управления по вопросам честности исследований и соблюдения нормативных требований.
5.	Федеральная налоговая информация (FTI)
	FTI определяется как любая декларация, налоговая информация или декларация налогоплательщика, которая доверена Университету налоговой службой. Дополнительную информацию см. в публикации 1075 Службы внутренних доходов, Приложение 2.
6.	Информация о платежной карте
	Информация о платежной карте определяется как номер кредитной карты (также называемый основным номером счета или PAN) в сочетании с одним или несколькими из следующих элементов данных: Имя держателя карты Сервисный код Срок годности Значение CVC2, CVV2 или CID ПИН-код или блокировка ПИН-кода Содержимое магнитной полосы кредитной карты Информация о платежных картах также регулируется Политикой и рекомендациями PCI DSS Университета (требуется вход в систему).
7.	Личные документы об образовании
	Личные записи об образовании определяются как любые записи об образовании, которые содержат один или несколько из следующих личных идентификаторов: Имя учащегося Имя родителя(ей) учащегося или другого члена(ов) семьи Номер социального страхования Студенческий номер Список личных характеристик, по которым можно было бы легко установить личность учащегося Любая другая информация или идентификатор, которые позволяют легко отследить личность учащегося Дополнительную информацию о том, что представляет собой документ об образовании, см. в Политике Карнеги-Меллона в отношении прав учащихся на неприкосновенность частной жизни.
8.	Информация, позволяющая установить личность
	Для целей уведомления о нарушениях безопасности, PII определяется как имя человека или инициалы и фамилия в сочетании с одним или несколькими из следующих элементов данных: Номер социального страхования Водительское удостоверение государственного образца № Удостоверение личности государственного образца № Номер финансового счета в сочетании с защитным кодом, кодом доступа или паролем, который позволит получить доступ к счету Информация о медицинском обслуживании и/или страховании здоровья
9.	Защищенная медицинская информация (“PHI”)
	PHI определяется как «индивидуальная идентифицируемая медицинская информация», передаваемая с помощью электронных средств, хранящаяся на электронных носителях или передаваемая или сохраняемая в любой другой форме или на носителе Защищенным компонентом, как это определено в Политике HIPAA Carnegie Mellon. PHI считается индивидуально идентифицируемой, если она содержит один или несколько из следующих идентификаторов: Имя Адрес (все географические единицы меньше штата, включая почтовый адрес, город, округ, округ или почтовый индекс) Все элементы дат (кроме года), относящиеся к физическому лицу, включая дату рождения, дату госпитализации, дату выписки, дату смерти и точный возраст, если старше 89 лет) Номера телефонов Номера факсов Адреса электронной почты Номера социального страхования Номера медицинских карт Номера получателей плана медицинского страхования Номера счетов Номера сертификатов/лицензий Идентификаторы транспортных средств и серийные номера, включая номерной знак Идентификаторы устройств и серийные номера Универсальные указатели ресурсов (URL) Адреса интернет-протокола (IP) Биометрические идентификаторы, включая отпечатки пальцев и голоса Фотоизображения анфас и любые сопоставимые изображения Любой другой уникальный идентификационный номер, характеристика или код, который может идентифицировать человека В соответствии с политикой Carnegie Mellon HIPAA, PHI не включает записи об образовании или лечении, подпадающие под действие Закона о правах семьи на образование и неприкосновенность частной жизни, или записи о трудоустройстве, хранящиеся в Университете в качестве работодателя.
10.	Контролируемая техническая информация («CTI»)
	Контролируемая техническая информация означает «техническую информацию военного или космического назначения, доступ к которой, использование, воспроизведение, модификацию, представление, отображение, выпуск, раскрытие или распространение которой подлежит контролю» в соответствии с DFARS 252.204-7012.
11.	Только для официального использования (“FOUO”)
	Документы и данные, помеченные или помеченные только для служебного пользования, являются предшественниками контролируемой несекретной информации (CUI), как это определено Национальным архивом (NARA)
12.	Персональные данные из Европейского союза (ЕС)
	Общий регламент ЕС по защите данных (GDPR) определяет персональные данные как любую информацию, которая может прямо или косвенно идентифицировать физическое лицо посредством ссылки на идентификатор, включая . Наименование Идентификационный номер Данные о местоположении Онлайн-идентификатор Один или несколько факторов, характерных для физической, физиологической, генетической, умственной, экономической, культурной или социальной идентичности этого физического лица Любые персональные данные, собираемые у физических лиц в странах Европейской экономической зоны (ЕЭЗ), подпадают под действие GDPR.По вопросам обращайтесь по адресу [email protected].

История изменений

Версия	Дата публикации	Автор	Описание
0,1	02.07.2008	Дуг Маркевич	Первоначальный проект
0,2	25. 09.2008	Дуг Маркевич	Раздел «Категоризация» заменен на «Сбор данных» и добавлены разделы «Реклассификация и расчет классификаций».
0,3	20.10.2008	Дуг Маркевич	Переписан раздел Расчет классификаций из-за недостатков исходной системы. Обновлены цель, область применения и определения.
0,4	04.11.2008	Дуг Маркевич	Удалено уравнение, внесено незначительное обновление в определение общедоступных данных и обновлена дополнительная информация. Приложение A отсортировано таким образом, чтобы термины отображались в алфавитном порядке, и в качестве термина была добавлена закрытая финансовая информация.
0,5	20.02.2009	Дуг Маркевич	Добавлен отсутствующий маркер к последнему идентификатору, указанному в Приложении A. Определение G. Само определение не было изменено.
0,6	26. 02.2009	Дуг Маркевич	Различные обновления на основе отзывов. Основные изменения включают добавление «Распорядителя данных» в определения, добавление ссылок на роли и обязанности в области информационной безопасности и добавление информации о федеральном налоге в Приложение A.
0,7	18.03.2009	Дуг Маркевич	Обновлено определение PHI в Приложении A для ссылки на политику информационной безопасности HIPAA. В приложение A добавлено средство проверки подлинности.
0,8	17.09.2009	Дуг Маркевич	Обновлено приложение Applied To для согласования с соответствующими публикациями. Удалены записи об образовании из Приложения А по рекомендации главного юрисконсульта. Обновлены личные идентификационные записи об образовании в Приложении A, чтобы ссылаться на Политику прав учащихся на неприкосновенность частной жизни.
0,9	22.01.2010	Дуг Маркевич	Обновлено Приложение A, чтобы включить материалы, подлежащие экспортному контролю.
1,0	15.09.2011	Дуг Маркевич	Обновлено определение защищенной медицинской информации в соответствии с новой политикой HIPAA. Удалено обозначение ПРОЕКТ.
1.1	07.04.2015	Лаура Радерман	Обновлено Приложение A, чтобы включить контролируемую техническую информацию.
1,2	20.03.2018	Лаура Радерман	Приложение A обновлено, чтобы включить FOUO и CUI.
1,3	23.05.2018	Мэри Энн Блэр	Обновлено Приложение A для включения Персональных данных из Европейского Союза
1,4	21.02.2021	Джозеф Мальокка	“Дополнительная информация” перемещена на боковую панель.Добавлено оглавление.

Статус	Дата публикации
Опубликовано:	02. 07.2008
Последнее рассмотрение:	21.02.2021
Последнее обновление:	21.02.2021

Руководство по типам конфиденциальной информации

Организации всех размеров и вертикалей собирают, обрабатывают, хранят и обмениваются всеми видами данных о клиентах, поставщиках и сотрудниках, и эти данные часто содержат конфиденциальную информацию, которую необходимо защитить от несанкционированного доступа.

Что считается конфиденциальной информацией?

В широком смысле конфиденциальной информацией считается информация, которая может причинить вред, смущение, неудобство или несправедливость по отношению к физическому или юридическому лицу, если она будет раскрыта или попадет в чужие руки.

В этом руководстве вы узнаете:

Введение
Типы конфиденциальной информации
1. PII — личная информация
2. ИП — Личная информация
3. SPI — Конфиденциальная личная информация
4. NPI — закрытая личная информация
5. MNPI — Существенная непубличная информация
6. Частная информация
7. PHI / ePHI — (в электронном виде) Защищенная медицинская информация
8. Регулируемые, деловые, конфиденциальные данные о драгоценностях короны с высоким риском
Нормативные исключения по вертикали и местоположению
Как защищены конфиденциальные данные?
Как платформа анализа данных BigID защищает все типы конфиденциальных данных

Типы конфиденциальной информации

Чтобы изучить различные типы конфиденциальной информации, которые определяются и контролируются различными нормативными актами, давайте начнем с основ PII и PI, а затем рассмотрим более конкретные итерации, особенно те, которые относятся к определенным вертикалям.

Затем мы рассмотрим, как эти правила пересекаются — и как защитить конфиденциальную информацию на предприятии — независимо от вашей отрасли или организации.

PII: личная информация

Информация, позволяющая установить личность, или PII, определяется в США как: «Информация, которая может быть использована для идентификации или отслеживания личности человека, такая как его имя, номер социального страхования, биометрические записи и т. д. отдельно или в сочетании с другими данными». личная или идентифицирующая информация, которая связана или может быть связана с конкретным лицом, например, дата и место рождения, девичья фамилия матери и т. д.

PII — это наиболее доступный и наименее регулируемый тип данных, который может быть или не быть конфиденциальным — или может считаться конфиденциальным только при определенных обстоятельствах или в сочетании с другими данными о человеке.

Например, персональные данные, такие как имена, номера телефонов или другая информация, которая может быть общедоступной, обычно не считается конфиденциальной (хотя может быть в определенных контекстах), в то время как персональные данные, такие как номера социального страхования, регистрационные номера иностранцев или номера водительских прав всегда будет чувствительным.

Соответствующие правила для информации, позволяющей установить личность, включают: GDPR, CCPA, CPRA, LGPD и NY SHIELD.

ИП: личная информация

Личная информация или PI может включать личную информацию (PII), но это более широкая категория. Другими словами, все PII считаются PI, но не все PI являются PII.

Это более широкое определение PI определяется как: «Информация, которая идентифицирует, относится, описывает, может быть связана или может быть обоснованно связана, прямо или косвенно, с конкретным потребителем или домохозяйством.

Таким образом, PI

может включать данные, которые явно связаны с личностью, такие как имя или дата рождения, которые часто также являются PII, или толковаться в чрезвычайно широком правовом ключе. PI может и часто включает:

IP-адреса
информация о сотрудниках
информация о местоположении
фотографий
расовое или этническое происхождение
политическая принадлежность или взгляды
религиозные или философские убеждения
Членство в профсоюзе
сексуальная ориентация
судимость
медицинская или генетическая информация
некоторая биометрическая информация

Соответствующие правила для личной информации включают: GDPR, CCPA CPRA, LGPD, NY SHIELD

SPI — Конфиденциальная личная информация

Конфиденциальная личная информация (SPI) в соответствии с новым Законом штата Калифорния о правах на неприкосновенность частной жизни (CPRA) — это новый определенный термин, охватывающий данные, которые связаны с физическим лицом, но не идентифицируют его напрямую — и могут причинить вред, если будут обнародованы. SPI включает личную информацию, которая раскрывает:

соцзащита потребителя, водительское удостоверение, удостоверение личности государственного образца или номер паспорта
вход в учетную запись, номер финансового счета, дебетовой карты или кредитной карты в сочетании с любым необходимым кодом безопасности или доступа,
пароль или учетные данные, позволяющие получить доступ к учетной записи
точная геолокация
расовое или этническое происхождение, религиозные или философские убеждения или членство в профсоюзе
содержимое почты, электронной почты и текстовых сообщений потребителя, если предприятие не является предполагаемым получателем сообщения
генетических данных, в том числе
- обработка биометрической информации с целью однозначной идентификации потребителя;
- персональных данных, собранных и проанализированных в отношении здоровья потребителя; или
- личная информация, собранная и проанализированная в отношении сексуальной жизни или сексуальной ориентации потребителя

NPI — закрытая личная информация

Непубличная личная информация, или NPI, представляет собой тип конфиденциальной информации, созданный и определенный Законом Грэмма-Лича-Блайли (GLBA), который специально регулирует финансовые учреждения.

NPI не включает общедоступную информацию и определяется как «финансовая информация, позволяющая установить личность, а именно:

предоставлено потребителем финансовому учреждению
в результате операции или услуги, оказанной потребителю, или
, иначе полученный финансовым учреждением».

NPI может включать имена, адреса, номера телефонов, номера социального страхования, номера счетов банков и кредитных карт, данные о покупках по кредитным или дебетовым картам, судебные протоколы из отчетов потребителей или любую другую финансовую информацию потребителей, которая:

потребитель предоставляет финансовому учреждению
результат транзакции или услуги, выполненной для потребителя
иначе получен финансовыми учреждениями
NPI не включает информацию, которая стала общедоступной или широко распространена в средствах массовой информации или государственных отчетах

Соответствующие правила для непубличной личной информации включают: GLBA, NYDSF / NYCRR 500

MNPI — Существенная непубличная информация

Существенная непубличная информация, или MNPI, — это данные, относящиеся к компании, ее активам и дочерним компаниям, которые не были публично распространены или доступны инвесторам в целом и которые могут повлиять на цену акций компании.

Постановление направлено на мониторинг и предотвращение незаконных видов инсайдерской торговли, запрещая тем, кто владеет MNPI, использовать его в своих интересах при торговле акциями или другими ценными бумагами или делиться им с другими, которые могут использовать его в своих интересах. Когда трейдинг вообще предполагает использование MNPI, он считается незаконным — независимо от того, является ли человек, который действует на нем, сотрудником компании.

Использование или знание MNPI частично определяет законность инсайдерской торговли.Таким образом, хотя не вся инсайдерская торговля является незаконной — например, когда сотрудники покупают или продают акции своей компании и соблюдают требования регистрации и подачи документов регулирующего органа, Комиссии по ценным бумагам и биржам (SEC), — любая торговля, в которой участвует MPNI, является незаконной.

«Существенная» часть MNPI требует, чтобы информация была достаточно значимой, чтобы влиять на стоимость акций компании. Если информация не может разумным образом повлиять на цену акции, она не считается MNPI.

Типы MNPI включают, но не ограничиваются:

корпоративная информация, поступающая либо от затронутой компании, либо от сторонних регулирующих органов, законодателей или финансовых учреждений
отчеты о прибылях и убытках и другие финансовые документы
предстоящие корпоративные действия или планы, такие как первичное публичное размещение акций (IPO), приобретения или дробление акций
результаты судебного разбирательства
постановлений таких агентств, как FDA

Соответствующие правила для MNPI включают Закон о ценных бумагах Комиссии по ценным бумагам и биржам и Закон о биржах — Положение FD (Добросовестное раскрытие информации)

Частная информация

Частная информация — это набор конфиденциальных данных, регулируемых Законом Нью-Йорка «Остановить взломы и повысить безопасность электронных данных» (NY SHIELD).

NY SHIELD применяется к «любому физическому или юридическому лицу, которое владеет или лицензирует компьютеризированные данные, включающие личную информацию» резидента Нью-Йорка, также именуемое «застрахованным бизнесом».

Частная информация расширяется за счет «личной информации», которая была типом данных, первоначально регулируемым законом Нью-Йорка о взломе данных до появления SHIELD. Закон штата Нью-Йорк определяет личную информацию как «любую информацию, касающуюся физического лица, которая благодаря имени, номеру, личному знаку или другому идентификатору может быть использована для идентификации такого физического лица.

Чтобы определить частную информацию, Закон SHIELD расширил это определение, включив в него «личную информацию, состоящую из любой информации в сочетании с любым одним или несколькими из следующих элементов данных, когда либо элемент данных, либо комбинация информации не зашифрованы — или зашифрованы с ключом шифрования, к которому также обращались или который был получен».

Покрываемые элементы данных:

номер социального страхования
номер водительского удостоверения или номер удостоверения личности неводителя
биометрическая информация — или цифровое представление уникальных физических характеристик человека, таких как отпечаток пальца, отпечаток голоса, изображение сетчатки или радужной оболочки, или другие уникальные физические измерения, которые могут подтвердить личность человека
номер счета или номер кредитной/дебетовой карты либо в сочетании с любым требуемым кодом безопасности, кодом доступа или паролем, которые разрешают доступ, либо без такой дополнительной идентифицирующей информации

Частная информация не включает общедоступные данные, которые легально доступны из правительственных записей на федеральном уровне, уровне штата или местном уровне.

Наиболее важным выводом является то, что личная информация включает в себя комбинацию различных типов персональных данных , таких как имя пользователя или электронная почта с контрольным вопросом или кодом доступа.

PHI / ePHI — защищенная медицинская информация / медицинская информация, защищенная электронным способом

Защищенная медицинская информация, или PHI, является типом конфиденциальной информации, регулируемой Законом о переносимости и подотчетности медицинского страхования (HIPAA) — нормативным актом США для поставщиков медицинских услуг, планов медицинского страхования и страховщиков, расчетных центров здравоохранения или предприятий, связанных с организациями здравоохранения — также совместно именуемые «организациями, на которые распространяется действие HIPAA» или просто «организациями, на которые распространяется действие HIPAA».

PHI — это любая медицинская информация, которая может идентифицировать человека или которая создается, используется или раскрывается в процессе предоставления медицинских услуг. Это включает прошлую, текущую и будущую информацию о медицинских или физических/психических состояниях отдельных лиц, содержащуюся в физических записях, электронных записях и даже в разговорах, которые происходят между пациентами и клиницистами.

Медицинские записи, истории болезни, оказанные медицинские услуги, результаты лабораторных анализов или анализов, рецепты, назначения, формы пациентов, медицинские счета и записи общения с поставщиками или пациентами подпадают под PHI.Любая информация вообще считается PHI, если она может быть связана с физическим лицом, даже если она будет считаться PI в соответствии с другим законодательством (например, имена, номера социального страхования, даты рождения).

PHI включает 18 идентификаторов, любой из которых считается PHI, если он обрабатывается застрахованным лицом:

имена
даты
номера телефонов
географические данные
Номера факса
номера социального страхования
адресов электронной почты
номера медицинской карты
номера счетов
Номера бенефициаров плана медицинского страхования
номера сертификатов/лицензий
идентификаторы транспортных средств и серийные номера, включая номерные знаки
веб-адресов
идентификаторы устройств и серийные номера
адреса интернет-протокола
фотографий анфас и сопоставимых изображений
биометрические идентификаторы
любой уникальный идентификационный номер или код

PHI в цифровых файлах называется электронной защищенной медицинской информацией — или ePHI. Правило безопасности HIPAA требует от организаций, на которые распространяется действие страховки, обеспечивать неприкосновенность и целостность PHI с помощью административных, технических и физических мер безопасности.

Регулируемые, деловые, конфиденциальные данные и данные с высоким риском

При более широком взгляде на конфиденциальные данные, которыми могут обладать организации, компании должны учитывать, как они обращаются с регулируемыми данными, бизнес-данными, конфиденциальными данными и данными с высоким риском — драгоценными камнями в короне организации.

Эти категории могут включать такую информацию, как интеллектуальная собственность (ИС), включая коммерческую тайну, патенты, авторские права и товарные знаки.Это могут быть финансовые или медицинские данные, которые являются очень конфиденциальными, персональные данные, которые должны храниться в тайне, а также скрытые данные, которые могут скрываться в разрозненных хранилищах, теневых серверах или потоках данных — и которые представляют повышенный риск для безопасности в случае раскрытия.

Это могут быть важные для бизнеса конфиденциальные данные, которые обычно не помечаются как конфиденциальные или регулируемые. Или данные о транзакциях, которые имеют решающее значение для борьбы с отмыванием денег (AML), идентификаторы клиентов и многое другое.

Такие типы конфиденциальных данных часто перекрывают определения данных PI, PII, SPI, NPI, PHI и других данных, но их может потребоваться классифицировать, сопоставлять и каталогизировать в соответствии с конкретными разрешениями на доступ или требованиями к отчетности или настраивать теги для конкретного бизнеса. потребности.

Предприятия, наделенные возможностью классифицировать и сопоставлять данные не только в соответствии с законодательством, но и в соответствии с категориями риска, принципами конфиденциальности и другими элементами, имеющими отношение к тому, как работает бизнес, могут лучше контекстуализировать, понимать и принимать меры в отношении своих данные. Такая видимость позволяет компаниям:

включить оценку риска
обеспечить надлежащий контроль доступа
ввести в действие усилия по минимизации данных и рабочие процессы хранения
установить стандарты качества данных и многое другое.

С точки зрения бизнеса, полная видимость ваших данных значительно снизит риск, усилит защиту от несанкционированного доступа, позволит получить ценную информацию о бизнесе и, в конечном счете, поможет раскрыть ценность ваших данных.

Нормативные исключения по вертикали и местоположению

В зависимости от отрасли, в которой работает организация, она может нести ответственность за соблюдение нескольких правил — и отслеживать, какие из ее конфиденциальных данных регулируются каким набором правил, а какие — несколькими наборами правил.Создание этой «диаграммы Венна» для ответственной практики регулирования требует сложных функций классификации данных.

Например, компания, предоставляющая ипотечные кредиты, которая подпадает под действие как GLBA, так и CCPA (или предстоящего CPRA), всегда должна будет тщательно отслеживать свой NPI на соответствие GLBA и отчетность (а также другие нормативные акты, ориентированные на финансы), но обнаружит, что его NPI освобожден от требований CCPA. В то же время данные, которые компания, предоставляющая ипотечные кредиты, собирает, обрабатывает и хранит и которые не считаются НКО, могут по-прежнему подпадать под требования CCPA в отношении конфиденциальных персональных данных.

С другой стороны, компания, предоставляющая медицинские услуги, которая работает во Франции, Бразилии и нескольких штатах США, включая Нью-Йорк и Калифорнию, должна будет определить и классифицировать, какие из их данных подлежат PHI в соответствии с HIPAA, PI в соответствии с GDPR, LGPD, NY SHIELD и CCPA — а вскоре и SPI в соответствии с CPRA — и обрабатывать их соответствующим образом, чтобы соответствовать различным стандартам отчетности, требуемым каждым из них. Еще больше усложняет ситуацию то, что компании, работающие на международном уровне, также должны учитывать требования к трансграничным переводам.

Сложности, связанные с многочисленными нормативными актами, могут привести к настоящей трясине для программ управления данными, безопасности и конфиденциальности, если данные компании не будут должным образом отображены, помечены, каталогизированы и очищены.

Как защищены конфиденциальные данные?

Независимо от того, где работает ваш бизнес или в какой отрасли вы работаете, защита конфиденциальной информации — и выполнение сложного набора нормативных требований — начинается с глубокого обнаружения данных, которое отображает, инвентаризирует и классифицирует всю вашу конфиденциальную информацию в одном месте.

Как платформа BigID Data Intelligence защищает все типы конфиденциальных данных

Независимо от того, где работает ваш бизнес или в какой отрасли вы работаете, выполнение сложного набора нормативных требований начинается с глубокого обнаружения данных, которое отображает, инвентаризирует и классифицирует всю вашу конфиденциальную информацию в одном месте.

Глубинное обнаружение

BigID выходит за рамки традиционных методов обнаружения, которые видят только один тип данных, и целевого обнаружения данных, которое находит только те данные, о которых вы уже знаете.Используя расширенное машинное обучение, вы можете защитить все PII, PI, SPI, NPI, PHI и многое другое вашей организации; знать, какие данные подлежат тому или иному регулированию; поддерживать точные стандарты отчетности; и добиться соответствия всем правилам.

BigID для всех типов конфиденциальных данных

Вот лишь некоторые способы, которыми может помочь непревзойденная платформа анализа данных BigID:

классифицируйте все ваши конфиденциальные данные всех типов, чтобы узнать цель их использования, качество, влияние на риски и многое другое
автоматически каталогизирует конфиденциальные данные и метаданные в структурированных, неструктурированных, облачных источниках, больших данных, NoSQL, озерах данных и везде между
найти, пометить и пометить данные
автоматически идентифицировать повторяющиеся, производные и подобные данные

Запланируйте демонстрацию, чтобы узнать больше о том, какую конфиденциальную информацию необходимо защищать вашей организации, и как получить максимальную отдачу от ваших данных.

Акцент на соответствие требованиям безопасности и защите

Возможно, вы заметили, что в мире технологий мы часто используем аббревиатуры. На самом деле это своего рода ходячая шутка в индустрии. Однако аббревиатуры, которые мы сегодня обсудим, не шутка и являются одними из самых важных в мире кибербезопасности. Аббревиатуры обсуждаются сегодня, я называю «все PXI», и они охватывают широкий спектр вопросов безопасности, которые затрагивают соответствие требованиям и цепочку поставок.Вы заметите, что в PXI существует реальное ощущение того, что защита данных в любой форме должна осуществляться во всей экосистеме деловых партнеров и поставщиков.

Финансовый сектор и PCI

PCI расшифровывается как индустрия платежных карт, и это половина аббревиатуры известного стандарта соответствия PCI-DSS или стандарта безопасности данных индустрии платежных карт. Стандарт представляет собой структуру или набор руководящих принципов, которые определяют типы безопасности, необходимые для обеспечения безопасности платежей.Любая организация, от небольшого местного магазина до многонационального банка, должна соблюдать меры, изложенные в PCI-DSS, при защите информации о платежной карте. Это означает ответственность за обеспечение защиты финансовых данных при их приеме, передаче, хранении и обработке.

Основные поставщики платежных карт контролируют PCI-DSS. Он разбит на шесть основных целей, которые необходимо достичь на разных уровнях, чтобы соответствовать требованиям PCI-DSS. Какой уровень вам необходимо достичь, зависит от объема и типа транзакций, которые вы выполняете.Чтобы еще больше усложнить ситуацию, у каждого поставщика карт есть своя вариация на уровне. У WorldPay есть набор рекомендаций для продавцов, которые помогают им определить, какого уровня им нужно достичь. Шесть целевых требований охватывают следующее:

1. Не храните никакие данные аутентификации от клиента (например, PIN-код).

2. Контролируйте доступ к системе и сети и защищайте информацию о держателях карт.

3. Любые приложения платежных карт должны быть защищены.

4. Мониторинг доступа к системе.

5. Если вам необходимо хранить информацию о платежной карте, защитите ее.

6. Объедините все усилия по обеспечению соответствия требованиям и убедитесь, что действуют политики безопасности.

В 2016 году PCI-DSS выпустила новую версию 3.2. Эта версия была выпущена, чтобы обновить PCI-DSS с точки зрения новых угроз со стороны мобильных и облачных вычислений. Версия 3.2 также имеет ряд требований, связанных с цепочками поставок, например:

«12.3.9 Активация технологий удаленного доступа для поставщиков и деловых партнеров только тогда, когда это необходимо поставщикам и деловым партнерам, с немедленной деактивацией после использования»

Вышеупомянутое действие, вероятно, произошло в результате таких нарушений, как Target Corp, когда сторонний поставщик был подвергнут фишинговым атакам, в результате чего основная сеть Target стала доступной для киберпреступников.

Следуя духу, присущему версии 3.2 PCI-DSS, делается сильный толчок к «совместной ответственности за защиту данных платежных карт клиентов по всей цепочке поставок и с деловыми партнерами».

В 2018 году вышло незначительное обновление до версии 3.2.1. Это обновление предназначено для устранения путаницы в отношении дат вступления в силу требований PCI DSS, представленных в версии 3.2, а также дат миграции для SSL/ранней версии TLS», — сказал технический директор PCI SSC Трой Лич. «Очень важно, чтобы организации отключили SSL/ранние версии TLS и перешли на безопасную альтернативу для защиты своих платежных данных.

Соответствие требованиям здравоохранения и PHI

PHI расшифровывается как «защищенная медицинская информация», и это один из самых востребованных блоков данных, который находится в поле зрения киберпреступника.PHI содержит множество информации. PHI определяется Законом о переносимости и подотчетности медицинского страхования (HIPAA) и состоит из любых данных, которые можно использовать для установления связи личности человека с его медицинским обслуживанием. Полный список из 18 идентификаторов, составляющих PHI, можно увидеть здесь. По данным Ponemon Institute, PHI является ценным активом и продается в даркнете дороже, чем любой другой набор данных. Что касается защиты PHI, HIPAA и связанный с ним Закон об информационных технологиях здравоохранения для экономического и клинического здравоохранения (HITECH), введенный для включения электронных медицинских карт (EMR), предлагают рекомендации по защите PHI.В рамках HIPAA есть «правило конфиденциальности» и его подмножества, «правило безопасности», «правило правоприменения» и «правило уведомления о нарушении», которые касаются различных аспектов защиты PHI. Этот раздел HIPAA дает общее руководство относительно того, какие шаги необходимо предпринять для реализации политики защиты PHI и, в частности, электронной PHI (ePHI). Секция безопасности состоит из трех основных частей:

1. Технические средства защиты. Правило безопасности охватывает все возможные области, которые необходимо устранить для обеспечения защиты PHI.Это включает аутентификацию и управление доступом, целостность данных и безопасность передачи (шифрование)

2. Физические меры безопасности: такие как безопасность рабочих станций, защита съемных носителей и контроль доступа к помещениям.

3. Административные меры безопасности: Наличие политики, охватывающей процессы и процедуры. В этом разделе также рассматривается обучение по вопросам безопасности.

Защита PHI стала серьезной проблемой. В последние годы произошли крупные утечки PHI: в 2015 году было украдено 112 миллионов записей, и, похоже, в 2016 году это число превысит этот показатель.Управление гражданских прав Министерства здравоохранения и социальных служб США (OCR) предположило, что до 40% этих нарушений были связаны со сторонними поставщиками. Чтобы противостоять этому, были внесены недавние изменения в акты-близнецы HITECH и HIPAA, чтобы расширить охват актов для связанных предприятий. Сводное правило HIPAA вступило в силу, чтобы гарантировать, что любая компания, которая в любое время касается записи PHI, должна соблюдать те же правила, что и основная организация.

Соответствие требованиям каждой отрасли и PII

PII означает личную информацию, и в конечном итоге она влияет на все организации всех размеров и типов. И PHI, и PCI можно рассматривать как частные случаи PII. Что касается киберпреступников, PII — это золотая чаша. PII — это любая информация, которая может быть использована для идентификации человека; Например, ваше имя, адрес, дата рождения, номер социального страхования и так далее. Если у вас есть набор PII, вы можете не только продавать его в даркнете, но и использовать для проведения других атак. Это прекрасно продемонстрировано атаками на Управление кадров и нарушением Гимна в 2015 году.Здесь несколько миллионов данных PII были украдены, а затем использованы для дальнейших атак на такие организации, как IRS.

Защита персональных данных — это то, к чему должна стремиться каждая отрасль, а также иметь политики и стратегии безопасности для снижения риска для персональных данных. Национальный институт стандартов и технологий (NIST) разработал ряд руководств, которые помогают управлять вашей политикой безопасности в отношении защиты PII. В «Руководстве по обмену информацией о киберугрозах» NIST основное внимание уделяется преимуществам использования общего подхода к информационной безопасности. В руководстве указано, что:

«Благодаря обмену информацией о киберугрозах с другими участниками сообщества совместного использования организации могут использовать коллективные знания, опыт и возможности сообщества совместного использования, чтобы получить более полное представление об угрозах, с которыми они могут столкнуться».

Это важное соображение в свете выводов отчета Института Ponemon «Риск данных в сторонней экосистеме», в котором указывается, что 49% респондентов столкнулись с утечкой конфиденциальных данных, вызванной одним из их поставщиков.Если вы не распространяете свои политики безопасности на всю цепочку поставок, вы подвергаетесь серьезному риску со стороны расширенной экосистемы.

Все PXI подвержены риску киберугроз. Каждый из них ценен сам по себе, а в чужих руках может использоваться для совершения преступлений снова и снова. Мы, как организации, обязаны по закону и этике защищать информацию наших клиентов. Это взаимовыгодное действие. Защищая данные наших клиентов, мы, в свою очередь, защищаем свою репутацию и свою прибыль. Но мы не можем сделать это в одиночку. Расширенная цепочка поставок должна находиться под эгидой соблюдения требований и защиты информации не только потому, что это предписывается самими законами, но и потому, что совместная работа обеспечит комплексную, далеко идущую защиту, в которой мы нуждаемся, чтобы бороться с когда-либо – присутствует опасность киберпреступности.

Воспользуйтесь нашей матрицей управления идентификацией и доступом (IAM), чтобы узнать, какие решения могут соответствовать многим нормативным требованиям, включая HIPPA, GDPR, PCI-DSS, NERC и FERPA.

Стандарт классификации и защиты данных

1.0 Обзор

Активы данных являются одними из самых ценных активов, принадлежащих Университету Джорджии. (УГА). UGA производит, собирает и использует множество различных типов данных для выполнения его миссия. Законы и институциональная политика предписывают конфиденциальность и защиту определенных типы данных, а также потребность Университета в управлении рисками для своей репутации и своим составляющим требует защиты другой информации.Классификация данных является первым шагом в определении необходимости защиты данных.

2.0 Цель/назначение

Этот стандарт призван помочь сотрудникам UGA классифицировать данные для целей определение его потребности в защите и определение применимых политик и законов.

3.0 Объем

Этот стандарт может использоваться для классификации любых данных, которые хранятся, обрабатываются или передаются по УГА.Стандарт распространяется на все типы данных:

Электронные данные,
Данные записываются на бумагу и
Информация, передаваемая в устной, визуальной или иной форме.

4,0 Стандарт

4.1 Классификация

Данные могут быть классифицированы либо с точки зрения необходимости их защиты (например, чувствительные Данные) или его потребность в доступности (т.г. критические данные). Классифицировать данные по терминам необходимости защиты, используйте раздел 4.1.1 настоящего стандарта. Чтобы классифицировать данные в условия или потребности в доступности, используйте раздел 4.1.2 настоящего стандарта.

4.1.1 Классификация данных в соответствии с потребностями в защите

Сопоставьте любые данные, которые необходимо классифицировать, с одной из четырех категорий, которые лучше всего описывает его потребность в конфиденциальности и его профиль риска.Четыре категории являются общедоступными, внутренними, конфиденциальными и ограниченными.

4.1.1.1 Общедоступные данные. Данные могут быть раскрыты без ограничений. Примеры – Каталоги, Карты, учебные программы и учебные материалы, обезличенные наборы данных и т. д.

4.1.1.2 Внутренние данные. Предпочтительна конфиденциальность данных, но информация, в данных может подлежать раскрытию открытых записей.Примеры – переписка по электронной почте, бюджетные планы, EmplID сотрудника и т. д.

4.1.1.3 Конфиденциальные данные. Конфиденциальность данных требуется по закону, политике или договору. обязательство.

Характеристики конфиденциальных данных

Комплаенс-риск: Защита данных предусмотрена законом (например, FERPA) или требуется частный договор (т.г. соглашения о неразглашении).
Репутационный риск: потеря конфиденциальности или целостности приведет к значительному ущербу к репутации УГА. Например, потеря номеров социального страхования или порча веб-сайт UGA, вероятно, станет новостным сообщением, которое появится в средствах массовой информации.
Прочие риски: потеря конфиденциальности, которая может причинить вред отдельным лицам, например Студенты, персонал, доноры и партнеры UGA.Потеря конфиденциальности или целостности это приведет к тому, что UGA понесет значительные расходы в ответ.
Обращение в запросах Open Records: Конфиденциальная информация обычно удаляется из раскрытие информации в открытых записях.

Примеры конфиденциальных данных

Личные дела учащихся и абитуриентов (без номеров социального страхования)
Записи доноров и выпускников
Критическая информация об инфраструктуре (детали физического объекта, информация об ИТ-системах, системные пароли, планы информационной безопасности и т. д.)
Исследовательская информация, связанная со спонсорством, финансированием, участием человека и т. д.
Информация, защищенная соглашениями о неразглашении (NDA) или аналогичными частными договорами
Правоприменительные и следственные записи
Идентификационный номер UGA (также известный как номер 81X)

4.1.1.4 Данные с ограниченным доступом. Данные с ограниченным доступом требуют защиты конфиденциальности и безопасности.Для использования и сбора может потребоваться специальное разрешение. Примеры — наборы данных с индивидуальными номерами социального страхования (или последними четырьмя SSN), транзакция по кредитной карте или данные держателя карты, данные о здоровье пациента, финансовые данные и т. д.

Характеристики ограниченных данных

Утверждение старшего вице-президента (SVP): Старшие вице-президенты UGA или назначенные ими лица должны санкционировать все хранение, обработка и передача Ограниченной информации.
Риск соблюдения нормативных требований: защита информации предусмотрена законом (HIPAA, GLBA) или требуется по частному контракту (PCI DSS).
Репутационный риск: потеря конфиденциальности или целостности приведет к значительному ущербу к репутации УГА.
Прочие риски: потеря конфиденциальности или целостности информации, которая может причинять вред отдельным лицам и заставлять Университет нести значительные расходы в ответ.
Обращение в запросах открытых записей: записи с ограниченной информацией обычно не открыт для всеобщего обозрения.

Примеры ограниченных данных

Номера социального страхования (SSN) или последние четыре цифры SSN физического лица
Финансовая информация и номера счетов, включая полный 16-значный номер карты UGACard
Данные держателя платежной карты
Защищенная медицинская информация

4. 1.2 Классификация данных в соответствии с потребностями в доступности

Сопоставьте любые данные, которые необходимо классифицировать в соответствии с потребностями доступности, с одним из трех категорий, которые лучше всего описывают его потребности в доступности. То три категории: Поддерживающие, Высокоприоритетные и Критические.

4.1.2.1 Вспомогательные данные — Вспомогательные данные необходимы для повседневных операций, но не имеет решающего значения для миссии университета или отдела/подразделения/колледжа или основные функции.Примеры — материалы курса, протоколы собраний, изображения рабочих станций, и Т. Д.

4.1.2.2 Высокоприоритетные данные. Доступность данных необходима для работы отдела. Уничтожение или временная потеря данных может отрицательно сказаться на деятельности колледжа или отдела. миссии, но не повлияет на общеуниверситетскую деятельность.

4.1.2.3 Критические данные. Важнейшие данные нуждаются в максимальной доступности.Если информация недоступна из-за простоя системы, модификации, уничтожения и т. д., это повлияет на функции и миссию Университета. Доступность этой информации должны быть строго защищены.

Характеристики критических данных

Риск миссии: Кратковременная или длительная потеря доступности может помешать UGA выполнение своих основных функций или миссии.
Риск для здоровья и безопасности: Потеря доступности может создать риск для здоровья или безопасности людей. (например, данные экстренного уведомления, данные о состоянии здоровья и т. д.).
Риск несоответствия: доступность информации требуется по закону (HIPAA, GLBA) или требуется по частному договору.
Репутационный риск: потеря данных нанесет значительный ущерб репутации UGA.

Примеры важных данных

Аварийное уведомление/контактные данные
Медицинские данные
Студенческие записи

4.2 Защита

Минимальные стандартные требования к защите для каждой категории см. в таблице ниже. данных при использовании или обработке в определенном контексте (например, конфиденциальные данные, отправленные в сообщении электронной почты).Обратите внимание, что приведенные ниже стандарты защиты не предназначены для заменять любые нормативные или договорные требования по обработке данных. Некоторые конкретные наборы данных, такие как данные успеваемости учащихся, данные кредитных/дебетовых карт, медицинские данные, и данные финансового счета, могут иметь более строгие требования в дополнение к минимальному стандартные требования, перечисленные ниже.

Серверы

	Общедоступные данные	Внутренние данные	Конфиденциальные данные	Ограниченные данные
Сбор и использование	Нет требований к защите	Нет требований к защите	Ограничено разрешенным использованием, как указано в Политике конфиденциальности UGA . Департаменты/колледжи, собирающие и/или использующие ограниченные данные, должны участвовать в Программа информационной безопасности клиентов , сообщив о конфиденциальных серверах в Управление информационной безопасности EITS. Веб-страницы университетов, которые используются для сбора конфиденциальных данных, должны содержать ссылку к Политике конфиденциальности UGA .	Ограничено разрешенным использованием, как указано в Политике конфиденциальности UGA . Департаменты/колледжи, собирающие и/или использующие ограниченные данные, должны участвовать в Программе информационной безопасности клиентов , сообщив о серверах с ограниченным доступом в Управление информационной безопасности EITS. Веб-страницы университетов, которые используются для сбора ограниченных данных, должны содержать ссылку к Политике конфиденциальности UGA . SSN не могут использоваться для идентификации членов сообщества UGA, если есть разумные альтернатива. SSN не должны использоваться в качестве имени пользователя или пароля. SSN не должны собираться для лиц, не прошедших проверку подлинности. Любое использование кредитной/дебетовой карты должно быть одобрено казначейским управлением UGA.
Предоставление доступа или совместного использования	Нет требований к защите	Должны использоваться разумные методы для обеспечения доступа или совместного использования внутренних данных с уполномоченными лицами или лицами с законной необходимостью знать.	Доступ должен быть ограничен уполномоченными должностными лицами или агентами Университета с законным академический или деловой интерес и необходимость знать, как указано в Политике конфиденциальности UGA . Согласно UGA Политика доступа к данным Требования, любой доступ должен быть одобрен соответствующим владельцем данных и отслеживаться способом, достаточным для проверки. Перед предоставлением доступа внешним третьим сторонам договорные соглашения, в которых обязанности по обеспечению безопасности данных должны быть утверждены Управлением по правовым вопросам. Дела.	Доступ должен быть ограничен уполномоченными должностными лицами или агентами Университета с законным академический или деловой интерес и необходимость знать, как указано в Политике конфиденциальности UGA . Согласно UGA Политика доступа к данным Требования, любой доступ должен быть одобрен соответствующим владельцем данных и отслеживаться способом, достаточным для проверки. Перед предоставлением доступа внешним третьим сторонам договорные соглашения, в которых обязанности по обеспечению безопасности данных должны быть утверждены Управлением по правовым вопросам. Дела.
Раскрытие информации, публичное размещение и т. д.	Нет требований к защите	Должны использоваться разумные методы для обеспечения того, чтобы внутренние данные раскрывались только уполномоченным лиц или лиц с законной потребностью знать.	Конфиденциальные данные не должны разглашаться без согласия. Конфиденциальные данные не могут публиковаться публично. Справочная информация может быть раскрыта без согласия. Однако согласно FERPA отдельные студенты могут отказаться от раскрытия информации каталога.	Не разрешено, если это не требуется по закону.
Электронный дисплей	Нет требований к защите	Должны использоваться разумные методы для обеспечения того, чтобы внутренние данные отображались только для авторизованных лиц или лиц с законной потребностью знать.	Только для авторизованных и аутентифицированных пользователей системы.	Данные с ограниченным доступом должны отображаться только для авторизованных и аутентифицированных пользователей система. Идентификационные номера или номер счета должны быть хотя бы частично замаскированы или отредактированы.
Запросы на открытие записей	Данные могут быть легко предоставлены по запросу.Однако лица, получившие запрос должны согласовать с UGA Open Records Office перед предоставлением данных.	Лица, получившие запрос, должны согласовать свои действия с офисом открытых записей UGA.	Конфиденциальные данные обычно не подлежат раскрытию в открытых записях. Однако некоторые запросы на открытие записей могут быть выполнены путем редактирования конфиденциальных частей записей.Лица, получившие запрос, должны согласовать свои действия с офисом открытых записей UGA.	Данные с ограниченным доступом обычно не подлежат раскрытию в открытых записях. Однако некоторые запросы на открытие записей могут быть выполнены путем редактирования конфиденциальных частей записей. Лица, получившие запрос, должны согласовать свои действия с офисом открытых записей UGA.
Обмен с третьими сторонами, поставщиками услуг, облачными сервисами и т. д.	Нет требований к защите	Должны использоваться разумные методы для обеспечения того, чтобы ответственность третьей стороны для конфиденциальности / конфиденциальности данных определены и задокументированы.	Контрактное соглашение (или меморандум о взаимопонимании, если это государственное учреждение), определяющее обязанности по обеспечению безопасности должны быть в наличии и утверждены Управлением по правовым вопросам до обмена данными с третьей стороной/поставщиком услуг.	Контрактное соглашение (или меморандум о взаимопонимании, если это государственное учреждение), определяющее обязанности по обеспечению безопасности должны быть в наличии и утверждены Управлением по правовым вопросам до обмена данными с третьей стороной/поставщиком услуг.
Хранение или обработка: серверная среда	Серверы, которые подключаются к сети UGA, должны соответствовать Минимальным стандартам безопасности для сетевых устройств .	Серверы, которые подключаются к сети UGA, должны соответствовать Минимальным стандартам безопасности для сетевых устройств .	должны соответствовать требованиям безопасности, изложенным в Минимальных стандартах безопасности для конфиденциальных устройств.	Серверы должны соответствовать требованиям безопасности, изложенным в Минимальных стандартах безопасности для конфиденциальных устройств . Хранение данных PAN кредитной/дебетовой карты не разрешено.
Хранение или обработка: Конечная среда (например, ноутбук, телефон, настольный компьютер, планшет и т. д.)	Системы, которые подключаются к сети UGA, должны соответствовать Минимальным стандартам безопасности для сетевых устройств .	Системы, которые подключаются к сети UGA, должны соответствовать Минимальным стандартам безопасности для сетевых устройств .	Системы должны соответствовать требованиям безопасности, изложенным в Минимальных стандартах безопасности для чувствительных устройств .	Системы должны соответствовать требованиям безопасности, изложенным в Минимальных стандартах безопасности для чувствительных устройств . Хранение данных PAN кредитной/дебетовой карты не разрешено. Хранение ограниченных данных на личных устройствах запрещено.
Хранение на съемных носителях (например, на флэш-накопителях, компакт-дисках, кассетах и т. д.)	Нет требований к защите	Нет требований к защите	Конфиденциальные данные должны храниться только на съемных носителях в зашифрованном формате файла. или внутри зашифрованного тома.	Не разрешено, если это не требуется по закону. Если это требуется по закону, данные, хранящиеся на съемных носителях, должны быть зашифрованы, а носитель должны храниться в физически защищенной среде. Хранение ограниченных данных на личных СМИ не допускается.
Электронная коробка передач	Нет требований к защите	Нет требований к защите	Данные должны передаваться либо в зашифрованном формате файла, либо по защищенному протоколу. или подключение.	Для передачи должны использоваться безопасные, аутентифицированные соединения или защищенные протоколы. ограниченных данных.
Электронная почта и другие электронные сообщения	Нет требований к защите	Должны использоваться разумные методы для обеспечения того, чтобы внутренние данные включались только в сообщения уполномоченным лицам или лицам с законной необходимостью знать.	Сообщения должны отправляться только уполномоченным лицам с законной необходимостью знать. Сообщения должны передаваться по защищенному протоколу или сообщения могут отправляться через безопасный инструмент, такой как https://sendfiles.uga.edu.	Запрещено без специального разрешения или если это не требуется по закону. Если разрешено, данные должны включаться только в сообщения в зашифрованном вложенном файле или через авторизованные безопасные системы, такие как https://sendfiles. uga.edu
Печать, рассылка по почте, факс и т. д.	Нет требований к защите	Должны использоваться разумные методы для обеспечения того, чтобы печатные материалы распространялись только или доступны для уполномоченных лиц или лиц с законной необходимостью знать.	Печатные материалы, содержащие конфиденциальные данные, должны распространяться или быть доступными только уполномоченным лицам или лицам с законной необходимостью знать. Доступ к любой области, где хранятся печатные записи с конфиденциальными данными, должен быть ограничивается использованием средств управления (например, замков, дверей, контроля и т. д.), достаточных для предотвращения несанкционированного проникновения.	Печатные материалы, содержащие ограниченные данные, должны распространяться или быть доступными только уполномоченным лицам или лицам с законной необходимостью знать. Доступ к любой области, где хранятся печатные записи с ограниченными данными, должен быть ограничивается использованием средств управления (например, замков, дверей, контроля и т. д.), достаточных для предотвращения несанкционированного проникновения. Номера социального страхования не должны быть напечатаны ни на одной карточке, необходимой для доступа к услугам. Новые процессы, требующие печати SSN на рассылаемых по почте материалах, не должны устанавливаться если этого не требует другое агентство штата или федеральное агентство.
Утилизация	Нет требований к защите	Нет требований к защите.	Данные должны быть удалены без возможности восстановления (например, ластик, нулевое заполнение, многопроходный DoD и т. д.). Физические носители (например, бумага, компакт-диск, лента и т. д.) должны быть уничтожены, чтобы данные на носители не могут быть восстановлены или реконструированы.	Данные должны быть удалены без возможности восстановления (например, ластик, нулевое заполнение, многопроходный DoD и т. д.). Физические носители (например, бумага, компакт-диск, лента и т. д.) должны быть уничтожены, чтобы данные на носители не могут быть восстановлены или реконструированы.

5.0 Правоприменение и реализация

5.1 Роли и обязанности

Каждый департамент/подразделение университета отвечает за внедрение, анализ и мониторинг внутренние политики, практики и т. д.для обеспечения соответствия этому стандарту.

За обеспечение соблюдения этого стандарта отвечает Управление директора по информационным технологиям.

5.2 Последствия и санкции

Несоблюдение этих стандартов может повлечь за собой такие же виды дисциплинарных мер и последствия как нарушения других политик Университета, включая прогрессивные дисциплинарного взыскания вплоть до увольнения, или, в случаях, когда студенты вовлечены, сообщают о нарушении Кодекса поведения учащихся.

Любое устройство, не отвечающее минимальным требованиям безопасности, изложенным в этом стандарте. может быть удалено из сети UGA, отключено и т. д. до тех пор, пока устройство может соответствовать этому стандарту.

6.

0 Исключения

Исключения могут быть предоставлены в случаях, когда риски безопасности снижаются за счет альтернативных методы или в случаях, когда риски безопасности находятся на низком, приемлемом уровне и с минимальными требованиями безопасности будет мешать законной академической или деловой потребности.Чтобы запросить исключение безопасности, обратитесь в Управление информационной безопасности. на [email protected].

7.0 Каталожные номера

Конфиденциальность, Управление конфиденциальности и открытого правительства, Министерство торговли США

Надлежащая защита личной информации (PII) и деловой информации (BII).

Информация, позволяющая установить личность

Термин информация, позволяющая установить личность, относится к информации, которая может использоваться для идентификации или отслеживания личности человека, такой как его имя, номер социального страхования, биометрические записи и т. д.отдельно или в сочетании с другой личной или идентифицирующей информацией, которая связана или может быть связана с конкретным лицом, такой как дата и место рождения, девичья фамилия матери и т. д.

Конфиденциальная ПИИ — это ПИИ, потеря, компрометация или разглашение которой без разрешения могут причинить вред, смущение, неудобство или несправедливость по отношению к человеку. Следующие типы PII считаются конфиденциальными, когда они связаны с физическим лицом: номер социального страхования (включая усеченную форму), место рождения, дата рождения, девичья фамилия матери, биометрические данные, медицинская информация (за исключением кратких упоминаний об отсутствии на работе), личная финансовая информация, номера счетов кредитных карт или карт покупок, номера паспортов, потенциально конфиденциальная информация о занятости (например,g., аттестации, дисциплинарные взыскания и результаты фоновых расследований), криминальное прошлое и любая информация, которая может заклеймить человека или негативно повлиять на него.

Контекст информации важен. Одни и те же типы информации могут быть конфиденциальными или неконфиденциальными в зависимости от контекста. Например, список имен и номеров телефонов для списка сотрудников Департамента по софтболу сильно отличается от списка имен и номеров телефонов лиц, проходящих лечение от инфекционного заболевания.

Если конфиденциальная PII передается в электронном виде, она должна быть защищена с помощью безопасных методологий, таких как шифрование, инфраструктура открытых ключей или уровень защищенных сокетов. Если вы сомневаетесь, относитесь к PII как к конфиденциальной.

Вернуться к началу

Деловая идентифицирующая информация

Деловая информация, позволяющая установить личность, — это информация, которая определяется в Законе о свободе информации (FOIA) как «коммерческая тайна и коммерческая или финансовая информация, полученная от лица, [которое является] привилегированным или конфиденциальным. (5 U.S.C.552(b)(4)). Эта информация не подлежит автоматическому раскрытию в соответствии с (b)(4) исключением FOIA. «Коммерческий» не ограничивается записями, которые раскрывают «основные коммерческие операции», но включает любые записи [или информацию], в которых заявитель имеет «коммерческий интерес», и может включать информацию, представленную некоммерческой организацией. Или (b) коммерческая или другая информация, которая, хотя и не может быть освобождена от раскрытия в соответствии с Законом о свободе информации, не подлежит раскрытию по закону (например, 13 U.S.C. 9).

Коммерческая или финансовая информация считается конфиденциальной, если ее раскрытие может нанести существенный ущерб конкурентной позиции лица, от которого эта информация была получена. Примеры BII включают финансовую информацию, предоставленную в ответ на запросы данных экономической переписи, бизнес-планы и маркетинговые данные, предоставленные для участия в мероприятиях по развитию торговли, коммерческую и финансовую информацию, собранную в рамках мер по обеспечению соблюдения экспортных норм, конфиденциальную информацию, предоставленную в поддержку заявки на получение гранта. или связанные с федеральными действиями по приобретению, и финансовые отчеты, собранные в рамках расследования.

BII, полученная Департаментом, должна быть защищена так же, как PII, в соответствии с действующим законодательством.

Вернуться к началу

Обязанности сотрудников/подрядчиков

Сотрудник/подрядчик Министерства торговли несет ответственность за:

Знание того, что представляет собой PII и BII
Обращение и защита PII и BII
В соответствии с федеральными законами, правилами, положениями и политикой конфиденциальности Департамента в отношении PII и BII
Распознавание инцидента нарушения PII и немедленное сообщение о нем после обнаружения/обнаружения.
Успешное завершение обучения по защите PII.

Наверх

Способы защиты персональных данных

Используйте безопасные методы, такие как шифрование, для электронной передачи конфиденциальной информации PII.
Шифрование конфиденциальных личных данных на мобильных компьютерах, носителях и других устройствах
Блокировка или выход из оставленных без присмотра компьютерных систем.
Уничтожить конфиденциальную бумагу PII путем измельчения или использования мешков для сжигания.
Удалите конфиденциальную личную информацию, очистив электронную «корзину».
Храните конфиденциальные персональные данные только в системах федерального правительства.
Обеспечьте надлежащую защиту данных PII, когда вы находитесь вне рабочего места или в конце рабочего дня.

Наверх

Сообщение об инцидентах с персональными данными

При обнаружении/обнаружении немедленно сообщите о предполагаемом или подтвержденном инциденте утечки PII своему руководителю/представителю контрактного сотрудника (COR) и группе реагирования на компьютерные инциденты (CIRT) бюро/оперативного подразделения (BOU).
Предоставьте подробную информацию об инциденте утечки PII.
Сохраняйте или документируйте информацию и/или действия, относящиеся к инциденту нарушения PII.
При необходимости выполните корректирующие/восстановительные действия.
Директор по вопросам конфиденциальности (CPO) и BOU CIRT Reporting Offices
Вернуться к началу

Брошюра

Брошюра о сообщениях о нарушениях конфиденциальной информации

План уведомления о нарушении

Закон о конфиденциальности (PA), План уведомления о нарушениях PII и BII

Вернуться к началу

Руководство по защите информации, позволяющей установить личность

Информация, позволяющая установить личность (PII), определяется как:

Любое представление информации, позволяющее установить личность человека, к которому относится эта информация, с помощью прямых или косвенных средств.Кроме того, PII определяется как информация: (i) которая непосредственно идентифицирует физическое лицо (например, имя, адрес, номер социального страхования или другой идентификационный номер или код, номер телефона, адрес электронной почты и т. д.) или (ii) с помощью которой агентство предназначена для идентификации конкретных лиц в сочетании с другими элементами данных, т. е. косвенной идентификации. (Эти элементы данных могут включать комбинацию пола, расы, даты рождения, географического показателя и других дескрипторов). Кроме того, информация, позволяющая установить физический или онлайн-контакт с конкретным лицом, приравнивается к информации, позволяющей установить личность.Эта информация может храниться на бумажном, электронном или другом носителе.

Подрядчикам Министерства труда (DOL)

напоминают, что защита конфиденциальной информации является важной обязанностью, к которой нужно относиться серьезно во все времена. Внутренняя политика DOL определяет следующие политики безопасности для защиты PII и других конфиденциальных данных:

Каждый пользователь несет ответственность за защиту данных, к которым у него есть доступ. Пользователи должны соблюдать правила поведения, определенные в применимых планах безопасности систем, DOL и руководствах агентств.
Подрядчики DOL, имеющие доступ к личной информации, должны соблюдать конфиденциальность такой информации и воздерживаться от любого поведения, которое указывало бы на небрежное или небрежное отношение к такой информации. Сотрудники, работающие по контракту, также должны избегать сплетен в офисе и не должны разрешать несанкционированный просмотр записей, содержащихся в системе записей DOL. Доступ к таким системам записей имеют только лица, у которых есть «необходимость знать» в их официальном качестве.

Потеря PII может привести к существенному ущербу для отдельных лиц, включая кражу личных данных или другое мошенническое использование информации.Поскольку сотрудники и подрядчики DOL могут иметь доступ к личной идентифицируемой информации о физических лицах и другим конфиденциальным данным, мы несем особую ответственность за защиту этой информации от потери и неправомерного использования.

Имея эти обязанности, подрядчики должны обеспечить, чтобы их сотрудники:

Защита информации DOL, к которой их сотрудники имеют доступ в любое время.
Получите письменное разрешение руководства DOL, прежде чем забрать любую конфиденциальную информацию DOL из офиса.Утверждение менеджера DOL должно определять деловую необходимость удаления такой информации из средства DOL.
Когда выдается разрешение на вынос конфиденциальной информации из офиса, сотрудник должен придерживаться описанных выше политик безопасности.

Подрядчики должны убедиться, что их сотрудники, работающие по контракту, осведомлены об их обязанностях в отношении защиты персональных данных в Министерстве труда. В дополнение к вышеизложенному, если контрактные сотрудники узнают о краже или потере PII, они должны немедленно сообщить об этом своему контрактному менеджеру DOL.В случае, если их менеджер по контрактам DOL недоступен, они должны немедленно сообщить по телефону о краже или утере группе DOL по реагированию на инциденты компьютерной безопасности (CSIRC) по адресу [email protected].

Правила и политики — Защита PII — Закон о конфиденциальности

Примечание: Информация на этой странице предназначена для информирования общественности о политике и методах конфиденциальности GSA, применимых к сотрудникам, подрядчикам и клиентам GSA.

Что такое личная информация (PII)?

В приложении к OMB M-10-23 (Руководство по использованию агентствами сторонних веб-сайтов и приложений) определение PII было обновлено и теперь включает следующее:

Личная информация (PII)
Термин «PII», как он определен в Меморандуме OMB M-07-1616, относится к информации, которая может использоваться для идентификации или отслеживания личности человека, либо отдельно, либо в сочетании с другой личной или идентифицирующей информацией, которая связана или может быть связана с конкретным физическое лицо.Определение PII не привязано к какой-либо одной категории информации или технологии. Скорее, это требует индивидуальной оценки конкретного риска, который может быть идентифицирован. При проведении этой оценки важно, чтобы агентство признавало, что не-PII может стать PII всякий раз, когда дополнительная информация становится общедоступной – на любом носителе и из любого источника, – которая в сочетании с другой доступной информацией может быть использована для идентификации. индивидуальный.

Директива GSA CIO P 2180.2

CIO GSA Правила поведения при обращении с информацией, позволяющей установить личность (PII)

Дата: 08.10.2019
Статус: подтверждено
Устарело: 08.10.2026

ТЕМА: Правила GSA по обращению с информацией, позволяющей установить личность (PII)

Цель: Настоящая директива содержит политику GSA в отношении надлежащего обращения с PII, а также последствия и корректирующие действия, которые будут предприняты если произойдет нарушение.

Виды защищаемой информации

Основные виды утечек информации и способы их предотвращения

Несанкционированное воздействие и доступ к информации

Защита важных данных от несанкционированного доступа и воздействия

Непреднамеренное воздействие на информацию и утечки

Утечки информации в результате проведения разведки

Классификация информации по видам тайн и степеням конфиденциальности

Порядок и особенности определения состава защищаемой информации

Организация технической защиты конфиденциальной информации

Программа повышения квалификации

«Организация технической защиты конфиденциальной информации»

Сроки: 15-25 июня 20121 г.

О программе

Информационная безопасность – ГУЗ Нерчинская центральная районная больница

Понятие и виды защищаемой информации по законодательству РФ

Право Понятие и виды защищаемой информации по законодательству РФ

Руководство по классификации данных — Управление информационной безопасности — Вычислительные службы

Назначение

Применяется к

Определения

Классификация данных

Сбор данных

Реклассификация

Расчетная классификация

Приложение A. Предопределенные типы информации ограниченного доступа

История изменений

Руководство по типам конфиденциальной информации

Что считается конфиденциальной информацией?

Типы конфиденциальной информации

PII: личная информация

ИП: личная информация

SPI — Конфиденциальная личная информация

NPI — закрытая личная информация

MNPI — Существенная непубличная информация

Частная информация

PHI / ePHI — защищенная медицинская информация / медицинская информация, защищенная электронным способом

Регулируемые, деловые, конфиденциальные данные и данные с высоким риском

Нормативные исключения по вертикали и местоположению

Как защищены конфиденциальные данные?

Как платформа BigID Data Intelligence защищает все типы конфиденциальных данных

BigID для всех типов конфиденциальных данных

Акцент на соответствие требованиям безопасности и защите

Финансовый сектор и PCI

Соответствие требованиям здравоохранения и PHI

Соответствие требованиям каждой отрасли и PII

Стандарт классификации и защиты данных

Стандарт классификации и защиты данных

1.0 Обзор

2.0 Цель/назначение

3.0 Объем

4,0 Стандарт

4.1 Классификация

4.2 Защита

5.0 Правоприменение и реализация

6.

7.0 Каталожные номера

Конфиденциальность, Управление конфиденциальности и открытого правительства, Министерство торговли США

Информация, позволяющая установить личность

Деловая идентифицирующая информация

Обязанности сотрудников/подрядчиков

Способы защиты персональных данных

Сообщение об инцидентах с персональными данными

Брошюра

План уведомления о нарушении

Руководство по защите информации, позволяющей установить личность

Правила и политики — Защита PII — Закон о конфиденциальности

Что такое личная информация (PII)?

Оставить комментарий Отменить ответ