АО «Донэнерго» — компания, состоящая из десяти филиалов, которая осуществляет деятельность по передаче электрической энергии по Ростовской области. В рамках приведения деятельности в соответствие требованиям Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» перед компанией встала задача по созданию системы защиты информации (СЗИ ИСПДн), охватывающей все филиалы.

Масштаб проекта

• • Сфера: электроэнергетика
  • Количество филиалов: 10
  • Объект защиты: ИСПДн филиалов АО «Донэнерго»
  • Этапов работ: 3 (проектирование + внедрение + оценка эффективности)

Проблема

Информационные системы персональных данных в филиалах АО «Донэнерго» были организованы разрознено: подходы к защите отличались от объекта к объекту, единого решения не существовало. При этом, корпоративная сеть была единой.

Это создавало риск несоответствия требованиям Федерального закона № 152-ФЗ и связанных с ним нормативно-правовых актов, а также затрудняло контроль за безопасностью персональных данных на уровне всей компании.

Цель проекта

Выполнить требования 152-ФЗ и обеспечить соответствие ИСПДн АО «Донэнерго» требованиям нормативно-правовых актов в области защиты персональных данных за счёт единого подхода к созданию системы защиты, подразумевающий объединение зданий филиалов в единую защищенную корпоративную сеть для централизованного доступа и управления.

Решение

Для приведения ИСПДн в соответствие требованиям 152-ФЗ был реализован комплексный проект по созданию системы защиты информации ИСПДн (СЗИ ИСПДн). Здания десяти филиалов объединены в единую защищенную корпоративную сеть, что обеспечило централизованный доступ и общий подход к защите информации на всех объектах. В состав внедренных средств защиты вошли решения классов НСД (защита от несанкционированного доступа), АВЗ (антивирусная защита) и МСЭ (межсетевой экран). По результатам работ проведена оценка, подтвердившая соответствие СЗИ ИСПДн требованиям нормативно-правовых актов.

Этапы реализации

Этап 1. Проектирование

Шаг 1. Обследование и анализ угроз
Проведено обследование информационно-телекоммуникационной корпоративной и технологической инфраструктуры, выполнен анализ угроз безопасности информации и разработаны проекты моделей угроз.

Шаг 2. Формирование требований и проектирование СЗИ ИСПДн
Сформированы требования по защите информации, разработано частное техническое задание, спроектированы технические решения СЗИ ИСПДн, включая объединение зданий филиалов в единую защищенную корпоративную сеть для централизованного доступа и управления.

Шаг 3. Тестирование и обоснование решений
Проведено тестирование средств защиты информации с учётом архитектуры информационных систем, подготовлено технико-экономическое обоснование технических решений, разработана эксплуатационная документация на СЗИ ИСПДн.

Этап 2. Внедрение

Шаг 4. Передача прав и внедрение средств защиты
Заказчику переданы неисключительные права на программное обеспечение, выполнена установка и настройка средств защиты информации классов НСД, АВЗ и МСЭ.

Шаг 5. Разработка организационных мер
Разработаны организационно-распорядительные документы, регламентирующие правила и процедуры обеспечения безопасности ИСПДн, внедрены организационные меры защиты.

Этап 3. Оценка

Шаг 6. Испытания и опытная эксплуатации
Проведены предварительные испытания СЗИ ИСПДн, организована опытная эксплуатация системы.

Шаг 7. Анализ уязвимостей и приёмочные испытания
Проведён анализ уязвимостей ИСПДн с устранением выявленных недостатков, выполнены приёмочные (оценочные) испытания СЗИ ИСПДн, подтвердившие соответствие требованиям нормативно-правовых актов.

Итоги проекта

• • ИСПДн филиалов АО «Донэнерго» приведены в соответствие требованиям Федерального закона № 152-ФЗ и связанных с ним нормативно-правовых актов.
  • Снижены риски утечки и неправомерной обработки персональных данных за счёт внедрённых технических и организационных мер защиты.
  • Заказчик получил полный комплект эксплуатационной и организационно-распорядительной документации.
  • По результатам анализа устранены все актуальные уязвимости, что повысило защищенность всех объектов филиалов в соответствии с установленными требованиями.
  • Единая корпоративная сеть и выстроенная СЗИ ИСПДн дают компании возможность оперативно подключать к системе защиты новые филиалы при расширении сети.

Вывод

Комплексный подход к созданию СЗИ ИСПДн позволил не просто закрыть формальное требование регулятора, а выстроить управляемую систему защиты персональных данных, которую компания может развивать при изменении нормативных требований.

На что опирались при реализации

Для реализации проекта команда ООО «Рубикон» опиралась на следующую нормативно правовую и методическую базу:

• • Федеральный закон № 152-ФЗ «О персональных данных» – базовое требование, определяющее необходимость защиты ИСПДн.
  • Постановление Правительства РФ № 1119 – требования к защите персональных данных при их обработке в информационных системах, использованные для определения уровня защищённости ИСПДн филиалов.
  • Приказ ФСТЭК России № 21 – состав и содержание организационных и технических мер по обеспечению безопасности персональных данных, положенный в основу проектирования СОБ ИСПДн.
  • Приказ ФСБ России от 10.07.2014 № 378 – состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при использовании средств криптографической защиты информации, учтён при выборе и применении СКЗИ в рамках проекта.
  • Методика оценки угроз безопасности информации, утверждённая ФСТЭК России 5 февраля 2021 г. – применена при разработке моделей угроз безопасности информации для ИСПДн филиалов.

Что стоит за реализацией проекта

• • 10 лет на рынке ИТ и ИБ, 300+ реализованных проектов в B2B и B2G.
  • Полный цикл услуг – от обследования и проектирования до внедрения и сопровождения, единая точка ответственности за ИТ и ИБ.
  • Лицензии регуляторов – ФСТЭК России (техническая защита конфиденциальной информации) и ФСБ России (монтаж и обслуживание СКЗИ).
  • Экспертиза по требованиям 152-ФЗ, 187-ФЗ и других НПА – практический опыт прохождения проверок и взаимодействия с регуляторами.
  • Индивидуальные решения под задачу и бюджет заказчика, без навязывания лишних продуктов.

Ответы на типовые вопросы по проекту

Сколько времени занимает создание СЗИ ИСПДн?

Сроки зависят от количества филиалов и информационных систем, подлежащих защите, а также от объёма выявленных при обследовании доработок. Проект включает два последовательных этапа — разработку мер и их внедрение.

Нужно ли останавливать работу ИСПДн на время внедрения?

Нет, работы по установке и настройке средств защиты, а также испытания планируются так, чтобы не нарушать непрерывность технологических процессов заказчика.

Что будет, если не привести ИСПДн в соответствие со 152-ФЗ?

Компания несёт риски административной ответственности со стороны регуляторов, а также риски утечки и неправомерной обработки персональных данных, что может повлечь дополнительный ущерб как финансовый, так и репутационный.

Можно ли использовать разработанные решения для других филиалов?

Да, в рамках проекта разработаны типовые технические решения, которые можно применять для аналогичных объектов без проектирования защиты с нуля. При этом каждый новый сегмент (филиал) перед включением в систему всё равно проходит аттестационные испытания, уже без разработки отдельной программы и методик испытаний для него, как того требуют актуальные требования ФСТЭК России.

Как часто нужно пересматривать систему защиты?

Систему рекомендуется пересматривать при изменении нормативных требований, состава обрабатываемых данных или архитектуры информационных систем. Кроме того, в рамках требований приказа ФСТЭК России № 77 предусмотрена регулярная оценка эффективности принятых в системе мер путем тестирования функций безопасности, анализа уязвимостей и тестированием на проникновения не реже раза в три года.