Цели и бизнес-задачи
Проект был направлен на установление порядка и условий использования информации ограниченного доступа (ИОД), направленных на минимизацию рисков, связанных с несанкционированным доступом к информации и её разглашением.
Как работало до
Информация, относящаяся к персональным данным, представлена пользователям в маскированном виде. Но замаскирована такая информация была не в полном объеме. Поэтому в общедоступных витринах периодически встречались данные, по которым можно установить личность. По использованию информации, относящейся к коммерческой тайне и тайне связи, были внутренние договоренности на неформальном уровне.
Решение
Для решения поставленной задачи были изучены локальные нормативные акты и нормативно-правовые акты РФ, регулирующие использование информации ограниченного доступа. Также были изучены хранилища данных, глоссарий бизнес-терминов и обследованы бизнес-процессы Компании.
Что было сделано
- Сформирована классификация информации ограниченного доступа (выделены виды ИОД), определен уровень секретности/критичности (класс защиты) для каждого вида ИОД.
- Определен единый подход к способам отнесения данных в информационных системах компании к видам ИОД и классам защиты.
- Определен единый подход к порядку предоставления доступа к ИОД сотрудникам компании в соответствии с их полномочиями.
- Определен единый подход к порядку предоставления доступа к ИОД сотрудникам компании в соответствии с их полномочиями.
Результат
Итогом проделанной работы стал документ — Методология классификации данных, который включает в себя:
- Декомпозицию ИОД
- Матрицу соответствия видов ИОД классам защиты
- Методику маркирования данных по видам ИОД и классам защиты
- Ролевую модель доступа к данным
- Правила внедрения в процессы компании шагов, касающихся отнесения данных к ИОД
На выборочных объектах корпоративного хранилища данных была продемонстрирована результативность применения методологии.